Security

Neue Versionen schließen Sicherheitslücken in Firefox 1.5 und Thunderbird 1.5. Mit Firefox 1.5.0.8 und Thunderbird 1.5.0.8 wurden Sicherheits-Updates für die beiden Mozilla-Applikationen veröffentlicht. Diese schließen eine Reihe von Sicherheitslücken und sollen die Stabilität der Produkte allgemein verbessern. Neue Funktionen gibt es daher nicht.

Kritik: Bundesjustizministerium steuert in Verfassungskonflikt. Nachdem durch eine Entscheidung des Bundesgerichtshofs (BGH) das Urteil des Landgerichts Darmstadt endgültig rechtskräftig wurde, nach dem T-Online die Internetverbindungsdaten eines Privatmannes nicht speichern darf, hat nun Sabine Leutheusser-Schnarrenberger die geplante Vorratsdatenspeicherung als rechtlich nicht haltbar bezeichnet.

Anti-Terror-Datei verknüpft IT von Nachrichtendiensten und Polizei. Peter Schaar, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, hat anlässlich der öffentlichen Anhörung des Innenausschusses des Deutschen Bundestages zur Anti-Terror-Datei und zum Terrorismusbekämpfungsergänzungsgesetz in ungewöhnlich offener Form erklärt, dass das Gesetzesvorhaben einen weiteren Schritt auf dem Weg in eine Überwachungsgesellschaft darstelle.

Sicherheitslücke macht Zweckentfremdung möglich. Mit La Fonera stellt der WLAN-Anbieter Fon im Rahmen einer zeitlich begrenzten Aktion einen WLAN-DSL-Router kostenlos gegen das Versprechen zur Verfügung, Dritten die eigene DSL-Leitung zur Nutzung mit anzubieten, um damit letztlich den Telekom-Hotspots Konkurrenz zu machen. Zwei deutsche Studenten haben es nun geschafft, den La Fonera zu hacken - kurz vor der Verlängerung der Fon-Aktion bis zum 8. November 2006.

Sicherheitsleck in Windows-Komponente. In dem ActiveX-Control XMLHTTP steckt ein Sicherheitsloch, das zur Ausführung von Programmcode missbraucht werden kann und bereits durch einen aktiven Angriff verwendet wird. Der Fehler betrifft zahlreiche Windows-Plattformen und kann von Angreifern etwa durch die Bereitstellung einer präparierten Webseite ausgenutzt werden. Noch gibt es keinen Patch zur Abhilfe.

Angreifer kann beliebigen Programmcode ausführen. Im Internet Explorer 6 wurde eine neue Sicherheitslücke gefunden, für die bereits Schadcode im Internet aufgetaucht ist. Angreifer können über das Sicherheitsleck beliebigen Programmcode ausführen, um sich eine umfassende Kontrolle über einen fremden Rechner zu verschaffen. Einen Patch gibt es derzeit nicht, aber der Internet Explorer 7 soll den Fehler nicht mehr aufweisen.

Fehlermeldungen auf neuen, zuvor unbenutzten Konsolen. Laut Microsoft gibt es ein Problem mit dem in dieser Woche zur Verfügung gestellten Update für die Systemsoftware der Spielekonsole Xbox 360. Ausschließlich auf neuen und zuvor noch ungenutzten Spielekonsolen sowie auf werkseitig zurückgesetzten Geräten soll es nach dem Update zu Fehlermeldungen kommen können.

Microsoft plant Patch nach abgeschlossenen Untersuchungen. In einem in Visual Studio 2005 enthaltenen ActiveX-Modul steckt eine Sicherheitslücke, durch die Angreifer über manipulierte Webseiten Code in ein System einschleusen können. Microsoft gibt Anleitungen, wie die Sicherheitslücke vermieden werden kann, ein Patch soll später folgen.

