Datensicherheit

Angreifer können Code über manipulierte MMS einschleusen und ausführen. Der Sicherheitsexperte Collin Mulliner hat ein Problem in der MMS-Applikation von Microsofts Smartphone-Plattform entdeckt. Auf der Hacker-Konferenz Defcon 14 zeigte er, wie sich mit einer manipulierten MMS beliebiger Schadcode einschleusen und ausführen lässt. Das Opfer muss die betreffende MMS-Nachricht lediglich öffnen; Sicherheitsabfragen gibt es nicht.

Kooperation mit StopBadware.org. Durch eine Kooperation mit StopBadware.org zeigt Google ab sofort Warnmeldungen an, wenn Suchergebnis-Seiten potentiell mit Spyware oder ähnlichen Schadprogrammen verseucht sind.

Auf- und Zusperren ohne Schlüsselloch. Die US-Firma GlobalComm hat mit dem MyKey 2300 einen RFID-Schlüssel für die Haustür entwickelt. Der Hausbesitzer kann mit dem MyKey 2003 ein Eintrittssystem nachrüsten, das über eine Karte den Bewohnern den Riegel öffnet und ohne Schlüssel- und Schlüsselloch auskommt.

Entwickler raten zum Update. Zwei Sicherheitslücken in der schon älteren PHP-Serie 4.4.x schließt die neue Version 4.4.3. Daneben wurden auch einige kleinere Fehler beseitigt.

Sollte auch DVB-T verschlüsselt werden droht ein Zwang zu kostenlosen Angeboten. Die Landesmedienanstalten sind von der geplanten Grundverschlüsselung, die SES-Astra zusammen mit RTL und MTV plant, wenig begeistert. Dort weist man auf die Risiken dieses Ansatzes hin und droht mit einem Zwang zu kostenlosen Angeboten.

Exploit auf BlackHat-Konferenz vorgeführt. Die bisher nur auf Windows-Notebooks vorgeführten WLAN-Angriffe auf Fehler im Treiber der drahtlosen Netzwerkkarte funktionieren auch unter MacOS. Auf der derzeit in Las Vegas stattfindenden Sicherheitskonferenz "Black Hat Briefing USA 2006" wurde die Attacke bereits erfolgreich demonstriert.

Pantech PG 6200 mit 2-Megapixel-Kamera. Der asiatische Handyhersteller Pantech hat mit dem PG 6200 ein Handy mit Fingerabdruck-Sensor vorgestellt. Neben der Schutzfunktion für die Datensicherheit ist eine 2-Megapixel-Kamera mit CMOS-Sensor an Bord.

Keine konkreten Pläne für Zeitrahmen und Kosten. Die Sendergruppe ProSiebenSat.1 hat gegenüber Golem.de anders lautende Berichte dementiert, nach denen auch ihre Programme zum Start des Projekts "Dolphin" über die Astra-Satelliten verschlüsselt gesendet werden sollen. Dennoch hält sich der Konzern diese Option offen.

Freie Alternative zu PGP. Die freie Kryptografie-Software Gnu Privacy Guard (GnuPG) ist in der Version 1.4.5 erschienen, die zwei weitere Sicherheitsprobleme behebt. Ansonsten bringt die neue Version nur kleine Änderungen und eine neue Übersetzung mit.

Intel nennt Lücke "kritisch" und bietet Patches an. Eine bereits im Vorfeld der derzeit in Las Vegas stattfindenden Sicherheitskonferenz "Black Hat Briefing USA 2006" bekannt gewordene Sicherheitslücke in WLAN-Treibern betrifft auch die weit verbreiteten Centrino-Notebooks mit Intel-Komponenten. Nahezu alle WLAN-Module von Intel sind betroffen, es empfiehlt sich dringend, die bereits reparierten Treiber zu installieren.

Zahlreiche gefährliche Sicherheitslücken gefunden. Insgesamt 20 Sicherheitslücken schließt Apple mit einem Sicherheits-Update in den MacOS-Versionen 10.3.9 sowie 10.4.7. Ein Großteil der nun korrigierten Sicherheitslecks kann zur Ausführung von Programmcode missbraucht werden. Zudem hat die Bluetooth-Funktion eine Sicherheitsverbesserung erfahren.

Safari-Sicherheitslücke erlaubt Programmausführung. In Apples Web-Browser Safari 2.x wurde ein Sicherheitsloch entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Das Sicherheitsleck ließe sich sich im schlimmsten Fall dazu einsetzen, ein fremdes System unter die eigene Kontrolle zu bekommen. Bislang gibt es keinen Patch zur Abhilfe.

