IT-Sicherheit

Sicherheits-Patch für bekanntes Sicherheitsloch angekündigt. Noch in diesem Monat will Microsoft vermutlich das Anfang November 2006 bekannt gewordene Sicherheitsloch in den XML Core Services schließen. Zudem sind für den diesmonatigen Patch-Day fünf Updates für Windows geplant.

Sicherheits-Update für SeaMonkey 1.x verfügbar. Die Arbeiten an der Browser-Suite SeaMonkey 1.1 schreiten voran. Die Entwickler haben nach der Alpha-Version nun eine Beta veröffentlicht, die vor allem Fehlerkorrekturen enthält. Außerdem steht nach Erscheinen von Firefox und Thunderbird 1.5.0.8 nun auch SeaMonkey in der Version 1.0.6 bereit, die einige Sicherheitslücken schließt.

Chorizo nun auch in einer Intranet-Variante erhältlich. Mit Sicherheitsaudits für PHP-Applikationen will Mayflower die Sicherheit entsprechender Software erhöhen. Zugleich stellt das Münchner Softwarehaus auch eine Intranet-Version seines Security Scanners Chorizo! vor.

Anti-Terror-Datei verknüpft IT von Nachrichtendiensten und Polizei. Peter Schaar, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, hat anlässlich der öffentlichen Anhörung des Innenausschusses des Deutschen Bundestages zur Anti-Terror-Datei und zum Terrorismusbekämpfungsergänzungsgesetz in ungewöhnlich offener Form erklärt, dass das Gesetzesvorhaben einen weiteren Schritt auf dem Weg in eine Überwachungsgesellschaft darstelle.

Sicherheitslücke macht Zweckentfremdung möglich. Mit La Fonera stellt der WLAN-Anbieter Fon im Rahmen einer zeitlich begrenzten Aktion einen WLAN-DSL-Router kostenlos gegen das Versprechen zur Verfügung, Dritten die eigene DSL-Leitung zur Nutzung mit anzubieten, um damit letztlich den Telekom-Hotspots Konkurrenz zu machen. Zwei deutsche Studenten haben es nun geschafft, den La Fonera zu hacken - kurz vor der Verlängerung der Fon-Aktion bis zum 8. November 2006.

Sicherheitsleck in Windows-Komponente. In dem ActiveX-Control XMLHTTP steckt ein Sicherheitsloch, das zur Ausführung von Programmcode missbraucht werden kann und bereits durch einen aktiven Angriff verwendet wird. Der Fehler betrifft zahlreiche Windows-Plattformen und kann von Angreifern etwa durch die Bereitstellung einer präparierten Webseite ausgenutzt werden. Noch gibt es keinen Patch zur Abhilfe.

Angreifer kann beliebigen Programmcode ausführen. Im Internet Explorer 6 wurde eine neue Sicherheitslücke gefunden, für die bereits Schadcode im Internet aufgetaucht ist. Angreifer können über das Sicherheitsleck beliebigen Programmcode ausführen, um sich eine umfassende Kontrolle über einen fremden Rechner zu verschaffen. Einen Patch gibt es derzeit nicht, aber der Internet Explorer 7 soll den Fehler nicht mehr aufweisen.

Microsoft plant Patch nach abgeschlossenen Untersuchungen. In einem in Visual Studio 2005 enthaltenen ActiveX-Modul steckt eine Sicherheitslücke, durch die Angreifer über manipulierte Webseiten Code in ein System einschleusen können. Microsoft gibt Anleitungen, wie die Sicherheitslücke vermieden werden kann, ein Patch soll später folgen.

Qualität nur in einigen Projekten vorhanden. Auf der LinuxWorld Expo in London warnte Kernel-Hacker Alan Cox davor, zu glauben, Open-Source-Software sei zwangsläufig sicherer. Es würde viel Geld dafür ausgegeben, um Systeme zu knacken und viele Projekte veröffentlichten alles andere als sichere Software.

