Security-Alert

Fehlerhafte Verarbeitung von MP4-Dateien. In der aktuellen Winamp-Version wurde ein Sicherheitsleck entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Dazu müssen sie ihre Opfer nur dazu bringen, eine manipulierte MP4-Datei mit der Software zu öffnen.

QuickTime-Patch für MacOS X und Windows. Gut eine Woche, nachdem ein Sicherheitsleck in Apples QuickTime entdeckt wurde, steht ein Patch bereit. Das Sicherheitsleck tritt auf Windows- und Mac-Systemen auf und Angreifer können darüber beliebigen Programmcode einschleusen und ausführen.

Sicherheitslecks erlauben Ausführung von Programmcode. Für MacOS X ist ein Update erschienen, das mit einem Schlag 25 Sicherheitslecks im Betriebssystem schließt. Einige der Sicherheitslücken erlauben die Ausführung beliebigen Programmcodes, andere Sicherheitslöcher lassen sich hingegen nur von lokal angemeldeten Anwendern ausnutzen.

Wurm macht sich RPC-Sicherheitsloch zu Nutze. Das offene Sicherheitsloch im Windows Server wird Microsoft voraussichtlich erst am nächsten geplanten Patch-Day schließen. Seit Anfang der Woche machen sich Würmer das Sicherheitsleck bereits zu Nutze. Dennoch plant Microsoft keinen außerplanmäßigen Patch für den Windows Server 2000, 2003 sowie für den Windows Small Business Server 2000 und 2003.

RPC-Sicherheitsleck erlaubt Ausführung von Programmcode. In der vergangenen Woche hatte Microsoft auf ein nicht geschlossenes Sicherheitsloch im Windows Server hingewiesen. Das Risiko wurde von Redmond als wenig gefährlich klassifiziert. Zu dem Zeitpunkt war bereits Schadcode im Internet entdeckt worden. Wenige Tage später machte ein erster Wurm die Runde, der sich das Sicherheitsloch zu Nutze macht. Einen Patch gibt es bislang nicht.

Sicherheitsleck erlaubt Ausführung von Programmcode. Wie in der jüngsten Vergangenheit wiederholt geschehen, ist auch um Microsofts Patch-Day im April 2007 herum Beispielcode für ein nicht geschlossenes Sicherheitsloch in einem Redmondschen Produkt im Internet aufgetaucht. Diesmal betrifft es das Office-Paket von Microsoft, das eine Sicherheitslücke aufweist, über die Angreifer beliebigen Programmcode ausführen können.

Vier Sicherheits-Patches für Windows. Vor einer Woche hat Microsoft bereits einen Sicherheits-Patch veröffentlicht, um eine Sicherheitslücke bei der Darstellung animierter Cursor zu schließen. Am regulären Patch-Day für den Monat April 2007 hat Microsoft sechs Sicherheitslecks in Windows sowie zwei Sicherheitslücken im Content Management Server mit Patches bedacht.

37 Sicherheitslücken werden geschlossen. Oracle hat für Mitte April 2007 die nächste Patch-Sammlung angekündigt, mit der 37 Sicherheitslöcher in den Produkten des Datenbankanbieters geschlossen werden sollen. Darunter auch Fehler, die sich von externen Angreifern ausnutzen lassen. Mit der frühen Übersicht möchte Oracle Administratoren Zeit zur Vorbereitung geben.

Animierte Cursor erlauben Ausführung schadhaften Programmcodes. Microsoft hat ein Sicherheitsleck im Internet Explorer bestätigt. Mit Hilfe präparierter ani-Dateien für animierte Cursor lässt sich schadhafter Programmcode auf fremde Rechner schleusen und ausführen. Microsoft arbeitet an der Korrektur des Fehlers und will einen entsprechenden Patch veröffentlichen.

Account-Hacking erfolgte über "Social Engineering". Microsoft hatte vor einigen Tagen nach Berichten über entwendete Accounts technische Sicherheitsprobleme bei Xbox Live ausgeschlossen. Allerdings konnten die Support-Mitarbeiter dazu verleitet werden, Accounts umzuleiten, wie Xbox-Live-Chef Larry "Major Nelson" Hryb in seinem Blog eingestehen musste.

Neue Version für die kommende Woche angekündigt. In OpenOffice.org 2.x wurden drei Sicherheitslücken gefunden, die zum Teil zum Ausführen beliebigen Programmcodes missbraucht werden können. Die in Arbeit befindliche Version 2.2 von OpenOffice.org soll die Fehler korrigieren und wird voraussichtlich in der kommenden Woche erscheinen.

Unternehmen widerspricht Meldungen. Derzeit machen Meldungen die Runde, denen zufolge Xbox Live gehackt und die Konten von Xbox-360-Spielern kompromittiert worden sein könnten. Microsoft widersprach dem nun.

