Sicherheitslücke

Das BSI sieht eine weiterhin steigende Bedrohung durch Gefahren im Internet, vor allem setzt demnach die Schadsoftware Emotet der Wirtschaft zu. BSI-Präsident und Bundesinneminister betonen ihre Hilfsbereitschaft in Sachen Cybersicherheit, appellieren aber auch an die Verantwortung von Verbrauchern und Unternehmen.

Der neue Fingerabdrucksensor des Galaxy S10 lässt sich offenbar umgehen, wenn ein Displayschutz von einem Dritthersteller genutzt wird. Der Hersteller arbeitet an einem Update.

Ob Wohnung oder Haus: Smart soll es bitte sein. Und wenn das nicht von Anfang an klappt, soll die Nachrüstung zum Smart Home so wenig aufwendig wie möglich sein. Dafür kommen vor allem Funklösungen infrage, wir stellen die gebräuchlichsten vor.
Von Jan Rähm

Mit einer präparierten SMS können Daten aus dem Mobiltelefon ausgelesen werden. Die Sicherheitsfirma Adaptive Mobile hat den Simjacker genannten Angriff entdeckt und die betroffenen Staaten veröffentlicht. Demnach nutzte in drei Ländern eine Überwachungsfirma die Lücke aktiv aus.

E-Mail-Adressen, Nutzernamen und Passwörter von rund 330.000 Nutzern stehen zum Verkauf. Ein Angreifer konnte die Daten bei einem niederländischen und einem italienischen Escort-Forum über eine Sicherheitslücke in der Forensoftware auslesen. Kriminelle könnten die Betroffen erpressen.

Bisher gilt Google als positive Ausnahme von der schlechten Update-Politik im Android-Ökosystem. Doch eine aktuelle Sicherheitslücke zeigt, dass auch Google die Updates nicht im Griff hat. Das ist selbst verschuldet und könnte vermieden werden.
Ein IMHO von Sebastian Grüner

Das Fraunhofer SIT hat eine Sicherheitslücke im eingestellten Twitterkit entdeckt, die nicht mehr geschlossen werden soll. Über diese kann ein Man-in-the-Middle-Angriff durchgeführt werden. Einige iOS-Apps verwenden die Software noch, um auf Tweets zuzugreifen oder einen Login mit Twitter anzubieten.

Ein Fehler in Signal ermöglicht es, einen Sprachanruf aufzubauen, ohne dass der Empfänger diesen annehmen muss. Damit könnten Personen belauscht werden. Ein Update steht bereit.

Forscher konnten zeigen, wie sie mit einem Timing-Angriff die privaten Schlüssel von Signaturen mit elliptischen Kurven auslesen konnten. Verwundbar sind Chips, deren Sicherheit eigentlich zertifiziert wurde.

Googles Project Zero berichtet über einen Bug im Linux-Kernel, mit dem sich Android-Telefone angreifen lassen. Laut Google wird offenbar ein Exploit für den Bug bereits aktiv ausgenutzt. Pikant: Gefunden wurde der Bug bereits 2017 - von Google selbst.

Wie Simjacker kann auch die Schadsoftware Wibattack Daten aus dem Mobiltelefon ausleiten. Auch hier kommt die Schadsoftware per SMS und läuft auf der SIM-Karte, sie nutzt allerdings eine andere Sicherheitslücke.

Passwortgeschützte PDF-Dateien bieten wenig Sicherheit. Ein Angreifer, der die Dateien manipulieren kann, kann dafür sorgen, dass deren Inhalt geleakt wird. Abhilfe gibt es nicht, dafür müsste das Dateiformat geändert werden.

Ein Sicherheitsforscher hat einen Exploit veröffentlicht, der einen Jailbreak bei vielen Apple-Geräten bis hin zum iPhone X ermöglicht. Über die Sicherheitslücke kann nicht autorisierte Software eingespielt werden. Apple kann die Lücke nicht durch ein Update beheben.

Ein Pärchen aus den USA wurde über seine gehackten Smart-Home-Geräte terrorisiert - dabei hatten sie sich die Geräte gekauft, um sich sicherer zu fühlen. Aus dem Lautsprecher der Nest-Cam tönte vulgäre Musik und die Temperatur kletterte immer weiter nach oben - wie in einem Horrorfilm, nur eben echt.

Über präparierte Webseiten wird derzeit eine Sicherheitslücke im Internet Explorer ausgenutzt. Mit ihr lässt sich Schadcode auf dem System ausführen. Microsoft hat eine Warnung und ein Update veröffentlicht.

