Sicherheitsforschern ist es gelungen, Steuerungsbefehle an Überwachungskameras und Philips-Hue-Lampen zu schicken. Die Geräte übertragen Daten und Befehle standardmäßig auf eine unsichere Weise.

Nuki hat ein Update für das Smart Lock 2.0 veröffentlicht. Damit erhalten Nutzer bei Bedarf Push-Benachrichtigungen vom smarten Aufsatzschloss. Bezüglich der Zigbee-Nutzung gibt es keine positiven Neuigkeiten.

Nach anfangs harscher Kritik durch Nutzer und einigen Monaten Testphase, will das Chrome-Team von Google damit beginnen, die URL-Bestandteile https und www auszublenden.

Mit Visa-Karten können kleinere Beträge bis zu einem Limit ohne PIN und Unterschrift bezahlt werden. Sicherheitsforscher konnten auch größere Beträge ohne Autorisierung abbuchen. Das soll sogar mit Visa-Karten im Smartphone-Wallet funktionieren.

Im Realtime-Betriebssystem VxWorks sind mehrere schwere Sicherheitslücken im Netzwerkstack gefunden worden. Offenbar verwendet VxWorks in der Standardkonfiguration keinerlei gängige Sicherheitsmechanismen wie ASLR, daher sind die Lücken leicht ausnutzbar.

Auf Druck der niederländischen Regierung hat Microsoft beim Datenschutz nachgebessert. Doch eine Analyse zeigt weiterhin Probleme mit onlinebasierten Office-Produkten und bestimmten Windows-Versionen.
Von Friedhelm Greis

Forscher der Universität Michigan haben das staatliche Internetüberwachungsprojekt in Kasachstan untersucht. Durch Scans entdeckten sie 37 überwachte Domains, die mit der TLS-Erweiterung SNI ausgefiltert werden.

Die US-Bank Capital One wurde durch einen "Konfigurationsfehler" bei einem Cloud-Anbieter gehackt. Sensible Daten von Millionen Bankkunden sind betroffen. Durch den Tipp eines Github-Nutzers konnte eine Verdächtige festgenommen werden.

Das Sicherheitsupdate 2019-004 für Sierra- und High-Sierra-Systeme ist als aktualisierte Version wieder da. Apple hat die beiden Updates mit neuem Datum in den Downloadbereich gestellt.

Mit einem Konfigurationsprofil ist es möglich, Apples Sprachassistenten Siri weiter zu nutzen, Apple aber zu untersagen, die Aufnahmen zu analysieren.

Ein Modul für die Pentesting-Software Canvas kann die gefährliche Sicherheitslücke Bluekeep ausnutzen. Auch eine Schadsoftware scannt bereits nach verwundbaren Systemen.

Nach den Falschmeldungen um eine angeblich kritische Sicherheitslücke im VLC-Player wollen die Entwickler des Videolan-Projekts künftig eigene CVE-Nummern vergeben.

Die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) fordert Google auf, einen besseren Trackingschutz in Android zu integrieren. Android Q bekomme zwar Verbesserungen im Bereich Datenschutz, diese reichten aber nicht aus.

Das Sicherheitsupdate 2019-004 ist nicht mehr auf den Apple-Servern im Downloadbereich gelistet. Betroffen sind aber nur die älteren Betriebssystemversionen Sierra und High Sierra.

Mit der Firmware Logitacker und einem USB-Funk-Stick für rund 10 Euro lassen sich kabellose Mäuse und Tastaturen von Logitech leicht hacken. Angreifer können mit der Software Schadcode per Funk eintippen lassen. Logitech wird nur ein Teil der Sicherheitslücken schließen.

Facebook stimmte der Strafe zu, wollte aber keine Schuld eingestehen. Selbst innerhalb der Handelsaufsicht FTC wird die Strafe als zu lasch kritisiert.

Ein eher unbedeutender Fehler in einer Abhängigkeit des VLC-Players wird von Behörden fälschlich als schwere Sicherheitslücke klassifiziert und viele Medien übernehmen dies ungeprüft. Das Videolan-Projekt ist nicht erfreut.

Verschlüsselung bedeute eine rechtsfreie Zone, die Kriminelle gerne nutzen, argumentiert der US-Justizminister. Deshalb brauche es dringend Hintertüren für die Strafverfolgungbehörden. Kritiker halten dagegen und warnen vor Missbrauch.

