Sicherheitslücke

Noch keine Sicherheitsupdates für den Kernel. Das Debian-Sicherheitsteam unterstützt mittlerweile nahezu komplett den Testing-Zweig der Linux-Distribution. Das Sicherheitsteam hat Pläne für die Zeit nach der Veröffentlichung der nächsten Debian-Version "Lenny" vorgestellt.

Angreifer können schadhaften Code ausführen. Im Internet Explorer 6 ist eine Sicherheitslücke gefunden worden, über die sich im schlimmsten Fall Schadcode einschleusen lässt. Aber auch das unbemerkte Ausspionieren von vertraulichen Daten ist damit möglich. Bislang steht kein Patch bereit, um den Fehler zu beseitigen. Immerhin soll der Internet Explorer 7 davon nicht betroffen sein.

Auslieferungspasswort in Meso-Software beim Einwohnermeldeamt veröffentlicht. Durch ein Datenleck beim Hersteller HSH waren persönliche Bürgerdaten der Einwohnermeldeämter - Familienstand, Geburtsdatum, Religionszugehörigkeit und Passbild - in 200 Kommunen über das Internet frei zugänglich. Das deckte das ARD-Fernsehmagazin "Report München" auf. Die Anwender hatten das Auslieferungspasswort nicht geändert. Schuld sei "der Faktor Mensch", entschuldigt sich der Hersteller.

Microsoft legt Sicherheitspatch für Bluetooth-Stack in Windows neu auf. Microsoft hat einen Sicherheitspatch neu aufgelegt, der am Patchday des Monats Juni veröffentlicht wurde. Damit sollte ein Fehler im Bluetooth-Stack von Windows beseitigt werden. Während der Patch auf Vista-Systemen ordentlich arbeitet, war es auf den 32-Bit-Systemen von Windows XP wirkungslos.

Von Microsoft gemeldeter Fehler wurde beseitigt. Für Apples Webbrowser Safari ist ein Update für die Windows-Fassung erschienen, das insgesamt vier Sicherheitslecks beseitigt. Drei der Sicherheitslöcher können von Angreifern zum Ausführen beliebigen Codes missbraucht werden. Eines davon wurde Anfang Juni 2008 von Microsoft gemeldet.

Auch Firefox 2 von der Sicherheitslücke betroffen. In dem vor zwei Tagen erschienenen Browser Firefox 3 wurde ein Sicherheitsloch entdeckt. Angreifer können darüber im schlimmsten Fall schadhaften Code ausführen und so einen fremden Rechner unter Kontrolle bringen. Das Sicherheitsleck steckt aber auch in Firefox 2.

Kaffeegenießern droht Gefahr über das Internet. Ein Australier hat eine Sicherheitslücke in einem Erweiterungsmodul für eine Edelkaffeemaschine entdeckt. Angreifern ist es so möglich, sich über das Internet Zugang zu der Maschine, aber auch zu einem daran angeschlossenen Computer zu verschaffen.

Neue Hauptversion des Mozilla-Browsers bringt zahlreiche Verbesserungen. Anderthalb Jahre hat es gedauert, jetzt steht die 3er-Version von Firefox als Download bereit - mit kleiner Verzögerung. Die neue Browserversion hat einen deutlich verbesserten Lesezeichenmanager, über den auch der Browserverlauf verwaltet wird. Das beschert neue Komfortfunktionen, die die Arbeit im Web vereinfachen.

Bugfix-Release ohne neue Funktionen. Die neue Version 2.4.1 der freien Office-Suite OpenOffice.org beseitigt zahlreiche Fehler in den Programmen. Neue Funktionen bringt die Version nicht mit, sie wird es erst mit OpenOffice.org 3.0 geben, das noch in diesem Jahr erscheinen soll.

Zusammenspiel von Windows und Safari erlaubt Code-Ausführung. Microsoft untersucht eine kritische Sicherheitslücke, die beim Einsatz von Apples Browser Safari unter Windows entsteht. Bislang werde die Sicherheitslücke allerdings nicht aktiv ausgenutzt, so Microsoft.

Symantec und Adobe untersuchen neuen Angriff auf den Flash-Player. Symantec warnt vor einer kritischen Sicherheitslücke im Flash-Player, die aktiv ausgenutzt wird. Noch ist die Ursache für das Problem nicht klar, daher gibt es auch noch kein Update von Adobe.

Sicherheitslücke im Foxit Reader 2.3 geschlossen. Der PDF-Viewer Foxit Reader in Version 2.3 für Windows wurde nun in einer neuen Build-Variante veröffentlicht, die eine Sicherheitslücke schließen soll, bei der durch manipulierte PDFs Schadcode ausgeführt werden konnte. Dazu genügte ein Öffnen einer bösartigen PDF-Datei.