Neue Versionen von Firefox erschienen; Marktanteil in Europa gleichbleibend. Das Mozilla-Team hat die Versionen 1.5.0.11 sowie 2.0.0.3 von Firefox veröffentlicht, um darin ein Sicherheitsleck in den ftp-Funktionen zu korrigieren. Auf Grund der Sicherheitslücke können sich Angreifer Informationen über die Netzwerkkonfiguration eines Rechners ergattern, um diese gegen das Opfer einzusetzen.

Update schließt einige nicht näher beschriebene Sicherheitslücken. Mit einem umfangreichen Update für MacOS X beseitigt Apple zahlreiche Fehler in seinem Betriebssystem. MacOS X 10.4.9 könnte die letzte größere Aktualisierung des Betriebssystems vor Erscheinen des Nachfolgers Leopard sein.

Nächster Patch-Day im April 2007. Am 13. März 2007 stünde eigentlich der nächste Patch-Day bei Microsoft an, an dem meist mehrere Sicherheits-Patches für verschiedene Produkte erscheinen. Der Softwarekonzern wird in diesem Monat jedoch keine Sicherheits-Patches veröffentlichen.

Patch für QuickTime und neue iTunes-Version erschienen. Mit einem QuickTime-Update schließt Apple gleich acht gefährliche Sicherheitslücken. Ein Sicherheitsleck betrifft nur die Windows-Ausführung, während die sieben übrigen Sicherheitslecks sowohl in der Windows- als auch in der Mac-Ausführung von QuickTime stecken. Zudem hat Apples iTunes-Software ein Update erfahren.

Update auf Version 2.1.2 dringend angeraten. Einem Cracker ist es gelungen, eine kritische Sicherheitslücke in Wordpress 2.1.1 einzuschleusen. Zwar sind nicht alle Downloads dieser Version betroffen, mit der neuen Version 2.1.2 wollen die Entwickler aber ein klares Zeichen setzen, denn darin ist die Sicherheitslücke ihren Angaben nach definitiv beseitigt.

Neue Thunderbird-Version bringt ansonsten nur Fehlerkorrekturen. Es wurde bereits erwartet, ist vom Mozilla-Team aber immer noch nicht offiziell angekündigt worden: Das Sicherheits-Update für den E-Mail-Client Thunderbird findet sich auf den Mozilla-Seiten, nachdem bereits entsprechende Patches für Firefox und SeaMonkey erschienen sind. Die aktuelle Version schließt zwei Sicherheitslücken in Thunderbird.

Drei Sicherheitslücken am ersten Tag des "Month of PHP Bugs". In die Version 4.4.5 von PHP hat sich ein Fehler eingeschlichen, der PHP unter nicht unüblichen Umständen zum Absturz bringen kann. Derweil hat Stefan Esser die ersten Sicherheitslücken im Rahmen des von ihm ausgerufenen "Month of PHP Bugs" veröffentlicht.

SeaMonkey in Version 1.0.8 sowie 1.1.1 erschienen. Die auf der Gecko-Engine beruhende Browser-Suite Mozilla steht ab sofort in aktualisierten Versionen bereit. Beide Fassungen schließen einige Sicherheitslücken, um die Sicherheit der Software zu verbessern. Zudem hat SeaMonkey 1.1.1 einige Fehlerkorrekturen erfahren.

Genaue Beschreibung bei Security Focus erschienen. Auf dem 23. "Chaos Communication Congress" (23C3) hat am 30. Dezember 2006 ein maskierter, wortloser Hacker kurz das Ausführen von eigenem Code auf der Xbox 360 demonstriert und versprochen, dass bald Linux und MacOS X auf der Konsole laufen würden. Ein Eintrag auf Security Focus hat nun den Hack bestätigt, allerdings wird es doch erstmal nichts mit neuen Betriebssystemen für die Xbox 360.

Nutzer erhalten neue Passwörter. Einem Unbekannten ist es gelungen, E-Mail-Adressen, Zugangsdaten und Freundschaftsverbindungen illegal aus der Datenbank der mittlerweile zu Holtzbrinck gehörenden Berliner Studentenplattform studiVZ auszulesen, teilten die Betreiber am Abend mit. Wie viele Profile davon betroffen sind, ist zum jetzigen Zeitpunkt noch offen.

Browser-Adressleiste zeigt falsche Inhalte an. Im Internet Explorer 7 wurde ein Sicherheitsloch gefunden, das Angreifer für Phishing-Angriffe missbrauchen können. Durch einen Fehler zeigt die Adressleiste im Browser falsche Daten an. Somit bemerkt ein Anwender nicht, wenn er sich auf einer nicht vertrauenswürdigen Webseite befindet. Einen Patch gibt es bislang nicht.

