Sicherheitslücke

Vorsicht beim Entpacken von ACE-Archiven: Sie können Dateien an beliebige Orte des Systems schreiben - und damit auch Code ausführen. Ein stabiles Update von Winrar wurde noch nicht veröffentlicht.

Um Teilnehmer seines Bug-Bounty-Programms rechtlich besser abzusichern, startet Github ein Safe-Harbor-Programm, das die Aktionen der Sicherheitsforscher absichern soll. Die Richtlinien basieren auf eigener Erfahrung und Vorlagen aus der Community. Das Programm selbst wird ebenfalls erweitert.

Apple hat mit iOS 12.1.4 vor einigen Wochen eine Sicherheitslücke in FaceTime geschlossen. Dennoch funktioniert Gruppen-Facetime noch nicht fehlerfrei.

Die Schweizer Post hatte dazu aufgerufen, ihr Online-Voting-System zu testen - allerdings nur gegen die Zusicherung, gefundene Sicherheitsprobleme nicht unabgesprochen zu veröffentlichen. Jetzt ist der Quellcode zugänglich gemacht worden.

Was findet man eigentlich alles, wenn man den IP-Adressraum eines Landes scannt? Der Sicherheitsforscher Christian Haschek konnte viele Webserver, veraltete Software und ein paar Skurrilitäten entdecken.

Die Sicherheitslage ist angespannt. Immer mehr Sicherheitsvorfälle werden dem BSI gemeldet. Die Zahlen sind jedoch wenig aussagekräftig.

Ãœber einen Trick kann ein Angreifer Ubuntus Paketverwaltung Snap vorgaukeln, dass ein normaler Nutzer Administratorrechte habe - und damit wirklich einen Nutzer mit Root-Rechten erstellen.

Die aktuell im Darknet angebotenen E-Mail-Adressen und Passwörter wurden um weitere 8 gehackte Webseiten erweitert. Unklar ist, wie der Hacker an die Daten gelangen konnte.

Xiaomis Scooter mit Elektroantrieb haben eine drastische Sicherheitslücke: Die Scooter können per Bluetooth ferngesteuert werden.

Der Internet Explorer, der Adobe Flash Player und Windows selbst erhalten mit dem aktuellen Patch fast ausschließlich Sicherheitsverbesserungen. Knapp 70 Lücken werden geschlossen, einige davon wurden bereits ausgenutzt. Auch Microsofts Hololens erfährt ein Update.

Eine Sicherheitslücke ermöglicht es, dass Software aus einem Container ausbricht. Die Ausführungsumgebung Runc, mit der Container gestartet werden, kann überschrieben und so der Host übernommen werden. Docker und viele andere Lösungen sind verwundbar.

Mit dem aktuellen Februar-Update für Android schließt Google eine Sicherheitslücke, durch die Schadcode über eine PNG-Datei eingeschleust werden kann. Das Team hat außerdem weitere kritische Sicherheitslücken behoben.

Mit Clusterfuzz sucht Google automatisiert nach Fehlern im Chromium-Code oder in anderen Open-Source-Programmen. Die Software läuft dafür in der Google-Cloud und steht jetzt selbst als Open-Source bereit. Theoretisch könnte sie damit auf andere Cloud-APIs portiert werden.

Der Fehler in Gruppen-Facetime, der das iPhone oder iPad zur Abhöreinrichtung machen könnte, ist mit dem neu veröffentlichten iOS 12.1.4 behoben worden. Die Server wurden ebenfalls wieder eingeschaltet.

Eine Sicherheitslücke, die die freien Office-Programme Libreoffice und Openoffice betrifft, erlaubt Angreifern das Ausführen von Code mittels einer Skript-Schnittstelle. Von Libreoffice gibt es ein Update, von Openoffice nicht.

Den zugrunde liegenden Fehler für die schwere Sicherheitslücke von Facetime in der vergangenen Woche hat Apple zwar gefixt, doch das System bleibt erst einmal offline. Medienberichten zufolge müssen die Endgeräte gepatcht werden.

Eine Spionageabteilung im Auftrag der Vereinigten Arabischen Emirate soll die iPhones von Aktivisten, Diplomaten und ausländischen Regierungschefs gehackt haben. Das Tool sei wie Weihnachten gewesen, sagte eine frühere NSA-Mitarbeiterin und Ex-Kollegin von Edward Snowden.
Ein Bericht von Friedhelm Greis

In der EU sind seit Inkrafttreten der DSGVO mehr als 40.000 Datenpannen registriert worden, die meisten davon in Deutschland. Was genau hinter den Verletzungen des Datenschutzes steckt, wird jedoch nicht erfasst.

