Google stänkert: Microsoft lässt GDI-Sicherheitslücke ungepatcht

Google macht es schon wieder: Die Sicherheitsforscher vom Projekt Zero haben eine ungepatchte Zero-Day-Lücke in Windows aufgedeckt und stellen damit jetzt Microsoft als unfähig bloß, umfangreiche Schwachstellen zu beheben. Dabei handelt es sich um einen Fehler in der Windows-Grafikkomponente (GDI), welcher schon vor fast einem Jahr von Google entdeckt und entsprechend an Microsoft gemeldet wurde (via Ghacks). Anschließend gab es dann Mitte Juni separat vom regulären Patch-Day ein Update von Microsoft, welches das Problem beheben sollte. Die Sache ist nun aber die: Nicht alle sicherheitsrelevanten Fehler konnten mit dem Update MS16-074, erschienen im Juni 2016, behoben werden. Seither klaffen weitere Sicherheitslücken in Windows, obwohl das dem Konzern eigentlich bekannt sein müsste, schreibt jetzt Projekt Zero-Mitglied Mateusz Jurczyk.

Betroffen sind alle Windows Versionen von Vista bis zu Windows 10

Jurczyk hatte den ursprünglichen Bug-Report an Microsoft verfasst und die Fehlerbehebung beobachtet. Er meint, Microsoft habe nur einen Teil der Fehler behoben, damit aber noch immer eine kritische Schwachstelle belassen. Betroffen sind alle Windows Versionen von Vista (Service Pack 2) bis zu Windows 10. Es kann zu Erhöhung von Berechtigungen kommen, sodass Unbefugte mit manipulierten Bibliotheken Schadcode einschleusen und ausführen könnten.

Das passierte im Endeffekt schon im November. Damals hat Jurczyk nochmals Microsoft angeschrieben und seine Ergebnisse zu dem GDI-Problem übermittelt. Bislang sei aber nichts weiter passiert, Microsoft hat keinen erneuten Versuch unternommen, die Sicherheitslücke zu schließen.

Nun kann man Microsoft zugutehalten, dass der Konzern eventuell mit dem jüngst ausgefallenen Februar-Patch-Day eine Lösung gefunden hat - nur ist das derzeit noch komplett ungewiss. Erst im März wird es die entsprechenden Updates geben. Windows bleibt damit unsicher, und zwar durch eine Schwachstelle, die der Software-Riese nun fast ein Jahr wissentlich mit sich herumschleppt.

Petzen auf hohen Niveau

Microsoft und Google sind seit dem letzten "Vorfall" derart nicht sonderlich gut aufeinander zu sprechen. Google hatte im vergangenen Jahr kurz nach der Entdeckung einer Zero-Day-Schwachstelle den Fehler offengelegt. Normalerweise gilt es bei der Entdeckung von Exploits und Co. immer eine Schonfrist zu wahren, damit das betroffene Unternehmen die Sicherheitslücke schließen kann, bevor sie durch die Veröffentlichung in den Medien größere Aufmerksamkeit erhält. Dieses Mal liegt der Fall doch anders, schließlich sind nun seit der letzten Meldung des Problems bei Microsoft schon wieder mehr als drei Monate vergangenen.

Siehe auch: Google legt Windows-Sicherheitslücke offen, Microsoft ist stinksauer

Download Windows 10 - ISO-Dateien zur Neuinstallation Windows 10 Creators Update Alles zum neuen Game Mode