Security-Alert

13 Sicherheitslücken in MacOS X - Apple stellt Patch bereit. Mit einem Sicherheits-Patch für MacOS X 10.3.9 sowie 10.4.3 behebt Apple gleich 13 Sicherheitslöcher im Betriebssystem. Darunter befinden sich auch vier Sicherheitslücken im Webbrowser Safari, worüber Angreifer unter anderem beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen könnten.

Angreifer nutzen Sicherheitsloch vom Mai 2005. Für Microsofts Webbrowser ist Programmcode aufgetaucht, der ein altes, aber bislang nicht geschlossenes Sicherheitsleck im Internet Explorer ausnutzt. Angreifer können über eine präparierte Webseite beliebigen Programmcode auf fremde Rechner schleusen und sich so eine umfassende Kontrolle darüber verschaffen. Ein Patch zur Beseitigung des Sicherheitslochs ist nicht verfügbar.

Cisco und Juniper Networks sollen Problem bereits behoben haben. Ein finnisches Forscherteam der Universität Oulu veröffentlichte jetzt eine Schwachstelle beim Schlüsselaustausch (Internet Key Exchange) von IPSec. Betroffen sein sollen verschiedene VPN- und Firewall-Produkte, unter anderem von Cisco und Juniper Networks.

Sicherheitslöcher bei der Anzeige von WMF- und EMF-Dateien. An Microsofts Patch-Day für den November 2005 erscheint wie angekündigt nur ein Security Bulletin für die Windows-Plattform. Allerdings werden damit gleich drei verschiedene Sicherheitslücken im Betriebssystem geschlossen. Über zwei der drei Sicherheitslöcher kann ein Angreifer beliebigen Programmcode ausführen, während das andere Sicherheitsleck eine Denial-of-Service-Attacke erlaubt.

Neue Version vom Flash-Player 7 stopft Sicherheitslücke. Im nicht mehr ganz taufrischen Flash-Player 7 haben die Experten von eEye ein Sicherheitsleck entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Zur Abhilfe bietet Macromedia nun eine neue Version vom Flash-Player 7 zum Download an. Der Flash-Player 8 kennt das Problem nicht.

Neue Erkenntnis: QuickTime 7.0.3 behebt vier Sicherheitslücken. Vor mehr als drei Wochen hat Apple die Version 7.0.3 von QuickTime veröffentlicht, ohne Informationen zu nennen, welche Änderungen das Update bringt. Erst jetzt ist bekannt, dass mit QuickTime 7.0.3 gleich vier Sicherheitslücken geschlossen werden, wovon drei Lecks zur unberechtigten Ausführung von Programmcode missbraucht werden können.

Oft kritisierte Sicherheitsarchitektur vom Internet Explorer zeigt Folgen. In den vergangenen Monaten hat Microsoft zur Beseitigung von Sicherheitslücken im Internet Explorer einige Funktionen so beschränkt, dass manche Webseite in dem Redmondschen Browser nicht mehr korrekt angezeigt wird. Dies belegt abermals, dass viele der durch den Internet Explorer hervorgerufenen Sicherheitsprobleme in der Browser-Architektur begründet sind, die sich eben nicht ohne weiteres beheben lassen, ohne dem Nutzer zunächst Nachteile aufbürden zu müssen.

Vorabinformationen zum nächsten Patch-Day von Microsoft. Im Monat November 2005 will Microsoft ein Security Bulletin veröffentlichen, das mindestens ein Sicherheitsleck in Windows behebt, das als kritisch eingestuft wird. Weitere Informationen dazu werden erst am 8. November 2005 folgen, wenn das Security Bulletin veröffentlicht wird.

Kritisches Sicherheitsupdate von Oracle. Oracle beseitigt mit seinem Oktober-Patch zahlreiche Sicherheitlücken in seiner Software. Viele der Probleme schätzt Oracle dabei selbst als kritisch ein, schweigt sich aber wie üblich zu Details aus.

