Sicherheitslücke

Sicherheitsupdate für Windows und MacOS X. Quicktime 7.5 beseitigt wieder zahlreiche Schwachstellen in Apples Abspielpaket. Unter Windows und unter MacOS X stopft die aktuelle Quicktime-Version fünf beziehungsweise vier Sicherheitsprobleme, die sich für das Einschleusen von fremdem Code nutzen lassen.

Bugfix-Release ohne neue Funktionen. Die neue Version 2.4.1 der freien Office-Suite OpenOffice.org beseitigt zahlreiche Fehler in den Programmen. Neue Funktionen bringt die Version nicht mit, sie wird es erst mit OpenOffice.org 3.0 geben, das noch in diesem Jahr erscheinen soll.

Angreifer können beliebigen Schadcode automatisch verteilen. Kritik erntet das Safari-Team von Apple dafür, dass es zumindest ein gemeldetes Sicherheitsleck im Browser nicht schließen will. Apple stuft dieses nicht als sicherheitsrelevant ein, so dass entsprechende Angriffe weiterhin möglich sind. Ein weiteres Sicherheitsleck soll bald beseitigt werden, einen Termin gibt es aber noch nicht.

Ausführung von Schadcode auf Systemen mit Windows XP möglich. Im Internet Explorer wurde ein Sicherheitsleck entdeckt, das im schlimmsten Fall zum Ausführen von Schadcode missbraucht werden kann. Der Fehler steckt in der Funktion zum Ausdrucken einer Linkliste auf einer Webseite. Standardmäßig ist diese Funktion nicht aktiviert, so dass der Nutzer sein System verändern muss, bevor ein Angreifer diesen Fehler ausnutzen kann.

Hersteller empfiehlt sofortige Deinstallation. F-Secure warnt vor der Client-Edition seiner Sicherheitssoftware Linux Security 7.00, denn durch einen enthaltenen Fehler löscht sie eventuell Daten. Derzeit hilft nur, die Software möglichst schnell zu entfernen.

Vier Patches stopfen insgesamt sechs Sicherheitslecks in Microsoft-Produkten. In Microsofts Office-Paket wurden zum diesmonatigen Patchday summa summarum drei Sicherheitslecks beseitigt, über die Angreifer schadhaften Code ausführen und so einen fremden Rechner unter ihre Kontrolle bringen können. Ein als gefährlich eingestuftes Sicherheitsloch befindet sich in der Windows-Komponente Jet 4.0, zwei weitere Sicherheitslecks stecken in Microsofts Sicherheitssoftware.

Update schließt Sicherheitslücke. Das Sicherheits-Team der Linux-Distribution Debian hat einen Fehler im OpenSSL-Zufallsgenerator gefunden, durch den Schlüssel herausgefunden werden könnten. Die Sicherheitslücke betrifft nur das OpenSSL-Paket in Debian GNU/Linux. Das betroffene Paket wurde bereits aktualisiert.

Insgesamt erscheinen am 13. Mai 2008 vier Sicherheits-Patches. Microsoft hat vier Security Bulletins für den Patch-Day im Mai 2008 in Aussicht gestellt. Am 13. Mai 2008 erscheinen zwei Patches für die Office-Software aus Redmond sowie ein Windows-Patch, um Sicherheitslecks zu beseitigen, die als gefährlich eingestuft werden. Zudem ist ein Update für Microsofts Sicherheitssoftware geplant.

Von den 7 vermeldeten Sicherheitslecks bleiben noch 2 Lücken übrig. Der E-Mail-Client Thunderbird wurde in der Version 2.0.0.14 veröffentlicht und schließt insgesamt zwei Sicherheitslöcher. Eigentlich wurde bislang angenommen, dass die E-Mail-Software deutlich mehr offene Sicherheitslücken aufweist. Neue Funktionen bringt Thunderbird 2.0.0.14 nicht.

Apple bietet derzeit keinen Patch an. In Apples QuickTime steckt ein Sicherheitsleck, über das Angreifer beliebigen Schadcode einschleusen und ausführen können. Dazu muss ein Opfer nur zum Öffnen einer entsprechend manipulierten Datei auf einem Windows-System verleitet werden. Bislang hat Apple keinen Patch veröffentlicht, um den Fehler zu korrigieren.

Nur Version aus KDE 4.x betroffen. Die Entwickler des freien Unix- und Linux-Desktops KDE haben in ihrer HTML-Rendering-Engine eine Sicherheitslücke entdeckt, durch die unter Umständen auch beliebiger Programmcode ausgeführt werden kann. Betroffen ist KDE ab Version 4.0.

