Sicherheitsdienstleister korrigiert Sicherheits-Bulletin von Microsoft
Ein Angriff auf eine von Microsoft gemeldete Sicherheitslücke dient Immunity als Beispiel, warum Hersteller nach Ansicht der Firma bei der Untersuchung, Bewertung und Veröffentlichung von Schwachstellen auf unabhängige Dritte zurückgreifen sollten.
Ein Angriff auf die im Februar von Microsoft gemeldete Sicherheitslücke im License Logging Server von Windows 2000 funktioniert unter Umständen doch ohne Authentifizierung. Laut Bulletin MS05-010 lässt sich die auf einem Buffer Overflow beruhende Schwachstelle nur nach vorheriger Anmeldung am Server ausnutzen. Der Sicherheitsdienstleister Immunity weist in einem Advisory aber darauf hin, dass dies für Windows 2000 Advanced Server mit SP3 und SP4 nicht zutreffe. Dort funktioniere ein von Immunity entwickelter Exploit bei einem Test auch ohne Authentifizierung. Anders als Windows 2000 Server enthält die Advanced-Server-Version noch einen Registry-Eintrag, mit dem Named Pipes auch über Nullsessions funktionieren.
Nach Meinung von Dave Aitel, Gründer von Immunity, ist dies ein gutes Beispiel dafür, warum Hersteller bei der Untersuchung, Bewertung und Veröffentlichung von Schwachstellen auf unabhängige Dritte zurückgreifen sollten. Allerdings ist auch Aitels Vorgehensweise zur Offenlegung von Lücken nicht ganz unumstritten. So hat er etwa mehrere in Mac OS X entdeckte Fehler nur an Abonnenten seiner eigenen, geschlossenen Sicherheits-Mailing-Liste weitergegeben -- Apple wurde nicht darüber informiert. Medienberichten zufolge soll ein Abonnement der Liste mehrere zehntausend US-Dollar kosten.
Siehe dazu auch: (dab)
- Security Advisory von Immunity
