Kritik an Microsofts Umgang mit Sicherheitslücken

Der Sicherheitsanbieter Tenable hat Microsoft scharf für seinen Umgang mit Sicherheitslücken kritisiert. Das Unternehmen wirft dem Softwarekonzern unter anderem mangelnde Transparenz und unverantwortliche Sicherheitspraktiken vor. Für Kunden sollen sich dadurch zusätzliche Risiken ergeben über die „absichtlich im Unklaren gelassen werden“.

Ausgelöst wurde die Kritik offenbar durch Microsofts Reaktion auf eine von Tenable-Forschern entdeckte Schwachstelle in der Azure Plattform von Microsoft, die wohl auch damit verbundene Dienste betrifft. Ein nicht authentifizierter Angreifer soll in der Lage sein, auf „mandantenübergreifende Anwendungen und sensible Daten wie etwa Authentifizierungsgeheimnisse“ zuzugreifen. Die Forscher selbst wollen bei der Untersuchung der Sicherheitslücke die Authentifizierungsgeheimnisse einer Bank entdeckt haben.

Microsofts Patch ist unvollständig

Tenable zufolge dauerte es mehr als 90 Tage, bis Microsoft einen ersten Patch veröffentlichte – der das Problem allerdings nicht vollständig beheben soll. Der Patch sei nur für neu in den Dienst geladene Anwendungen verfügbar. Die Bank, deren Authentifizierungsgeheimnisse Tenable abgreifen konnte, sei immer noch gefährdet. „Das gilt ebenso für alle anderen Unternehmen, die den Dienst vor der Behebung des Problems in Betrieb genommen haben“, sagte Amit Yoran, CEO von Tenable.

„Soweit bekannt ist, wissen diese Unternehmen immer noch nicht, dass sie gefährdet sind und können daher keine fundierten Entscheidungen über entsprechende Kontrollen und andere risikomindernde Maßnahmen treffen. Microsoft behauptet, das Problem bis Ende September zu beheben, also vier Monate, nachdem Tenable es gemeldet hatte. Das ist grob unverantwortlich, wenn nicht gar grob fahrlässig. Tenable weiß über das Problem Bescheid, Microsoft weiß über das Problem Bescheid – und die Angreifer hoffentlich nicht“, so Yoran weiter.

Vollständiger Fix kommt erst Ende September

Inzwischen liegt eine Sicherheitswarnung von Tenable vor, die jedoch keine technischen Details oder gar Beispielcode für einen Proof-of-Concept-Exploit enthält. Tenable informiert jedoch über den bisherigen Ablauf der Kommunikation mit Microsoft. Demnach wurde Redmond bereits am 30. März über die Anfälligkeit informiert. Am 3. April bestätigte Microsoft das Problem. Rund drei Monate später bestätigte Microsoft auf Nachfrage von Tenable, dass der Fehler behoben sei. Kurz darauf kontakte Tenable erneut das Microsoft Security and Response Center, weil der Fix unvollständig sei.

Am 21. Juli schließlich kündigte Microsoft gegenüber Tenable einen weiteren Fix für den 28. September an. Tenable entsprach daraufhin Microsofts Bitte, jegliche technische Details in der für 31. Juli geplanten Sicherheitswarnung zurückzuhalten.