Der Fall der kürzlich behobenen Windows MSHTML-Schwachstelle (CVE-2024-43461) zeigt, dass Microsoft trotz Hinweise zweier Hersteller (Trend Micro und CheckPoint) nicht ernsthaft reagiert hat, obwohl die Lücke bereits von Cyberangreifern ausgenutzt wurde. Ein Kommentar.
Die Sicherheitslücke wurde zuerst im September 2024 als Teil des Patch Tuesday offengelegt, jedoch erst nachträglich als bereits ausgenutzt markiert. Sie wurde in Zero-Day-Angriffen der Hackergruppe Void Banshee verwendet, um schädliche Software wie den Atlantida-Infostealer zu installieren und sensible Daten zu stehlen. Dazu Richard Werner, Security Advisor bei Trend Micro: „Wir sollten uns bewusst sein, dass es in der IT-Branche Unternehmen gibt, von denen ganze Staaten abhängig sind. Diese Unternehmen werden versuchen, ihre Vorstellungen durchzusetzen – ob uns das gefällt oder nicht.“
Aufklärung zu Sicherheitslücken ist Pflicht
Hersteller haben die Pflicht, ihre Kunden über die Gefahren von Sicherheitslücken aufzuklären. Denn dass ihre Kunden direkt verwundbar sind und daraus entstehende Probleme wieder auf den Hersteller zurückfallen, haben die meisten bereits verstanden. Die Bereitstellung dieser Informationen ist nicht einfach nur „nice to have“, sondern auch eine notwendige Maßnahme zum Selbstschutz. Doch das ist nur die Spitze des Eisbergs.
Denn unter der Patch-Oberfläche brodelt es gewaltig. Wir werden dieses Jahr aller Voraussicht nach erstmalig die 30.000er-Marke für registrierte Sicherheitslücken knacken. Darüber hinaus wird aktuell im Schnitt alle drei Tage die Ausnutzung einer neuen Schwachstelle durch Kriminelle bekannt – ganze 150 waren es 2023. Oft stehen dieselben Software-Produkte im Fokus, weil Patches zu schnell, unsauber oder unzureichend entwickelt werden. Kriminelle müssen sich im Prinzip nur in der unmittelbaren Nähe bekannter Lücken umsehen, um neue Schwachstellen zu finden.
Die meisten davon werden nicht von den Unternehmen selbst entdeckt, sondern von unabhängigen Forschern. Diese melden ihre Funde entweder den Herstellern oder verkaufen sie im Untergrund. Der Umgang eines Unternehmens mit ehrlichen Findern kann deshalb entscheidend sein. Damit ist in erster Linie die Kommunikation gemeint. Werden Finder ernst genommen? Wird das Problem verstanden? Wird nachvollzogen, was ein Forscher gemacht hat?
Sicherheitsforscher sind von Herstellern enttäuscht
Richard Werner, Security Advisor bei bei Trend Micro (Bild: Trend Micro).
Die Sicherheitsforscher kritisieren immer häufiger das Verhalten der Hersteller. Besonders ärgerlich ist es, wenn Vorschläge zur Einstufung der Kritikalität im CVSS (Common Vulnerability Scoring System) vom Hersteller ohne nachvollziehbare Begründung herabgestuft werden. Das erschwert es den Forschern, zu beurteilen, ob die Abstufung gerechtfertigt ist oder ob das Problem einfach nicht richtig verstanden wurde. Hinzu kommt, dass ehrliche Finder selbst einiges an Zeit und Aufwand investieren, um solche Lücken zu schließen. Es gibt deshalb ein gewisses Maß an Etikette, um auch künftig konstruktiv zusammenarbeiten zu können. Doch wenn immer wieder neue oder alte Probleme der eigenen Software vorgehalten werden, weil man sich vorher nicht ausreichend ausgetauscht hat, geht die Höflichkeit schon mal verloren – und das auf beiden Seiten.
Diese Konflikte und Spannungen wären eigentlich vermeidbar. Doch ein Blick auf Social Media zeigt, dass solche Vorfälle fast täglich passieren. Die Nervosität in der Branche ist weit verbreitet und zeigt sich in vielen Details. Überarbeitung der Mitarbeiter aufgrund von verschlankten Prozessen zur Kosteneinsparung ist sicherlich eine der Ursachen. Alles soll schneller und effektiver werden, doch das führt nicht zwangsläufig zu besserer Qualität oder mehr Kundenzufriedenheit.
Dieses Verhalten ist in der Softwarebranche keine Seltenheit. Es tritt besonders dort auf, wo ein Branchenriese genügend Marktmacht hat, um sich auch gegen äußere Widerstände durchzusetzen. Andere Unternehmen folgen diesem Beispiel oft widerwillig, weil sie keine andere Wahl haben. Wir sollten uns bewusst sein, dass es in der IT-Branche Unternehmen gibt, von denen ganze Staaten abhängig sind. Diese Unternehmen werden versuchen, ihre Vorstellungen durchzusetzen – ob uns das gefällt oder nicht.
Mehr bei TrendMicro.com
Über Trend Micro Als einer der weltweit führenden Anbieter von IT-Sicherheit hilft Trend Micro dabei, eine sichere Welt für den digitalen Datenaustausch zu schaffen. Mit über 30 Jahren Sicherheitsexpertise, globaler Bedrohungsforschung und beständigen Innovationen bietet Trend Micro Schutz für Unternehmen, Behörden und Privatanwender. Dank unserer XGen™ Sicherheitsstrategie profitieren unsere Lösungen von einer generationsübergreifenden Kombination von Abwehrtechniken, die für führende Umgebungen optimiert ist. Vernetzte Bedrohungsinformationen ermöglichen dabei besseren und schnelleren Schutz. Unsere vernetzten Lösungen sind für Cloud-Workloads, Endpunkte, E-Mail, das IIoT und Netzwerke optimiert und bieten zentrale Sichtbarkeit über das gesamte Unternehmen, um Bedrohung schneller erkennen und darauf reagieren zu können..