Hersteller müssen Sicherheitslücken künftig schneller schließen

[Dynamite]

Das Bummeln beim Bereitstellen von Patches dürfte für viele Hersteller nun ein Ende haben: Nachdem Google den Software-Herstellern zum Patchen von Sicherheitslücken ab Benachrichtigung nur noch 60 Tage Zeit geben will, limitiert der zu Hewlett Packard respektive TippingPoint gehörende Schwachstellen-Broker Zero Day Initiative (ZDI) bereits ab heute den Zeitraum für das Entwickeln von Sicherheits-Updates auf sechs Monate. Dann werden die Informationen über die Lücke veröffentlicht. Allerdings will ZDI in bestimmten Fällen eine Verlängerung des Zeitraums gewähren.

ZDI hatte bislang gar keine Limits und gewährte den Herstellern nach der Benachrichtigung über eine Lücke einen beliebigen Zeitraum zur Entwicklung von Patches. Informationen über Lücken wurden von ZDI erst dann veröffentlicht, wenn der Patch verteilt wurde. Die führte zu einer beeindruckenden Liste ausstehender Patches der größten Hersteller, darunter Apple, IBM, Microsoft und Symantec. IBM beispielsweise scheint seit mehr als drei Jahren keinen Finger zu rühren, um eine gemeldete, kritische Lücke zu schließen. Witzigerweise findet sich auch Hewlett Packard mehrfach in der Liste.

ZDI begründet den Schritt damit, dass längere Zeiträume Anwender unnötig in Gefahr brächten. Das Argument, dass man Kriminelle erst durch die Veröffentlichung von Informationen auf die Lücke brächte, gelte mittlerweile nicht mehr. Immer häufiger registriere man sich überschneidende Entdeckungen unabhängiger Sicherheitsspezialisten bei Schwachstellen, die ihre Informatinen an ZDI verkaufen. Das lasse den Schluss zu, dass auch andere (Exploit-Programmierer) bereits Informationen über die Lücken besitzen.

Ähnlich hatte zuletzt auch Tavis Ormandy von Googles Sicherheitsteam argumentiert, nachdem er für seine Veröffentlichung der Helpcenter-Lücke in Windows viel Kritik einstecken musste. Ormandy hatte die Infos veröffentlicht, nachdem Microsoft nicht zusagen wollte, die Lücke innerhalb von 60 Tagen zu schließen. Nachdem die Katze aus dem Sack war, schaffte Microsoft es dann aber immerhin, einen Patch nach 34 Tagen bereitzustellen.

Der Metasploit-Erfinder HD. Moore wies bereits Anfang des Jahres darauf hin, dass "Softwarehersteller einen Fix für die vom Forscher entdeckte Lücke nie in der Zeit fertigstellen, die sie ursprünglich veranschlagen. Ganz egal, ob 30, 60, 90 oder 120 Tage, die Termine werden nie gehalten." Wenn aber plötzlich Exploitcode in einem Forum auftauche, sei der Fix binnen 10 Tagen fertig.

Das US-CERT, das unter anderem auch Warnhinweise für Behörden herausgibt, ist sogar noch strenger als ZDI und Google. Bereits nach 45 Tagen veröffentlicht die zentrale Warnstelle ihre Fehlerbescheibungen, unabhängig davon, ob es nun einen Patch gibt oder nicht. "Mildernde Umstände", die zur Verlängerung führen, gelten nur in besonderen Fällen. Die Sicherheitsdienstleister VUPEN und Immunity verfolgen hingegen den umgekehrten Ansatz: Sie informieren die Hersteller gar nicht. (dab)

Quelle: Heise.de

[Dynamite]

Kritische Lücke im Adobe Reader – und keinen interessiert's

Es gibt Dinge, die mittlerweile so alltäglich sind, dass kaum jemand Notiz davon nimmt. Diese Erfahrung musste auch Sicherheitsexperte Charlie Miller machen, der in seinem Black-Hat-Vortag vor rund einer Woche auf ein klaffendes Sicherheitsloch im Adobe Reader aufmerksam gemacht hat. Nach seinem Vortrag stellte Miller fest: "Adobes Sicherheit ist so schlecht, dass [...] nicht eine einzige Person es getwittert hat. Traurig."

Adobe hat die Lücke zwischenzeitlich bestätigt. Sie betrifft die aktuelle Version des Adobe Readers für Windows, Mac OS X und Unix und lässt sich dazu nutzen, beliebigen Schadcode in ein System einzuschleusen und auszuführen. Ob auch ältere Versionen verwundbar sind, ist nicht bekannt. Der Hersteller arbeite bereits an einem Patch und prüft, ob die von Miller veröffentlichten Informationen (PDF-Datei) über die Schwachstelle ein außerplanmäßiges Update rechtfertigen oder der Fehler erst am nächsten Patchday behoben werde. Bislang gibt es keine Anzeichen, dass die Lücke ausgenutzt wird.

Gegenüber heise Security äußerte Brad Arkin, bei Adobe verantwortlich für Produktsicherheit und Datenschutz, bereits im Mai dieses Jahres die Überlegung, den dreimonatigen Updatezyklus von Adobe Reader und Acrobat auf 30 Tage zu verkürzen. Auch an der Verteilung der Patches über andere Kanäle, etwa Microsoft Update, sei man interessiert.

Eine andere PDF-Lücke sorgt seit Kurzem dafür, dass man iPhone, iPod touch und iPad durch eine präparierte PDF-Datei vom App-Store-Zwang befreien (jailbreaken) kann, indem man die Seite JailbreakMe.com direkt auf dem Gerät öffnet. Laut F-Secure ist der Adobe Reader hiervon jedoch nicht betroffen. Den Foxit-Reader könne man durch diese Lücke hingegen zumindest zum Absturz bringen. (rei)

Quelle: Heise.de