Security-Alert

Microsoft hat ein umfangreiches Update für Windows 10 veröffentlicht - abseits der Insider Builds. Mit der aktuellen Version werden viele lästige Fehler korrigiert und Microsoft reicht bislang vermisste Informationen zu den Windows-10-Versionen nach.

Erneut gerät eine Firma in den Verdacht, Hintertüren in Produkte eingebaut zu haben. Geräte der Firma AMX, die Technikausstattung für Konferenzräume entwickelt, enthielten versteckte Administratoraccounts mit Namen aus der Comicwelt.

Die kürzlich gefundene Kernel-Lücke wird mit den monatlichen Android-Updates bis zum 1. März geschlossen. Das schreibt ein Google-Entwickler. Die Auswirkungen sind laut Google geringer als ursprünglich behauptet, weshalb nur wenige Geräte betroffen seien.

Durch eine Sicherheitslücke im Linux-Kernel lassen sich Root-Rechte erlangen. Der fehlerhafte Code betrifft neben Millionen Linux-Nutzern wohl auch den größten Teil aller Android-Geräte - und hätte mit einem seit langem diskutierten Ansatz verhindert werden können.

Eine XSS-Lücke in Yahoo-Mail ermöglichte es Angreifern, fremde Accounts zu übernehmen. Sie hätten alle E-Mails der Nutzer weiterleiten und ausgehende E-Mails mit Viren infizieren können, schreibt ein Sicherheitsforscher. Yahoo hat bereits reagiert.

In OpenSSH ist eine Sicherheitslücke gefunden worden, die es einem böswilligen Server ermöglicht, den privaten Schlüssel des Nutzers auszulesen. Der Fehler findet sich in der Roaming-Funktion, die kaum jemand benötigt, die aber standardmäßig aktiv ist.

Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.

Google hat eine Reihe älterer Sicherheitslücken in Android geschlossen und bietet entsprechende Patches für etliche Nexus-Geräte an. Die drahtlos verteilten Updates sollen diese Woche beginnen.

Ein Patch für den Flash-Player behebt 19 Sicherheitslücken, von denen einige als kritisch eingestuft werden. Einer der Fehler wird laut Adobe zudem bereits aktiv für Angriffe genutzt.

32C3 Die Zwangsrouter von Vodafone Kabel haben vermutlich über Jahre hinweg eklatante Schwachstellen gehabt, die für Spionagezwecke ausgenutzt werden konnten. Der Hacker Alexander Graf will auf dem 32C3 in Hamburg weitere Details zu dem Hack vorstellen.

Eine MongoDB-Datenbank mit den privaten Informationen zahlreicher Hello-Kitty-Fans wurde veröffentlicht. Vor allem Kinder dürften davon betroffen sein - und sollten ihre Passwörter bei anderen Diensten überprüfen.

Offenbar sind Erpresser in den USA jetzt dazu übergegangen, ehemalige Ashley-Madison-Nutzer per Post zu erpressen - und nicht mehr nur per Mail. Das könnte jedoch zum Problem für die Kriminellen werden.

Das freie CMS Joomla bekommt ein eiliges Sicherheitsupdate. Alle Versionen der Software sind betroffen. Die Lücke ermöglicht die Ausführung von Code über den User-Agenten und wird bereits aktiv ausgenutzt.

Eigentlich sollte sie eine Sicherheitslücke schließen: Mit der neuen Version der Dell Foundation Services können über das Netz Informationen über die Hardware, laufende Prozesse, Metadaten von Dateien und vieles mehr ausgelesen werden.

Nicht nur Vtech-Spielzeug ist unsicher: Die umstrittene WLAN-Barbie von Mattel hält es mit der Sicherheit ebenfalls nicht so genau. Ein Hacker konnte aus der Puppe zahlreiche Informationen auslesen - und glaubt, auch die Serveranbindung manipulieren zu können.

Adobe beschränkt den Zugang auf die Installationsdateien für seinen Flash Player ab Ende Januar 2016 auf Lizenznehmer. Privatanwender müssen beim Einrichten der Runtime dann grundsätzlich über eine Internetverbindung verfügen.

Zeit, Abschied zu nehmen: Microsoft beendet die Unterstützung für ältere Versionen des Internet Explorers ab Januar 2016. Es gibt jedoch einige Ausnahmen.

Offenbar gibt es eine weitere von Dell bereitgestellte Software, die ein Root-Zertifikat samt privatem Schlüssel installiert. Das Tool namens Dell System Detect ist schon früher als Sicherheitsrisiko aufgefallen.

Update Ein auf aktuellen Dell-Laptops vorinstalliertes Root-Zertifikat ermöglicht es Angreifern, nach Belieben HTTPS-Verbindungen mitzulesen. Eine fast identische Sicherheitslücke, verursacht durch das Programm Superfish, betraf vor einigen Monaten Lenovo-Laptops.

Moderne Webseiten erstellen häufig dynamischen Javascript-Code. Wenn darin private Daten enthalten sind, können fremde Webseiten diese auslesen. Bei einer Untersuchung von Sicherheitsforschern war ein Drittel der untersuchten Webseiten von diesem Problem betroffen.

