ANI-Exploit: Wie konnte anfälliger Code in Vista geraten?

[Eric-Cartman]

Der anfällige Code zum Umgang mit animierten Mauszeigern hat alle Sicherheitsprüfungen ohne Befunde überstanden, wie ein Sicherheitsfachmann von Microsoft in einem neu eingerichteten Blog berichtet.

Am 3. April veröffentlichte Microsoft außerhalb des normalen Patch-Zyklus ein Sicherheits-Update gegen die so genannte "ANI-Lücke" . Da diese Schwachstelle auch Windows Vista betrifft, von dem Microsoft sagt, es sei das bislang sicherste Windows, stellt sich die Frage, warum diese Sicherheitslücke den Vista-Entwicklern entgangen ist.

Diese Frage versucht Michael Howard, ein prominenter Sicherheitsfachmann bei Microsoft und Autor mehrerer Bücher zur Software-Sicherheit, im neuen Microsoft SDL-Blog zu beantworten. In einem längeren Beitrag unter dem Titel "Lessons learned from the Animated Cursor Security Bug" beschreibt Howard auch, welche Lehren Microsoft aus dieser Pannenserie bereits gezogen und welche es noch zu ziehen hat.

Der Programm-Code zur Verarbeitung von Dateien mit animierten Mauszeigern stammt noch aus Windows 2000. Mit der Einführung von SDL (Security Development Lifecycle) hat Microsoft auch eine Reihe von Richtlinien etabliert, nach denen Code zu prüfen ist, bevor er es in die endgültige Fassung eines Produkts schaffen kann. Dazu gehören auch ein Verbot bestimmter, als unsicher geltender Systemaufrufe in Vista sowie eine Compiler-Option "-GS" beim Übersetzen der Quelltexte in ausführbaren Code, die Pufferüberläufe verhindern soll.

Michael Howard geht die Sicherheitsprüfungen der Reihe nach durch und erklärt, warum die ANI-Lücke bei keiner dieser Prüfungen aufgefallen ist. Er schließt mit der Feststellung, dass SDL keineswegs bereits perfekt sei und Microsoft noch einiges an Arbeit bevor stehe um es zu verbessern. Einige der Lehren aus dieser Panne seien bereits umgesetzt, weitere müssten jedoch noch folgen.

Quelle: IDG Magazine Media GmbH/PC-WELT Online

 

[Bullayer]

... stellt sich die Frage, warum diese Sicherheitslücke den Vista-Entwicklern entgangen ist....

Für die Sicherheitschecks sind bestimmt nicht die Entwickler zuständig. Dafür hat M$ bestimmt andere, die die Lücken ausfindig machen.

 

[Michel]

Für die Sicherheitschecks sind bestimmt nicht die Entwickler zuständig. Dafür hat M$ bestimmt andere, die die Lücken ausfindig machen.

Ja, man nennt sie auch User, Anwender oder Versuchskaninchen.

 

[Bullayer]

Ja, man nennt sie auch User, Anwender oder Versuchskaninchen.

Ja, die kosten vor allen Dingen kein Geld, streiken nicht und wollen keinen Betriebsrat wählen.

 

[Michel]

Ja, die kosten vor allen Dingen kein Geld, streiken nicht und wollen keinen Betriebsrat wählen.

Die bezahlen sogar Geld dafür, dass sie in den Genuss des ANI-Expoits kommen.

 

[Lenny]

Für die Sicherheitschecks sind bestimmt nicht die Entwickler zuständig. Dafür hat M$ bestimmt andere, die die Lücken ausfindig machen.

Das sieht man gut bei Gothic3, da wurde einer rumänische Firma der Beta und Final Test übertragen ...Ergebnis

 

[DiableNoir]

Viel Code von Windows 2000 steckte ja noch in Windows XP SP2 und auf selbigen setzt doch Vista auf. Kein Wunder dass sich da auch Sicherheitslücken quer durch mehrere Versionen ziehen. Hatten wir ja schon öfter...siehe IE oder die alte Windows Hilfe.

BTW: Man kann zwar grundsätzlich durch solche standardisierte Qualitätsprüfungen Code sicherer machen, aber ein Allheilmittel ist es sicher nicht. Sicherheitsfehler treten nun mal nicht immer gleich auf.