Eine Verwaltungssoftware für Zahnarztpraxen installiert beim Update automatisch einen Adobe Reader in einer sehr alten Version, der zahlreiche bekannte Sicherheitslücken hat. Der Hersteller meint, das Problem behoben zu haben, das stimmt aber offenbar nicht.

Im Microsoft Exchange Server steckt eine schwerwiegende Sicherheitslücke, die es Angreifern erlaubt, sich erweiterte Rechte zu erschleichen. Ein Patch steht noch aus. Es gibt aber Methoden zur Risikoreduzierung.

Seit Inkrafttreten der EU-Datenschutz-Grundverordnung sind in Europa fast 100.000 Datenschutzbeschwerden von Bürgern eingegangen. In Niedersachsen war dies nur eingeschränkt möglich.

Apple hat die Videochatfunktion Gruppen-Facetime wieder abgeschaltet, um eine Sicherheitslücke zu schließen, die das Smartphone zur Wanze macht. Mit der Funktion konnten mehrere Personen gleichzeitig kommunizieren.

Die deutschen Kabelnetzbetreiber wollen nicht, dass die Router-Freiheit auf die Europäische Union ausgedehnt wird. Dazu werden fragwürdige Definitionen zum Netzabschlusspunkt aus der Vergangenheit wieder hervorgeholt.

Das MySQL-Protokoll erlaubt es Servern, Daten des Clients auszulesen. Offenbar nutzte die kriminelle Gruppe Magecart dies zuletzt, um mit dem PHP-Datenbankfrontend Adminer Systeme anzugreifen. Auch PhpMyAdmin ist verwundbar.

Wo führt das hin, wenn Alltagsgegenstände smart und damit angreifbar werden? Der Sicherheitsforscher Michael Steigerwald zeigt, was mit einem smarten Leuchtmittel alles möglich ist.
Von Moritz Tremmel

Eine Sicherheitslücke in der Firmware von Baseband Management Controllern (BMC) ermöglicht bösartigen Admins, eine Art Rootkit zu installieren, das nur schwer auffindbar ist. Besonders kritisch wird dies bei der Verwendung gebrauchter Hardware.

Ein Fehler im Debian-Paketmanager Apt erlaubt es einem Netzwerkangreifer, dem System bösartigen Code unterzuschieben. Debian nutzt für seine Pakete kein HTTPS, was den Bug zumindest schwerer ausnutzbar machen würde.

Warnungen vor dem Wordpress-Plugin WP Multilingual sind am Wochenende auf dessen eigener Webseite zu lesen gewesen. Auch in Rundmails wurden Kunden gewarnt. Laut dem Plugin-Hersteller ist ein ehemaliger Mitarbeiter verantwortlich.

Let's Encrypt wird in Kürze die Domain-Validierungsmethode TLS-SNI-01 aufgrund von Sicherheitsbedenken nicht mehr anbieten. Für Nutzer älterer Versionen der Certbot-Software wird das zum Problem - beispielsweise für Debian-Anwender.

Um Seitenkanalangriffe wie Spectre besser zu verstehen und zu verhindern, will Google ein spezialisiertes LLVM-Team für Programmiersprachen und Compiler aufbauen. Weitere Entwickler sollen die Unterstützung für eine interne Plattform umsetzen.

Die aktuelle Labor-Version für einige Fritzbox-Modelle von Hersteller AVM unterstützt endlich das Netzwerkprotokoll SMB3. Bisher pflegte der Hersteller einen eigenen Fork der Open-Source-Software Samba. Nun wird offenbar eine proprietäre Lösung verwendet.

Über eine Sicherheitslücke und Phishing sollen Hacker an unveröffentlichte Dokumente der US-Börsenaufsicht gelangt sein. Händler sollen mit den Insiderinformationen über vier Millionen US-Dollar verdient haben. Gegen die Hacker wurde nun Anklage erhoben.

Bergbaumaschinen, Kräne und andere Industriegeräte lassen sich fernsteuern oder durch einen DoS-Angriff unbenutzbar machen. Das ist laut einer Studie nicht nur gefährlich, sondern auch vergleichsweise einfach.