Zur Aufgabe der NSA gehört neben Spionage auch, amerikanische Computersysteme zu schützen. Doch die NSA hält Sicherheitslücken geheim - und gefährde so die eigenen Bürger, warnen Kritiker. Der Geheimdienst versucht nun, mit einer Statistik den Vorwurf zu entkräften. Doch es bleiben Zweifel.

Ein deutscher Sicherheitsforscher hat eine Sicherheitslücke in Geldautomaten-Software gefunden. Die Schwachstelle ermöglichte den Zugriff auf die Kommandozeile des Geräts und das Auslesen zahlreicher kritischer Daten.

Laut c't sind Millionen Nutzer von einer Schwachstelle in zwei Routern von Vodafone Kabel betroffen. Dem Netzbetreiber zufolge sind es allerdings weniger als 1.000 Kunden.

Eine Lücke im Xen-Hypervisor erlaubt einem Gastsystem, die Kontrolle über das komplette Host-System zu übernehmen. Hierfür wird die Speicherverwaltung ausgetrickst. Die Entwickler der Qubes-Distribution üben heftige Kritik an Xen.

Bei Adobe werden wieder Lücken gestopft: Dieses Mal beim Shockwave Player. Ein Memory-Corruption-Fehler soll die Ausführung fremden Codes ermöglicht haben.

Update Seit 2010 ist das Plündern von Geldautomaten per USB-Stick bekannt. In Deutschland wurde nun erstmals ein Täter dabei gefilmt, wie er zwei Automaten an einem Tag ausräumte.

Die EU moderiert eine Initiative für eine EU-Cloud, die höchsten Sicherheitsansprüchen folgen soll. Doch die ist nicht für Endnutzer, sondern für die Industrie.

Eine SQL-Injection-Schwäche betrifft mehrere Joomla-Versionen. Ein Patch steht bereits zur Verfügung. Das neue Release auf Version 3.4.5 bringt zudem neue Funktionen mit.

Ein Forscherteam der Universität Boston präsentiert neue Angriffe gegen NTP, dem Protokoll zum Setzen der Systemzeit übers Netz. Mittels gespoofter Pakete können NTP-Clients faktisch abgeschaltet und in seltenen Fällen auch mit einer falschen Systemzeit manipuliert werden.

Um die Sicherheit von Routern ist es schlecht bestellt, wie zahlreiche Berichte über Sicherheitslücken zeigen. Das BSI will jetzt mit einem neuen Prüfkonzept für bessere Router sorgen. Im Detail könnte noch nachgebessert werden.

Die Verschlüsselung ist gerade bei externen Festplatten sinnvoll, da sie verloren gehen können. Doch zahlreiche Modelle von Western Digital mit eingebauter Verschlüsselungsfunktion sind mit einfachen Methoden angreifbar.

Adobe hat es schon wieder getan: Es gibt ein neues Sicherheitsupdate für den Flash-Player. Es kommt so kurzfristig, dass das Unternehmen die eigenen Sicherheitshinweise noch nicht überarbeitet hat.

Die Anzeigen zur Darstellung des Sicherheitsniveaus einer Webseite sind in der neuen Version von Googles Webbrowser Chrome überarbeitet worden. Nutzer sollen jetzt weniger verwirrt sein als vorher. Außerdem hat Google kritische Sicherheitslücken gestopft.

Adobe hat den Flash-Player und Adobe Air diese Woche mit neuen Updates versorgt - doch schon werden neue Sicherheitslücken gemeldet. Ein neuer Zero-Day-Exploit in Flash soll für Angriffe auf Außenministerien in aller Welt genutzt worden sein. Der nächste Patch dürfte schon nächste Woche folgen.

Eine Sicherheitslücke in der Teamspeak-Software soll es Angreifern ermöglicht haben, Dateien auf die Rechner der Betroffenen hochzuladen. Ein Update ist bereits verfügbar.

Eine Sicherheitslücke in Netgear-Routern soll administrativen Fernzugriff durch nicht autorisierte Nutzer erlauben. Der Hersteller arbeitet offenbar bereits an einem Patch - hat aber noch kein Datum genannt.

Eine Sicherheitslücke in der OAuth-Implementation ermöglichte einem Angreifer, E-Mail-Accounts zu übernehmen. Microsoft hat die Sicherheitslücke geschlossen und ein Bug-Bounty ausgezahlt.

Eine seit einem Jahr bekannte Sicherheitslücke in einem VPN-Dienst von Cisco wird offenbar weiterhin ausgenutzt, weil nicht alle Systeme gepatcht sind. Sicherheitsforscher haben noch weitere Angriffe auf Cisco-Produkte vorgestellt, die mittels Javascript Nutzerdaten abgreifen.

Der Amerikachef von HTC bezeichnet monatliche Sicherheitsupdates für Android-Geräte als unrealistisches Versprechen. Google hat unterdessen für die Nexus-Geräte einen Patch für Stagefright 2.0 veröffentlicht.