Fehler in Firefox seit August 2006 bekannt. Sowohl die Firefox-Macher als auch Microsoft haben für ihre neuen Browser-Versionen verbesserte Sicherheit versprochen. Doch beide Webbrowser weisen längst bekannte Sicherheitslücken auf, die bislang nicht geschlossen wurden. Das Sicherheitsleck in Firefox 2.0 kann zu einem gezielten Browser-Absturz missbraucht werden. Unbestätigt ist, dass darüber auch Programmcode ausgeführt werden kann.

Winamp 5.31 mit zahlreichen Fehlerkorrekturen. Mit einem Update für Winamp werden zwei schwere Sicherheitslücken geschlossen, worüber Angreifer Programmcode ausführen können. Winamp 5.31 schließt die beiden Sicherheitslecks und korrigiert weitere Programmfehler.

OLG Karlsruhe bejaht Markenverletzung durch gefälschte Absenderadressen. Microsoft hat ein Verfahren gegen einen in Schleswig-Holstein beheimateten Spammer gewonnen. Das Oberlandesgericht Karlsruhe verurteilte den Störenfried am 25. Oktober 2006. Zuvor hatte auch schon das Landgericht Mannheim ein Urteil wegen Spammings und Markenverletzung gefällt und den Beklagten zu Unterlassung, Auskunft und Schadensersatz verurteilt.

Programm öffnet komplettes Terminal. Der Informatikstudent Amir Alsbih hat eine Demonstration einer Linux-Backdoor veröffentlicht, die als Paket-Sniffer fungiert und dabei nicht auf die Software Tcpdump angewiesen ist. Ferner stellt das Backdoor-Programm ein komplettes Terminal bereit und verschlüsselt die Sessions.

Sicherheitstechniken in Open Specification Promise aufgenommen. Microsoft weitet sein Open Specification Promise aus und erlaubt nun auch die Nutzung verschiedener Sicherheitstechniken. Darunter ist das Spam-Bekämpfungsverfahren der Sender ID. Die insgesamt vier neu in das Open Specification Promise aufgenommenen Techniken sind bereits experimentelle Request for Comments (RFC).

Negativpreis für Datenkraken in Bielefeld verliehen. Lebenslange Schüler-IDs, verdachtsunabhängige Tonaufzeichnungen, Anti-Terror-Datei, Seriennummern auf gebrannten CDs, Warn- und Hinweisdateien der Versicherungswirtschaft und die Übermittlung von Überweisungsdaten an US-Behörden durch SWIFT wurden in diesem Jahr mit dem Negativpreis Big Brother Award ausgezeichnet. Der Preis wird jährlich an Firmen, Organisationen und Personen verliehen, die in besonderer Weise und nachhaltig die Privatsphäre von Menschen beeinträchtigen oder persönliche Daten Dritten zugänglich machen.

Aktualisierter Sicherheits-Patch für Windows 2000. Bereits in den letzten beiden Monaten musste Microsoft Sicherheits-Updates überarbeiten, die am allmonatlichen Patch-Day veröffentlicht wurden. Auch im Oktober 2006 wurde ein Fehler in einem Sicherheits-Patch erst nach Erscheinen bemerkt. Microsoft hat nun einen überarbeiteten Patch für Windows 2000 veröffentlicht.

Sicherheitsleck in Komponente von Outlook Express. Microsoft reagierte auf das einen Tag nach Erscheinen des Internet Explorer 7 gefundene Sicherheitsloch zerknirscht. Nach Aussage aus Redmond stecke das Sicherheitsleck nicht im Internet Explorer 7, sondern in Outlook Express. In Windows Vista sei das Sicherheitsleck bereits korrigiert, in Windows XP werde an einem Patch gearbeitet.

Sicherheitslücke liegt in der Qt-Bibliothek. In der Qt-Bibliothek ist eine Sicherheitslücke aufgetaucht, die Auswirkungen auf den KDE-Browser Konqueror hat. Dieser nutzt Qt so, dass es Angreifern möglich sein soll, beliebigen Programmcode auszuführen. Dazu reicht eine manipulierte Webseite aus.

