Security-Alert

Angriffe gegen Java-Installationen, und damit auch gegen Browser, haben in letzter Zeit wieder zugenommen. Im Security Blog erklärt Mozilla, warum alte Java-Versionen von Oracle in Firefox gesperrt wurden.

Eine aktualisierte Version des Flashback-Trojaners befällt derzeit hunderttausende Macs. Apple selbst hat nicht schnell genug reagiert, um eine Sicherheitslücke in Java rechtzeitig zu schließen. Jeder Mac-Nutzer sollte dringend ein Sicherheitsupdate machen.

Microsoft hat sechs Patches veröffentlicht. Unter anderem wird ein sehr gefährliches Sicherheitsloch in allen Windows-Versionen beseitigt. Fremde Computer können darüber ohne Zutun der Opfer attackiert werden.

Das Anfang März 2012 entdeckte Sicherheitsrisiko in Android ist vermutlich größer als bisher vermutet. Android-Anwendungen können unbeschränkt alle Daten im USB-Speicher auslesen. Bisher war nur bekannt, dass Android-Anwendungen direkt auf Fotos zugreifen können.

Im März 2012 will Microsoft sechs Sicherheitspatches für seine Produkte veröffentlichen. Damit sollen sieben Sicherheitslücken beseitigt werden, die meisten davon betreffen die Windows-Plattform.

Update Bei dem Hackerwettkampf Pwn2own wurde eine Sicherheitslücke in Googles Chrome ausgenutzt. Sicherheitsexperten haben das Sandbox-System von Chrome ausgehebelt. Aber auch andere Browser sind Angriffen schutzlos ausgeliefert.

Adobe hat für den Flash Player ein Update veröffentlicht, mit dem zwei Sicherheitslücken geschlossen werden sollen. Eine kann zur Ausführung von Schadcode verwendet werden und wird als gefährlich eingestuft.

In Großbritannien sind zwei Männer angeklagt worden, weil sie sich Zugang zu den Rechnern von Sony Music verschafft und mehrere zehntausend Musikdateien kopiert haben sollen. Sony hat den Zwischenfall erst jetzt bekanntgegeben.

In Firefox-, Thunderbird- und Seamonkey-Versionen steckt eine für Nutzer gefährliche Sicherheitslücke. Wer nicht aktualisiert, riskiert die Ausführung von Schadcode bei der Anzeige einer manipulierten PNG-Datei.

Mehrere Fehler in sämtlichen Java-Versionen und in JavaFX sowie in OpenJDK ermöglichen unter anderem Angriffe aus der Ferne und DoS-Attacken. Oracle hat bereits aktuelle Versionen veröffentlicht, die die Fehler beheben.

Microsoft hat neun Patches für seine Softwareprodukte veröffentlicht. Fünf Patches gibt es für die Windows-Plattform und jeweils einen Patch für den Internet Explorer, für den Visio Viewer, für Sharepoint sowie .Net Framework und Silverlight. Insgesamt werden 13 Sicherheitslücken geschlossen, über die Angreifer beliebigen Code ausführen können.

Nach einem Einbruch auf die FTP-Server des Horde-Projekts weisen dessen Entwickler darauf hin, dass drei ihrer PHP-basierten Produkte mit einem Backdoor-Programm infiziert wurden. Dadurch lassen sich Anwendungen aus der Ferne angreifen.

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Insgesamt will Microsoft in diesem Monat 21 Sicherheitslücken in Windows, in Office, im Internet Explorer, in .Net und in Silverlight beseitigen. Dazu werden in der kommenden Woche neun Patches veröffentlicht.

Trendnet hat eine schwere Sicherheitslücke in seinen privaten IP-Überwachungskameras öffentlich eingeräumt. Rund 50.000 Kameras, die vor allem im privaten Bereich eingesetzt würden, seien weltweit betroffen. Neue Firmware für alle betroffenen Modelle ist in Vorbereitung.

