IT-Sicherheit

Angreifer können Dateien in beliebigem Verzeichnis ablegen. In der ftp-Funktion vom Internet Explorer 6.0 wurde ein Sicherheitsleck entdeckt, worüber Angreifer Dateien in beliebigen Verzeichnissen ablegen können, was etwa dazu missbraucht werden kann, wichtige Dateien zu überschreiben. Zur Ausnutzung der Sicherheitsanfälligkeit müssen Dateien auf einem ftp-Server entsprechend präpariert werden.

Source-Code könnte jüngste Cabir-Ableger erklären. Der Antiviren-Hersteller Sophos berichtet, dass im Internet der Source-Code des Symbian-Wurms Cabir veröffentlicht wurde, was wohl der Grund dafür sein dürfte, dass in den vergangenen Tagen eine Reihe weiterer Cabir-Varianten entdeckt wurde. Wie bereits der erste Cabir-Wurm verbreiten sich auch die anderen Abarten per Bluetooth, weisen ansonsten aber keine Schadfunktionen auf.

Datenschutz sei durch bestehende Gesetze gewährleistet. Die RFID-Technologie hat nach Einschätzung des Branchenverbandes Bitkom das Potenzial, in Deutschland einen Schub für mehr Wachstum und Beschäftigung auszulösen. Die neuen Funketiketten sollen demnach nicht nur die Logistik revolutionieren, sondern auch die Produktsicherheit erhöhen und den Verbraucherschutz verbessern.

Kombination ungepatchter Lücken im Internet Explorer bedroht Windows-Systeme. Michael Evanchik weist zusammen mit "Paul von Greyhats Security" auf eine Sicherheitslücke hin, mit der Windows-Systeme beim bloßen Betrachten von präparierten Webseiten per Internet Explorer infiziert werden können. Dabei handelt es sich eigentlich um keine neue Sicherheitslücke, vielmehr um eine Kombination bereits bekannter Sicherheitslücken, die auch das Service Pack 2 für Windows XP nicht schließt.

Wurm sorgt für Last auf Webseiten mit PHP-Scripten. Am 21. Dezember 2004 begannen Anti-Virenhersteller, vor dem Wurm "Santy.A" zu warnen. Dieser nutzt eine Sicherheitslücke in der Foren-Software phpBB aus, um so verwundbare Server anzugreifen. Mittlerweile sind neue Varianten des Wurms im Umlauf, die mitunter wahllos versuchen, PHP-Scripte auf Server anzugreifen.

JavaScript lässt sich über GET- oder POST-Request einschleusen. Anfang Dezember untersuchte der IT-Sicherheitsexperte Michael Krax alias "mikx" zahlreiche Websites auf Cross-Site-Scripting-Probleme (XSS). Die meisten untersuchten Websites waren in irgendeiner Art und Weise verwundbar. Jetzt veröffentlichte Krax eine Liste der gefundenen Probleme auf 175 Websites.

Sicherheitslücke in phpBB wird ausgenutzt. Ein von Kaspersky Lab mittlerweile auf den Namen "Net-Worm.Perl.Santy.a" getaufter Wurm hat diverse, darunter auch deutsche Websites verunstaltet. Er nutzt eine seit einigen Wochen bekannte Sicherheitslücke in der Foren-Software phpBB aus und verbreitet sich rasch.

Kooperation mit der Wirtschaftsinformatik an der Humboldt-Universität zu Berlin. Das "Unabhängige Landeszentrum für Datenschutz in Schleswig-Holstein" (ULD) soll im Auftrag des Bundesministeriums für Bildung und Forschung die Folgen des "ubiquitären Computing", also die allgegenwärtige Datenverarbeitung und die datenschutzkonformen Gestaltungsmöglichkeiten dieser neuen Technologie untersuchen.

Browser lässt sich fremde Inhalte unterschieben. Wieder einmal ist ein Problem in Microsofts Internet Explorer aufgetaucht, das Angreifern Phishing-Angriffe erlaubt. Durch einen Fehler im "DHTML Edit Active X Control" lassen sich dem Browser beliebige Webinhalte unterschieben, ohne dass der Nutzer dies merkt oder etwas dazutun muss.