Angreifer konnten Programmcode ausführen und Daten ausspionieren. Googles Desktop-Suche hat ein schwerwiegendes Sicherheitsloch enthalten, das nun geschlossen sein soll. Über das Ende 2006 gefundene Sicherheitsleck konnten Angreifer beliebigen Programmcode ausführen. Google selbst gab keine allgemein verfügbaren Informationen zu dem Fehler bekannt, sondern hüllt sich lieber in Schweigen.

Patches für Finder, iChat und Nutzerbenachrichtigung veröffentlicht. Apple hat ein Sicherheits-Update für MacOS X veröffentlicht, um vier Sicherheitslecks im Betriebssystem zu schließen, die im Rahmen des Projekts "Month of Apple Bugs" (MOAB) bekannt wurden. Der "Month of Apple Bugs" wies im Januar 2007 auf offene Sicherheitslücken in MacOS X sowie Mac-Applikationen hin, um darauf hinzuweisen, dass Apple-Systeme per se keineswegs vor Sicherheitslücken gefeit sind.

Nach PHP 5.2.1 schließt auch PHP 4.4.5 Sicherheitslücken. Mit der PHP 5.2.1 haben die PHP-Entwickler einige Sicherheitslücken in PHP 5 geschlossen. Einige davon finden sich auch in PHP 4, für das mit PHP 4.4.5 nun ein entsprechendes Update erschien.

Microsoft bietet keinen Patch an; Sicherheitsloch wird aktiv ausgenutzt. Nur einen Tag, nachdem Microsoft endlich die vier seit Wochen offenen Sicherheitslücken in Word geschlossen hat, muss der Software-Gigant ein weiteres Sicherheitsleck in der Textverarbeitung eingestehen. Das Sicherheitsloch wird bereits aktiv von Schadcode ausgenutzt, so dass es sich auch bei diesem Sicherheitsleck um eine so genannte "Zero Day"-Lücke handelt.

Patch-Day: Schwere Sicherheitslecks in Windows und Internet Explorer. Seit Anfang Dezember 2006 wurden vier offene Sicherheitslücken in Word gemeldet, die bislang alle nicht mit einem Patch bedacht wurden. Am Patch-Day vom Februar 2007 holt Microsoft dies endlich nach und beseitigt auch das Sicherheitsloch in Excel, so dass insgesamt acht Sicherheitslecks in Microsofts Office-Produkten geschlossen werden. Zudem werden neun Sicherheitslücken in Windows beseitigt, davon betreffen vier den Internet Explorer.

Stefan Esser ruft den "Month of PHP bugs" aus. Die PHP-Entwickler schließen mit PHP 5.2.1 einige Sicherheitslücken in der freien Scriptsprache. Zudem wurde die Stabilität verbessert. Derweil ruft Sicherheitsexperte Stefan Esser, der sich Ende 2006 aus dem PHP Security Response Team verabschiedete, für März den "Month of PHP bugs" aus, in dem er jeden Tag eine Sicherheitslücke in PHP veröffentlichen will.

Zwölf Patches aus Redmond, davon neun Fehlerkorrekturen für Windows. Am diesmonatigen Patch-Day plant Microsoft gleich zwölf Patches, wovon sich alleine neun Updates um Windows-Sicherheitslücken kümmern. Zwei Patches sind für Microsofts Office-Paket geplant und ein Patch widmet sich einer Reihe von Antivirenlösungen aus Redmond. Unklar ist noch, ob Microsoft im Februar 2007 endlich alle offenen und bekannten Sicherheitslücken im Office-Paket des Software-Riesen stopft.

Anti-Phishing-Funktion lässt sich leicht aushebeln. Ohne großen Aufwand lässt sich der Phishing-Filter in Firefox 2.x aushebeln, so dass Angreifer dem Firefox-Nutzer weiterhin Phishing-Seiten unterschieben können. In Firefox 1.5.0.9 wurde außerdem eine Sicherheitslücke im Pop-up-Blocker entdeckt, die ein Ausspionieren von Daten erlaubt. Ein Patch ist bislang nicht erschienen.

Bislang wird nur Sicherheitsloch in Excel ausgenutzt. Microsoft hat einen Fehler in der Tabellenkalkulation Excel bestätigt, der auch andere Komponenten von Redmonds Office-Software betrifft. Im Internet ist bereits Schadcode gefunden worden, der das Sicherheitsloch in Excel ausnutzt. Mit Hilfe eines präparierten Excel-Dokuments lässt sich beliebiger Programmcode ausführen.

Sprachkommando-Funktion fehlen Sicherheitsabfragen. Mit Hilfe von Sprachdateien kann ein Angreifer jederzeit Zugriff auf ein Vista-System erlangen - vorausgesetzt die Sprachsteuerung von Windows Vista ist aktiviert. Dann genügt es, dem Opfer eine Audiodatei mit entsprechenden Sprachbefehlen unterzuschieben. Denn Sprachbefehle sind nicht an eine bestimmte Stimme gekoppelt und es fehlt eine Sicherheitsabfrage, um solchen Missbrauch zu verhindern.

