Microsoft liefert AutoRun Fix

Microsoft stellt einigen Windows-Benutzern ein Softwareupdate zur Verfügung, das einen Fehler in der Windows AutoRun-Software behebt, mit dem Programme automatisch gestartet werden, wenn DVDs oder USB-Geräte auf dem PC installiert werden.

Die Fehlerbehebung Durch die standardmäßigen automatischen Update-Systeme von Microsoft kommt ein Monat, nachdem das US Computer Emergency Readiness Team (US-CERT) eine Sicherheitswarnung ausgegeben hat, dass Windows AutoRun unter Windows 2000, XP und Server 2003 nicht ordnungsgemäß deaktiviert hat.

"AutoRun deaktivieren Microsoft Windows-Systeme können dazu beitragen, die Verbreitung von bösartigem Code zu verhindern ", so CERT in seinem Advisory. "Die Richtlinien von Microsoft zur Deaktivierung von AutoRun sind jedoch nicht voll wirksam, was als Sicherheitslücke angesehen werden könnte."

[Weitere Informationen: Entfernen von Malware von Ihrem Windows-PC]

Microsoft hat erklärt, dass technische Benutzer AutoRun deaktivieren können Festlegen eines Windows-Registrierungswerts namens NoDriveTypeAutoRun auf 0xFF. Das Problem bestand darin, dass einige Windows-Versionen selbst dann, wenn der Benutzer mit Windows Explorer auf das Symbol eines Geräts klickte, AutoRun-Programme starteten.

Dies könnte für einige Benutzer große Probleme bedeuten, da der weit verbreitete Conficker-Wurm AutoRun verwendet von USB-Geräten auf PCs zu verbreiten.

Es gab eine interne Debatte in Microsoft darüber, ob Windows AutoRun standardmäßig aktivieren sollte, da die Software missbraucht werden kann. AutoRun half vor vier Jahren bei der Installation der berüchtigten Sony-Rootkit-Kopierschutzsoftware auf den PCs.

Obwohl Microsoft das Update als nicht sicherheitsrelevantes Update bezeichnet, hat der Patch "sicherlich Auswirkungen auf die Sicherheit", sagte Ben Greenbaum, Senior Research Manager mit Symantec Security Response. "Es ermöglicht Benutzern, die - aus gutem Grund - ein gewisses Maß an Schutz außerhalb des Features erwarten, um dieses Schutzniveau tatsächlich zu erreichen."

Es stellte sich heraus, dass Microsoft tatsächlich einen Patch für das Problem erstellt hatte Nutzer konnten sich bereits im Mai 2008 selbst herunterladen. Außerdem wurde ein Update für Juli veröffentlicht, das das Problem für Vista und Server 2008 behob. Dieser Fix wurde jedoch nicht automatisch für Benutzer von Windows 2000, XP und Server 2003 bis Dienstag aktualisiert.