Um die Veröffentlichung von Exploits zur Sicherheitslücke in Microsoft Exchange Servern, von der neben vielen anderen Anwendern auch deutsche Behörden betroffen waren, ist ein Streit entbrannt. Github, das zu Microsoft gehört, hatte den Exploit, der auf seinen Seiten publiziert wurde, nach einigen Stunden wieder gelöscht.
Nun streiten sich Sicherheitsexpert darüber, ob das nur im Interesse von Microsoft gewesen ist, oder ob die Veröffentlichung des leicht ausnutzbaren Schadcodes unverantwortlich war. Dave Kennedy twittert, er sei sprachlos. Den Proof-of-Concept-Code zu entfernen, der sich gegen ein eigenes Produkt richte, das bereits gepatcht ist, sei eine große Sache und nicht gut.
Dem entgegegnet Marcus Hutchins ebenfalls auf Twitter: “‘Schon gepacht.’ Dummkopf, es gibt noch 50 000 ungepachte Exchange-Server da draußen. Die Veröffentlichung eines vollständigen, sofort einsatzbereiten Exploits ist leichtsinnig und dumm.”
Die Ausnutzung der Sicherheitslücke schreibt Microsoft vor allem chinesischen Hackern zu. Allerdings ist der Konzern wohl am Ausmaß der Angriffe mitschuldig. So konnten zunächst nur aktuelle Systeme gepatcht werden, obwohl bekannt war, dass viele Admins wegen möglicher Schwierigkeiten die letzten Updates noch nicht eingespielt hatten. Offenbar war auch die anfängliche Einordnung als “vereinzelte Angriffe auf ausgesuchte Ziele” nicht zutreffend, weil zu dieser Zeit das Netz bereits großflächig nach verwundbaren Exchange-Servern abgesucht wurde.
