CrowdStrike-Update legt weltweit Windows-Systeme lahm

Zitat aus einem Post von Vinci

https://orf.at/stories/3364643/

Puh Gott sei Dank! Alles wieder gut!

sowas kannst wirklich nicht erfinden.

Zitat aus einem Post von COLOSSUS

Wenn das deserialisierte Ding, das ueber kurz oder lang zur Ausfuerhung kommt, nicht dem vom urspr. Einpacker/Serialisierer Erwarteten entspricht, dann folgt daraus, dass es enwteder gar kein effektives Integritaetsprotokoll zwischen Ein- und Auspacker gibt, oder mindestens einer der beiden dieses falsch implementiert (z. B. via einem Bug aus der TOCTOU-Ecke).

Es gibt ja nur eine endliche Menge an Szenarien, wie es zu dem Problem hat kommen koennen:

1.) Das kaputte Update wurde genau so released, wie es am anderen Ende bei den Clients angekommen ist. Das spricht dafuer, dass es wohl quasi keine Testinfrastruktur gibt.
2.) Das kaputte Update wurde am Client anders empfangen, als es beim Urheber "gemeint" war. Das spricht dafuer, dass der wichtigste Inhalt des Updates...
2a.) beim Einpacken (aber vor einem allfaelligen Signieren), oder...
2b.) beim Auspacken (aber nach dem allfaelligen Validieren) ...
durch irgendeinen Umstand abgeaendert wurde, und der Client das dann geladen hat und ungespitzt in den Boden eingefahren ist. Eine alternative Erklaerung dafuer ist, dass...
2c.) es ueberhaupt gar keine Art von Signatur gibt, die zwischen Urheber und Client geprueft werden koennte, um Authentizitaet und Integritaet sicherzustellen.

Keiner der praesentierten Erklaerungsansaetze wuerde mich CrowdStrike einsetzen lassen wollen.

Noch nicht gelesen. Aber offizielle Aussage zu den null Bytes ist da.
https://www.crowdstrike.com/blog/te...ain-null-bytes/

Zitat aus einem Post von Smut

Noch nicht gelesen. Aber offizielle Aussage zu den null Bytes ist da.
https://www.crowdstrike.com/blog/te...ain-null-bytes/

"unser file war eh komplett gucci, es hatte nur 0 byte on disk weil unser update trotzdem während des schreibens deine hütte geschrottet hat. sorry! aber das file selbst war super ok!"

ok, d.h. ev verwenden sie signaturen / checksumming / ... das update war halt trotzdem schrott und hat den sensor incl OS während des update-ladens noch in den BSOD genuked.

@clauskadrnoschka: quasi, it's a feature, not a bug. "das is halt die art und weise wie windows files schreibt, wenn du ihm während des schreibens den strom ziehst"

Zuerst mal ob etwas rauskommt.

“ Now a common questions is whether CrowdStrike will be liable for damages? The answer is most certainly yes. ”

ja nein jein. wird halt am ende des tages damit zamhängen, wie das update passiern konnte und obs "dem stand der technik" entsprach.

Ich habe letztens mit jemanden aus einer Bude gesprochen wo Crowdstrike alles lahmgelegt hat bei dem Incident.

Es wurde gelobt seitens der Krawatten, dass Crowdstrike ja vor so viel Bedrohungen geschützt hat "nachweislich" weils soooo viel gefunden hat. Der Ausfall - wo im ganzen Konzern die Prod stillstand - ist kein Grund, das Schlangenöl nun nicht mehr einzusetzen.

Sie sind übrigends auch in der MS Cloud heftigs vertreten mit ihren internen Daten Denen kannst allen nicht mehr helfen.

ich bin da absolut nicht fit drin, deshalb die vermutlich blöde frage: wär sowas mit einem linux basierten OS nicht passiert? oder gäbs da halt "einfach andere" angriffspunkte?

beides.