WMV-Dateien lassen sich nun auch von CDs, DVDs und per USB abspielen. Wie angekündigt hat Microsoft nun die Xbox-360-Software auf das bald erscheinende HD-DVD-Laufwerk angepasst, so dass nun auch eine Ausgabe mit 1080p möglich ist. Außerdem ist es nun beispielsweise einfacher möglich, WMV-Videos vom PC auf die eigene Spielekonsole zu streamen. Außerdem wurde der zugehörige Online-Dienst Xbox Live auf mittels XNA selbst entwickelte Spiele vorbereitet.

Beispiel-Code im Internet veröffentlicht. Im Internet Explorer wurde ein Sicherheitsloch gefunden, das derzeit von Microsoft untersucht wird. Fest steht bislang, dass der Browser durch einen Programmfehler gezielt zum Absturz gebracht werden kann. Möglicherweise lässt sich über das Sicherheitsloch aber auch Programmcode ausführen, womit sich das Risiko erhöhen würde.

78 Rufnummern mit Rechnungslegungs- und Inkassoverbot belegt. Im Rahmen eines umfangreichen Maßnahmenbündels hat die Bundesnetzagentur über 80 Netzbetreibern und Serviceprovidern die Rechnungslegung und das Inkasso für rechtswidrig genutzte Rufnummern untersagt. Eine Vielzahl von Verbrauchern hatte sich bei der Bundesnetzagentur über so genannte Ping-Anrufe und andere Formen von Telefon-Spam beschwert.

Qualität nur in einigen Projekten vorhanden. Auf der LinuxWorld Expo in London warnte Kernel-Hacker Alan Cox davor, zu glauben, Open-Source-Software sei zwangsläufig sicherer. Es würde viel Geld dafür ausgegeben, um Systeme zu knacken und viele Projekte veröffentlichten alles andere als sichere Software.

Windows-Patch bringt Dateimanager durcheinander. Für den Windows-Dateimanager Total Commander 6.55 ist ein Update erschienen, um einen Fehler im Zusammenspiel mit einem Windows-Sicherheits-Patch zu korrigieren. Mit Total Commander 6.55 angelegte, selbstentpackende ZIP-Archive ließen sich nicht mehr starten, was die neue Version beheben soll.

Fehler in Firefox seit August 2006 bekannt. Sowohl die Firefox-Macher als auch Microsoft haben für ihre neuen Browser-Versionen verbesserte Sicherheit versprochen. Doch beide Webbrowser weisen längst bekannte Sicherheitslücken auf, die bislang nicht geschlossen wurden. Das Sicherheitsleck in Firefox 2.0 kann zu einem gezielten Browser-Absturz missbraucht werden. Unbestätigt ist, dass darüber auch Programmcode ausgeführt werden kann.

Winamp 5.31 mit zahlreichen Fehlerkorrekturen. Mit einem Update für Winamp werden zwei schwere Sicherheitslücken geschlossen, worüber Angreifer Programmcode ausführen können. Winamp 5.31 schließt die beiden Sicherheitslecks und korrigiert weitere Programmfehler.

OLG Karlsruhe bejaht Markenverletzung durch gefälschte Absenderadressen. Microsoft hat ein Verfahren gegen einen in Schleswig-Holstein beheimateten Spammer gewonnen. Das Oberlandesgericht Karlsruhe verurteilte den Störenfried am 25. Oktober 2006. Zuvor hatte auch schon das Landgericht Mannheim ein Urteil wegen Spammings und Markenverletzung gefällt und den Beklagten zu Unterlassung, Auskunft und Schadensersatz verurteilt.

Berliner Polizei brauchte den Dieb nur noch festzunehmen. In Berlin konnte ein Handtaschen-Dieb gefasst werden, weil das eingeschaltete Handy, das sich in der Tasche seines Opfers befand, geortet werden konnte. Der Dieb wurde von Zivilpolizisten in Kreuzberg festgenommen.

