Compiler: Windows soll komplett initialisierten Stack bekommen

Nicht initialisierter Speicher ist ein typisches Sicherheitsproblem von C und C++. Microsoft will dies für das gesamte Windows-System lösen.

Artikel veröffentlicht am ,
Windows 10 soll einen Schutz gegen eine ganze Klasse von Sicherheitslücken bekommen.
Windows 10 soll einen Schutz gegen eine ganze Klasse von Sicherheitslücken bekommen. (Bild: REUTERS/Shannon Stapleton)

Microsoft will mittelfristig sämtliche Stack-Variablen in seinem Windows-Betriebssystem automatisch beim Kompilieren initialisieren. Das schreibt das dafür zuständige Team im Blog von Microsofts Security Response Center. Sind die Arbeiten erfolgreich, kann der Windows-Hersteller gleich eine ganze Klasse von Sicherheitslücken automatisch verhindern.

Stellenmarkt
  1. Mathematiker (m/w/d) Produktrealisierung Leben
    VPV Versicherungen, Stuttgart
  2. Informatiker / Elektroingenieur (m/w/d) (FH/B.Sc.)
    Bayerisches Landeskriminalamt, München
Detailsuche

Das zugrunde liegende Problem ist, dass es die Programmiersprachen C und C++ nicht forcieren, Variablen bei der Deklaration zu initialisieren. Das heißt, ihnen werden unter Umständen keine Werte zugewiesen. Das ist jedoch nicht definiertes Verhalten und kann etwa dazu führen, dass geschützte Inhalte von Speicherbereichen versehentlich offengelegt werden oder dass die Speicherbereiche direkt genutzt werden. Beides kann zu Sicherheitslücken führen.

In dem Blogbeitrag schreibt Microsoft selbst, dass in den Jahren 2017 und 2018 nicht initialisierter Speicher die Ursache für 5 bis 10 Prozent der von Microsoft verteilten CVE-Nummern für Sicherheitslücken gewesen sei. Als mögliche Gegenmaßnahmen zählt das Team eine statische Analyse, Fuzzing, Code-Überprüfungen oder eben die automatische Initialisierung auf.

Letzteres nennt Microsoft Initall, wobei bisher noch nicht in allen Fällen wirklich Stack-Variablen initialisiert werden, sondern nur in einigen ausgesuchten Fällen wie im Kernel-Code oder in der Virtualisierung Hyper-V. Der Grund dafür ist die teilweise schlechte Leistung der Technik. So habe das Team in ersten Tests mit verschiedenen Metriken Leistungseinbußen von bis zu 10 Prozent verzeichnet. Man habe darüber hinaus einige Probleme beheben müssen, die in Verbindung mit Initall aufgetaucht seien, etwa bei der Speicherverwaltung.

Golem Akademie
  1. Elastic Stack Fundamentals - Elasticsearch, Logstash, Kibana, Beats
    26. - 28. Oktober 2021, online
  2. IT-Sicherheit für Webentwickler
    5.-6. Juli 2021, online
Weitere IT-Trainings

Dem Blogeintrag zufolge konnte das Team bereits einige Sicherheitslücken mit der Technik verhindern, zumindest auf den unterstützten Systemen. Wohl auch deshalb will Microsoft Initall künftig in noch größerem Umfang als bisher einsetzen. Das Team geht außerdem davon aus, dass Microsoft langfristig kein System mehr unterstützen wird, auf dem Initall nicht eingesetzt wird. Die beschriebene Fehlerklasse sollte damit nicht mehr zu Sicherheitslücken führen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Hubble
Uralttechnik ohne Ersatz versagt im Orbit

Das Hubble-Teleskop ist außer Betrieb. Die Speicherbänke aus den 1980er Jahren lassen sich nicht mit der CPU von 1974 ansprechen, die auf einer Platine zusammengelötet wurde.
Von Frank Wunderlich-Pfeiffer

Hubble: Uralttechnik ohne Ersatz versagt im Orbit
Artikel
  1. Batteriezellfabrik: Porsche will Hochleistungsakkus mit Silizium-Anoden bauen
    Batteriezellfabrik
    Porsche will Hochleistungsakkus mit Silizium-Anoden bauen

    Akkus für nur 1.000 Elektroautos im Jahr will Porsche mit der neuen Tochterfirma Cellforce bauen. Vor allem für den Motorsport.

  2. Pornografie: Hostprovider soll Xhamster sperren
    Pornografie
    Hostprovider soll Xhamster sperren

    Medienwächter haben den Hostprovider von Xhamster ausfindig gemacht. Dieser soll das Pornoportal für deutsche Nutzer sperren.

  3. SSDs und Monitore zum Knallerpreis beim Amazon Prime Day
     
    SSDs und Monitore zum Knallerpreis beim Amazon Prime Day

    Wer auf der Suche nach neuer Hardware ist, sollte den Prime Day von Amazon nutzen. Hier warten Rabatte auf alle möglichen Artikel.
    Ausgewählte Angebote des E-Commerce-Teams

rtlgrmpf 15. Mai 2020

Jo, aber "Default-Initialisierung" kann aber eben auch "keine Initialisierung" bedeuten.

Das Rockt 15. Mai 2020

Ja, der Overhead ist extrem hoch. Das kann leicht schon mal 20.000 Takte kosten wenn...

pythoneer 14. Mai 2020

Ja, die gibt es. Eine die man in diesem Zusammenhang besonders hervorheben kann ist Rust...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Amazon Prime Day • SSDs (u. a. Crucial MX500 1TB 75,04€) • Gaming-Monitore • RAM von Crucial • Fire TV Stick 4K 28,99€/Lite 18,99€ • Bosch Professional • Dualsense + Pulse 3D Headset 139,99€ • Gaming-Chairs von Razer uvm. • HyperX Cloud II 51,29€ • iPhone 12 128GB 769€ • TV OLED & QLED [Werbung]
    •  /