Neue Build-Version vom FoxIt Reader 2.3 veröffentlicht. Kurz nachdem bekannt wurde, dass in der PDF-Anzeigesoftware FoxIt Reader zwei Sicherheitslücken stecken, erschien die neue Version 2.3, in der die Fehler allerdings nicht beseitigt waren. Nun wurde der FoxIt Reader neu aufgelegt, um auch die beiden Sicherheitslecks zu eliminieren.

Forscher erzeugten Schadcode automatisiert basierend auf Sicherheits-Patches. Anhand von Sicherheits-Patches für Software haben Forscher einen Automatismus entwickelt, um Schadcode zu generieren, der das zu schließende Sicherheitsleck ausnutzt. Solche Mechanismen könnten schon bald eine Gefahr für Anwender bedeuten, weil dadurch wenige Minuten nach Bereitstellung eines Patches bereits passender Schadcode im Internet auftauchen könnte.

Linux-Software wurde am MIT entwickelt. Sicherheits-Updates für den Kernel einzuspielen, geht normalerweise mit einem Neustart des Systems einher - zumindest in Serverumgebungen kann dies zum Problem werden, da während des Startvorgangs die auf dem System laufenden Dienste nicht zu erreichen sind. Eine neue Software aus den Labors des Massachusetts Institute of Technology (MIT) soll nun Abhilfe schaffen. Sie spielt Patches ein, ohne dass der Kernel anschließend neu gestartet werden muss.

Mit Tabbed-Browsing- und Lesezeichen-Unterstützung. Die PDF-Anzeige-Software FoxIt Reader wurde in der Version 2.3 veröffentlicht, die zwar einige Verbesserungen bringt, aber die jüngst bekanntgewordenen Sicherheitslecks nicht beseitigt. FoxIt Reader 2.3 bietet nun Tabbed-Browsing und unterstützt Lesezeichen sowie Ton- und Videodateien in PDF-Dokumenten.

Einsatz von Datenbanken machen Webseiten anfällig. Mehr als 500.000 infizierte Webseiten listet allein die Suchmaschine Google, berichtet F-Secure. In die betreffenden Webseiten wurde schadhafter JavaScript-Code eingeschleust, der Webseitenbesucher auf andere Seiten lockt und auf diesem Wege Schadcode auf die betreffenden Rechner bringt. Zu den infizierten Seiten gehören auch welche der Uno und der britischen Regierung.

Angreifer können Schadcode ausführen. In der PDF-Anzeige-Software FoxIt Reader stecken zwei Sicherheitslücken, die zum Ausführen von Programmcode missbraucht werden können. Ein Opfer muss nur dazu verleitet werden, eine entsprechend präparierte PDF-Datei mit der Windows-Software zu öffnen.

Hohe Gefahr für Nutzer von Photoshop Album Starter. In den Adobe-Applikationen Photoshop CS3, After Effects CS3 sowie Photoshop Album Starter wurde eine Sicherheitslücke entdeckt, über die Angreifer beliebigen Programmcode ausführen können, um ein fremdes System unter ihre Kontrolle zu bringen. Dazu muss ein Opfer nur zum Öffnen einer präparierten BMP-Datei verleitet werden, bei Photoshop Album Starter ist nicht einmal dies erforderlich.

Aufruf der Community-Seite leitete zu Hillary Clinton weiter. Wer am vergangenen Wochenende einen bestimmten Bereich der Website des demokratischen US-Präsidentschaftskandidaten Barack Obama aufrief, fand sich unversehens auf der Seite seiner Konkurrentin Hillary Clinton wieder. Eine Sicherheitslücke, die inzwischen geschlossen wurde, hat den Redirect ermöglicht.

Zwei Sicherheitslücken betreffen nur die Windows-Ausführung. Insgesamt vier Sicherheitslecks wurden in Apples Safari-Browser entdeckt, die nun mit der Version 3.1.1 beseitigt werden. Zwei Sicherheitslöcher betreffen nur die Windows-Ausführung des Browsers, während die übrigen zwei Sicherheitslücken auch in der Mac-Ausführung von Safari stecken.

Fehler in JavaScript-Engine. In der JavaScript-Engine von Firefox wurde eine Sicherheitslücke entdeckt, die den Browser zum Absturz bringt und auch zum Ausführen von Schadcode missbraucht werden könnte. Mit der aktuellen Version 2.0.0.14 von Firefox wird dieses Sicherheitsloch geschlossen, weitere Neuerungen sind nicht vorhanden.