Kostenlose Software mit automatischer Aktualisierung. Microsoft hat die Final-Version des kostenlosen AntiSpyware-Werkzeugs Windows Defender veröffentlicht. Die Software soll Spyware, Rootkits und Keylogger ausfindig machen sowie eliminieren können und ist mit einem Pop-up-Blocker für den Internet Explorer 6 ausgestattet. Eine deutsche Version folgt erst einige Monate später.

Neue Version von "Distributed Password Recovery" verfügbar. ElcomSoft hat eine Software vorgestellt, die den Zugriff auf eigentlich nicht mehr zugängliche Windows-Konten gestattet. Selbst wenn in Ermangelung korrekter Kennwörter kein regulärer Zugang zu einem Windows-PC mehr möglich ist, soll ein System mit Hilfe von "System Recovery" wieder zum Laufen zu bekommen sein.

Programm öffnet komplettes Terminal. Der Informatikstudent Amir Alsbih hat eine Demonstration einer Linux-Backdoor veröffentlicht, die als Paket-Sniffer fungiert und dabei nicht auf die Software Tcpdump angewiesen ist. Ferner stellt das Backdoor-Programm ein komplettes Terminal bereit und verschlüsselt die Sessions.

Sicherheitstechniken in Open Specification Promise aufgenommen. Microsoft weitet sein Open Specification Promise aus und erlaubt nun auch die Nutzung verschiedener Sicherheitstechniken. Darunter ist das Spam-Bekämpfungsverfahren der Sender ID. Die insgesamt vier neu in das Open Specification Promise aufgenommenen Techniken sind bereits experimentelle Request for Comments (RFC).

Zusammenarbeit mit Adobe. Auf seiner Open-World-Messe hat Oracle angekündigt, weitere offene Standards zu unterstützen. Die Unterstützung gilt für Oracle Fusion Middleware, Oracles Produktlinie zur Integration von heterogenen Geschäftsanwendungen wie der Application-Server-10g-Familie. Zu den Techniken gehören unter anderem Standards zur Java-Entwicklung. Ferner wird der Datenbank-Anbieter künftig mit Adobe zusammenarbeiten.

Neue Version mit verbessertem Tabbed-Browsing und Anti-Phishing-Funktion. Mit renovierter Oberfläche und einigen neuen Funktionen ist der Browser Firefox ab sofort in der Version 2.0 verfügbar. Firefox 2.0 umfasst einen Phishing-Filter, verbessertes Tabbed-Browsing sowie eine Vorschau beim Eintragen neuer News-Feeds. Eine Rechtschreibkorrektur vermindert Tippfehler etwa beim Schreiben von Forenkommentaren oder bei der Nutzung von Webmailern.

Täter im Zweifelsfall wegen Geldwäsche dran. Das Bundeskriminalamt in Wiesbaden hat mehrere neue Phishing-Tricks ausmachen können, bei denen auch die Opfer zu Mittätern wider Willen werden. Die Betrüger könnten mit manchen Tricks durch Vortäuschung legaler Geschäfte die Gutgläubigkeit der Betroffenen ausnutzen, um Gelder, die von fremden ausgespähten Onlinekonten abgezweigt wurden, ins Ausland zu verschieben.

Negativpreis für Datenkraken in Bielefeld verliehen. Lebenslange Schüler-IDs, verdachtsunabhängige Tonaufzeichnungen, Anti-Terror-Datei, Seriennummern auf gebrannten CDs, Warn- und Hinweisdateien der Versicherungswirtschaft und die Übermittlung von Überweisungsdaten an US-Behörden durch SWIFT wurden in diesem Jahr mit dem Negativpreis Big Brother Award ausgezeichnet. Der Preis wird jährlich an Firmen, Organisationen und Personen verliehen, die in besonderer Weise und nachhaltig die Privatsphäre von Menschen beeinträchtigen oder persönliche Daten Dritten zugänglich machen.