Entwickler raten Nutzern dringend zum Upgrade. Mit der Version 2.0.4 schließen die Entwickler der freien Blog-Software Wordpress einige kritische Sicherheitslücken. Darüber hinaus wurden rund 50 weitere Fehler beseitigt.

Michael Ott zeigt XSS-Lücken in 10 Websites auf. Der IT-Sicherheits-Spezialist WhiteHat Security warnt vor neuen Angriffsmethoden auf Unternehmensnetze durch Cross-Site-Scripting-Lücken (XSS) in Webapplikationen. Auf diesem Wege lassen sich beispielsweise Portscans interner Netze durchführen oder Router und Firewalls neu konfigurieren warnt das Unternehmen.

Schadprogramm protokolliert alle Browser-Eingaben. In den USA wurde ein Trojanisches Pferd entdeckt, das sich als vorgebliche Wal-Mart-Rechnung ausgibt und Firefox attackiert. Das als exe-Datei daherkommende Schadprogramm installiert eine Firefox-Erweiterung, die fortan alle Browser-Eingaben protokolliert, um etwa Zugangsdaten zu Online-Shops oder Banking-Systemen auszuspähen.

Aktuelles Update Rollup korrigiert Programmfehler. Microsoft hat für die Media Center Edition von Windows XP ein neues Update Rollup veröffentlicht. Dieses kleine Service Pack enthält alle bisherigen Sicherheits-Patches und korrigiert einige Fehler in der Media-Center-Software. So soll es nun weniger Probleme bei der DVD-Wiedergabe geben.

Privatsender pochen auf verschlüsseltes DVB-T. Während der Ausbau des terrestrischen Digitalfernsehens (DVB-T) weiter vorangeht, wächst der Widerstand der privaten Fernsehsender. Diese wollen mehr Kontrolle über das ausgesendete Programm erhalten und die Übertragung grundsätzlich verschlüsseln - und verlangen damit auch vom Kunden den Austausch der bisher gekauften DVB-T-Tuner.

Integration in Mozilla und Evolution. DesktopSecure ist eine komplette Sicherheitslösung für Linux-Workstations, die neben der Anti-Viren-Funktion auch eine integrierte Firewall bietet. Durch die "Genetic Heurisitic Engine" soll die Software auch bisher unbekannte Schadprogramme erkennen und damit vor allem heterogene Netzwerke schützen. In den ersten drei Monaten sollen Updates kostenlos sein.

Proxy entdeckt Sicherheitslücken in Webapplikationen. Chorizo soll Sicherheitslücken in Webapplikationen aufdecken und ist ab sofort für die Allgemeinheit verfügbar. Zunächst ist Chorizo dabei auf PHP-Applikationen optimiert, untersucht aber auch JavaScript und kann mit Ajax-Anwendungen umgehen.

Microsofts Antivirenlösung für Exchange Server 2007 im Beta-Test. Microsoft hat eine offizielle Beta 2 von Exchange Server 2007 veröffentlicht, die von einer Beta der Sicherheitslösung Forefront Security for Exchange Server ergänzt wird. Mit der Beta 2 bietet der Exchange Server 2007 erstmals alle geplanten Programmfunktionen, so dass die neue Version auf Herz und Nieren geprüft werden kann.

Forschungsanstrengungen in IT-Sicherheit müssen ausgeweitet werden. Die Computerindustrie müsse ein stärkeres Augenmerk auf das Thema Sicherheit richten, meint Dr. Udo Helmbrecht, der Präsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Sowohl die Wirtschaft als auch die Verwaltung setze stark auf Computertechnik, so dass ein störungsfreier Einsatz besonders wichtig ist. Daher müsste stärker im Bereich der IT-Frühwarnsysteme geforscht werden.

Netzwerk-Stack von Windows XP arbeitet zuverlässiger als der von Windows Vista. Sicherheitsexperten von Symantec haben den neuen Netzwerk-Stack in Windows Vista näher unter die Lupe genommen und fanden auf Anhieb einige Schwachstellen. Für den Windows-XP-Nachfolger hat Microsoft den Netzwerk-Stack von Grund auf neu geschrieben. Im Zuge dessen erwartet Symantec, dass es noch Jahre dauern wird, bis der Vista-Netzwerk-Stack die Zuverlässigkeit des XP-Stacks erlangen wird.

DoS-Angriff per FTP möglich. Ein Sicherheitsloch im Kernel von Solaris 10 ermöglicht Denial-of-Service-Angriffe. Diese lassen sich von lokalen Nutzern, aber auch über FTP ausführen. Updates für SPARC und x86 sind bereits verfügbar.