Critical Patch Update April 2008 freigegeben. Oracles Patch-Paket für den April 2008 beseitigt 41 Sicherheitslücken in der Produktpalette des Softwareentwicklers. 17 der Fehlerkorrekturen sind für Oracles Datenbankprodukte in den unterschiedlichsten Versionen.

Sicherheitsleck in Google Spreadsheet wurde geschlossen. Über ein mittlerweile geschlossenes Sicherheitsleck in Google Spreadsheet war es Angreifern möglich, Cookie-Daten auszulesen. Darüber konnte dieser alle vom Opfer verwendeten Google-Dienste nutzen. Er hätte die Nachrichten aus Google Mail lesen, darüber E-Mails verschicken und alle Dateien aus Google Docs einsehen können.

Umstellung auf NDS Videoguard und neue Version von Nagravision. Nachdem das Verschlüsselungssystem Nagravision von Kudelski geknackt wurde, setzt der Pay-TV-Sender Premiere künftig auf das Konkurrenzprodukt NDS Videoguard, das eine Tochtergesellschaft von Rupert Murdochs News Corporation entwickelt hat. Noch im zweiten Quartal 2008 installiert Premiere eine neue Software auf den Receivern und verschickt neue Smartcards.

Korrektur-Patch ändert den Umgang mit Flash-Inhalten. Vor knapp einem Monat hatte Adobe für den Flash-Player einen Sicherheits-Patch für den April 2008 in Aussicht gestellt, der nun veröffentlicht wurde. Der Patch beseitigt insgesamt sieben Sicherheitslücken im Flash-Player, die zum Teil zum Ausführen von Schadcode missbraucht werden können. Außerdem wurde der Umgang mit Flash-Inhalten verändert.

Internet Explorer nun wieder ohne Eolas-Hürde. In den Windows-Versionen hat Microsoft sechs Sicherheitslecks beseitigt, die in der Mehrzahl zum Ausführen von Schadcode missbraucht werden können. Das Gleiche gilt auch für ein Sicherheitsloch im Internet Explorer, der nun keine Eolas-Hürde mehr aufweist. Dabei ist auch Windows Vista mit Service Pack 1 für einige der nun bekanntgewordenen Sicherheitslücken anfällig.

Version schließt Sicherheitslücke. Erst vor wenigen Tagen war die freie SSH-Implementierung OpenSSH 4.9 erschienen, nun legen die Entwickler die Version 5.0 nach. Zu spät hatten sie von einer Sicherheitslücke erfahren, die sie nun korrigiert haben. Die Version 4.9 enthielt auch neue Funktionen.

Sechs Sicherheits-Patches für Windows geplant. Für den Patch-Day im April 2008 hat Microsoft acht Security Bulletins angekündigt. Am 8. April 2008 erscheinen allein für die Windows-Plattform sechs Patches, die Lücken schließen sollen, über die Angreifer beliebigen Schadcode ausführen können. Weitere zwei Patches betreffen das Office-Paket von Microsoft.

Neue Version mit kleinen Verbesserungen für MacOS X. Mit der Version 9.27 seines Webbrowsers beseitigt Opera einige Sicherheitslücken. Über zwei nun geschlossene Sicherheitslücken können Angreifer beliebigen Code ausführen.

Pufferüberläufe durch Untertitel. Die quelloffene Audio- und Videowiedergabe-Software "VLC Media Player" ist in der neuen Version 0.8.6f erschienen. Neben behobenen Sicherheitsproblemen verträgt sich die neue Version jetzt auch wieder besser mit älteren Windows-Betriebssystemen und mit Multi-Monitor-Konfigurationen unter MacOS X.

Mehrere Fehler ermöglichen Abstürze und Ausführungen von fremdem Code. Mit der neuen QuickTime-Version 7.4.5 schließt Apple insgesamt elf Sicherheitslücken sowohl für die Windows- als auch für die MacOS-Version. In der Liste der Probleme der Medienwiedergabe-Software finden sich unter anderem Abstürze und die Möglichkeit, Code auf anfälligen QuickTime-Versionen auszuführen. Eine Aktualisierung von QuickTime sollte möglichst schnell geschehen.

Auch Windows-System wurde geknackt. Nachdem bereits ein MacBook Air über eine Safari-Sicherheitslücke nach nur 2 Minuten im Rahmen eines Hacker-Wettbewerbs auf der CanSecWest gehackt wurde, ereilte ein Windows-System nun ein ähnliches Schicksal. Nur das am Wettbewerb ebenfalls beteiligte Ubuntu-System blieb unversehrt.

