Security

Internet Explorer 6 erlaubt Cross-Domain-Zugriffe. Der aktuelle Internet Explorer 6 mit allen verfügbaren Patches weist eine Sicherheitslücke auf, die bereits 1998 für den seligen Internet Explorer 3 und 4 bereinigt, aber in aktuellen Browser-Versionen aus Redmond wieder entdeckt wurde. Einen Patch bietet Microsoft derzeit nicht an.

TelefonSeelsorge bietet verschlüsselten Chat. Damit Hilfe bzw. Rat suchende Menschen keine Angst haben müssen, ausspioniert zu werden, wird die TelefonSeelsorge Deutschland am 1. Juli 2004 mit einem neu entwickelten, verschlüsselten Internetchat starten. Ratsuchende sollen mit dem laut TelefonSeelsorge "ersten verschlüsselten Chat" sicher sein können, dass die Beratungsinhalte und der Kontakt mit der beratenden Person nicht von Dritten eingesehen werden können.

Anti-Spam 6.0 verspricht leistungsfähigere Filter. Nach Abschluss der Übernahme von Brightmail kündigt Symantec die Version 6.0 der nun "Symantec Brightmail Anti-Spam" getauften Anti-Spam-Software an. Mit neuen sprachenspezifischen Filtern und verbesserten Administrationsmöglichkeiten soll die neue Anti-Spam-Lösung Unternehmen besser gegen Spam schützen.

Mit WPA2 und AES-Verschlüsselung zu mehr Sicherheit. Laut eines Berichts vom WiFi Planet hat das Institute of Electrical and Electronics Engineers (IEEE) kürzlich den 802.11g-Nachfolger 802.11i abgesegnet. Dieser wird nicht nur das von der Wi-Fi Alliance entwickelte Wi-Fi Protected Access (WPA) für bessere Authentifizierung integrieren, sondern dieses erweitern und zudem AES-Verschlüsselung mit sich bringen, um so auch den Datenschutzansprüchen der US-Regierung entsprechen zu können.

Patch soll Zuverlässigkeit der Office-Suite erhöhen. Sun hat einen dritten Patch für die Office-Suite StarOffice 7 veröffentlicht, um zahlreiche Fehler in der Software zu bereinigen. Die Fehlerbereinigungen sollen der Software eine verbesserte Stabilität bringen. Die Patches stehen für die Windows-, Linux- und Solaris-Versionen zum Download bereit.

Patch für den Internet Explorer lässt aber weiter auf sich warten. Wie Microsoft in einer Presseverlautbarung bekannt gab, konnte größerer Schaden durch die am Freitag bekannt gewordene erhöhte Gefährdung durch den Webseiten-Besuch mit dem Internet Explorer verhindert werden, indem der Server zur Einschleusung von schadhafter Software deaktiviert wurde. Ferner nannte Microsoft weitere Details, ohne jedoch den ausstehenden Patch für den Internet Explorer nachzureichen.

Gehackte Webserver schleusen Programmcode auf fremde Systeme. Wie das US-CERT in einer aktuellen Mitteilung bekannt gab, wurden weltweit mehrere Webserver gehackt, über die schädlicher Programmcode beim Aufruf von Webseiten mit dem Internet Explorer und aktiviertem Active-Scripting auf fremde Systeme geschleust werden. Das US-CERT empfiehlt Administratoren des betroffenen Internet Information Server 5 von Microsoft, ihre Server auf verdächtige Informationen zu untersuchen.

Neue Spezifikation kombiniert "Caller ID for E-Mail" und SPF. Microsoft hat zusammen mit Pobox.com-Gründer Meng Weng Wong, zugleich Autor Sender Policy Framework (SPF), jetzt einen gemeinsamen Vorschlag der SPF und Microsofts "Caller ID for E-Mail" kombiniert bei der IETF zur Standardisierung eingereicht. Die nun "Sender ID" getaufte Technik soll verhindern, dass E-Mails unter gefälschten Absenderadressen verschickt werden können und so das Spam-Problem eindämmen.

ISC DHCP Version 3.0.1rc14 behebt die Fehler. Das US-Cert warnt vor zwei Sicherheitslücken im DHCP-Server 3 des Internet Software Consortiums (ISC). Damit ist es Angreifern möglich, DHCP-Server lahm zu legen, möglicherweise lässt sich aber auch Code auf verwundbaren Systemen ausführen.