Beta eines Anti-Spyware-Tool soll Ende Januar 2005 erscheinen. Microsoft hat das US-Unternehmen "Giant Company Software" übernommen, das sich auf die Entwicklung von Anti-Spyware- und anderer Sicherheitssoftware spezialisiert hat. Microsoft will die Entwicklungen des Unternehmens nutzen, um Windows-Nutzern künftig Hilfsmittel zur Bekämpfung von Spyware und anderer böswilliger Software an die Hand zu geben.

Insgesamt sieben sicherheitskritische Fehler entdeckt. Stefan Esser von Hardened-PHP-Projekt weist auf sieben Sicherheitslücken in der freien Scriptsprache PHP hin, mit denen unter anderem beliebiger Code auf verwundbaren Systemen ausgeführt werden kann. Die neu erschienenen PHP-Versionen 4.3.10 und 5.0.3 beseitigen diese und fünf weitere Probleme.

Daniel J. Bernstein unterrichtet "UNIX Security Holes". Studenten von Daniel J. Bernstein, unter anderem Autor von qmail und den daemontools, haben im Rahmen eines Kurses zum Thema UNIX Security Holes an der Universität Illinois in Chicago insgesamt 44 Sicherheitslücken in verschiedenen Unix-Applikationen gefunden. Eine Liste der entsprechenden Security-Adisorys wurde jetzt veröffentlicht.

Update beseitigt einige kleinere Probleme. Wieder einmal bietet Apple ein Bugfix-Update für MacOS X an. Die neue Version 10.3.7 steht über Apples Software-Aktualisierung sowie als eigenständiges Installer-Paket zum Download bereit. Das Update beseitigt einige kleinere Fehler in MacOS X.

eBooks könnten Einstiegsmöglichkeit für böswiligen Code sein. Der Sicherheitsspezialist iDefense hat in einem Security Advisory vor einer Sicherheitslücke im Adobe Reader 6.0 gewarnt. Angreifern kann es damit gelingen, in .etd-Dateien, mit denen E-Book Transaktionen abgewickelt werden, fremden Code einzuschleusen und auszuführen.

JavaScript in Auktionen ermöglicht Phishing-Attacken. Die Eingabe von Passwörtern bei eBay ist nicht sicher, darauf weist jetzt das Entwicklerteam von Validome hin, das dazu eine eBay-Auktion entsprechend präpariert hat. In einer Live-Demo lässt sich die Sicherheitslücke nachvollziehen. Echte eBay-Passwörter werden dabei nicht benötigt und es sollten tunlichst auch nur Fantasiedaten verwendet werden.

Coverity findet 985 Bugs in 5,7 Millionen Code-Zeilen. Linux enthält in der aktuellen Version 2.6 rund 985 Bugs in 5,7 Millionen Code-Zeilen und weist damit eine bessere Code-Qualität auf als die meiste proprietäre Software für den Einsatz im Unternehmen, zu diesem Schluss kommt Coverity nach einer vierjährigen Code-Analyse des Linux-Kernels.

Zahlreiche Fehler erlauben Angreifern, fremden Code auszuführen. Microsoft hatte in einem vorgezogenen Patch-Day schon Anfang Dezember 2004 bereits eine kritische Sicherheitslücke im Internet Explorer geschlossen. Nun folgen zum geplanten Patch-Day-Termin fünf weitere Patches. Dabei werden Sicherheitslücken in WordPad, dem DHCP-Server unter NT 4.0, HyperTerminal sowie dem Windows-Kernel und dem lokalen Sicherheitsdienst LSASS beseitigt.