Die Code-Hosting- und Entwicklungsplattform Github darf künftig CVE-Nummern vergeben. Dank einer Übernahme wird außerdem wohl die Suche nach Sicherheitslücken im Code vereinfacht und Github zeigt Sicherheitswarnungen für PHP.

Mittels präparierter SMS nistet sich die Schadsoftware Simjacker auf der SIM-Karte eines Mobiltelefons ein und liest Daten aus. Drei große Mobilfunkunternehmen aus Deutschland geben für ihre SIM-Karten jedoch Entwarnung.

Die Bundesregierung sieht Vorteile in der "Tokenisierung von Assets". Auch für digitale Identitäten sollen Einsatzmöglichkeiten der Blockchain-Technik geprüft werden.

Über eine Sicherheitslücke im Passwortmanager Lastpass konnten Webseiten auf die zuletzt verwendeten Zugangsdaten zugreifen - von einer anderen Webseite.

Der Sperrbildschirm in iOS 13 kann mit einem einfachen Trick umgangen werden. So kann auf das Adressbuch des Besitzers zugegriffen werden. iOS 13 soll am 19. September veröffentlicht werden - die Lücke will Apple bis dahin nicht schließen.

Eine Sicherheitsfirma will eine Schadsoftware entdeckt haben, die ohne Nutzerinteraktion Daten aus dem Mobiltelefon auslesen kann. Die Schadsoftware komme per SMS und laufe auf der SIM-Karte. Das funktioniert allerdings nicht immer.

Mitarbeiter von Protonmail haben in OpenDMARC eine Sicherheitslücke entdeckt, mit der sich die Signaturprüfung austricksen lässt. Angreifer haben die Lücke bereits für Phishingangriffe gegen Journalisten genutzt. OpenDMARC wird offenbar nicht weiterentwickelt und es gibt kein Update.

Mit Telegram können aus Versehen gesendete Nachrichten unkompliziert auch beim Empfänger gelöscht werden. Das hat jedoch nicht zuverlässig funktioniert und die peinlichen Bilder verblieben auf dem Smartphone.

Im Mailserver Exim wurde eine Sicherheitslücke gefunden, die Angreifern das Ausführen von Code ermöglicht. Ein Update steht bereit.

Mit einem einfachen Trick kann ein Sicherheitsupdate von Logitech umgangen werden. Damit lassen sich weiterhin Eingaben von kabellosen Tastaturen abgreifen - oder Schadcode eintippen. Dabei hatte Logitech nicht einmal alle Sicherheitslücken behoben.

Die Gesellschaft für Freiheitsrechte klagt gegen das neue BKA-Gesetz. Die erhofften Vorteile für die Sicherheit stünden in keinem Verhältnis zu den hohen Kosten für die Betroffenen - und Betroffener werden könne man leicht.

Über mehrere Sicherheitslücken in den BMCs von Supermicro können Angreifer virtuelle USB-Sticks an die Server anschließen. Mit ihnen lassen sich Daten auslesen, Schadsoftware installieren oder das Betriebssystem austauschen.

Die EU-Kommission will für ihr Fossa-Projekt herausfinden, wie die Entwickler von Open-Source-Software besser unterstützt werden können, um die Sicherheit der Programme zu erhöhen. Klären soll das unter anderem eine Umfrage.

Sercomm hat ein neues Kabelmodem vorgestellt, das künftige Docsis-3.1-Datenraten bieten kann. Der Standard kann bald so hohe Datenraten im Kabelnetz liefern.

Der Account des Twitter-CEOs Jack Dorsey ist von einer Hackergruppe übernommen worden. Sie postete in seinem Namen rassistische und rechtsradikale Äußerungen. Schuld gibt Twitter einer Sicherheitslücke beim Mobilfunkanbieter.

Google deckt eine große Malware-Kampagne auf, bei der Nutzer von iPhones durch gehackte Webseiten angegriffen wurden. Dabei kamen auch sogenannte Zero Days zum Einsatz, also Sicherheitslücken, für die zum Zeitpunkt ihres Einsatzes noch kein Fix bereitstand.

Eine Sicherheitslücke im Dovecot-Mailserver könnte es Angreifern erlauben, Code auszuführen. Updates stehen bereit.

Vor etwa einem Jahr hat Tesla neue Schlüsselchips mit einer stärkeren Verschlüsselung herausgebracht, weil das Vorgängermodell gehackt wurde. Nun konnte ein Wissenschaftler auch diese klonen - und damit beliebige Model S öffnen und starten.

Nicht nur Protestierende in Hongkong nutzen eine Privatsphäreoption von Telegram, damit ihre Telefonnummer "Niemand" sehen kann. Doch die Option lässt sich leicht umgehen: Aus niemand werden ganz schön viele.