Gemeinsames Papier von Yahoo, Microsoft, EarthLink und AOL. Die Anti-Spam Technical Alliance (ASTA), in der Yahoo, Microsoft, EarthLink und AOL vertreten sind, hat sich jetzt auf einen Maßnahmenkatalog zur Spam-Bekämpfung verständigt. Nach rund zwei Jahren gemeinsamer Arbeit haben die beteiligten Unternehmen nun ein Handbuch veröffentlicht, das Möglichkeiten zu Spam-Bekämpfung auflistet.

Auch Demokratien schränken die Freiheit im Internet zunehmend ein. Die weltweite Überwachung im Internet nimmt zu - nicht nur in autoritären Regimen, sondern auch in Demokratien - und dort meist ohne öffentliches Interesse. Dies ist das Fazit des neuen Berichts The Internet under Surveillance von Reporter ohne Grenzen.

Golem.de im Gespräch mit Netfilter-Entwickler Harald Welte. Mitte April 2004 errang Harald Welte weltweit das erste Urteil auf Basis der GPL. Der Entwickler der Linux-Firewall Netfilter hatte eine einstweilige Verfügung gegen den Router-Hersteller Sitecom vor dem Landgericht München durchgesetzt. Sitecom nutzt in seinen Geräten Linux, veröffentlichte aber nicht wie von der GPL verlangt den Quelltext der eingesetzten Software. Golem.de sprach mit Harald Welte über das Verfahren gegen Sitecom und den Schutz freier Software.

Eudora 6.1.2 bringt sichereren Umgang mit Dateianhängen. Eudora bietet den E-Mail-Client Eudora für die Windows-Plattform ab sofort in der Version 6.1.2 an, worin neue Sicherheitsfunktionen insbesondere beim Umgang mit Dateianhängen integriert sowie mehrere Sicherheitslücken beseitigt wurden. Die aktuelle Version des E-Mail-Clients steht derzeit ausschließlich für die Windows-Plattform zur Verfügung.

Problem des wechselnden Schwierigkeitsgrades wird behoben. Eidos hat jetzt - zumindest für die PC-Version von Thief 3 - einen Patch veröffentlicht, mit dem das kurz nach Veröffentlichung des Spiels bekannt gewordene KI-Problem behoben werden soll. Ob und - wenn ja - wann und wie das gleiche Problem auch bei der Xbox-Version des Spiels behoben wird, ist weiterhin unklar.

Openswan entwickelt VPN-Software für Linux auf Basis von FreeS/WAN. Novell und Astaro haben angekündigt, das Open-Source-Projekt Openswan finanziell zu unterstützen. Openswan entwickelt eine IPSec-Implementierung für Linux, der Grundlage für Virtual Private Networks (VPN).

"E-mail Security Management"-Dienstleistungen sollen die Flut eindämmen. IBM hat mit den E-mail Security Management Services eine neue Dienstleistung vorgestellt, mit der sich Unternehmen gegen ungewünschte E-Mails wie Spams und Virensendungen schützen lassen können.

Open-Source-Software soll Spam von infizierten PCs eindämmen. Als Zombies bezeichnet man mit Viren oder Trojanern verseuchte Computer, die oft von Spammern benutzt werden, um unerkannt ihre Werbemails zu versenden. Die bytecamp GmbH hat nun eine Software entwickelt, die zwei Verfahren kombiniert, um Mailserver vor dieser Spamflut zu bewahren.

Redmond plant Virenscanner als separates Produkt. Microsoft will in Kürze im Markt für Antiviren-Software auf Windows-Systemen aktiv werden, gab Mike Nash, der Chef von Microsofts Sicherheitsabteilung, gegenüber US-Medien bekannt. Nach den derzeitigen Plänen soll der Virenscanner von Redmond separat angeboten und nicht etwa in das Betriebssystem Windows integriert werden.

DDoS-Angriff bremste DNS-Server von Akamai aus. Akamai bestätigte jetzt, Opfer einer Distributed-Denial-of-Service-Attacke (DDoS) geworden zu sein. Infolge des Angriffs waren am Dienstag, dem 15. Juni 2004 zahlreiche große Websites wie Yahoo und Google vorübergehend nicht erreichbar.

Stiftung bridge unterstützt DataPrivatizer-Entwicklung mit weiteren 6.000 Euro. Der "DataPrivatizer" des Bürgerrechtler-Vereins FoeBuD e.V. soll es jedem ermöglichen, versteckte RFID-Chips und RFID-Scanner aufzuspüren. Ein etwa Walkman-großer Prototyp ist bereits fertig, in zwei Monaten will man das Gerät auf Feuerzeuggröße geschrumpft und zur Marktreife gebracht haben - von der Stiftung bridge gab es für die Weiterentwicklung eine erneute Förderung mit 6.000,- Euro.

Reine Anti-Spam-Listen könnten Spam-Menge noch steigern. Im Zuge der Einführung der staatlich geplanten und von der Federal Trade Commission (FTC) umzusetzenden "Do Not Spam"-Liste hat die FTC nun den Kongress vor deren Einsatz gewarnt. Derzeit würde die Anti-Spam-Liste, in die sich die Bevölkerung eintragen könnte, um keine unerwünschte Werbung mehr zu erhalten, keine positiven Veränderungen bringen, sondern könnte sogar dafür sorgen, dass die in die Datenbank aufgenommenen E-Mail-Adressen noch schlimmeren Spam-Fluten ausgesetzt sind - da Spammer die Listen einfach für sich gebrauchen könnten.

Fertiges Service Pack 2 für Windows XP kommt vermutlich Ende Juli 2004. Microsoft stellt für Entwickler den Release Candidate 2 (RC2) vom Service Pack 2 für Windows XP kostenlos unter anderem in deutscher Sprache zum Download bereit. Mit der Vorabversion können Entwickler prüfen, ob ihre Produkte mit den neuen Sicherheitsfunktionen zurechtkommen, die das Service Pack 2 bringt.

Kostenlose Windows-Version vom PGP Desktop 8 in Deutsch zum Download. Die PGP Corporation bietet die Verschlüsselungs-Software PGP Desktop für Windows und MacOS X ab sofort in der Version 8.1 an, womit die 8er-Version auch in deutscher Sprache verfügbar ist. Die kostenlose Ausführung steht derzeit in deutscher Sprache bei der Versionsnummer 8.0.1 und ist nur für die Windows-Plattform zu haben.

Nutzer mit Shell-Zugriff können Linux-Systeme lahm legen. Nachdem Anfang der Woche eine Sicherheitslücke im Linux-Kernel bekannt geworden war, mit der sich das System zum Stillstand bringen lässt, erschien jetzt der neue Kernel 2.6.7, in dem das Problem behoben ist.

Kostenpflichtiges Postfach mit 2 GByte Speicherplatz. Auch Yahoo sieht sich durch den von Google angekündigten Freemail-Dienst Gmail massiv unter Druck gesetzt und bietet seinen kostenlosen E-Mail-Service Yahoo-Mail ab sofort mit einer Postfach-Größe von 100 MByte an. Wer im Jahr 19,99 US-Dollar berappt, erhält mit Yahoo-Mail-Plus ein Postfach mit einem Fassungsvermögen von 2 GByte für E-Mails.

Cabir-Wurm verbreitet sich über Bluetooth. Wie verschiedene Anbieter von Antiviren-Lösungen berichten, wurde ein erster Wurm gesichtet, der Symbian-Smartphones mit der Bedienoberfläche Series 60 befällt, indem er sich per Bluetooth verbreitet. Bislang wurde der Cabir-Wurm jedoch nicht in freier Wildbahn gesichtet, sondern gilt als Proof-of-Concept und zeigt lediglich, was machbar ist.

Action-Titel für PC und Xbox in der Entwicklung. Auf der diesjährigen E3 2004 gehörte der im Star-Wars-Universum angesiedelte Shooter Republic Commando sicherlich zu den Highlights am Stand von Lucas Arts, den im Mai in Los Angeles noch kommunizierten Veröffentlichungstermin im Herbst 2004 musste man nun aber revidieren - vor 2005 ist wohl nicht mehr mit dem Spiel zu rechnen.