Ein bösartiger Server kann Dateien austauschen, die mittels SCP über SSH heruntergeladen werden - im schlimmsten Fall Schadcode. Insgesamt fünf Sicherheitslücken klaffen in den aktuellen Versionen von OpenSSH, Putty und WinSCP.

Sicherheitslücken wie Spectre, Rowhammer und Heist lassen sich kaum vollständig beheben, ohne gravierende Performance-Einbußen zu akzeptieren. Daher bleiben sie ungefixt. Trotzdem werden sie bisher kaum ausgenutzt.
Von Hanno Böck

Weil Politiker die Zwei-Faktor-Authentifizierung ihrer Accounts bislang meiden, prüft Facebook nun eine Pflicht bei den Europawahlen. Die Bundesregierung erwägt inzwischen eine eingeschränkte Meldepflicht für Sicherheitslücken.

35C3 Mit Sicherheitsversprechen geizen die Hersteller von Gesundheitsapps wahrlich nicht. Sie halten sie jedoch oft nicht.
Von Moritz Tremmel

Der freundliche Spion im Wohnzimmer: Auf unkonventionelle Art weist ein kanadischer Hacker Kameraeigentümer auf eine Sicherheitslücke hin.

Mit einer bösartigen E-Mail lässt sich der Exchange Server von Microsoft komplett übernehmen, Windows-Systeme können ebenso über ein DHCP-Paket angegriffen und übernommen werden. Diese und weitere Lücken hat Microsoft mit aktuellen Updates geschlossen.

Mit einem einfachen Skype-Anruf lassen sich trotz PIN-Sperre Fotos, Kontakte und mehr auf einem Android-Smartphone einsehen. Ein Update wurde veröffentlicht, steht aber noch nicht für alle Geräte zur Verfügung.

Der Youtuber Unge hatte bei seinem Twitter-Account Zwei-Faktor-Authentifizierung aktiviert. Doch sie half ihm nichts, sein Account wurde trotzdem gehackt. Der Twitter-Support schaltete diese einfach auf Anfrage hin ab.

Linus Torvalds hat die erste Vorabversion von Linux 5.0 freigegeben. Sicherheit steht abermals im Vordergrund, der AMDGPU bringt Freesync mit und für das Touchscreen der Raspberry Pi Foundation gibt es einen Treiber.

Wer steckt hinter dem Leak persönlicher Daten von Politikern und Promis? Die aufwendige Aufbereitung der Daten lässt eine Nutzung für politische Kampagnen vermuten. Doch ein Youtuber soll dahinter stecken, der lediglich Aufmerksamkeit wollte.
Ein Bericht von Friedhelm Greis

Das Kompressionsverfahren Zstandard von Facebook soll einen schnelleren Ersatz für den bisher häufig verwendeten Deflate-Algorithmus bieten. Das wichtige Basisprogramm Tar des GNU-Projekts unterstützt nun erstmals Zstd.

Ein Hacker-Duo übernimmt Tausende Chromecasts. Darauf zeigen sie als Sicherheitshinweis ein Youtube-Video - mit Werbung für den bekannten Youtuber PewDiePie.

Mit einem einfachen Trick können verwaiste Twitter-Accounts übernommen und mit Tweets gefüttert werden. Diese zeigen häufig Propaganda des Islamischen Staates.

35C3 Bluetooth auf einem fremden Smartphone ausknipsen und einen Bluetooth-Lautsprecher zum Schweigen bringen? Mit einer Sicherheitslücke in Bluetooth-Chips von Broadcom ist das möglich.
Von Moritz Tremmel

Nachdem die ersten Tests offenbar erfolgreich verlaufen sind, hat die EU ihr Bug-Bounty-Programm für Open-Source-Software für das Jahr 2019 erweitert. Insgesamt stehen dafür rund 900.000 Euro für 15 Projekte bereit.

Die bisher im Linux-Kernel neben anderen Techniken als Spectre-Schutz eingesetzten Retpolines sollen schneller werden. Ermöglicht werden soll das mit ganz viel Assembler-Code, wobei aber auch alle indirekten Code-Branches gepatcht werden sollen, nicht nur ausgewählte.

35C3 Der Hacksport ist mit Risiken und Nebenwirkungen verbunden. Ein Vortrag auf dem 35C3 klärt auf und zeigt wie es Hacker besser machen können.
Von Moritz Tremmel