CrowdStrike erklärt Ausfall von Millionen Windows-PCs mit Test-Fehler

Der Sicherheitsdienstleister CrowdStrike sieht die Ursache für den Ausfall von fast neun Millionen Windows-PCs am letzten Freitag in einem Bug bei einem seiner Test-Programme. Der sogenannte "Content Validator" habe seine Aufgabe nicht erfüllt.

CrowdStrike hatte unentdeckten Fehler in Test-Software

In einem Update seines Remediation Guides hat CrowdStrike in einer sogenannten "Preliminary Post Incident Review" (PIR) erklärt, was das Unternehmen als Ursache für die Auslieferung eines fehlerhaften Updates für seine Sicherheits-Software sieht, durch welches in der letzten Woche massenhaft Windows-PCs nicht mehr hochgefahren werden konnten.

In seinem Bericht behauptet CrowdStrike, dass ein sogenannter "Content Validator" versagt hat. Was genau diese Software tut, führte man nicht aus, es ist aber davon auszugehen, dass der Name hier Programm ist und sie eben dazu dient, den Inhalt von bestimmten Dateien, mit denen die für die Erkennung von Viren und anderer Malware verwendeten Sicherheitslösungen aktuell gehalten werden, auf Fehler zu prüfen.

Bug in Content-Update hat Speicherfehler ausgelöst

Am 19. Juli seien Fehler in einer aktualisierten Fassung eines sogenannten Content-Updates von dem Prüfsystem nicht erkannt worden, was man mit einem "Bug im Content Validator" begründet. Dadurch sei ein "Out-of-Bounds Memory Read" aufgetreten, was wiederum einen Ausnahmefehler zur Folge hatte. Die mit CrowdStrikes Software geschützten Windows-PCs seien deshalb dann abgestürzt.


CrowdStrike nutzt bei seiner Falcon Sensor genannten Sicherheitslösung sogenannten "Sensor Content" (Sensorinhalte), mit dem die Fähigkeiten der Software festgelegt werden. Um schnell auf bestimmte Bedrohungen zu reagieren und Informationen dazu zu sammeln, wird die Software mithilfe von sogenannten "Rapid Response"-Inhalten aktualisiert.

Frühere Updates mit neuen Vorlagentypen problemlos

Die "Sensorinhalte" nutzen verschiedene Vorlagentypen (Template Types), also Code, bei dem vordefinierte Felder von den Entwicklern genutzt werden, um sie in den Rapid Response-Inhalten zu verwenden. Die letztgenannten Inhalte werden dann Form von sogenannten "Vorlageninstanzen" ausgeliefert, welche beider Sensor-Software bestimmte Verhaltensweisen definieren, um so Bedrohungen zu beobachten, zu erkennen oder ihnen vorzubeugen.

Seit Februar 2024 nutze CrowdStrike jetzt einen neuen Vorlagentyp namens "InterProcessCommunicaton" (IPC), mit dem man neue Angriffstechniken erkennen will. Seit März wird dieser neue Vorlagentyp jetzt laut dem Unternehmen im produktiven Kontext verwendet, wobei im April an zwei Daten gleich drei neue "IPC-Templates" an die mit dem Falcon Sensor ausgestatteten Systeme ausgeliefert wurden. Damals kam es zwar nicht zu massenhaften Abstürzen, im Fall einiger Linux-Systeme zeichneten sich aber erste Probleme ab.

Am 19. Juli 2024, dem Tag des gigantischen Ausfalls, führte CrowdStrike dann zwei weitere Instanzen seiner sogenannten IPC-Templates für die mit Falcon Sensor ausgerüsteten Systeme ein, die als Teil des täglich erfolgenden Updates für die Software des Unternehmens ausgeliefert wurden. In einem der beiden IPC-Templates seien aber "problematische Content-Daten" enthalten gewesen, die von dem oben beschriebenen "Content Validator" nicht als problembehaftet identifiziert wurden. So landete der fehlerhafte Code "in Production".

Der Fehler in CrowdStrikes Content Validator blieb offenbar über Monate unentdeckt, weil die vor dem 19. Juli ausgelieferten anderen IPC-Templates keine Probleme zur Folge hatten. Man ging deshalb wohl davon aus, dass auch die jüngsten neuen Versionen fehlerfrei sein würden. Bald soll nach Abschluss der weiter laufenden Untersuchungen eine vollständige Analyse der genauen Gründe für die Fehler und deren Folgen veröffentlicht werden, hieß es weiter.

Künftig will CrowdStrike nun zusätzliche Kontrollen bei der Auslieferung seines "Rapid Response Content" einführen und die Releases staffeln. Außerdem sollen die Kunden mehr Kontrolle darüber erhalten, wann die Aktualisierung ihrer Installationen von Falcon Sensor erfolgen soll. Außerdem will man, anders als bisher, mit der Bereitstellung von Veröffentlichungsnotizen beginnen.


Siehe auch: