#1 5. April 2007 Microsoft musste vorgestern einen außerplanmäßigen Patch veröffentlichen, mit der man eine schwerwiegende Sicherheitslücke in allen aktuell unterstützten Windows-Betriebssysteme schließen will. Der Umgang mit dem Problem lässt Microsofts Patch-Politik jedoch erneut in keinem guten Licht erscheinen. So wussten die Redmonder bereits im Dezember 2006 von den Fehlern bei der Verarbeitung von Dateien für animierte Maus-Cursor. Es vergingen also mehr als 100 Tage, bis nun vorgestern endlich aufgrund der zunehmenden Ausnutzung der Schwachstelle durch Internet-Kriminelle ein entsprechendes Update zum Download bereit gestellt wurde. Die Mitarbeiter des Microsoft Security Response Centers (MSRC), das für die Beseitigung und Überwachung von neuentdeckten Sicherheitslücken zuständig ist, verteidigten jetzt die Entscheidung, mit der Bereitstellung des Updates so lange zu warten. Die Entwicklung eines Patches sei ein langwieriger und komplexer Prozess, hieß es vom Chef des MSRC Mark Miller. Seinen Angaben zufolge war die Entwicklung des Patches bereits Mitte März abgeschlossen, doch man musste zunächst noch ausführliche Tests durchführen. Die Veröffentlichung war angeblich ohnehin für den bevorstehenden April-Patch-Day vorgesehen, sagte er weiter. Der Sicherheitsdienstleister Determina hatte Microsoft schon am 20. Dezember 2006 auf die neue Sicherheitslücke aufmerksam gemacht. Miller wies Beschuldigungen von sich, wonach Microsoft erst auf die Bedrohung reagiert habe, als immer mehr Internet-Seiten auftauchten, mit denen die Schwachstelle ausgenutzt werden soll. Man habe bereits vorher an einer Lösung des Problems gearbeitet. Als die Mitteilung, dass nun Exploits für die Lücke die Runde machen, eintrudelte, habe man lediglich die Überwachungsmaßnahmen verschärft. Millers Argumente scheinen das eigentliche Problem nur noch zu unterstreichen. So gab es bereits Anfang 2005 eine Schwachstelle in der Verarbeitung von Dateien für animierte Maus-Cursor, die mit einem entsprechenden Update beseitigt wurde. Die neu entdeckte Lücke entspricht dem alten Problem und existiert lediglich in einem anderen Bereich des Windows-Codes. Warum die neue Schwachstelle also nicht schon im Rahmen des Updates von 2005 aus der Welt geschafft wurde, ist auch bei Microsoft nicht ganz klar. Miller kündigte deshalb eine interne Untersuchung an, bei der man feststellen will, warum man das Problem damals nicht entdeckt und bereinigt hat. Microsofts Umgang mit neuentdeckten Sicherheitslücken wird seit Jahren als zu träge kritisiert. Quelle:http://www.winfuture.de/news,31030.html + Multi-Zitat Zitieren
#2 5. April 2007 Cursor-Patch macht einige Systeme unbrauchbar Microsoft hat vorgestern eine wichtiges Update für alle aktuellen Windows-Betriebssysteme zum Download bereitgestellt, das eine schwere Schwachstelle in der Verarbeitung von Dateien für animierte Maus-Cursor schließen soll. Schon kurz nach der Veröffentlichung kamen jedoch Berichte auf, wonach der Patch in vielen Fällen für massive Probleme sorgt. Speziell Computer mit einem Soundchip von Realtek sind betroffen, wenn auf ihnen das Realtek HD Audio Control Panel installiert ist. Diesem Problem hat man sich bei Microsoft schleunigst angenommen und wie bereits gestern berichtet ein weiteres Update für Windows veröffentlicht, das wiederum die neuen Schwierigkeiten aus der Welt schaffen soll. Offenbar gibt es jedoch eine Vielzahl von anderen Software-Produkten, die ebenfalls ihren Dienst verweigern, wenn zuvor das "Cursor-Update" installiert wurde. In unserem und vielen anderen Internet-Foren häufen sich nun die Berichte von Anwendern, die zwar keinen Realtek HD Soundprozessor auf ihrem Mainboard haben, aber dennoch Probleme haben. Unter anderem melden die Anwender, dass ihre Virenscanner von AVG und F-Secure jetzt nicht mehr funktionieren. Weiterhin gibt es Meldungen, wonach das Patch-Paket als Trojaner erkennt wird. In einigen Fällen wurde sogar der ganze Rechner unbrauchbar, da Windows nach der Update-Installation das Hochfahren verweigert. Bei einigen Nutzern soll es auch Funktionsstörungen von USB-Geräten geben. Microsoft hat sich unterdessen noch nicht zu den Problemen geäußert. In einigen Fällen soll jedoch die erneute Installation der betroffenen Programme helfen. Bei Hardware-Problemen gibt es allerdings keine allgemeingültige Lösung. Einzige Option könnte die Verwendung der Patches von Drittanbietern sein, wie sie unter anderem der Sicherheitsdienstleister eEye oder auch das ZERT zum Download bereit stellen. Angesichts der zahlreichen Fehler denkt man beim Browser-Hersteller Mozilla übrigens über einen in Firefox zu integrierenden Workaround für die Cursor-Lücke nach. Quelle:http://www.winfuture.de/news,31035.html + Multi-Zitat Zitieren