Anti-Virenhersteller warnen vor Zafi.D bzw. W32.Erkez.D. Ein neuer auf den Namen "W32.Erkez.D" bzw. "Worm/Zafi.D" getaufter Wurm tarnt sich als Weihnachtsgruß und öffnet unter den Betriebssystemen Windows 95, 98, ME, NT, 2000 und XP sowie Windows Server 2003 eine Backdoor. Verbreitet wird der Virus wie üblich per E-Mail, aber auch über Peer-to-Peer-Netze.

Gläserner Bürger dank Arbeitslosengeld II und zugehörigem Softwaresystem? Beim Arbeitslosengeld II hat sich der Bund laut Dr. Thilo Weichert, dem Landesbeauftragten für Datenschutz Schleswig-Holstein und Leiter des Unabhängigen Landeszentrums für Datenschutz (ULD), von der für einen Rechtsstaat üblichen Selbstverständlichkeit zur Wahrung des Sozialgeheimnisses von Anfang an verabschiedet. "Für Arbeitslose soll es nach dem Willen des Bundes keinen Datenschutz geben", kritisiert Weichert nach mehreren Monaten Diskussion.

Computerbild hält sich mit Details zurück. Beim Internetauktionshaus eBay klaffen nach Informationen der Computerbild mehrere Sicherheitslücken. Ein Angreifer oder Wurm könne durch die Sicherheitslücken Nutzerdaten von eBay-Mitgliedern ändern und in deren Namen Gebote in beliebiger Höhe abgeben - ohne das Passwort des Mitglieds kennen zu müssen.

Browser in Version 7.54u1 veröffentlicht. Opera hat ein Sicherheitsupdate seines Browsers in der Version 7.54 für alle Plattformen veröffentlicht. Die neue Version 7.54u1 schließt vier potenzielle Sicherheitslücken, die in den vergangenen Tagen bekannt geworden waren, aber nicht nur in Opera enthalten sind.

Fünf Security Bulletins für Windows-Plattform geplant. Nachdem Microsoft seinen Patch-Day Anfang Dezember 2004 zunächst vorgezogen hatte, um endlich das IFRAME-Sicherheitsloch im Internet Explorer zu schließen, steht ein weiterer Patch-Day im Monat Dezember 2004 an. Am 14. Dezember 2004 sollen dann mehrere Windows-Sicherheitslücken geschlossen werden.

Neue Version vereinfacht Netzwerkmanagement und Einbindung in SNMP-Umgebungen. Die Astaro AG hat ihre auf den Einsatz in Netzwerk-Equipment optimierte Linux-Distribution Astaro Security Linux jetzt in einer deutlich erweiterten Version 5.1 veröffentlicht. Das Update soll die Integration von Astaro Security Linux in Netzwerkmanagementsysteme vereinfachen und bietet Administratoren einen detaillierten Überblick über die Bandbreitenauslastung. Außerdem wurde der Spamschutz verbessert.

Verunsicherung über Spam gefährdet weiteres Wachstum des Online-Handels. Trotz eines gesunden Wachstums der Online-Verkäufe in der Weihnachtssaison droht dem Verkaufskanal Internet eine Vertrauenskrise. Dies ist das Ergebnis einer Studie des Marktforschungsinstituts Forrester Data. Obwohl die Online-Umsätze im deutschen Weihnachtsgeschäft auf 3,9 Milliarden Euro stiegen und damit EU-weit einen Anteil von 29 Prozent erreichen, fürchten immer mehr Verbraucher auf Grund von Spam-Mails um die Sicherheit ihrer Daten. Die BSA warnt deshalb davor, auf die Angebote in unverlangt erhaltenen Werbe-Mails einzugehen.

Phishing-Trick kann Inhalte von Pop-Up-Fenstern verändern. Die Sicherheitsspezialisten von Secunia haben eine neuartige Phishing-Variante in etlichen Web-Browsern entdeckt, die es einem Angreifer mit Hilfe spezieller Tricks erlaubt, den Inhalt eines Pop-Up-Fenstern zu verändern und sich so Zugriff auf vertrauliche Daten zu verschaffen. Je nach verwendetem Browser ist das tatsächliche Risiko unterschiedlich hoch.