Centrino-Notebook mit Mobility Radeon 9700 und SXGA+-Display. Für diejenigen, die einen leistungsfähigen Desktop-PC-Ersatz mit schnellem Grafikchip und einem Gewicht von deutlich unter 3 kg suchen, bietet Samsung nun seine neue Notebook-Serie P35. In den zwei vorgestellten P35-Modellen stecken Pentium-M-Prozessoren mit 1,5 bzw. 1,8 GHz, Mobility-Radeon-9700-Grafikchips mit 64 oder 128 MByte Speicher und hochauflösende 15-Zoll-LCDs - dennoch sollen die etwa 2,6 kg wiegenden Geräte im Akkubetrieb bis zu 6 Stunden durchhalten.

Fujitsu-Siemens versucht, Subnotebooks an die Frau zu bringen. Mit einem Centrino-Subnotebook will Fujitsu Siemens nun auch in Deutschland diejenigen ansprechen, denen herkömmliche Notebooks zu sperrig oder auf Dauer zu schwer sind. Im Gegensatz zu anderen Geräten der Subnotebook-Klasse soll die Lifebook-P-Serie mit Modulschacht ausgestattet sein - so kann zwischen Zusatzakku und optischen Laufwerken gewechselt werden.

Versand erfolgt über mit Sober.G infizierte Systeme. Seit Donnerstag, dem 10. Juni 2004, versenden sich massenhaft Spam-E-Mails mit rassistischen und ausländerfeindlichen Botschaften in deutscher Sprache und verstopfen die E-Mail-Postfächer zahlreicher Nutzer. Wie Hersteller von Antiviren-Software berichten, steht nun Sober.H als Verursacher der Spam-Welle fest, der mit dem Wurm Sober.G befallene Systeme für den Versand verwendet.

Universal kehrt angeblich zu frei kopierbaren Musik-CDs zurück. Hat die Musikindustrie eingesehen, dass sie mit immer neuen Kopierschutzmaßnahmen und damit verbundenen immer größeren Abspielproblemen bei Audio-CDs eher Kunden abschreckt als die eigenen Umsätze zu sichern? Eine Meldung des Branchendienstes Rundy lässt zumindest diesen Rückschluss zu - angeblich will Marktführer Universal Music bei zukünftigen Veröffentlichungen wieder komplett auf einen Kopierschutz bei Musik-CDs verzichten.

Viele E-Mails wurden über Server der Universität Rostock verschickt. Nachdem am 10. Juni 2004 eine Welle rassistischer Spam-E-Mails viele Postfächer überflutete, ermittelt nun das Landeskriminalamt in Schwerin, berichtet die Schweriner Volkszeitung. Die meisten E-Mails sollen von einem Server der Uni Rostock verschickt worden sein.

Speziell formatierte RAM-Dateien nutzen Sicherheitslücke aus. In mehreren Versionen des Real Player befindet sich ein Sicherheitsloch, worüber Angreifer beliebigen Programmcode auf einem fremden System ausführen können. Dazu muss ein Opfer nur dazu gebracht werden, eine präparierte RealMedia-Datei im Format RAM zu öffnen. Zur Abhilfe bietet Real Networks entsprechende Patches zum Download an.

Kaum Informationen über Anzahl der Beschuldigten. Wie diverse US-Spiele-Medien übereinstimmend berichten, hat der Spiele-Entwickler Valve in einer E-Mail die ersten Festnahmen im Zusammenhang mit dem Code-Diebstahl von Half-Life 2 vermeldet. Im Herbst 2003 war nahezu der komplette Half-Life-2-Quellcode im Netz aufgetaucht, nachdem Unbekannte mittels Trojaner und Keyboard-Logger Zugriff auf die Rechner von Valve Software erlangt hatten.

Spam mit ausländerfeindlichen Inhalten und gefälschten Absenderadressen. Seit dem 10. Juni 2004 versenden sich in hoher Zahl Spam-Mails mit gefälschten Absenderadressen und müllen die Postfächer zahlreicher Nutzer mit ausländerfeindlichen und rassistischen Inhalten in deutscher Sprache voll. Etliche solcher Spam-Mails kamen bereits in der Redaktion von Golem.de an. Noch liegen keinerlei Angaben zum Auslöser oder den weiteren Details der Spam-Welle vor.

