Erste Windows-2000-Sicherheitslöcher

Noch bevor das Betriebssysteme ausgeliefert wurde, musste Microsoft das erste Patch [Nachbesserung] für Windows 2000 zur Verfügung stellen.

Das Patch beseitigt zwei Sicherheitsprobleme in Microsofts Index-Server, der in Windows 2000 integriert ist, eines davon wird als "ernsthaft" eingestuft.

Das Patch hat den klangvollen Namen "Malformed Hit-Highlighting Argument Security" erhalten.

Patch

Das "ernsthafte" Problem wurde am 17. Januar von David Litchfield [Cerberus Infosec] entdeckt, der es sofort Microsoft meldete.

Microsoft reagierte umgehend mit der Entwicklung des Patches, das seit gestern zum Download zur Verfügung steht.

Inzwischen sind in Diskussionsforen allerdings die ersten Hinweise dafür aufgetaucht, dass das Patch zu Server-Performanceproblemen führt.

Der erste Bug gibt Eindrinlingen Informationen über das betriebene Netzwerk, er wird als relativ harmlos eingestuft. Die zweite Sicherheitslücke ermöglicht Hackern den Zugang zu Files, die auf einem Webserver gespeichert sind. Zwar sollten prinzipiell keine sensiblen Informationen auf einem Webserver gespeichert werden, aber in der Praxis sind zumindest zeitweilig Passwörter oder Kreditkartendetails zwischengespeichert.

Cerberus Infosec

Microsoft verteidigte die schlechte Optik eines ersten Patches vor der Auslieferung des Produkts mit dem Hinweis auf die langen Vorlaufzeiten: Windows 2000 sei schon Mitte Dezember in die Produktion gegangen, aber die Sicherheitslücken erst Mitte Januar entdeckt worden.

Zu diesem Zeitpunkt war das Betriebssystem auch schon an Hard- und Software-Produzenten ausgeliefert worden.

Bill Gates gastiert heute in "Wetten dass".