Am 3. April veröffentlichte Microsoft außerhalb des normalen Patch-Zyklus ein Sicherheits-Update gegen die so genannte Mauszeigerlücke. Da diese Schwachstelle auch Windows Vista betrifft, von dem Microsoft sagt, es sei das bislang sicherste Windows, stellt sich die Frage, warum diese Sicherheitslücke den Vista-Entwicklern entgangen ist. Diese Frage versucht Michael Howard, ein prominenter Sicherheitsfachmann bei Microsoft, im Microsoft-Blog zu beantworten. In einem längeren Beitrag unter dem Titel "Lessons learned from the Animated Cursor Security Bug" beschreibt Howard, welche Lehren Microsoft aus dieser Pannenserie gezogen und welche es noch zu ziehen hat
SDL ist keineswegs perfekt
Der Programm-Code zur Verarbeitung von Dateien mit animierten Mauszeigern stammt noch aus Windows 2000. Mit der Einführung von SDL (Security Development Lifecycle) hat Microsoft auch eine Reihe von Richtlinien etabliert, nach denen Code zu prüfen ist, bevor er es in die endgültige Fassung eines Produkts schaffen kann. Dazu gehören auch ein Verbot bestimmter, als unsicher geltender Systemaufrufe in Vista sowie eine Compiler-Option "-GS" beim Übersetzen der Quelltexte in ausführbaren Code, die Pufferüberläufe verhindern soll. Michael Howard geht die Sicherheitsprüfungen der Reihe nach durch und erklärt, warum die ANI-Lücke bei keiner dieser Prüfungen aufgefallen ist. Er schließt mit der Feststellung, dass SDL keineswegs perfekt sei und Microsoft noch einiges an Arbeit bevorstehe, um es zu verbessern.
Quelle:
http://www2.oncomputer.t-online.de/d.../10918350.html
Zitieren