Prototyp aus Österreich erreicht Geschwindigkeit von mehr als 1 MBit/s. Im Rahmen des Projekts PRODEQUAC entwickelten jetzt Forscher um Prof. Anton Zeilinger vom Institut für Experimentalphysik der Universität Wien den Prototypen einer Hardware-Firewall, die einen sicheren, per Quantenkryptographie geschützten Datenaustausch ermöglichen soll. Mit Hilfe des Gerätes sollen sich sensible Daten jeder Art bis hin zu IP-Telefongesprächen oder Videokonferenzen mit höchster Sicherheit austauschen lassen.

Spam-Filter überprüft nur die Identität des Absenders. IBMs "Internet Technology Group" hat auf den Entwicklerseiten des Unternehmens mit FairUCE einen neuen Spam-Filter veröffentlicht, der Spam schon verhindern soll, bevor er die Postfächer der Nutzer erreicht. Der Inhalt spielt dabei keine Rolle, der Filter prüft vielmehr die Identität des Absenders.

Anbieter gibt sich vom eigenen Erfolg überrascht. Anfang Dezember 2004 hatte Lycos Europe unter dem Motto "Make Love not Spam" eine Kampagne gegen unerwünschte Werbe-E-Mails gestartet. Mit einem Bildschirmschoner sollten die Lycos-Nutzer Web-Server bekannter Spammer ausbremsen. Nun fand die Aktion ein vorzeitiges Ende.

Winamp 5.07 behebt endlich Sicherheitsleck. Das vor rund zwei Wochen bekannt gewordene Sicherheitsleck in der Multimedia-Software Winamp soll nun endlich mit einer aktuellen Version tatsächlich behoben werden. Eigentlich sollte das vor etwa 14 Tagen erschienene Winamp 5.06 das betreffende Sicherheitsloch schließen, was sich dann aber als Trugschluss herausstellte.

Patch bereinigt zwei Sicherheitslücken in Safari. Mit einem Sicherheits-Update bereinigt Apple zahlreiche Sicherheitslücken in verschiedenen Komponenten von MacOS X, um das Betriebssystem gegen mögliche Angriffe abzusichern. Mit dem Patch werden unter anderem zwei Sicherheitslecks in dem Apple-Browser Safari behoben.

Microsoft verlegt Patch-Day für den Dezember 2004 vor. Nach fast genau einem Monat hat Microsoft überraschend außerplanmäßig einen Patch für die IFRAME-Sicherheitslücke im Internet Explorer veröffentlicht. Seit nunmehr drei Wochen nutzt der Bofra-Wurm dieses Sicherheitsleck aus und Ende November 2004 wurde dieser Wurm sogar über zahlreiche seriöse Webseiten verbreitet. Das IFRAME-Sicherheitsloch gestattet Angreifern eine umfassende Kontrolle über fremde Systeme.

Forderung: Staatliche Kontenkontrolle muss auf den Prüfstand. Ab dem 1. April 2005 können nicht nur Finanzbehörden, sondern auch eine Vielzahl weiterer Behörden Zugriff auf die Bankdaten der Bürger erhalten. Nach Auffassung des Bundesbeauftragten für den Datenschutz, Peter Schaar, muss dabei insbesondere die Transparenz des Verfahrens beachtet werden. Dies bedeutet, dass die Betroffenen möglichst frühzeitig über einen Zugriff auf ihre Kontostammdaten informiert werden. Der Zugriff erfolgt ohne Anfangsverdacht und ohne richterliche Erlaubnis.

Unbekannter Twiki-Exploit erlaubt unautorisierten Zugriff. Spanischen Hackern gelang es, unautorisiert auf Server des Chaos Computer Clubs (CCC) zuzugreifen und "in Vergessenheit geratene Registrierungsdaten des Chaos Communication Camp 2003" zu veröffentlichen, meldet jetzt der selbst betroffene CCC. Schuld ist ein bislang unbekannter Exploit in der Software TWiki.