Auch Service Pack 2 für Windows Server 2003 verzögert sich. Klammheimlich hat Microsoft das Veröffentlichungsdatum für das Service Pack 3 für Windows XP nach hinten verschoben. Bisher sollte das Update im zweiten Halbjahr 2007 kommen. Nach neuer Planung zieht es sich nun noch mindestens bis zur ersten Jahreshälfte 2008 hin, bis das dritte Service Pack für Windows XP kommt. Eine Terminverschiebung gibt es auch für das Service Pack 2 für Windows Server 2003.

Sicherheitsloch erlaubt Ausspähen von Daten. Der Internet Explorer 7 ist nicht mal einen Tag alt, da wurde schon eine Sicherheitslücke in Microsofts neuem Browser entdeckt. Das Sicherheitsleck erlaubt Angreifern das Ausspähen von Daten und wird als wenig kritisch eingestuft. Einen Patch zur Abhilfe gibt es bislang nicht.

Netzwerk-Shooter hat Probleme mit Windows-XP-Kernel-Patch. Electronic Arts sorgt erneut für Unmut bei Kunden: Für den futuristischen Netzwerk-Shooter Battlefield 2142 ist seit dieser Woche der erste Patch erhältlich, der unter Windows XP Probleme mit einem wichtigen Kernel-Sicherheitsupdate hat. EA empfiehlt kurzerhand dessen Deinstallation und nimmt in Kauf, dass die Rechner der Kunden damit angreifbarer werden.

Alle Plattformen vom Flash Player betroffen. Adobe berichtet über zwei bislang nicht geschlossene Sicherheitslecks im Flash-Player. Darüber können Angreifer verschiedene Kommandos ausführen, um etwa an vertrauliche Daten zu gelangen. Noch arbeitet der Hersteller an einem Patch, so dass derzeit keine Abhilfe zur Verfügung steht.

RavMonE.exe kurzzeitig mit auf Apples Musikspieler. Apple muss eine peinliche Schlappe verzeichnen: Ausgerechnet auf dem Musikspieler iPod war in einigen Fällen ein Windows-Virus installiert worden. Apple hat zugegeben, dass weniger als ein Prozent der seit dem 12. September 2006 ausgelieferten iPod Videos mit dem Virus RavMonE.exe verseucht sind. Mittlerweile ist das Problem in der Produktion abgestellt worden.

"Executive Summeries" bieten mehr Informationen. 101 Sicherheitslücken schließt Oracles Patch-Paket für den Monat Oktober 2006. Die meisten Korrekturen sind für die Datenbank-Produkte.

BSD- und Solaris-Treiber enthalten Sicherheitslücke vermutlich auch. Die Linux-Treiber von Nvidia enthalten eine Sicherheitslücke, durch die sich beliebiger Programmcode mit Root-Rechten ausführen lässt. Ein Angriff soll auch von einem entfernten Rechner aus möglich sein. Unter Umständen sind auch die BSD- und Solaris-Treiber betroffen, wobei Nvidia der Fehler angeblich bereits seit zwei Jahren bekannt ist. Ein Exploit existiert schon.

Abfluss geheimer Informationen soll auf jedem Kanal verhindert werden. McAfee hat den israelischen Softwarehersteller Onigma übernommen. Onigma entwickelt Sicherheitssoftware für Unternehmensnetzwerke und soll das Portfolio von McAfee in diesen Bereichen aufbessern.

Digitales Rechtemanagement mit Smartcard. Die amerikanisch-israelische Firma Aladdin hat einen Prototypen vorgestellt, der optisches Speichermedium und Smartcard-Speicher kreuzt. Die unregelmäßig geformte XCD ist so dick wie eine normale DVD und soll in entsprechenden Laufwerken mit Schubladen auch abgespielt werden können. Außerdem ist in dem Medium eine Smartcard eingebunden.

