IT-Sicherheit

Update Das US-Cert warnt vor einer Lücke in den UPnP-Funktionen, welche vermutlich nahezu alle privat genutzten Router betrifft. Zwar gibt es eine einfache Abhilfe, aber das Stopfen der Lücke dürfte einige Zeit in Anspruch nehmen.

Schönreden hilft nicht, so der Tenor einer Telefonkonferenz von Oracle zu den Sicherheitsproblemen von Java. Es gelte jetzt, Java zu fixen und transparenter zu werden. Aber Transparenz scheint bei Oracle nicht ganz einfach zu sein.

Wie hält es Microsoft mit den Nutzerdaten bei Skype? Bürgerrechtler und Datenschützer aus mehreren Ländern, darunter auch aus Deutschland, fordern, Microsoft solle regelmäßig Auskunft über Datenspeicherung und -herausgabe erteilen.

Ein Spamangriff bei Twitter schleicht sich in Direct Messages ein und erschreckt die Nutzer. Manche löschen aus Angst gar ihren Account, wie der Chef der Piratenpartei.

Nach dem Start von Kim Dotcoms Sharehosting-Angebot Mega wird die verwendete Verschlüsselung von mehreren Seiten kritisiert. Dotcom gelobt Besserung und lädt Hacker ein, das System zu knacken.

Lancom warnt vor einer Sicherheitslücke in einigen Routern der VoIP-Serie. Wer einen 1722, 1723, 1724 oder 1823 mit dem Zusatz VoIP einsetzt, sollte umgehend die Aktualisierung auf LCOS 8.62 SU6 durchführen, empfiehlt der Hersteller.

Java SE 7 Update 11 ist anfällig für mindestens zwei Sicherheitslücken. Angreifer können darüber beliebigen Schadcode ausführen und ein fremdes System unter ihre Kontrolle bringen. Einen Patch gibt es bislang nicht.

Das BSI hat kompromittierte OpenX-Server identifiziert, die Werbebanner auf vielbesuchten deutschsprachigen Webseiten ausliefern.

In zwei Fällen wurden Steuerungssysteme von Kraftwerken in den USA mit gefährlicher Malware verseucht. Die Schadsoftware kam jeweils per USB-Stick.

Vier Entwickler sollen bei ihrem Wechsel von AMD zu Nvidia mehr als 100.000 geheime Dokumente mitgenommen haben. Ob Nvidia den Auftrag erteilt hat, ist allerdings fraglich.

Abschreckende Strafen sollen künftig Unternehmen drohen, die Kundendaten nicht ausreichend sichern und IT-Angriffe nicht öffentlich machen.

Gerade aktualisiert und offenbar schon wieder anfällig: Java soll auch in der aktualisierten Version 7 Update 11 mit einem neuen Exploit angreifbar sein. Er soll unter Kriminellen für 5.000 US-Dollar gehandelt werden und drei Käufer gefunden haben, wie Sicherheitsexperte Brian Krebs berichtet.

Für das Galaxy Note 10.1 und das Galaxy Note 2 hat Samsung in Deutschland ein Update veröffentlicht. Das Android-Update beseitigt das Sicherheitsloch in den Treibern für den Exynos-Prozessor. Das Sicherheitsleck erlaubt es Angreifern, beliebigen Programmcode auszuführen.

Die Gesellschaft für Informatik hat sich entschieden gegen die Nutzung von Facebook ausgesprochen. Neben bekannter Kritik nennt IT-Professor Hartmut Pohl das Facebook-Cookie als gravierenden Verstoß gegen das Recht auf informationelle Selbstbestimmung.

Silent Phone für Android kann bei Google Play heruntergeladen werden. Die Firma des PGP-Schöpfers Phil Zimmermann vergibt für die verschlüsselte Smartphone-Nutzung eine spezielle Telefonnummer.

Seit schätzungsweise über fünf Jahren seien unter anderem Regierungsstellen im Rahmen der Operation Roter Oktober ausspioniert worden, berichten die Sicherheitsexperten von Kaspersky Lab. Die Cyberspionage war ähnlich ausgeklügelt aufgebaut und getarnt wie die Flame-Attacke.

Update Für den 14. Januar 2013 hat Microsoft einen Patch für den Internet Explorer in Aussicht gestellt und nun veröffentlicht. Damit soll das Sicherheitsleck in älteren Versionen des Browsers beseitigt werden. Zuvor gab es nur einen sogenannten Fix-It.

Mit einem Patch außerhalb der Reihe hat Oracle die Ende vergangener Woche bekanntgewordene Sicherheitslücke in Java 7 beseitigt. Nutzer sollten dringend auf die neue Version Java SE 7 Update 11 umsteigen.

Die am Donnerstag bekanntgewordene Zero-Day-Lücke in Java wird unter Windows und Unix bereits aktiv ausgenutzt. Das BSI rät zur Deinstallation von Java.

Mozilla hat angekündigt, dass der Firefox-Browser bis auf weiteres alle Versionen des Java-Plugins blockieren wird. Grund ist eine Sicherheitslücke, die die Systeme der Nutzer kompromittieren könnte.

In den USA testet Facebook derzeit einen ungewöhnlichen Spamfilter für Mark Zuckerberg: Mit einer Zahlung von 100 US-Dollar kann der Absender verhindern, dass seine Facebook-Nachricht an den Konzernchef im Spamordner verschwindet.

In allen Java-Versionen inklusive Java 7, Update 10, ist eine kritische Sicherheitslücke, die bereits aktiv genutzt wird. Dabei wird ein Fehler im Security Manager ausgenutzt. Über Webseiten eingeschleuster Schadcode kann mit Administratorrechten ausgeführt werden.