Exploit ist nur eine Zeile lang. Beim Anzeigen von HTML-Seiten bzw. -Mails können der Browser Firefox und der E-Mail-Client Thunderbird mit nur einer Codezeile zum Absturz gebracht werden. Ein Patch existiert bereits seit 2004, ist aber erst in Firefox 1.5 enthalten.

Microsofts Patch-Day mit insgesamt elf Sicherheitslücken in Windows. Insgesamt sechs als gefährlich einzustufende Sicherheitslöcher hat Microsoft am Patch-Day für den Oktober 2005 in Windows zusätzlich zu den beiden Sicherheitslücken im Internet Explorer geschlossen. Über 6 von 11 gestopfte Windows-Sicherheitslecks können Angreifer beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen.

Microsoft bietet Patches für zwei Sicherheitslücken im Internet Explorer. Am Patch-Day für den Oktober 2005 nimmt sich Microsoft unter anderem zwei Sicherheitslücken im Internet Explorer vor. Während das eine Sicherheitsloch als weniger gefährlich eingestuft wird, kann ein Angreifer über das andere Leck beliebigen Programmcode ausführen, sofern er sein Opfer zum Besuch einer präparierten Webseite oder Ansicht einer manipulierten HTML-E-Mail bringt.

Fehler in Googles AdWords-Zugang erlaubte das Ausspähen von Daten. Die Bereiche AdWords und Services von Google wiesen eine Sicherheitslücke auf, die Google ohne weitere Bekanntmachung bereits im September 2005 geschlossen hat. Angreifer hätten sich darüber Zugriff auf Google-Konten verschaffen können, um so Daten innerhalb der Konten zu verändern.

Vorabinformation zu Microsofts Patch-Day am 11. Oktober 2005. Nachdem Microsoft den zunächst geplanten Patch-Day für den Monat September 2005 überraschend abgesagt hatte, kommt für Windows-Nutzer im Oktober 2005 eine wahre Flut von Sicherheits-Patches. Insgesamt stehen für diesen Monat allein acht Security Bulletins für die Windows-Plattform an.

Neue Mozilla-Version beseitigt Sicherheitslücken. Das Update für die Web-Suite Mozilla 1.7.x steht nun auch in deutscher Ausführung zum Download bereit. Mit Mozilla 1.7.12 werden Sicherheitslücken geschlossen und es gibt einige kleine Veränderungen. Ferner wurde ein Programmfehler im E-Mail-Client behoben.

Betriebssystem-Patch behebt zehn Sicherheitslöcher in MacOS X. Insgesamt zehn Sicherheitslöcher beseitigt ein neues Update für MacOS X. Über zwei der Sicherheitslöcher können Angreifer über eine manipulierte Bilddatei schädlichen Programmcode ausführen, um sich so eine umfassende Kontrolle über ein fremdes System zu verschaffen. Dazu würde bereits der Besuch einer Webseite etwa mit Safari genügen.

Aktuelle Mozilla-Browser beseitigen Fehler bei International Domain Names (IDN). Nachdem die englischsprachige Version von Firefox 1.0.7 seit dem gestrigen 21. September 2005 verfügbar ist, steht nun auch die deutschsprachige Version des Mozilla-Browsers zum Download bereit. Außerdem wurde die erwartete Mozilla-Version 1.7.12 veröffentlicht, die gleichfalls zwei Sicherheitslücken schließt und einige kleine Veränderungen bringt sowie einen Programmfehler im E-Mail-Client behebt.

Aktueller Mozilla-Browser beseitigt Fehler bei International Domain Names (IDN). Ab sofort steht der Mozilla-Browser Firefox in der Version 1.0.7 zum Download bereit. Damit werden zum einen Sicherheitslücken geschlossen und es gibt eine Änderung an den Extensions-Funktionen. Ein neu bekannt gewordenes Sicherheitsloch betrifft nur die Linux-Version von Firefox.