In den vergangenen Jahren wurden mehrere Industriegrößen wie Siemens, BASF und Henkel von der Hackergruppe Winnti attackiert. Sicherheitsforscher konnten die Angriffe aus Schadsoftware-Samples von Winnti herauslesen.

Apples iOS 12.4 beseitigt zahlreiche Sicherheitslücken in dem Mobilsystem. Besonders betroffen ist dieses Mal die Webkit-Engine des Browsers. Zudem ließ sich Verkehr des Samba-Servers abhören.

Die Washington Post will Dokumente erhalten haben, die belegen sollen, dass Huawei ein Mobilfunknetz in Nordkorea ausgerüstet habe. Huawei hat dies dementiert.

Ein Fehler im Bootloader der Tegra X1 von Nvidia ermöglicht das komplette Umgehen der Verifikation des Systemboots. Das betrifft wohl alle Geräte außer der Switch. Nvidia stellt ein Update bereit.

Die Mehrheit der Sicherheitslücken, die Microsoft behebt, sind auf die Speicherprobleme von C und C++ zurückzuführen. Das Sicherheitsteam von Microsoft untersucht deshalb nun den Einsatz der Sprache Rust.

Rund 7,5 TByte Daten konnten Hacker bei dem Dienstleister Sytech erbeuten. Darin enthalten sind geheime Forschungsarbeiten und Programme für den russischen Geheimdienst FSB. Unter anderem will dieser Tor-Nutzer deanonymisieren.

In Kasachstan müssen Internetnutzer ab sofort ein spezielles TLS-Zertifikat installieren, um verschlüsselte Webseiten aufrufen zu können. Das Zertifikat ermöglicht eine staatliche Überwachung des gesamten Internetverkehrs in dem Land.

Sind seit Jahren nicht mehr geänderte, im Browser hinterlegte Zugangsdaten geleakt worden? Ab Firefox 70 soll der Browser dies mit Firefox Monitor und Have I been pwned überprüfen - und im Fall des Falles den Nutzer warnen.

Forscher haben mehr als 22.000 Pornowebseiten auf Trackingdienste untersucht - und dort auch Google und Facebook gefunden. Diese geben jedoch an, die Daten nicht zu verwenden.

Ein Fehler auf der Petitionsplattform WeAct von Campact ermöglichte den Zugriff auf die Daten der Unterstützer. Rund 1,8 Millionen Unterzeichner sind betroffen. Die Nichtregierungsorganisation hat die Hintergründe des Fehlers veröffentlicht.

Wer sich im Aktionszeitraum des Prime Day die Browser-Erweiterung Amazon Assistant installiert hat, erhält 10 Euro von Amazon. Doch die Software überwacht das Surf-Verhalten des Kunden.

Keine E-Mail, kein Internet, keine Patientendatenbank: Eine Ransomware hat das Netzwerk von etlichen Krankenhäusern und Altenpflegeeinrichtungen im Südwesten Deutschlands befallen. Unklar ist, ob ein Lösegeld gefordert wurde.

Der Quartals-Patchday von Oracle fällt dieses Quartal etwas umfangreicher aus als in den letzten Quartalen. Der Datenbankanbieter schließt an diesem Tag mehr als 300 Sicherheitslücken. Aufgrund von Fehlern in Weblogic musste Oracle aber teils schon vorher patchen.

Der EU-Rat diskutiert die Ausweitung der Fluggastdatenspeicherung auf Bahn, Bus und Schiff. Datenschützer und Juristen kritisieren den Vorstoß. Die Datenspeicherung sei bereits in ihrer jetzigen Form unverhältnismäßig und führe effektiv zu weniger Sicherheit.

Biometrie und vor allem das vergleichsweise sichere Venenscansystem werden als Zugangsbeschränkung normalerweise nur für kritische Bereiche verwendet. In Österreich kam man hingegen auf die Idee, Saisonkarten an einem See so abzusichern.

Angreifer haben auf die Daten von rund 67.000 Vitrado-Nutzern zugreifen können. Diese sollten besser ihr Bankkonto im Auge behalten, rät die Freenet-Tochter.

Dass ein Bluetooth-Gerät seine angezeigte MAC-Adresse ändert, um nicht verfolgbar zu sein, reicht nicht ganz. Forscher konnten einige Geräte trotzdem tracken, sie mussten nur regelmäßig gesendete Datenpakete mitschneiden.

