Mit dem April-Patchday hat
Microsoft Windows-10- und Windows-11-Systeme mit einem leeren Ordner ausgestattet, der den Namen inetpub trägt ("Swiss IT Magazine"
berichtete). Microsoft gab damals bekannt, der Ordner gehöre zu einem Sicherheitsupdate und solle keinesfalls gelöscht werden. Die Rede war damals von der Sicherheitslücke CVE-2025-21204.
Jetzt zeigt sich, dass mit dem leeren Ordner ein neues Sicherheitsrisiko entsteht. Dies
berichtet der Sicherheitsforscher Kevin Beaumont auf "Medium". Er habe entdeckt, dass der vorgebliche Fix eine Denial-of-Service-Schwachstelle im Windows Servicing Stack bewirke. Selbst nicht mit Administratorprivilegien ausgestattete User können über das Leck alle künftigen Windows-Updates blockieren, indem sie einen Symlink zwischen c:inetpub und Notepad erstellen. Beaumont hat das Problem bei MSRC (Microsoft Security Response Center) gemeldet, aber bisher keine Antwort erhalten.
(ubi)