Aktualisierter Sicherheits-Patch für Windows 2000. Bereits in den letzten beiden Monaten musste Microsoft Sicherheits-Updates überarbeiten, die am allmonatlichen Patch-Day veröffentlicht wurden. Auch im Oktober 2006 wurde ein Fehler in einem Sicherheits-Patch erst nach Erscheinen bemerkt. Microsoft hat nun einen überarbeiteten Patch für Windows 2000 veröffentlicht.

Debian im Markenrechtsstreit mit der Mozilla Corporation. Die Debian-Entwickler haben das E-Mail-Programm Mozilla Thunderbird im Unstable-Zweig ihrer Distribution in IceDove umbenannt. Voraussichtlich folgt darauf noch die Namensänderung von Firefox in IceWeasel. Dem vorausgegangen ist eine Auseinandersetzung mit der Mozilla Corporation, die durch Änderungen an Browser und E-Mail-Client ihre Markenrechte verletzt sah.

Sicherheitsleck in Komponente von Outlook Express. Microsoft reagierte auf das einen Tag nach Erscheinen des Internet Explorer 7 gefundene Sicherheitsloch zerknirscht. Nach Aussage aus Redmond stecke das Sicherheitsleck nicht im Internet Explorer 7, sondern in Outlook Express. In Windows Vista sei das Sicherheitsleck bereits korrigiert, in Windows XP werde an einem Patch gearbeitet.

Stift und Zettel statt elektronischer Black-Box. Nicht erst seit der Schelte durch den Chaos Computer Club sind Wahlcomputer umstritten. Eine Petition fordert nun die ersatzlose Streichung des § 35 Bundeswahlgesetz, der die Stimmabgabe mit Wählgeräten regelt. Unterstützt wird die Petition unter anderem vom Hacker-Club CCC, der seinerseits ein Verbot von Wahlcomputern in Deutschland fordert.

Sicherheitslücke liegt in der Qt-Bibliothek. In der Qt-Bibliothek ist eine Sicherheitslücke aufgetaucht, die Auswirkungen auf den KDE-Browser Konqueror hat. Dieser nutzt Qt so, dass es Angreifern möglich sein soll, beliebigen Programmcode auszuführen. Dazu reicht eine manipulierte Webseite aus.

Auch Service Pack 2 für Windows Server 2003 verzögert sich. Klammheimlich hat Microsoft das Veröffentlichungsdatum für das Service Pack 3 für Windows XP nach hinten verschoben. Bisher sollte das Update im zweiten Halbjahr 2007 kommen. Nach neuer Planung zieht es sich nun noch mindestens bis zur ersten Jahreshälfte 2008 hin, bis das dritte Service Pack für Windows XP kommt. Eine Terminverschiebung gibt es auch für das Service Pack 2 für Windows Server 2003.

Sicherheitsloch erlaubt Ausspähen von Daten. Der Internet Explorer 7 ist nicht mal einen Tag alt, da wurde schon eine Sicherheitslücke in Microsofts neuem Browser entdeckt. Das Sicherheitsleck erlaubt Angreifern das Ausspähen von Daten und wird als wenig kritisch eingestuft. Einen Patch zur Abhilfe gibt es bislang nicht.

Netzwerk-Shooter hat Probleme mit Windows-XP-Kernel-Patch. Electronic Arts sorgt erneut für Unmut bei Kunden: Für den futuristischen Netzwerk-Shooter Battlefield 2142 ist seit dieser Woche der erste Patch erhältlich, der unter Windows XP Probleme mit einem wichtigen Kernel-Sicherheitsupdate hat. EA empfiehlt kurzerhand dessen Deinstallation und nimmt in Kauf, dass die Rechner der Kunden damit angreifbarer werden.

Alle Plattformen vom Flash Player betroffen. Adobe berichtet über zwei bislang nicht geschlossene Sicherheitslecks im Flash-Player. Darüber können Angreifer verschiedene Kommandos ausführen, um etwa an vertrauliche Daten zu gelangen. Noch arbeitet der Hersteller an einem Patch, so dass derzeit keine Abhilfe zur Verfügung steht.