Öffentliche Beta-Version des Firefox-Pakets Firemonger 1.5 erschienen. Die Mozilla-Entwickler haben Release Candidates von Firefox 1.0.7 sowie Mozilla 1.7.12 veröffentlicht, um mögliche Unstimmigkeiten in den Web-Browsern aufzudecken, bevor in Kürze die Final-Versionen erscheinen. Die neuen Versionen enthalten Sicherheits-Patches und bringen Änderungen an den Extensions-Funktionen, beim Datei-Download und beim Zugriff auf kennwortgeschützte Webseiten. Zudem steht eine öffentliche Beta des Firefox-Pakets Firemonger 1.5 zum Testen bereit.

Java-Patches für MacOS X 10.3.9 sowie MacOS X 10.4. Gleich zwei Sicherheits-Updates hat Apple für seine Java-Engine veröffentlicht. Damit werden verschiedene Sicherheitslücken in Java 1.3.1 sowie Java 1.4.2 behoben. Die Sicherheitslöcher könnten Angreifer etwa zur Ausweitung der eigenen Rechte oder zum Ausspähen von Daten missbrauchen.

Microsoft sagt den zunächst angekündigten Patch-Day wieder ab. Überraschend wurde der für den 13. September 2005 geplante allmonatliche Patch-Day von Microsoft abgesagt, weil beim Testen eines Patches offenbar Fehler gefunden wurden. Zunächst hatte Microsoft angekündigt, in diesem Monat ein Security Bulletin für Windows zu veröffentlichen und damit mindestens ein Sicherheitsloch im Betriebssystem zu stopfen.

Unterstützung für International-Domain-Names-URLs abgeschaltet. Für eine kürzlich entdeckte, in zahlreichen Firefox-Versionen existierende Sicherheitslücke wurde nun von den Entwicklern eine zwischenzeitliche Lösung gefunden. Ein Patch soll das Problem, durch das Angreifer Programmcode ausführen können, erst einmal beseitigen, indem die Unterstützung für IDN-URLs (International Domain Names), die einen Buffer Overflow verursachen, zunächst abgeschaltet wird.

Überlange URLs verursachen Buffer Overflow in Firefox. In zahlreichen Firefox-Versionen wurde eine Sicherheitslücke entdeckt, worüber Angreifer Programmcode ausführen können. Überlange URLs verursachen in dem Browser einen Buffer Overflow, der Firefox zum Absturz bringt und sich dazu missbrauchen lässt, Code zu starten.

Vorabinformation zu Microsofts Patch-Day am 13. September 2005. Auch in diesem Monat macht Microsoft vorab Angaben dazu, wie umfangreich der für September 2005 geplante Patch-Day ausfällt. Demnach wird am 13. September 2005 nur ein Security Bulletin veröffentlicht, mit dem mindestens ein Windows-Sicherheitsloch geschlossen wird.

Aktuelle Sicherheitslücke im Internet Explorer wurde Microsoft nicht gemeldet. Mit einem neuen Sicherheitshinweis geht Microsoft auf die am gestrigen 18. August 2005 bekannt gemachte Sicherheitslücke im Internet Explorer ein. Bei dieser Gelegenheit beklagt der Softwaregigant, dass er nicht vorab über das Sicherheitsloch informiert wurde.

Aktueller Sicherheits-Patch soll sich wieder mit 64-Bit-Software vertragen. Apple hat den Sicherheits-Patch für MacOS X 10.3.9 sowie 10.4.2 neu aufgelegt, um die Unverträglichkeiten mit 64-Bit-Software zu korrigieren. Dem ersten Sicherheits-Patch fehlte eine wichtige Systemdatei, so dass 64-Bit-Applikationen unter MacOS X nach Einspielung des Patches nicht mehr funktionierten.