Bundesregierung: RFID-Chips für den Masseneinsatz bei Veranstaltungen tauglich. Die Bundesregierung hat zu einer kleinen Anfrage von Bündnis90/Die Grünen erklärt, dass es nie vorgesehen war, die Identität aller Stadienbesucher zur Fußball-Weltmeisterschaft 2006 in Deutschland zu überprüfen. Die Identität der Ticketinhaber sei nur stichprobenartig geprüft worden.

ULD ermittelt bei Banken wegen Datenweitergabe an CIA. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) versucht herauszufinden, ob der US-amerikanische Auslandsgeheimdienst CIA auch bei Banken in Deutschland unerlaubt Daten sammelt. Die CIA beschafft sich seit 2001 weltweit Daten über internationale Banktransaktionen und rechtfertige dies mit der Ermittlung "terroristischer Geldströme", heißt es seitens des ULD, das auch eine Gefährdung deutscher Unternehmen sieht.

Private Folder 1.0 nicht mehr als Download verfügbar. Die kostenlose Windows-Software Private Folder zur Verschlüsselung eines einzelnen Verzeichnisses hat Microsoft nach ein paar Tagen wieder vom Netz genommen. Als Begründung führt der Konzern Nutzerbeschwerden an.

Trojanisches Pferd in chinesischer Sprache. In der vergangenen Woche hatte Symantec ein Trojanisches Pferd entdeckt, das eine bis dato unbekannte Sicherheitslücke in PowerPoint ausnutzt. Das Trojanische Pferd Trojan.PPDropper ist vornehmlich im asiatischen Raum zu finden und hat sich bislang nur wenig verbreitet. Nun bestätigte Microsoft das Sicherheitsloch in PowerPoint und will dieses am August-Patch-Day beseitigen.

Winziger Speicherbaustein ohne eigene Energieversorgung. Forscher von Hewlett-Packard haben einen winzigen Chip vorgestellt, der ohne eigene Stromversorgung wie ein RFID-Chip auch per induktiver Kopplung von einem Schreib-Lese-Gerät drahtlos ausgelesen bzw. beschrieben werden kann. Gegenüber herkömmlichen RFID-Bausteinen liegt sein großer Vorteil nicht nur in der Fläche von 2 bis 4 Quadratmillimetern, sondern vor allem in der höheren Speicherkapazität.

Sicherheitsloch erlaubt Ausführung von Makro-Befehlen. Für das nicht mehr ganz taufrische OpenOffice.org 1.1.5 wurde ein Patch veröffentlicht, um eine darin entdeckte Sicherheitslücke zu schließen. Das Sicherheitsleck erlaubt einer manipulierten OpenOffice.org-Datei die Ausführung von Basic-Befehlen, ohne vom Anwender eine Bestätigung einzufordern.

Verschlüsselungsalgorithmus sichert Daten an Bord. Die russische Firma JSC Ancort hat den Juwelier Peter Aloisson beauftragt, das Crypto-Smartphone von Crypto Telecommunication Security ein wenig zu veredeln. Dabei entstand ein 1,3 Millionen US-Dollar wertvolles Designer-Stück, das derzeit als das teuerste Mobiltelefon der Welt gilt. Das aus Platin gebaute WindowsCE-Modell verschlüsselt Inhalte mit einem 256-Bit-Algorithmus. Das Firmenlogo und der Joystick sind aus 18-karätigem Gold. Auch die Navigationstaste glitzert nur so, schließlich ist sie mit 28 Edelsteinen besetzt.

Patch-Sammlungen mit Sicherheitsaktualisierungen vom Juli 2006. Die drei Anbieter Winboard.org, WinFuture.de und Winhelpline.de haben wieder inoffizielle Patch-Pakete für die Windows-Plattform bereitgestellt. Die Pakete enthalten die am diesmonatigen Patch-Day veröffentlichten Sicherheitsaktualisierungen für die Windows-Plattform.

Entwickler-Zugang wurde geknackt. Für den Einbruch in den Debian-Entwicklungsrechner "Gluck" wurde ein Fehler im Linux-Kernel ausgenutzt. Der Angreifer knackte einen Entwicklerzugang, über den er dann unter Ausnutzung des Fehlers Root-Rechte erlangte. Schaden richtete er allerdings nicht an.

Angreifer nutzten eventuell Lücke im Linux-Kernel. In den Entwicklungsrechner "Gluck" des Debian-Projektes wurde eingebrochen, weshalb er vorerst vom Netz genommen wurde. Dadurch sind einige Dienste derzeit nicht erreichbar. Wie es zu dem Einbruch kommen konnte, ist noch nicht geklärt, es gibt jedoch Vermutungen, dass eine aktuelle Sicherheitslücke des Linux-Kernels ausgenutzt wurde.

