Windows 8.1: Google veröffentlicht ungepatchten Zero-Day-Exploit

Ein Google-Forscher hat ein Sicherheitsleck in Windows 8.1 öffentlich gemacht, das von Microsoft noch nicht geschlossen worden war. Google hatte dem Konzern zuvor 90 Tagen Zeit gegeben, um den Zero-Day-Exploit zu patchen. Jetzt verspricht Microsoft eine schnelle Lösung.

90 Tage Gnadenfrist

Google hatte den Software-Fehler, der nach bisherigen Erkenntnisstand auf Systemen mit Windows 8.1 Betriebssystem zu finden ist, Anfang dieser Woche über seine Sicherheits-Webseite öffentlich gemacht. Microsoft war laut den Angaben des Internetkonzerns bereits weit im Vorfeld - genauer gesagt bereits am 30. September 2014 - über die entdeckte Schwachstelle informiert worden.
Er hat das Leck entdeckt: Google-Sicherheitsforscher James Forshaw
Nach einer Wartezeit von 90 Tagen wurde dann der Zero-Day-Exploit öffentlich gemacht, obwohl die Lücke von Microsoft noch nicht geschlossen worden war. Für dieses Verhalten wird der Suchmaschinenkonzern jetzt von vielen Seiten kritisiert. Microsoft erklärt noch am Silvesterabend, dass man bereits an einem Patch arbeite.

Darüber hinaus könne die Schwachstelle nur ausgenutzt werden, wenn der Angreifer über Zugangsdaten verfügt und sich lokal einloggen kann - Hindernisse, die tatsächlich in den meisten Fällen schwer zu überwinden sind und für Beruhigung sorgen sollen. Die weiteren Tipps für besorgte Nutzer kopiert Microsoft aus dem Standard-Handbuch: Antivirensoftware aktuell halten, Sicherheitsupdates installieren und Firewall aktivieren.

Forshaw schaut nur auf Windows 8.1

Die aktuelle Windows-Lücke war von dem Google Mitarbeiter mit dem Handle "forshaw" entdeckt und veröffentlicht worden. Dahinter streckt der Sicherheitsforscher James Forshaw, der sich beim Google Projekt Zero mit Software-Schwachstellen beschäftigt. Wie ZDnet in seinem Bericht schreibt, hat der Forscher die aktuelle Lücke nur auf Systemen mit Windows 8.1-OS getestet. Ob der Fehler auch andere Windows-Versionen betrifft, ist deshalb bisher nicht geklärt.

Der von Forshaw veröffentlichte Exploit ist offenbar nicht als sehr gefährlich einzustufen. An diesem Fall heizt sich aber wieder einmal die Diskussion auf, wann und ob Sicherheitslecks veröffentlicht werden sollen, wenn von dem betroffenen Software-Anbieter noch keine Lösung für das Problem vorgelegt wurde. Die 90 Tage-Frist des Google Project Zero halten einige Experten auf jeden Fall für zu kurz.