Angreifer kann Befehle über das Sicherheitsloch ausführen. Im Internet Explorer wurde eine weitere Sicherheitslücke entdeckt, worüber Angreifer beliebige Befehle auf einem anderen System ausführen können, berichten die Sicherheitsspezialisten von FrSIRT. Demnach macht sich das Sicherheitsloch nur bemerkbar, wenn eine bestimmte Microsoft-Datei auf dem System des Opfers vorhanden ist, die Microsoft Office und Visual Studio .NET auf den Rechner bringen.

Überarbeiteter Sicherheits-Patch soll Fehler beheben. Wie das Unofficial Apple Weblog berichtet, stört das am gestrigen 16. August 2005 erschienene Sicherheits-Update für MacOS X die Ausführung von 64-Bit-Applikationen. Derartige Software lässt sich auf einem aktualisierten MacOS X dann nicht mehr starten. Apple will den Fehler beheben, bietet aber noch keine Überarbeitung des Patches an.

Sicherheitsleck steckt in allen Versionen ab Acrobat Reader 5.x. Ein gefährliches Sicherheitsleck hat Adobe in mehreren PDF-Applikationen entdeckt, worüber ein Angreifer beliebigen Programmcode ausführen kann, sofern eine manipulierte PDF-Datei mit den betroffenen Applikationen geöffnet wird. Das Sicherheitsleck steckt im Acrobat Reader 5.x, im Adobe Reader 6.x sowie 7.x und in Acrobat der Versionen 5.x bis 7.x und gilt für die Plattformen Windows, MacOS X und Linux.

24 Komponenten von MacOS X betroffen. Mit einem aktuellen Sicherheits-Update behebt Apple gleich 34 Sicherheitslücken in insgesamt 24 Komponenten des Betriebssystems. Zwei der Sicherheitslöcher stecken in Apples Webbrowser Safari und eines der Lecks erlaubt einem Angreifer die Ausführung beliebigen Programmcodes. Die Sicherheits-Patches stehen für MacOS X 10.3.9 sowie 10.4.2 jeweils für die Desktop- und Server-Ausführung zum Download bereit.

Angreifer können eigenen Perl-Code einschleusen. IDefense warnt vor einer kritischen Sicherheitslücke in der Logfile-Analyse-Software AWStats, durch die Angreifer fremden Code auf entsprechenden Systemen ausführen können. AWStats erfreut sich recht großer Beliebtheit und kommt auf diversen Servern zum Einsatz, die dadurch nun gefährdet sind.

Exploit-Code für Windows-Sicherheitsloch im Internet gesichtet. In einem gesonderten Sicherheitshinweis weist Microsoft explizit darauf hin, dass für eine der in dieser Woche geschlossenen Windows-Sicherheitslücken Exploit-Code im Internet entdeckt wurde. Zumindest unter Windows 2000 könnten Angreifer darüber beliebigen Programmcode ausführen, so dass Microsoft dringend zur Aktualisierung des Betriebssystems rät.

Funktionierender Patch für Internet Explorer wieder per Download-Center zu haben. Am gestrigen 10. August 2005 hatte Microsoft anlässlich des monatlichen Patch-Days einen Sammel-Patch für den Internet Explorer veröffentlicht, um drei Sicherheitslücken in dem Browser zu schließen. Wurde der Patch über Microsofts Download-Center geladen, ließ er sich auf Grund eines Fehlers, der nun behoben ist, jedoch nicht installieren.

Angreifer können beliebigen Programmcode ausführen. Für den Patch-Day August 2005 hatte Microsoft sechs Security Bulletins angekündigt, die nun insgesamt neun Sicherheitslücken schließen. Sechs dieser Sicherheitslöcher stecken in Windows, während drei schwere Sicherheitslecks den Internet Explorer ab der Version 5 betreffen. Über diese Sicherheitslücken können Angreifer beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über fremde Systeme verschaffen.