Cloudflare erzählt in einem ausführlichen Blogpost die Geschichte des vergangenen Ausfalls, der einen Teil der Internetinfrastruktur belastete und sogar das eigene Team bei der Fehlersuche behinderte. Das Unternehmen schämt sich für den Fehler.

Google ist nicht begeistert, dass ein Mitarbeiter aufgezeichnete Google-Assistant-Gespräche von Kunden an die Presse weitergeleitet hat. Ermittlungen dazu laufen - und Google rechtfertigt und verteidigt das Vorgehen.

Nach mehreren Monaten hat sich die US-Behörde FTC festlegen können: Facebook muss fünf Milliarden US-Dollar Strafe zahlen, wegen Cambridge Analytica und anderen Vorfällen. Nach Ansicht einiger Kritiker ist diese Summe im Verhältnis zum Einkommen des Unternehmens zu niedrig - der Aktienkurs steigt.

Eigentlich haben Nutzer sich vom aktuellen Sicherheitspatch für Windows 7 erhofft, nur Security-Fixes zu erhalten. Allerdings hat ein anonymer Nutzer entdeckt, dass Microsoft auch ein Diagnosetool verteilt, das Daten an das Unternehmen schicken kann. Zdnet hält das nicht für einen Zufall.

Angreifer verteilen wahllos Schadcode auf Amazon-S3-Buckets. Sie infizieren jeden Bucket, der ungeschützt im Netz hängt. Bislang sollen 17.000 Domains betroffen sein. Obwohl die Angriffe nur in einem Bruchteil der Fälle effektiv sein dürften, offenbaren sie ein größeres Problem.

Ein Entwickler stellt eine neue Version einer Zip-Bombe vor, die sehr effizient entpackt. Den Trick dokumentiert er anschaulich in einem Artikel. Dabei wird die immer gleiche gepackte Information beliebig oft aufgerufen.

Jeder 500. Sprachbefehl wird von Google-Mitarbeitern ausgewertet. Ein Leak aus Belgien zeigt, dass sich darunter auch viele ungewollt aufgenommene Gespräche und Telefonanrufe befinden - mit privaten und intimen Inhalten.

Mit einer neuen Methode können Daten von Air-Gapped-Computern, die nicht an das Internet angeschlossen sind, ausgeleitet werden. Dafür verwendet ein Sicherheitsforscher die LEDs einer Tastatur.

Nach mehreren Angriffen auf OpenPGP-Schlüssel auf Schlüsselservern zieht GnuPG die Reißleine und akzeptiert keine Signaturen mehr von diesen. Damit dürfte sich auch das Web of Trust erledigt haben.

Der Juli-Patchday von Adobe betrifft dieses Mal keine populären Endanwender. Weder der Flash Player noch die PDF-Werkzeuge haben Sicherheitslücken, die beseitigt werden müssen. Dafür gibt es Lücken in anderen Werkzeugen.

Über das Krankenhausnetzwerk lassen sich Befehle an Anästhesie- und Beatmungsgeräte des Herstellers GE senden. Eine Sicherheitslücke ermöglicht unter anderem, Dosierung und Typ des Narkosemittels zu ändern.

Zum Erstellen illegaler Kopien von Inhalten der Streaminganbieter Netflix oder Amazon greifen die zuständigen Gruppen offenbar direkt die genutzte Verschlüsselung an. Das geht aus einem Medienbericht hervor, der Insider zitiert.

Nach einer langen Diskussion hat sich Mozilla entschieden, TLS-Zertifikaten der Firma Dark Matter nicht mehr zu trauen. Dark Matter war laut Medienberichten in Spionage der Vereinigten Arabischen Emirate verwickelt.

Der Landesdatenschutzbeauftragte aus Hessen warnt vor Microsofts Cloud: Der Zugriff von Dritten könne nicht ausgeschlossen werden, daher dürften Schulen die Software Office 365 nicht einsetzen. Das ist aber nicht der einzige Grund.

Server für den sogenannten FastCGI Process Manager (FPM) können, wenn sie übers Internet erreichbar sind, unbefugten Zugriff auf Dateien eines Systems geben. Das betrifft vor allem HHVM von Facebook, bei PHP sind die Risiken geringer.
Eine Exklusiv-Meldung von Hanno Böck