Nokia hat bestätigt, dass das Unternehmen alle HTTPS-Daten von Nutzern des Xpress-Browsers auf seinen Servern entschlüsselt. Die Inhalte verschlüsselter Webseiten würden aber nicht auf Nokias Servern gespeichert, verspricht das Unternehmen.

Die kostenlose Anwendung Inception setzt Systempasswörter in Speicherabbildern zurück und ermöglicht so den Zugang zu Windows, Mac OS X oder Linux. Der Angriff erfolgt über DMA-fähige Schnittstellen, etwa Firewire oder Thunderbolt.

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Adobe hat Patches für den Adobe Reader und für Acrobat veröffentlicht, die 27 Sicherheitslücken schließen. Auch für den Flash Player und für AIR ist ein Update erschienen, das aber nur ein Sicherheitsloch zu beseitigen hat.

Jan Philipp Albrecht, Berichterstatter des EU-Parlaments, will den Kommissionsentwurf für einen neuen Datenschutz noch verschärfen. Kritik kommt aus der FDP.

Mit dem plattformübergreifenden Instant Messenger Hike werden Nachrichten auf Android- und iOS-Geräten jetzt mit einer 128-Bit-SSL-Verschlüsselung im WLAN übertragen. Windows-Phone-Nutzer senden vorerst im Klartext weiter.

Der Jurist Alexander Herrmann hat Paypal einen eindeutigen Betrugsversuch durch eine Phishing-Mail gemeldet und war sehr überrascht über die Antwort: Die Mail sei echt. Offenbar verschickt Paypal die Entwarnung automatisch.

Der Bundesdatenschützer ist dem Innenministerium unterstellt, das er kontrollieren soll - damit ist die Piratenpartei nicht einverstanden. Die Landtagskandidatin Katharina Nocun hat Beschwerde bei der EU-Kommission eingereicht.

Zahlreiche Nutzer haben derzeit Probleme, auf ihre Accounts beim Ubisoft-Onlineportal Uplay und damit auf Spiele wie Far Cry 3 zuzugreifen - offenbar haben sich Unberechtigte Zugriff auf die Daten verschafft.

Update Microsoft hat einen provisorischen Patch für den Internet Explorer veröffentlicht. Dieser soll verhindern, dass das Ende Dezember 2012 bekanntgewordene Sicherheitsloch in Microsofts Browser weiter ausgenutzt werden kann.

Facebook hat zum Jahreswechsel einen neuen Dienst bereitgestellt. Damit lassen sich Neujahrswünsche vorab einstellen und pünktlich zum Jahreswechsel versenden. Doch auf die vorab eingestellten Nachrichten konnte jeder zugreifen.

Microsoft warnt vor einer kritischen Sicherheitslücke im Internet Explorer. Sie ermöglicht es Angreifern, eigenen Code auf verwundbaren Systemen auszuführen und wird bereits aktiv ausgenutzt.

29C3 Ob als Mensa-Essenskarte, Zugangsschutz für Labore oder Schließfächer der Studenten: An vielen Universitäten werden Mifare-RFID-Karten verwendet. Ein Projekt zeigt nun, dass das System sehr offen ist.

29C3 Der vormals als Foebud bekannte Verein Digitalcourage will nächstes Jahr verstärkt gegen den Einsatz von RFID-Chips vorgehen. Die Technik erlaubt es mittlerweile Läden vom Schaufenster aus auf ihre Waren hin zu scannen und Chips mit hoher Reichweite ermöglichen es Kunden von Luxusmarken leichter zu identifizieren.

29C3 In vielen großen Firmen gibt es Installationen von Cisco-Telefonen. Hacker haben nun einen Weg gefunden, in alle diese eigentlich sicheren Telefone einzubrechen.

29C3 In seiner Eröffnungsrede zum diesjährigen Chaos Communication Congress in Hamburg hat Tor-Entwickler Jacob Appelbaum die Hacker dazu aufgerufen, mit ihrem Wissen und ihrer Arbeit der Menschheit nicht zu schaden. Der Aktivist warnte eindringlich vor einer zunehmenden weltweiten Überwachung, die auch von den USA ausgehe.

29C3 Heute ist der 29. Chaos Communication Congress (29C3) eröffnet worden. Er ist größer und umfangreicher als vorangegangene Veranstaltungen - und nach Jahren erstmals wieder in Hamburg. In Berlin findet dafür das erste Exceptionally Hard & Soft Meeting (EHSM) statt, wo Tüftler beeindruckende Selbstbauprojekte vorstellen.

Per Social Engineering ist es Betrügern 2012 gelungen, die gesamte digitale Identität eines Wired-Journalisten verschwinden zu lassen. Im Real Life ließen sie sogar eine ganze Brücke mitgehen.

Mittels Speicherabbildern will Elcomsoft verschlüsselte Container entschlüsseln. Bei Daten, die mit Bitlocker, PGP oder Truecrypt kodiert sind, soll das möglich sein. Dazu sind jedoch einige Voraussetzungen zu erfüllen.

Der SMS-Ersatz Whatsapp wird derzeit im App Store kostenlos angeboten. Damit wird sich das Programm weiter verbreiten, obwohl es in der Vergangenheit zahlreiche Sicherheitsprobleme mit Whatsapp gab.

Samsung arbeitet an einem Patch, um das Sicherheitsleck in Kernel-Treibern der hauseigenen Exynos-Prozessoren zu beseitigen. Es macht die Android-Geräte Galaxy S3, Galaxy S2 und alle Galaxy-Note-Modelle angreifbar. Attacken bis zur Codeausführung sind möglich.