Update auf neue Version dringend empfohlen. Der IT-Sicherheitsexperte Stefan Esser weist einmal mehr auf Sicherheitslücken im Concurrent Versions System (CVS) hin. Zusammen mit Sebastian Krahmer von Suse entdeckte Esser bei der Analyse des CVS-Quellcodes mehrere Probleme in CVS, die es Angreifen mitunter erlauben, beliebigen Code auf einem verwundbaren System auszuführen.

Neue Firmware für Access Point WG602v1 veröffentlicht. Netgear bietet Nutzern seines Access Point WG602 jetzt eine neue Firmware zum Download an, die die Anfang der Woche bekannt gewordene Hintertür in Netgears WLAN-Access-Point nun endgültig beseitigen soll. Ein erstes Update hatte nur die zur Ausnutzung notwendigen Login-Daten minimal verändert.

BackupBuddy 2.0 legt jetzt mehrere Backup-Generationen an. Blue Nomad bringt mit BackupBuddy 2.0 eine neue Version des HotSync-Backup-Tools für PalmOS-Geräte auf den Markt, die nun mehrere Backup-Generationen anlegt, um zu einer beliebigen zu wechseln. Die Windows-Software klinkt sich in den HotSync-Vorgang ein und sichert sämtliche Daten auf dem PC, während die normale Backup-Funktion des HotSync-Managers dazu neigt, manche Konfigurationsdateien nicht zu speichern.

Presseorgane haften nur für Links, die eindeutig als strafbar erkennbar sind. Der Bundegerichtshof hat die Haftung von Presseorganen für Hyperlinks mit einem Urteil vom 7. Juni 2004 (ZR 317/01) eingeschränkt. Demnach müssen Presseorgane nur dann für Hyperlinks, die das redaktionelle Angebot ergänzen und ohne Wettbewerbsabsicht platziert werden, haften, wenn der Inhalt der verlinkten Webseiten eindeutig als strafbar zu erkennen ist.

Sicherheitslöcher im Crystal Reports Web Viewer sowie in DirectPlay. Am diesmonatigen Patch-Day veröffentlicht Microsoft Patches für die DirectX-Komponente DirectPlay sowie für den Crystal Reports Web Viewer, um darin befindliche, eher harmlose Sicherheitslecks zu beseitigen. Das Sicherheitsloch in DirectPlay gestattet die Ausführung einer Denial-of-Service-Attacke, während man über die Sicherheitslücke im Crystal Reports Web Viewer ebenfalls einen Denial-of-Service-Angriff ausführen oder Dateien einsehen sowie löschen kann.

Sachverständige fordern klare Regeln für den Einsatz von RFID-Chips. Der Kritik an einer flächendeckenden Einführung von RFID-Chips schließt sich jetzt auch die Gesellschaft für Informatik (GI) an. Sie sieht in der Technik erhebliche Risiken in Bezug auf den Datenschutz. Deshalb fordern Sachverständige der GI die Bundesregierung auf, eine Expertenkommission einzusetzen, um Vertrauen in die neue Technik sicherzustellen.

Apple unterbindet Ausführung gefährlichen Programmcodes. Apple veröffentlichte Sicherheits-Updates für MacOS X 10.2.8 sowie für MacOS X 10.3.4 jeweils in den Desktop- und Server-Versionen, um einige Sicherheitslücken im Betriebssystem zu schließen. Mit einer Änderung der Betriebssystem-Komponente LaunchServices will Apple die unerwünschte Ausführung von gefährlichem Programmcode verhindern. Zudem wurden weitere Sicherheitslecks im Browser Safari, bei den Telnet-Funktionen sowie beim Umgang mit Disk Images beseitigt.

Undokumentiertes Administratorkonto erlaubt Geräte-Zugriff. Wie Tom Knienieder auf der Sicherheits-Mailingliste Bugtraq berichtet, weist der WLAN-Access-Point WG602 von Netgear eine Hintertür auf, worüber Angreifer über ein nicht dokumentiertes, administratives Konto Zugriff auf das Gerät erhalten und dieses so umkonfigurieren können. Der Zugang wird über ein Web-Interface bereitgestellt, so dass ein Angreifer per drahtlosem oder kabelgebundenem Netzwerk darauf zugreifen kann.