(Symbolbild)
Windows Defender: Patch für Zero-Day öffnet neue Angriffsfläche
Microsofts Reaktion auf eine aktiv ausgenutzte Sicherheitslücke in Windows Defender birgt einen unerwarteten Nebeneffekt. Der bereitgestellte Patch kann unter bestimmten Bedingungen dazu missbraucht werden, Festplatten von Zielsystemen vollständig zu füllen – ein Denial-of-Service-Szenario, das IT-Abteilungen zusätzlich belastet.
Die ursprüngliche Schwachstelle
Die als Zero-Day klassifizierte Lücke betraf Windows Defender, die in nahezu allen Windows-Systemen standardmäßig aktivierte Sicherheitslösung. Angreifer konnten die Schwachstelle ausnutzen, ohne dass Nutzer eine Interaktion erforderte – ein besonders gefährliches Merkmal, das die Verbreitung potenziell automatisiert ermöglichte. Microsoft reagierte mit einem Out-of-Band-Patch, der die Sicherheitslücke schließen sollte. (Ars Technica)
Der ungewollte Seiteneffekt des Fixes
Die Analyse des Patches offenbart jedoch ein paradoxes Ergebnis: Die Korrekturmechanismen, die die ursprüngliche Schwachstelle neutralisieren sollen, können gezielt manipuliert werden, um Systemressourcen zu exzessivem Logging zu zwingen. Diese Log-Dateien wachsen kontinuierlich an und füllen schließlich den gesamten verfügbaren Speicherplatz. Für Unternehmen bedeutet dies ein klassisches DoS-Szenario – betroffene Systeme werden unbrauchbar, sobald keine Speicherkapazität mehr vorhanden ist. Die Attacke erfordert keine erhöhten Berechtigkeiten und lässt sich potenziell aus der Ferne auslösen.
Handlungsoptionen für Unternehmen
Die Situation stellt IT-Sicherheitsteams vor ein Dilemma: Der Patch schließt eine aktiv ausgenutzte kritische Lücke, führt aber gleichzeitig eine neue, wenn auch weniger schwere Bedrohung ein. Unternehmen sollten den Patch dennoch zeitnah einspielen, da die ursprüngliche Zero-Day-Lücke eine höhere Gefährdungsstufe aufweist. Parallel empfiehlt sich die Implementierung von Monitoring-Lösungen für Speicherplatzverbrauch und Log-Dateigrößen, um Angriffsversuche frühzeitig zu erkennen. Zudem sollten automatische Warnschwellen konfiguriert werden, die bei ungewöhnlichem Festplattenwachstum Alarm auslösen.
Die Konstellation verdeutlicht eine zunehmende Herausforderung in der Cybersicherheit: Sicherheitspatches selbst werden zum Angriffsvektor. Für deutschsprachige Unternehmen, die unter strengen regulatorischen Anforderungen wie der DSGVO oder dem IT-SiG 2.0 operieren, bedeutet dies eine Erweiterung des Patch-Management-Prozesses. Neben der reinen Verfügbarkeit von Updates rückt die Analyse möglicher Nebeneffekte in den Fokus – ein zusätzlicher Ressourcenaufwand, der in engen IT-Budgets berücksichtigt werden muss. Microsoft steht hier in der Pflicht, zeitnah eine korrigierte Version bereitzustellen, die beide Probleme adressiert. Bis dahin gilt: patchen, aber mit Augenmaß und erweitertem Monitoring.