Gehackte Webseite kündigt Klage gegen Microsoft an. Der Webserver von SCO wurde über das Thanksgiving-Wochenende offenbar gehackt. So verkündet die Seite nun: "We own all your code - pay us all your money". Damit aber nicht genug.

Update-Paket für Windows 2000 soll Mitte 2005 erscheinen. Mitte 2005 will Microsoft ein Update-Paket für Windows 2000 anbieten und verzichtet damit auf ein Service Pack 5 für Windows 2000, so dass nach dem aktuellen Service Pack 4 für Windows 2000 kein weiteres erscheinen wird.

Make Love not Spam: Bildschirmschoner sendet Anfragen an Server von Spammern. Mit der Kampagne "Make Love not Spam" will Lycos Europe ab dem 1. Dezember 2004 aktiv gegen Spam vorgehen. Zum einen ist der Kampagnentitel als Aufforderung an Spam-Versender zu verstehen, zum anderen sollen aber auch die eigenen Nutzer eingebunden werden.

Aktuelle Winamp-Version stopft Sicherheitsleck nicht. Die am gestrigen 23. November 2004 bekannt gewordene Winamp-Sicherheitslücke wird entgegen den Versprechungen des Herstellers mit der aktuellen Version der Software nicht behoben. Somit bleibt derzeit nur als Lösung, das Angriffsszenario durch Komfort-Einbußen zu umgehen.

Oracle wandelt in Sachen Sicherheit auf Microsofts Spuren. Nach Microsoft will nun auch Oracle Sicherheits-Updates nur noch in regelmäßigen Abständen veröffentlichen. Gibt es bei Microsoft einen monatlichen Patch-Day, will Oracle ab 2005 Sicherheits-Updates nur noch vierteljährlich veröffentlichen.

Aktuelles Winamp 5.06 behebt Sicherheitsleck. In der Multimedia-Software Winamp wurde eine schwere Sicherheitslücke gefunden, über die etwa mit manipulierten Playlisten-Dateien beliebiger Programmcode ausgeführt werden kann. In einer aktuellen Winamp-Version wurde der Fehler mittlerweile bereinigt, so dass sich Nutzer von Winamp diese Version installieren sollten.

Fehler in Java-Plug-In-Technik betrifft Internet Explorer, Firefox und Mozilla. Eine schwere Sicherheitslücke haben die Sicherheitsexperten von iDefense in der Plug-In-Architektur der Java 2 Runtime Environment Standard Edition (JRE) entdeckt, die es Angreifern gestattet, auf einem fremden Rechner beliebigen Programmcode auszuführen. Sun bietet bereits eine Version an, die das Sicherheitsloch in der Java-Engine schließt und so Windows- und Linux-Systeme gegen entsprechende Attacken schützt. Außerdem wurde eine weniger gefährliche Sicherheitsanfälligkeit in der Java-Implementierung von Opera entdeckt.

Fehler erlauben Angreifern Ausführung von beliebigem Code. Der Cyrus-IMAP-Server weist einige gefährliche Sicherheitslücken auf, die es Angreifern von außen erlauben, beliebigen Code auszuführen, darauf weist der Sicherheitsexperte Stefan Esser hin, der die Probleme bei einer Überprüfung gefunden hat.

Sensory Networks setzt auf DSPAM. Zusammen mit dem Open-Source-Projekt DSPAM will Sensory Networks eine hardwarebeschleunigte Spam-Erkennung auf den Markt bringen. Dabei soll DSPAM in den NodalCore Security Accelerator von Sensory Networks integriert werden.

Immer noch kein Patch für den Internet Explorer 6.0 erschienen. Etliche seriöse Webseiten haben seit dem Wochenende den als MyDoom.AI respektive Bofra bezeichneten Wurm verbreitet, der sich über Ad-Server in die Seiten eingeschleust hatte und so Systeme infizierte, wenn die betreffenden Seiten mit dem aktuellen Internet Explorer 6.0 besucht wurden. Der für die Wurm-Verbreitung verantwortliche Ad-Server von Falk wurde anscheinend von Hackern gehackt.