Adobe hat einen Flash Player mit "Protected Mode" für Firefox veröffentlicht. Dabei läuft der Flash Player in einer Sandbox, so dass von Fehlern in Adobes Plugin weniger Gefahren ausgehen.

Update Über eine schwere Sicherheitslücke in PHP 5.3.9 lässt sich Code einschleusen und ausführen, auch von entfernten Rechnern. Mit der Sicherheitserweiterung Suhosin lässt sich die Lücke schließen.

In einer Reihe von Android-Smartphones von HTC ist eine Sicherheitslücke gefunden worden, über die Angreifer WLAN-Zugangsdaten samt Kennwörtern ausspähen können. HTC ist gerade dabei, die betroffenen Geräte mit einem Patch zu versorgen.

Apple hat sein erstes Sicherheitsupdate des Jahres 2012 für Mac OS X 10.6 und 10.7 alias Snow Leopard beziehungsweise Lion veröffentlicht. Beseitigt werden Probleme in Windows-Umgebungen und es gibt mehr Unterstützung für moderne Digitalkameras.

Ein US-Sicherheitsexperte warnt, dass sich der private Schlüssel eines Smartphones aus Funkwellen, die das Geräte abstrahlt, auslesen lässt. Die Länge des Schlüssels ist dabei nicht relevant.

Der Bildschirmschoner in einigen Linux-Distributionen kann ohne Passwort deaktiviert werden. Ein Fehler im X-Server von X.org ermöglicht das Entsperren des Bildschirms mit einer Tastenkombination.

An seinem erstem Patchday 2012 hat Oracle 78 teils kritische Sicherheitslücken geschlossen. MySQL ist ohne das Update aus der Ferne angreifbar und die Kerberos-Authentifizierung in Solaris ist fehlerhaft.

Microsoft hat sechs Patches für die Windows-Plattform veröffentlicht, mit denen insgesamt sieben Sicherheitslücken beseitigt werden. Dazu gehört auch ein bereits verschobener Patch für das SSL-Sicherheitsloch vom September 2011.

Adobe hat einen Patch für die PDF-Anwendungen Adobe Reader und Acrobat veröffentlicht, um insgesamt sechs gefährliche Sicherheitslücken zu beseitigen. Zudem bringt das Update eine Whitelist-Funktion für Javascript.

Ein Angriff auf eine SQL-Schwachstelle betrifft inzwischen zehntausende IIS- und Coldfusion-Webserver in Deutschland. Opfer werden dabei auf die Domain Lilupophilupop.com umgeleitet, auf der Scareware angeboten wird.

Microsoft will in diesem Monat sechs Sicherheitspatches für die Windows-Plattform veröffentlichen. Noch ist unklar, ob damit auch das offene SSL-Sicherheitsloch und der im Dezember 2011 bekanntgewordene Windows-Fehler beseitigt werden.

Google hat eine Betaversion von Chrome 17 veröffentlicht. Die neue Version soll Nutzer besser vor Schadsoftware schützen und Webseiten laden, noch bevor der Nutzer die URL eingegeben hat.

Facebook belohnt freundliche Hacker mit exklusiven Kreditkarten, die mit Bargeld aufgeladen werden. Pro gemeldetem Bug zahlte der Betreiber des sozialen Netzwerks bisher zwischen 500 US-Dollar und 5.000 US-Dollar.

28C3 Frank Rieger und Ron vom Chaos Computer Club schauen zum Jahresende wieder in eine düstere Zukunft. Es wird immer schwerer, Daten bei sich zu behalten, und im Internet gehen ebenfalls ständig Daten verloren.

Das US-Unternehmen Tactical Network Solutions hat mit Reaver eine Software veröffentlicht, die die von Stefan Viehböck gefundene Schwachstelle in Wi-Fi Protected Setup (WPS) nutzt. Damit lässt sich die Verschlüsselung von WLAN-Routern leicht aushebeln.