Sicherheitslücke im Installer der Alternate- und Server-CD. Durch einen Fehler im Textinstaller von Ubuntu 6.06 LTS bleibt das Root-Passwort unter Umständen leer. Normalerweise sperrt die Distribution das Passwort, so dass eine Anmeldung als Root nicht möglich ist. Durch den Fehler kann jedoch jeder Nutzer Root-Rechte erlangen und hat somit uneingeschränkten Zugriff auf das System.

Microsoft korrigiert Sicherheitsloch im .NET Framework 2.0. In Windows bzw. Komponenten davon schließt Microsoft am Patch-Day des Monats Juli 2006 insgesamt vier Sicherheitslecks. Ein Teil davon kann zur Ausführung von Programmcode missbraucht werden, womit sich ein Angreifer eine umfassende Kontrolle über ein fremdes System verschaffen könnte.

Allein sieben Sicherheitslecks in Excel gefunden. Sowohl für die Tabellenkalkulation Excel als auch für eine Reihe anderer Office-Applikationen hat Microsoft Sicherheits-Patches veröffentlicht, um insgesamt zwölf Sicherheitslücken zu schließen. Die Sicherheitslücken werden als kritisch eingestuft und erlauben die Ausführung beliebigen Programmcodes.

Kopieren von Filmen soll unterdrückt werden. Kürzlich berichtete die c't davon, dass die Bildschirmfoto-Funktion von WinDVD HD dafür genutzt werden könnte, den Kopierschutz von HD-DVD- und Blu-ray-Spielfilmen zu umgehen. Ein von Intervideo angebotenes Update der WinDVD-Software für Toshibas HD-DVD-Notebook Qosmio G30 unterbindet das mittlerweile.

Angreifer kann beliebigen Programmcode ausführen. In Microsofts Textverarbeitung Word wurde ein Sicherheitsloch entdeckt, worüber sich beliebiger Programmcode auf fremde Systeme schleusen und ausführen lässt. Damit können Angreifer Systeme unbefugt unter ihre Kontrolle bringen. Bislang gibt es keinen Patch zur Abhilfe.

Einzelner Client für WLAN- und LAN-Zugangskontrolle. Cisco hat das US-amerikanische Unternehmen Meetinghouse übernommen, das sich auf Sicherheitssoftware für Wireless-LANs spezialisiert hat. Die Lösungen richten sich an Firmenkunden, die nur autorisierten Nutzern Zugang zu ihren WLAN- und LAN-Netzen geben wollen.

Fachmagazin c't entdeckt Kopierschutzlücke. Aus Sorge der Filmstudios vor digitalen Kopien sollen die DVD-Nachfolger Blu-ray Disc und HD DVD auf ihnen gespeicherte hochauflösende Filme mit komplexem Kopierschutz (AACS) und verschlüsselter Übertragung (HDCP) zum Monitor, Fernseher oder Projektor schützen. Die c't hat nun beim Test der ersten PCs und Notebooks mit Blu-ray- und HD-DVD-Laufwerken festgestellt, dass die Sicherheitskette ein Loch aufweist - unter Windows XP ließen sich per Wiedergabe-Software Screenshots in voller Auflösung anfertigen.

Vorabinformation zu Microsofts Patch-Day am 11. Juli 2006. Sicherheitslücken in Windows und Office nimmt Microsoft am allmonatlichen Patch-Day für den 11. Juli 2006 ins Visier. Während vier Patches für Windows geplant sind, gibt es drei Aktualisierungen für Office. Da Redmond die sieben Sicherheits-Patches als kritisch einstuft, wird eine baldige Einspielung nach Verfügbarkeit empfohlen.

Microsoft gibt Private Folder 1.0 kostenlos ab. Ab sofort bietet Microsoft mit Private Folder eine kostenlose Windows-Software an, um gezielt die Daten in einem Verzeichnis zu verschlüsseln. Besonders wenn mehrere Nutzer an einem Computer arbeiten, sollen sich so vertrauliche Daten vor fremden Blicken schützen lassen.

Fehler schon seit Kernel-Version 2.2.16 vorhanden. Ein Tippfehler im CD-ROM-Treiber des Linux-Kernels ist für eine Sicherheitslücke verantwortlich, durch die Angreifer Root-Rechte erlangen können. Der Fehler existiert offensichtlich bereits seit der Kernel-Version 2.2.16.