Internet Explorer 7 mit Feed-Reader, Phishing-Filter und Pop-up-Blocker. Fast zwei Jahre nach der ersten Ankündigung des Internet Explorer 7 hat Microsoft es endlich geschafft, die Arbeiten an der neuen Browser-Version abzuschließen. Zuvor ließ Redmond die Entwicklung am Internet Explorer über mehrere Jahre ruhen. Der Internet Explorer 7 bringt nach langer Wartezeit viele von der Konkurrenz lange bekannte Funktionen, wie Tabbed-Browsing, einen Feed-Reader, einen Pop-up-Blocker und einen Phishing-Filter.

RavMonE.exe kurzzeitig mit auf Apples Musikspieler. Apple muss eine peinliche Schlappe verzeichnen: Ausgerechnet auf dem Musikspieler iPod war in einigen Fällen ein Windows-Virus installiert worden. Apple hat zugegeben, dass weniger als ein Prozent der seit dem 12. September 2006 ausgelieferten iPod Videos mit dem Virus RavMonE.exe verseucht sind. Mittlerweile ist das Problem in der Produktion abgestellt worden.

"Executive Summeries" bieten mehr Informationen. 101 Sicherheitslücken schließt Oracles Patch-Paket für den Monat Oktober 2006. Die meisten Korrekturen sind für die Datenbank-Produkte.

Opera stellt Phishing-Mechanismus vor. Mit dem kommenden größeren Update erhält der Webbrowser Opera einen datenbankbasierten Phishing-Schutz, um Nutzer vor betrügerischen Webseiten zu schützen. Dies enthüllte Opera auf einer firmeneigenen Veranstaltung in London. Die Norweger setzen hierbei bewusst etwas andere Methoden ein als Firefox 2.0 und der Internet Explorer 7.0.

BSD- und Solaris-Treiber enthalten Sicherheitslücke vermutlich auch. Die Linux-Treiber von Nvidia enthalten eine Sicherheitslücke, durch die sich beliebiger Programmcode mit Root-Rechten ausführen lässt. Ein Angriff soll auch von einem entfernten Rechner aus möglich sein. Unter Umständen sind auch die BSD- und Solaris-Treiber betroffen, wobei Nvidia der Fehler angeblich bereits seit zwei Jahren bekannt ist. Ein Exploit existiert schon.

Fertige Version von Firefox 2.0 für Ende Oktober 2006 erwartet. Das Mozilla-Team hat einen dritten und damit den voraussichtlich letzten Release Candidate von Firefox 2.0 veröffentlicht. Damit stehen die Chancen gut, Firefox 2.0 noch bis Ende Oktober 2006 fertig zu bekommen. Im Vergleich zum Release Candidate 2 bringt die neue Version vor allem Fehlerkorrekturen.

Abfluss geheimer Informationen soll auf jedem Kanal verhindert werden. McAfee hat den israelischen Softwarehersteller Onigma übernommen. Onigma entwickelt Sicherheitssoftware für Unternehmensnetzwerke und soll das Portfolio von McAfee in diesen Bereichen aufbessern.

Digitales Rechtemanagement mit Smartcard. Die amerikanisch-israelische Firma Aladdin hat einen Prototypen vorgestellt, der optisches Speichermedium und Smartcard-Speicher kreuzt. Die unregelmäßig geformte XCD ist so dick wie eine normale DVD und soll in entsprechenden Laufwerken mit Schubladen auch abgespielt werden können. Außerdem ist in dem Medium eine Smartcard eingebunden.

Zahlreiche Notebooks betroffen, erster Patch verfügbar. In den Treibern der bei vielen Marken-Notebooks verbauten Bluetooth-Module von Toshiba steckt eine schwere Sicherheitslücke. Ein Angreifer kann darüber Code einschleusen und ausführen - oder Windows XP zum Absturz bringen. Von Toshiba selbst gibt es bereits einen Patch.