Designfehler in Wi-Fi Protected Setup (WPS) machen effiziente Brute-Force-Angriffe möglich, so dass die Verschlüsselung praktisch aller WPS-fähigen Router vergleichsweise leicht ausgehebelt werden kann, warnt das US-Cert. Entdeckt hat die Sicherheitslücke der Student Stefan Viehböck aus Österreich.

HP hat ein Firmwareupdate für seine Laserdrucker der Reihe Laserjet veröffentlicht, das Sicherheitslücken in den Druckern schließt. Ende November 2011 hatten US-Forscher vor Feuergefahr durch Sicherheitslücken in HP-Druckern gewarnt.

Die in dieser Woche bekanntgewordene Sicherheitslücke in Windows 7 kann auch mit alten Versionen des Internet Explorer ausgenutzt werden. Bisher war davon ausgegangen worden, dass sich der Windows-Fehler nur mit Apples Safari-Browser bemerkbar macht.

In Windows 7 ist ein Sicherheitsloch bekanntgeworden, das auch zur Ausführung beliebigen Programmcodes missbraucht werden kann. Zur Ausnutzung der Sicherheitslücke ist Apples Safari-Browser erforderlich.

Adobe hat sich viel Zeit gelassen, um einen Programmfehler in seiner PDF-Software zu beheben, die aktiv von Kriminellen ausgenutzt wird. Trotz der Gefahr werden aber nicht alle Versionen gepatcht. Entdeckt wurde der Fehler von dem Rüstungshersteller Lockheed Martin.

Microsoft hat kurzfristig ein geplantes Update für die Windows-Plattform zurückgezogen. Eigentlich sollten in diesem Monat 20 Sicherheitslücken mit 14 Patches geschlossen werden. Nun bleibt eine Windows-Sicherheitslücke noch mindestens einen Monat offen.

Nutzer des Dienstes Immobilienscout24 sind Opfer eines Datendiebstahls geworden. Dabei sollen zwar keine Bankdaten oder ähnliche Informationen abhandengekommen sein, dennoch wird zur Vorsicht geraten.

In diesem Monat will Microsoft insgesamt 14 Patches für die Windows-Plattform, das Office-Paket und den Internet Explorer veröffentlichen, um 20 Sicherheitslecks zu schließen. Mindestens drei Windows-Sicherheitslücken werden als gefährlich eingestuft.

Adobe warnt vor einer Sicherheitslücke im Adobe Reader, die derzeit auf Windows-Systemen aktiv ausgenutzt wird. Für die kommende Woche ist ein Update geplant, um das Sicherheitsleck zu schließen.

Update Ein Softwareupdate hat die gravierende Sicherheitslücke in der Meldefunktion von Facebook verursacht. Ein Facebook-Sprecher erklärte, dass der Fehler nur einer begrenzten Zahl von Nutzern Zugriff auf private Fotos Fremder ermöglicht habe.

Update Es ist offenbar möglich, sich private Bilder von wildfremden Facebook-Nutzern anzuschauen. Dazu muss deren öffentliches Profilbild einer Anleitung zufolge nur als obszön gemeldet werden. Update: Facebook hat das Problem mittlerweile beseitigt.

US-Forscher beschuldigen HP, Drucker mit Sicherheitslücken zu verkaufen, die einem Angreifer erlauben, die Firmware mit einem einfachen Druckauftrag zu manipulieren und so eigenen Code einzuschleusen, der Daten stehlen oder den Drucker überhitzen kann. HP räumt die Sicherheitslücke ein, hält die Berichte über die Gefahren aber für übertrieben.

Deepsec 2011 Gegen Unfälle sind Besitzer neuer Autos geschützt - gegen Angriffe auf die IT-Systeme des Wagens dagegen überhaupt nicht, sagen Constantinos Patsakis und Kleanthis Dellios. Sie fordern weitreichende Änderungen.