Neues Sicherheitsleck erlaubt beliebige Code-Ausführung. In Microsofts Textverarbeitung Word wurden im laufenden Jahr bereits zwei Sicherheitslücken entdeckt. Auch für das neu gefundene Leck befindet sich bereits Schadcode in Umlauf, wie es bei den vier übrigen offenen Word-Lücken der Fall war. Insgesamt weist Word derzeit fünf nicht geschlossene, aber bekannte Sicherheitslücken auf.

Insgesamt vier nicht geschlossene Sicherheitslücken. In Microsofts Textverarbeitung Word wurde ein weiteres Sicherheitsloch entdeckt, für das bereits Schadcode in Umlauf sein soll. Damit weist Word derzeit insgesamt vier nicht geschlossene Sicherheitslücken auf, nachdem Microsoft den Januar-Patch-Day ungenutzt hat verstreichen lassen, drei seit Wochen bekannte Sicherheitslecks in Word zu schließen.

Sicherheitsleck in QuickTime seit 23 Tagen bekannt. Langsam aber sicher endet das Projekt "Month of Apple Bugs" (MOAB), das im laufenden Monat täglich über eine offene Sicherheitslücke in MacOS-X-Produkten berichtet. Nach nunmehr 23 Tagen hat sich Apple erstmals eine der Sicherheitslücken vorgeknöpft, die im Rahmen dieses Projekts aufgedeckt wurden. Daher steht nun ein offizieller Patch für das seit 1. Januar 2007 bekannte Sicherheitsloch in QuickTime bereit.

Microsoft aktualisiert Patch für Excel. Auch im Monat Januar 2007 hat Microsoft kein Glück mit seinem Patch-Day. Im vergangenen Jahr musste Microsoft mehrfach Patches korrigieren, weil diese fehlerhaft waren. Nun betrifft es einen Excel-Patch, der Microsofts Tabellenkalkulation so durcheinander bringt, dass sich Dokumente unter bestimmten Umständen nicht mehr damit öffnen lassen.

"Risk Matrix" hilft bei Beurteilung der Updates. Oracles Patch-Sammlung für den Januar 2007 schließt insgesamt 51 Sicherheitslücken in den Produkten des Herstellers. Eine Risk Matrix soll Administratoren bei der Entscheidung helfen, welche Updates schnell einzuspielen sind.

Version zur Fehlerkorrektur schließt Sicherheitslücken. Während die Minor-Versionen des Linux-Kernels normalerweise nur kleinere Änderungen mit sich bringen, schließt der nun verfügbare Kernel 2.6.19.2 gleich mehrere Sicherheitslücken. Auch ein kritischer Fehler, durch den Daten nicht korrekt auf die Festplatte geschrieben wurden, ist nun behoben.

Auch Sicherheitsloch im Application Enhancer gefunden. Im Rahmen des "Month of Apple Bugs" wurde eine Sicherheitslücke im Finder von MacOS X entdeckt. Das Öffnen einer manipulierten DMG-Image-Datei genügt, damit Angreifer eine Denial-of-Service-Attacke vornehmen oder womöglich sogar schadhaften Programmcode ausführen können. Zudem wurde eine Sicherheitslücke im Application Enhancer gefunden, der für Workaround-Patches für die gefundenen Sicherheitslücken benötigt wird.

Patch-Day schließt fünf Excel-Lecks und drei Outlook-Sicherheitslücken. Die Vermutung hat sich nicht bestätigt, dass Microsoft endlich die drei offenen Sicherheitslücken in Word schließt. Zwar hat der Softwarekonzern drei Patches für sein Office-Paket veröffentlicht, aber keines dieser Korrekturen kümmert sich um die seit Dezember 2006 bekannten Sicherheitslücken, zu denen im Internet bereits Schadcode unterwegs ist. Immerhin wird das im Januar 2007 bekannt gewordene Sicherheitsleck in Excel geschlossen.

Mehrere Funktionen anfällig für Integer Overflows. In dem X-Server von X.org stecken mehrere Sicherheitslücken, die zu Integer Overflows führen können. Ausgenutzt werden können sie zwar nur von einem bereits authentifizierten Client, betroffen sind allerdings alle Versionen seit X.org 6.8.2. Patches stehen bereits zum Download bereit.

Kein Patch von Microsoft verfügbar. In Microsofts Tabellenkalkulation Excel wurde ein Sicherheitsloch gefunden. Angreifer können darüber beliebigen Programmcode ausführen. Opfer müssen lediglich dazu gebracht werden, eine entsprechend manipulierte XLS-Datei zu öffnen.