Zahlreiche Notebooks betroffen, erster Patch verfügbar. In den Treibern der bei vielen Marken-Notebooks verbauten Bluetooth-Module von Toshiba steckt eine schwere Sicherheitslücke. Ein Angreifer kann darüber Code einschleusen und ausführen - oder Windows XP zum Absturz bringen. Von Toshiba selbst gibt es bereits einen Patch.

Update-Pakete von Winboard.org, Winhelpline.de und WinFuture.de. Bereits am Patch-Day hatten Winboard.org und WinFuture.de erste inoffizielle Patch-Pakete für Windows XP fertig gehabt. Nun stehen die Patch-Sammlungen für alle betroffenen Windows-Ausführungen bereit und auch Winhelpline als dritter deutscher Anbieter solcher Patch-Pakete hat nachgezogen. Die Patch-Sammlungen enthalten die in diesem Monat veröffentlichten Sicherheits-Patches für Windows.

Neues Verfahren versteckt Nutzdaten im Rauschen. US-Wissenschaftler haben eine Methode entwickelt, um über Glasfaser-Verbindungen Daten zu übertragen, die nur sehr schwer abzufangen und zu entschlüsseln sind. Das Verfahren bedient sich dabei der optischen Eigenschaften der Glasfaser und nicht einer Kodierung durch Software.

Viele Sicherheitslücken erlauben Ausführung beliebigen Programmcodes. Am Patch-Day für den Monat Oktober 2006 schließt Microsoft insgesamt neun Sicherheitslücken in Windows und 16 Sicherheitslecks in Microsofts Office-Paket. Viele der geschlossenen Sicherheitslücken werden als gefährlich eingestuft, weil Angreifer darüber beliebigen Programmcode einschleusen können. Zudem wird ein Fehler im .NET Framework 2.0 korrigiert.

Displayanzeige auch ohne Stromzufuhr stabil. Normalerweise sind Radio-Frequency-Identity-Tags, kurz RFID-Tags, Funketiketten, die nur elektronisch ausgelesen werden können. Neue Tags sollen zukünftig auch mit einem bistabilen Display ausgerüstet werden, damit sie ohne Hilfsmittel ablesbar sind. Die Entwicklung von D-RFIDs findet im Rahmen des vom Bundesforschungsministerium geförderten Projekts PARIFLEX statt.

Windows Live OneCare als Beta-Version verfügbar. Vorerst nur mit einer Beta-Version betritt Microsofts Sicherheitslösung "Windows Live OneCare" den deutschen Markt. Das Sicherheitsprodukt umfasst einen Virenscanner, eine Personal Firewall und Anti-Spyware sowie Backup-Funktionen für Windows, um das Betriebssystem zu pflegen.

Abgeschottete Anwendungen mit Abfragen beim Benutzer. In einem Interview und einer Mailing-Liste hat der Software-Chef des für eine Bildungsoffensive in der Dritten Welt gedachten 100-Dollar-Laptops ein für bisherige Betriebssysteme revolutionäres Sicherheitskonzept angedeutet. So sollen die Rechner nicht einmal einen ständig aktualisierten Virenscanner benötigen, da sich die Software selbst heilen kann.

Kritik von CCC und niederländischer Initiative wird berücksichtigt. Die Physikalisch-Technische Bundesanstalt (PTB) will die vom Chaos Computer Club und der niederländischen Initiative "Wir vertrauen Wahlcomputern nicht" demonstrierte Methode zur Manipulation von Wahlgeräten des niederländischen Herstellers Nedap in ihren eigenen Untersuchungen künftig berücksichtigen. Eine generelle Absage an Wahlcomputer wird es seitens der PTB jedoch nicht geben: "Es gibt in Deutschland bisher keine Hinweise für eine Manipulation von eingesetzten Wahlgeräten", heißt es in einer Pressemitteilung.

