Eine Analyse zu Zero-Day-Schwachstellen in den ersten sechs Monaten des laufenden Jahres wurde von Googles Project Zero veröffentlicht. Insgesamt habe es 18 Sicherheitslücken gegeben, die nicht rechtzeitig vor dem ersten Missbrauch vom jeweiligen Hersteller geschlossen wurden.

Bei mindestens neun der Lücken habe es sich, laut Google Mitarbeiterin Maddie Stone, um bereits zuvor gepatchte Sicherheitslücken gehandelt - mit umfassenderen Patches und Tests hätte man den Missbrauch wohl verhindern können. Weiterhin soll es sich bei vier der Lücken um Abwandlungen von Lücken aus dem Jahr 2021 gehandelt haben. Die aktuell missbrauchten Zero-Day-Lücken und ihre Vorgänger werden im Blogbeitrag von Stone gegenüber gestellt. Unter der betroffenen Software finden sich etwa Windows, iOS, Google Chrome und WebKit.

Entgegen der Vermutung vieler Menschen sollen sich Zero-Day-Lücken in vielen Fällen vermeiden lassen - so Stone. Ähnlich wie auch bereits im Lagebericht zum Jahr 2020 seien viele der Sicherheitslücken den bereits bekannten Lücken sehr ähnlich. Unter anderem Patches in Windows win32k und dem Chromium Property-Access-Interceptor sollen nicht den ursächlichen Fehler behoben haben. Angreifern sei es damit möglich gewesen, dieselbe Schwachstelle auf einem anderen Weg erneut auszunutzen.

Die Erkenntnisse seiner Analysen hat Project Zero auf einer Website veröffentlicht.

(jb, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE