Sicherheitslücke

"Skype-to-Skype Kommunikation absolut sicher und vertraulich". Die eBay-Tochter Skype gibt ihrem Joint-Venture-Partner Tom Online die alleinige Schuld im laufenden Abhörskandal in China. Der Mehrheitseigner halte sich nicht an die Absprachen, nach denen verbotene Begriffe in Instant Messaging ausgefiltert und gelöscht, nicht aber abgespeichert und Dritten zur Verfügung gestellt werden dürften.

Namen von 26.000 Studenten zeitweise zugänglich. Durch ein Leck in einem LDAP-Server an der Universität Göttingen waren zeitweise die Namen von 26.000 Studenten abrufbar. Nach Angaben der Universität ist das Sicherheitsleck inzwischen geschlossen.

Update beseitigt zahlreiche Fehler und unterstützt mehr Sprachen. Mozilla veröffentlicht mit Firefox 3.0.2 ein Sicherheitsupdate für den freien Browser, der dank weiterer Fehlerkorrekturen auch stabiler laufen soll.

Apple schließt zum Teil kritische Sicherheitslücken. Zusammen mit einigen Sicherheitsupdates für MacOS X 10.4 hat Apple eine neue Version seines Betriebssystems MacOS X 10.5 alias Leopard veröffentlicht. Damit werden einige zum Teil kritische Sicherheitslücken geschlossen.

Jeder Programmwechsel verursacht ein Bildschirmfoto. Wie jetzt bekannt wurde, speichert das iPhone 3G bei jedem Programmwechsel den gesamten Bildschirminhalt. Diese Screenshots werden zwar unmittelbar danach wieder gelöscht, allerdings lassen sich diese Daten restaurieren, warnt der iPhone-Experte Jonathan Zdziarski. Dadurch könnten vertrauliche Daten in falsche Hände gelangen.

Acht gefährliche Sicherheitslecks entdeckt. Apple hat QuickTime 7.5.5 für Windows und MacOS X veröffentlicht, um insgesamt neun Sicherheitslecks zu beseitigen. Alle neun Sicherheitslöcher stecken in der Windows-Ausführung von QuickTime, während die Mac-Variante nur von fünf Fehlern betroffen ist. Acht der Sicherheitslecks können zum Ausführen von Schadcode missbraucht werden.

Alle Pakete wurden neu signiert. Das Fedora-Projekt hat sämtliche Pakete neu signiert, so dass die Anwender nun einen zweistufigen Updateprozess beginnen können. Im August 2008 wurde ein Einbruch in Fedora-Server bekannt, woraufhin die Infrastruktur neu aufgesetzt wurde.

Sicherheitsloch in Windows weiterhin offen. Wie angekündigt, hat Microsoft vier Sicherheitspatches in diesem Monat veröffentlicht, die als gefährlich eingestufte Sicherheitslücken beseitigen sollen. Allen acht Sicherheitslecks ist gemein, dass Angreifer darüber beliebigen Programmcode ausführen können. Ein bekanntes Sicherheitsloch in Windows ist weiterhin offen.

Update für alle Nutzer empfohlen. Der freie Datei- und Druckserver Samba ist in der Version 3.2.3 erschienen, die einen Fehler beseitigt, durch den Nutzer ihre Rechte ausweiten konnten. Das Update wird allen Samba-Administratoren empfohlen.

Open-Source-Software soll auch DNS-Exploits vorbeugen. Forscher der Carnegie Mellon Universität haben eine Erweiterung für den Firefox-Browser entwickelt, die den Anwender vor sogenannten Man-in-the-Middle-Attacken schützt. "Perspectives" überprüft dazu, ob der Schlüssel der Gegenseite korrekt ist. So wissen Nutzer auch, ob sie einer Verbindung vertrauen können, wenn der Server ein selbst signiertes Zertifikat verwendet.

Auch Red Hat betroffen. In einige Fedora-Server wurde eingebrochen. Nach den abgeschlossenen Untersuchungen könne aber ausgeschlossen werden, dass Pakete manipuliert wurden, so das Projekt. Und auch in Server des maßgeblich hinter Fedora stehenden Linux-Anbieters Red Hat drangen Angreifer ein.

Neue Version beseitigt sieben Sicherheitslücken. Mit einem Update auf Opera 9.52 werden insgesamt sieben Sicherheitslöcher in dem Browser beseitigt. Eines davon wird als gefährlich klassifiziert, weil Angreifer darüber aus der Ferne beliebigen Programmcode ausführen können. Außerdem korrigiert die neue Version einige Programmfehler, um die Zuverlässigkeit der Software zu verbessern. Neue Funktionen bringt Opera 9.52 nicht.

Ermittlungsergebnisse nur mangelhaft dokumentiert. Das US Government Accountability Office (GAO) rügt in einem redigierten Bericht die mangelhafte Dokumentation der Ergebnisse von Ermittlern einer DHS-Behörde. Diese hatten Mängel bei Sicherheitskontrollen auf US-Flughäfen aufgedeckt, ihre Ergebnisse aber nicht ausreichend dokumentiert.

Angreifer können beliebigen Schadcode ausführen. In der Windows-Komponente NSlookup.exe wurde ein gefährliches Sicherheitsloch entdeckt, das bereits aktiv ausgenutzt wird. Microsoft hat noch keinen Patch zur Abhilfe veröffentlicht und untersucht das Problem noch.

Joomla 1.5.6 beseitigt Sicherheitslücke. Eine kritische Sicherheitslücke im CMS Joomla gefährdet damit realisierte Webseiten und wird bereits aktiv ausgenutzt. Angreifer können unter nicht seltenen Umständen das Passwort des Administrators ändern und so Kontrolle über das CMS erlangen.

Angreifer können Schadcode einschleusen und ausführen. Aus den 12 geplanten Sicherheitspatches für Windows und Microsofts Office-Paket wurden nur noch 11. In einem Update für den Windows Media Player wurde in letzter Sekunde noch ein Fehler gefunden, so dass dieses nicht erschienen ist. Allein in Microsofts Office-Produkten wurden 14 Sicherheitslücken geschlossen, 5 Fehler gibt es im Internet Explorer und weitere 6 Sicherheitslecks stecken im Betriebssystem von Microsoft.

Neue Version nutzt Gecko 1.8.1.16. Der Webbrowser Camino für MacOS X steht in der Version 1.6.3 als Download bereit und beseitigt verschiedene Sicherheitslecks. Weitere Neuerungen bringt dieses Update nicht.

Insgesamt erscheinen am 12. August 2008 zwölf Sicherheitspatches. Für den Patchday im August 2008 sind insgesamt zwölf Updates geplant. Sieben Patches sind für die Windows-Plattform geplant, wovon drei Updates gefährliche Sicherheitslecks beseitigen. Von den fünf Office-Patches kümmern sich vier um ebenfalls als gefährlich eingestufte Sicherheitslöcher.

PHP 4.4.9 beseitigt Sicherheitslücken. Mit PHP 4.4.8 erschien eigentlich die letzte Version von PHP 4 - eigentlich, denn die PHP-Entwickler gaben nun die Version 4.4.9 frei.

Detaillierte Angaben zu Sicherheitslücken vor dem Patch-Day. Vor dem allmonatlichen Patch-Day will Microsoft ausgewählten Partnern ab Oktober 2008 mehr Details zu geschlossenen Sicherheitslecks bereitstellen. Damit sollen etwa Unternehmenskunden besser entscheiden können, wie dringlich eine Patch-Einspielung ist.

Sicherheitslücken in zwölf Komponenten von MacOS X. Mit einem Patch beseitigt Apple das DNS-Sicherheitsloch im BIND-Server und schließt Sicherheitslücken in elf weiteren Komponenten von MacOS X. Sieben davon können zum Ausführen von Schadcode missbraucht werden und werden als entsprechend gefährlich eingestuft.

Sicherheitslücke betrifft Kombination aus Weblogic und Apache. Oracle hat eine Sicherheitswarnung herausgegeben, nachdem eine schwere Sicherheitslücke im Applikationsserver Weblogic entdeckt wurde. Dafür ist bereits ein Exploit erhältlich. Anwender sollten daher so schnell wie möglich die von Oracle empfohlenen Maßnahmen umsetzen.

Patch beseitigt vier gefährliche Sicherheitslecks. Für den RealPlayer wurde ein Patch veröffentlicht, der gleich vier Sicherheitslücken in der Software beseitigt. Über alle vier Sicherheitslecks lässt sich Schadcode ausführen, so dass der Patch möglichst zügig eingespielt werden sollte.

DNS-Server sollten dringend aktualisiert werden. Für die Anfang Juli 2008 von Dan Kaminsky veröffentlichte Sicherheitslücke im DNS-System kursieren offenbar erste Exploits. Kaminsky hat sich mit Details zurückgehalten und eine koordinierte Veröffentlichung von Patches verschiedener Hersteller organisiert, um Administratoren Zeit zur Aktualisierung ihrer Systeme zu verschaffen.

Standardkonfiguration verhindert die meisten Angriffe. Der E-Mail-Client Thunderbird liegt in der Version 2.0.0.16 vor, die insgesamt neun Sicherheitslecks beseitigt. Einige davon können zum Ausführen von Schadcode missbraucht werden. Aber nur, wenn die JavaScript-Funktionen aktiviert wurden, die standardmäßig ausgeschaltet sind. Neue Funktionen bietet die neue Thunderbird-Version nicht.

Angreifer können Phishing-Angriffe durchführen. Im iPhone 3G und dem iPod touch mit alter und neuer Firmware steckt ein Sicherheitsleck. Angreifer können darüber Phishing-Attacken durchführen und so an Zugangsdaten für Onlinebanking oder Shopping-Angebote gelangen. Bislang hat Apple das Sicherheitsloch nicht geschlossen.

Nutzer des Google Readers können Newsfeeds ihrer Kontake lesen. Nutzer des Google Readers können die RSS-Feeds von anderen Nutzern lesen, wenn diese nicht die Sharing-Funktion ausgeschaltet haben. Die Auswahl der Feeds, die mit anderen geteilt werden, erfolgt offensichtlich über Google Mail.

Update korrigiert kleinere Programmfehler. Mit einem Update beseitigt das Mozilla-Team drei Sicherheitslücken in Firefox 3 und korrigiert einige kleine Programmfehler. Zwei dieser drei Sicherheitslöcher wurden bereits einen Tag zuvor mit Firefox 2.0.0.16 geschlossen. Das dritte Sicherheitsleck betrifft nur die Mac-Version.

Critical Patch Update für Juli 2008 veröffentlicht. Insgesamt 45 Sicherheitslücken beseitigt Oracle mit seinem Patchpaket für den Juli 2008. Die betreffen verschiedene Produkte, darunter natürlich die Oracle-Datenbanken.

Mangelnde Sicherheitsvorkehrungen von Google. Mittels Google Kalender ist es für jeden Nutzer möglich, an den Klarnamen einer Google-Mail-Adresse zu gelangen. Eigentlich sollten diese Daten nicht jedermann zugänglich sein, aber die enge Verzahnung der beiden Google-Dienste und die mangelnden Sicherheitsvorkehrungen von Google machen das möglich.

Gefährliches Sicherheitsloch erlaubt Ausführung von Schadcode. Für Firefox 2 und SeaMonkey stehen Patches bereit, um insgesamt zwei neue Sicherheitslecks zu beseitigen. SeaMonkey ist allerdings nur von einem der beiden Fehler betroffen. Die beiden Sicherheitslücken stecken außerdem in Firefox 3. Ein Update auf Firefox 3.0.1 wird in Kürze erwartet.

Prozessorfehler als mögliche Sicherheitslücke. Ende Oktober 2008 will ein russischer Sicherheitsforscher auf der Konferenz "SecConf 2008" der Reihe "Hack in the Box" ein umstrittenes Thema in einem Vortrag ansprechen. Dem Mann soll es gelungen sein, bekannte und dokumentierte Fehler in Intel-Prozessoren als Sicherheitslücken auszunutzen. Beispielcode dafür will er nach der Konferenz veröffentlichen.

Forscher untersuchen BSD- und Linux-Systeme. Paketverwaltungen unter Linux- und BSD-Systemen lassen sich einfach angreifen, um so beispielsweise Sicherheitslücken zu implementieren. Zu diesem Schluss kommen Forscher der Universität Arizona in ihrer Studie. Dafür haben sie selbst einen manipulierten Mirror-Server aufgesetzt.

Programme lassen sich offiziell auf dem iPhone und dem iPod touch installieren. Zum Marktstart des iPhone 3G hat Apple die neue Firmware für das iPhone der ersten Generation sowie den iPod touch veröffentlicht. Die Firmware 2.0 bringt dem Apple-Mobiltelefon sowie dem Mediaplayer viele Verbesserungen. Es werden einige Ungereimtheiten beseitigt, die zum Marktstart vor einem Jahr kritisiert wurden. Aus dem Apple-Handy wird ein Smartphone.

Fehler erlaubte auch die Manipulation fremder Accounts. Ein Programmierfehler, der zu einem schwerwiegenden Datenschutzproblem beim Marktforschungsinstitut TNS Infratest/Emnid geführt hat, hatte offenbar weiterreichende Folgen als bislang bekannt. So konnten die 40.000 Testkäufer nicht nur die persönlichen Angaben anderer einsehen, sondern auch manipulieren.

Angreifer können Schadcode ausführen. Ausgerechnet am Juli-Patchday vermeldet Microsoft ein offenes Sicherheitsleck in der Textverarbeitung Word. Angreifer können darüber schadhaften Programmcode ausführen und so ein fremdes System unter ihre Kontrolle bringen. Einen Patch gibt es noch nicht.

Vier Patches beseitigen neun Sicherheitslöcher. Am Patchday im Juli beseitigt Microsoft insgesamt neun Sicherheitslücken in den Softwareprodukten des Unternehmens. Ein Sicherheitsloch kann sogar zum Ausführen von Schadcode missbraucht werden. Dieses betrifft auch Windows Vista. Angreifer können darüber ein fremdes System unter Kontrolle bringen.

Koordinierte Veröffentlichung von Patches, um Gefahren einzuschränken. Fehler im DNS-Protokoll und dessen üblicher Implementierung könnten das Internet ins Wanken bringen, denn zahlreiche DNS-Server sind anfällig für sogenannte DNS-Cache-Poisoning-Angriffe. Damit lässt sich der Cache-Inhalt eines DNS-Servers manipulieren und Surfer auf falsche Webseiten lotsen, was Phishingangriffe begünstigt. In einer koordinierten Aktion haben Anbieter von DNS-Servern am Dienstagabend Korrekturen für ihre Software veröffentlicht.

Sicherheitsloch wird bereits aktiv ausgenutzt. Im ActiveX-Control für den Snapshot-Viewer der Datenbanksoftware Access steckt ein Sicherheitsloch. Angreifer können darüber Schadcode ausführen und so ein fremdes System unter ihre Kontrolle bringen. Dieses Sicherheitsleck wird nach Erkenntnissen von Microsoft bereits aktiv ausgenutzt.

Angreifer können vertrauliche Daten auf dem iPhone einsehen. In der iPhone-Firmware befinden sich zahlreiche Sicherheitslücken, die in den vergangenen Monaten nicht beseitigt wurden. Das kritisiert ein Sicherheitsexperte. Das letzte Firmware-Upgrade stammt vom Februar 2008. Mit einer Schadsoftware ist es möglich, auf vertrauliche iPhone-Daten zuzugreifen und sogar Telefonate zu führen.

Programmierfehler erlaubte Zugriff auf Daten von 41.000 deutschen Haushalten. Ein Programmierfehler hat zu einem schweren Datenschutzproblem beim Marktforschungsinstitut TNS Infratest/Emnid geführt. Der Fehler erlaubte freien Mitarbeitern intime Einblicke in das Leben ihrer Kollegen.

Sicherheitsleck erlaubt Ausführung von schadhaftem Code. Der norwegische Browser Opera steht ab sofort in der Version 9.51 als Download bereit. Damit sollen einige Fehler beseitigt werden, die in Opera 9.5 entdeckt wurden. Außerdem schließt die neue Version zwei Sicherheitslecks. Eines davon kann zum Ausführen von Schadcode missbraucht werden. Neue Funktionen bringt das Update nicht.

Update für SeaMonkey ebenfalls verfügbar. Für die Version 2 von Firefox steht ein Sicherheitspatch bereit, der zwölf Sicherheitslücken schließen soll. Davon werden fünf Sicherheitslecks als gefährlich eingestuft. Auch eine neue Version von SeaMonkey steht bereit und soll summa summarum dreizehn Sicherheitslöcher beseitigen.