Insgesamt sechs Sicherheitslücken in Windows. Wie bereits berichtet, hat sich Microsoft für den diesmonatigen Patch-Day mehrere als kritisch eingestufte Sicherheitslücken in Windows vorgenommen. Drei von den insgesamt sechs in Windows gefundenen Sicherheitslücken werden als gefährlich eingestuft, weil Angreifer darüber belieben Programmcode ausführen und sich so eine umfassende Kontrolle verschaffen können. Zudem hat Microsoft einen Sammel-Patch für drei schwere Sicherheitslücken im Internet Explorer veröffentlicht.

Vorabinformationen zu Microsofts Patch-Day am 9. August 2005. Wie üblich informierte Microsoft wenige Tage vor dem monatlichen Patch-Day grob über die zu erwartenden Sicherheits-Patches. Demnach werden am 9. August 2005 mindestens sechs Sicherheitslücken in Windows geschlossen. Einige der Sicherheitslücken stuft Microsoft selbst als kritisch ein.

Noch kein Patch verfügbar. Die Sicherheitsexperten von eEye haben eine weitere schwere Sicherheitslücke im Internet Explorer gefunden. Das Sicherheitsloch in Microsofts Browser erlaubt Angreifern die Ausführung beliebigen Programmcodes, so dass diese eine umfassende Kontrolle über ein fremdes System erlangen können.

Greasemonkey 0.5 Beta schließt bekannt gewordenes Sicherheitsloch. Die Firefox-Erweiterung Greasemonkey steht ab sofort in der Version 0.5 Beta zum Download bereit und schließt damit ein kürzlich bekannt gewordenes Sicherheitsleck. Damit steht wieder eine Greasemonkey-Version mit vollem Funktionsumfang zur Verfügung, nachdem Kernfunktionen in der letzten Version der Firefox-Erweiterung aus Sicherheitsgründen abgeschaltet wurden.

Aktuelle Opera-Version schließt Sicherheitslücken. In der vergangenen Woche veröffentlichte Opera die um Sicherheitslücken und Programmfehler bereinigte Version 8.02 des norwegischen Browsers. Nun reicht der Hersteller die bislang fehlende Version für Solaris nach. Mit Opera 8.02 werden insgesamt drei Sicherheitslücken in dem Browser geschlossen.

Opera 8.02 behebt drei Sicherheitslücken und kleine Programmfehler. Der norwegische Browser-Bauer Opera bietet ab sofort eine fehlerbereinigte Version von Opera 8 für alle Plattformen außer Solaris an, um drei Sicherheitslücken zu schließen und verschiedene kleinere Programmfehler zu beseitigen. Wie bekannt wurde, bringt die Final-Version von Opera 8.02 allerdings keine BitTorrent-Unterstützung, die in einer Vorabversion bereits enthalten war.

Mozilla 1.7.10 steht zum Download bereit und schließt Sicherheitslücken. Nachdem für Firefox sowie Thunderbird bereits Sicherheits-Updates erschienen sind, um eine Reihe darin entdeckter Sicherheitslücken zu schließen, zieht nun auch die Web-Suite Mozilla nach. Mit Mozilla 1.7.10 werden insgesamt neun Sicherheitslöcher bereinigt, wovon allerdings nur eines von den Entwicklern als kritisch eingestuft wird.

GaduGadu gefährdet Instant-Messaging-Nutzer. Das KDE-Team warnt vor Sicherheitslücken im Instant-Messenger Kopete sowie den Text-Editoren Kate und KWrite. Fehler in einer von Kopete verwenden Bibliothek könne unter Umständen das Ausführen von fremden Code erlauben.

Sicherheits-Experte veröffentlicht sechs nicht geschlossene Lücken. Alexander Kornbrust, Sicherheits-Spezialist für Oracle-Software, kritisiert den Software-Hersteller wegen dessen Umgang mit Sicherheitslücken und veröffentlichte zugleich sechs Advisories zu Sicherheitslücken in Oracle Forms und Reports, die derzeit nicht behoben sind.