Über eine Sicherheitslücke im Lenovo Solution Centre lassen sich die Rechte eines Nutzers oder einer Schadsoftware ausweiten. Lenovo wird die Lücke nicht schließen und rät zur Deinstallation - dabei hat der Hersteller mehrfach das Supportende geändert.

Nutzer von Apples mobilen Betriebssystemen haben gegebenenfalls eine Update-Benachrichtigung auf ihren Geräten. Apple hat sowohl für die Apple Watch als auch für iPhone, iPod Touch und iPad ein neues Betriebssystem freigegeben. Unter iOS wird dabei auch eine Sicherheitslücke geschlossen.

Erst hat Valve eine Sicherheitslücke in Steam nicht anerkannt, dann sollte sie vertuscht werden. Nach ihrer Veröffentlichung wurde sie unzureichend gepatcht und der Entdecker vom Bug-Bounty-Programm ausgeschlossen. Nun hat der Forscher erneut eine Lücke gefunden - und Valve scheint langsam einzulenken.

In einer Diskussion um die Aufnahme eines neuen Dateisystems in den Linux-Kernel wird klar, dass viele Dateisystemtreiber mit defekten Daten nicht klarkommen. Das kann nicht nur zu Abstürzen führen, sondern auch zu Sicherheitslücken.

In der Systemkonfigurationssoftware Webmin waren offenbar für über ein Jahr Hintertüren, mit denen sich übers Netz Code ausführen lässt. Den Angreifern gelang es dabei offenbar, die Release-Dateien des Projekts zu manipulieren.

Das Entwicklerteam von Facebook hat ein eigenes Werkzeug zur statischen Code-Analyse erstellt und stellt nun erstmals Details dazu vor. Das Projekt habe Tausende Sicherheitslücken verhindert.

Die Verschlüsselung des Bluetooth-Protokolls lässt sich einfach aushebeln, ein Angreifer kann die Schlüssellänge kontrollieren und auf eine triviale Größe reduzieren. Abhilfe ist nicht in Sicht, die Bluetooth-Standardisierungsgruppe will die Schlüssellänge nur minimal erhöhen.

Die Kaspersky-Antivirensoftware bindet in jede Webseite eigenen Javascript-Code ein. Bis vor kurzem war dieser noch mit einer eindeutigen ID versehen, den man zum Tracking nutzen konnte.

Ein Systemdienst für Texteingabemethoden, das es seit Windows XP gibt, wurde offenbar mit wenig Sicherheitsbewusstsein entwickelt. Tavis Ormandy von Google gelang es damit, als Nutzer Systemrechte zu erlangen. Es gibt ein Update von Microsoft, doch das behebt wohl nicht alle Probleme.

Adobe muss am August-Patchday eine hohe Anzahl von Sicherheitslücken beseitigen, die aber meist keine unmittelbare Gefahr darstellen. In einem Fall hat jedoch Hyatt einen unangenehmen Fehler im CMS Experience Manager entdeckt.

Microsoft warnt vor zwei Remote-Code-Execution-Bugs im Remote Desktop Service. Damit lassen sich Windows-Rechner übers Netz kapern, wenn sie die Remoteadministration aktiviert haben. Alle aktuellen Windows-Versionen sind betroffen.

Auf Windows-Systemen, auf denen der Spiele-Launcher Steam installiert ist, können einfache Nutzer Programme mit Systemrechten ausführen. Der Entdecker der Lücke meldete diese über die Plattform Hackerone, dort erklärte man den Bug für ungültig und wollte eine Veröffentlichung verhindern.

Apple öffnet sich der Sicherheitszene und lobt ein umfangreiches Programm für das Entdecken von Sicherheitslücken bei seinen Betriebssystemen aus. Dazu wird auch eine Spezialversion des iPhones angeboten.

Mit der Spectre-ähnlichen SWAPGSAttack kann auf eigentlich geschützte Speicherbereiche zugegriffen werden, indem die spekulative Ausführung des Befehls ausgenutzt wird. Betroffen sind alle Intel-CPUs seit Ivy Bridge von 2012, von Microsoft gibt es bereits Patches für Windows 10.

Mit dem August-Sicherheitsupdate von Android patcht Google vergleichsweise wenige Fehler. Einig paar haben es allerdings in sich und betreffen insbesondere Qualcomm-basierte Hardware.

Der ADAC und der ÖAMTC haben Keyless-Go-Systeme zahlreicher Autohersteller getestet und sind zu einem ernüchternden Ergebnis gekommen. Nur vier Modelle haben sich nicht knacken lassen.