Patch für Virtual PC unwahrscheinlich

Hypervisor-Bug laut Microsoft keine Schwachstelle auf Host-Ebene

Wie ein Microsoft-Sprecher bekanntgab, will das Unternehmen keine unmittelbaren Maßnahmen gegen den Speicherzuordnungsfehler im Hypervisor von Virtual PC ergreifen. Das in einer Sicherheitswarnung des Penetration-Testing-Unternehmens Core Security Technologies beschriebene Szenario betreffe nur Anwendungen, die innerhalb der virtuellen Umgebung installiert sind. Core besteht hingegen darauf, dass sich aufgrund des Bugs eventuelle Codierungsfehler in Drittanbieter-Anwendungen als Sicherheitslücken ausnutzen ließen.

„Ein Angreifer kann [aber] nicht das Host-System übernehmen, auf dem mehrere virtuelle Maschinen laufen“, hält der Microsoft-Sprecher dagegen. Um die möglichen Auswirkungen der Schwachstelle zu minimieren, müssten die Virtual-PC-Nutzer einfach die gängigen Security-Practices befolgen. Dazu gehören eine aktivierte Firewall und eine aktuelle Antiviren-Software ebenso, wie das Einspielen der aktuellesten Software-Updates.

In einem Blog-Eintrag distanzierte sich Paul Cooke, ein Verantwortlicher innerhalb der Windows-Client-Gruppe, ausdrücklich vom Begriff Schwachstelle in Zusammenhang mit dem Virtual-PC-Speicherfehler: „Die im Windows-Kernel vorhandenen Schutzmechanismen sind in einer virtuellen Umgebung weniger effektiv, als bei einer physischen Maschine. Es gibt aber keine Schwachstelle, sondern vielmehr einen Verlust bestimmter Sicherheitsmechanismen.“

Wie Core Security Technologies im Laufe der Woche bekanntgab, lassen sich mithilfe des Speicherfehlers die Data Execution Prevention (DEP), Safe Exception Handler (SafeSEH) und Address Space Layout Randomization (ASLR) umgehen. Diese Sicherheitsmechanismen sollen das Ausführen von bösartigem Code im Windows-Kernel verhindern.

Auf dem eigentlichen Host-System werden diese Sicherheitsmechanismen laut Microsoft aber nicht beinflusst. Somit könnten Anwender beispielsweise den auf Virtual PC basierenden Windows-XP-Modus von Windows 7 auch weiterhin gefahrenlos verwenden, sofern sie sich an die genannten Best Practices halten.