Falsches Posting in Googles Blog sorgt für Verwirrung. Google beendet sein "Click-to-Call"-Programm mit dem sich Telefonanrufe aus AdWords-Anzeigen starten lassen, das zumindest stand am Wochenende im Google-Blog. Stand, denn Google will das Programm keineswegs beenden, vielmehr nutzte ein unbekannter einen Fehler in der Blog-Software um einen falschen Beitrag im Google-Blog zu veröffentlichen.

Vorabinformation zu Microsofts Patch-Day am 10. Oktober 2006. Für den Oktober 2006 knöpft sich Microsoft zahlreiche Sicherheitslücken in Windows und Office vor. Während für Windows sechs Sicherheits-Patches geplant sind, sollen vier für Microsofts Office-Paket am Patch-Day für den 10. Oktober 2006 erscheinen.

Hardened-PHP-Projekt weist auf Designfehler hin. Stefan Esser warnt vor einem Fehler in der Scriptsprache PHP, mit der Nutzer auf Shared-Webhosting-Accounts aus ihrem "Verzeichnis-Gefängnis" ausbrechen können. Eigentlich soll über die Einstellung "open_basedir" verhindert werden, dass Nutzer auf solchen Maschinen außerhalb des ihnen zugedachten Verzeichnisses Dateien lesen und schreiben können, doch offenbar gibt es einen einfachen Weg dies zu umgehen.

Neuauflage des Ratgebers "Datenschutz für Verbraucher" erschienen. Der Verbraucherzentrale Bundesverband (vzbv), die Verbraucherzentrale Schleswig-Holstein und das Unabhängige Landeszentrum für Datenschutz (ULD) haben ihren Ratgeber "Datenschutz für Verbraucher - 99+1 Beispiele und Tipps zum Bundesdatenschutzgesetz" neu aufgelegt. Die Broschüre soll auf verständliche Weise mit Alltagsbeispielen die Regelungen des Bundesdatenschutzgesetzes erklären sowie Tipps für Verbraucher und Unternehmen enthalten.

Bilder und erste Informationen im Forum von Xbox-Scene aufgetaucht. Laut eines Berichts von Xbox-Scene fertigt Microsoft seit etwa Ende August 2006 Xbox-360-Spielekonsolen mit neuem DVD-ROM-Laufwerk. Zuvor verbaute DVD-Laufwerke ließen sich - unter Verlust der Garantie - ausbauen, im PC umprogrammieren und damit die Erkennung von Spiele-Schwarzkopien umgehen.

TANs mit System machen es Betrügern unnötig leicht. Die Citibank macht es nach Ansicht des Sicherheitsexperten Felix Lindner unnötig einfach, TAN-Nummer zu erraten. Mit den Nummern werden einzelne Transaktionen, z.B. eine Überweisung, beim Online-Banking abgesichert. Die Nummern können nur einmal verwendet werden.

Firefox-Entwickler rufen Hacker-Team zur Zusammenarbeit auf. Auf einer Hacker-Konferenz im kalifornischen San Diego sorgte die Bekanntgabe einer Sicherheitslücke in Firefox für einen Eklat. Die Hacker haben ein Sicherheitsleck so präsentiert, dass Angreifer den Fehler in der JavaScript-Implementierung des Mozilla-Browsers leicht ausnutzen können, berichtet das IT-Magazin ZDNet.com. Die Firefox-Entwickler zeigen sich wenig begeistert von diesem Vorgehen und riefen die Hacker zur Kooperation auf.

Auch Sicherheitslücken in Komponenten für Browser-Nutzung. Apple hat MacOS X erneut Sicherheits-Patches verpasst, um eine Reihe von Sicherheitslücken in dem Betriebssystem zu schließen. Hierbei geht es auch um Sicherheitslücken, die bei der Verwendung von Apples Safari-Browser auftreten. Einige der Sicherheitslecks gestatten das Ausführen beliebigen Programmcodes.