Hack-Wettbewerb zuungunsten von Apple entschieden. In einem Hacker-Wettbewerb auf der CanSecWest sind ein Windows-, Linux- und MacOS-System gegeneinander angetreten. Als Verlierer geht das Apple-System aus dem Rennen. Nach nur 2 Minuten war ein MacBook Air gehackt und Unbefugte hatten Zugriff auf den Rechner. Verantwortlich dafür ist eine offene Sicherheitslücke in Apples Safari-Browser.

Sechs Sicherheitslecks werden geschlossen. In dem Webbrowser Firefox wurden insgesamt sechs Sicherheitslöcher beseitigt, über die sich unter anderem beliebiger Schadcode ausführen ließ. Auch die auf Firefox basierende Browser-Suite SeaMonkey wurde aktualisiert und korrigiert die betreffenden Sicherheitslecks. Alle diese Sicherheitslücken finden sich auch in Thunderbird, aber eine neue Version des E-Mail-Clients ist bislang nicht erschienen.

Ein Sicherheitsloch erlaubt Ausführung von Schadcode. In der Windows-Ausführung von Safari 3.1 wurden zwei Sicherheitslücken gefunden, die bislang nicht geschlossen wurden. Über eines der Sicherheitslöcher können Angreifer unter Umständen auch Schadcode ausführen. Das andere Sicherheitsleck kann für Spoofing-Angriffe genutzt werden.

Sicherheitslücke steckt in Jet Database Engine. Microsoft untersucht derzeit eine offene Sicherheitslücke, die Angreifer mit schadhaften Word-Dokumenten ausnutzen können. Das eigentliche Sicherheitsloch befindet sich in Microsofts Jet Database Engine und es kann zum Ausführen von schadhaftem Programmcode missbraucht werden.

Angreifer können schädlichen Programmcode einschleusen. In Adobes Produkten Flash Basic 8, Flash Professional 8 sowie Flash CS3 Professional für die Windows-Plattform befindet sich ein Sicherheitsleck, über das Angreifer Schadcode ausführen können. Die Mac-Ausführungen der Software sollen davon nicht betroffen sein. Einen Patch gibt es bislang nicht.

Sicherheitsupdate für MacOS X 10.4 und 10.5. Nachdem Apple bereits mit der neuen Browserversion Safari 3.1 einige Einfallstore geschlossen hat, schließt das nun veröffentlichte zweite große Sicherheitsupdate 2008-002 eine fast schon unüberschaubar hohe Anzahl von Sicherheitslücken in verschiedenen Versionen von MacOS X.

Safari 3.1 unterstützt Video- und Audio-Tags in HTML 5. Apple hat den Webbrowser Safari in der Version 3.1 veröffentlicht und stellt damit die erste Final-Version des Browsers für die Windows-Plattform bereit. Safari beherrscht nun auch Video- und Audio-Tags in HTML 5 sowie CSS-Animationen. Zudem schließt die aktuelle Version gleich 13 verschiedene Sicherheitslöcher im Browser.

Unbefugte erhalten Zugriff auf eBay-Kontodaten. Im Onlineauktionshaus eBay befindet sich ein Sicherheitsloch, das Angreifer zum Ausspähen fremder eBay-Kontodaten missbrauchen können, wie Falle-Internet.de berichtet. Um Opfer eines solchen Angriffs zu werden, muss lediglich eine entsprechend präparierte eBay-Auktion im Browser geöffnet werden. In einer Stellungnahme bestätigte eBay das Problem grundsätzlich, hält die Gefahren allerdings für relativ gering, da nur Nutzer, die zuvor überprüft wurden, die entsprechenden Techniken nutzen dürfen.

Zahlreiche Fehlerkorrekturen am Office-Paket vorgenommen. Pünktlich hat Microsoft das versprochene Update für Office 2008 für Mac veröffentlicht. Damit sollen einige lästige Programmfehler in Word, Excel, PowerPoint und Entourage beseitigt werden. Zudem enthält das Update die aktuellen Sicherheits-Patches für das Office-Paket.

Lokale Nutzer können Rechte ausweiten. Ein Fehler in der Unix-Version des Adobe Reader 8.1.2 ermöglicht es Nutzern, ihre Rechte auszuweiten und so beispielsweise Dateien zu manipulieren, auf die sie normal keinen Zugriff haben. Ein Update ist laut Adobe in Vorbereitung.

Sicherheitslücken erlauben Ausführung von Schadcode. Zum Patch-Day für den Monat März 2008 hat Microsoft vier Patches für die Office-Produkte aus Redmond angekündigt und dies auch eingehalten. Damit werden insgesamt zwölf Sicherheitslecks geschlossen. Alleine acht Sicherheitslöcher müssen in der Tabellenkalkulation Excel beseitigt werden.