Angreifer können beliebigen Schadcode automatisch verteilen. Kritik erntet das Safari-Team von Apple dafür, dass es zumindest ein gemeldetes Sicherheitsleck im Browser nicht schließen will. Apple stuft dieses nicht als sicherheitsrelevant ein, so dass entsprechende Angriffe weiterhin möglich sind. Ein weiteres Sicherheitsleck soll bald beseitigt werden, einen Termin gibt es aber noch nicht.

Ausführung von Schadcode auf Systemen mit Windows XP möglich. Im Internet Explorer wurde ein Sicherheitsleck entdeckt, das im schlimmsten Fall zum Ausführen von Schadcode missbraucht werden kann. Der Fehler steckt in der Funktion zum Ausdrucken einer Linkliste auf einer Webseite. Standardmäßig ist diese Funktion nicht aktiviert, so dass der Nutzer sein System verändern muss, bevor ein Angreifer diesen Fehler ausnutzen kann.

Hersteller empfiehlt sofortige Deinstallation. F-Secure warnt vor der Client-Edition seiner Sicherheitssoftware Linux Security 7.00, denn durch einen enthaltenen Fehler löscht sie eventuell Daten. Derzeit hilft nur, die Software möglichst schnell zu entfernen.

Vier Patches stopfen insgesamt sechs Sicherheitslecks in Microsoft-Produkten. In Microsofts Office-Paket wurden zum diesmonatigen Patchday summa summarum drei Sicherheitslecks beseitigt, über die Angreifer schadhaften Code ausführen und so einen fremden Rechner unter ihre Kontrolle bringen können. Ein als gefährlich eingestuftes Sicherheitsloch befindet sich in der Windows-Komponente Jet 4.0, zwei weitere Sicherheitslecks stecken in Microsofts Sicherheitssoftware.

Update schließt Sicherheitslücke. Das Sicherheits-Team der Linux-Distribution Debian hat einen Fehler im OpenSSL-Zufallsgenerator gefunden, durch den Schlüssel herausgefunden werden könnten. Die Sicherheitslücke betrifft nur das OpenSSL-Paket in Debian GNU/Linux. Das betroffene Paket wurde bereits aktualisiert.

Insgesamt erscheinen am 13. Mai 2008 vier Sicherheits-Patches. Microsoft hat vier Security Bulletins für den Patch-Day im Mai 2008 in Aussicht gestellt. Am 13. Mai 2008 erscheinen zwei Patches für die Office-Software aus Redmond sowie ein Windows-Patch, um Sicherheitslecks zu beseitigen, die als gefährlich eingestuft werden. Zudem ist ein Update für Microsofts Sicherheitssoftware geplant.

Updates schließen insgesamt acht Sicherheitslücken. Im Februar 2008 hatte Adobe Updates für Adobe Reader sowie für Acrobat 7 und 8 veröffentlicht. Damit wurden auch insgesamt acht Sicherheitslecks geschlossen, wie Adobe erst jetzt verraten hat. Sieben der Sicherheitslöcher können zum Ausführen von Schadcode missbraucht werden und ein Sicherheitsleck wurde wohl bereits aktiv ausgenutzt.

SearchScan-Technik setzt auf McAfees SiteAdvisor. Yahoo hat die eigene Suchmaschine um eine neue Sicherheitsfunktionen ergänzt, um Nutzer vor dem Besuch schadhafter Webseiten zu schützen. Auch die Abwehr von Spam-Seiten ist damit möglich. Die SearchScan genannte Technik setzt auf McAfee-Verfahren und ist bereits in die deutsche Yahoo-Suche als Beta-Version integriert.

PHP 5.2.6 schließt einige Sicherheitslücken. Die Skriptsprache PHP wurde in der Version 5.2.6 veröffentlicht. Darin haben die Entwickler insgesamt 120 Fehler korrigiert, darunter auch sicherheitskritische. Sie empfehlen wie üblich allen Anwendern, auf die neue Version umzusteigen.

Von den 7 vermeldeten Sicherheitslecks bleiben noch 2 Lücken übrig. Der E-Mail-Client Thunderbird wurde in der Version 2.0.0.14 veröffentlicht und schließt insgesamt zwei Sicherheitslöcher. Eigentlich wurde bislang angenommen, dass die E-Mail-Software deutlich mehr offene Sicherheitslücken aufweist. Neue Funktionen bringt Thunderbird 2.0.0.14 nicht.

Apple bietet derzeit keinen Patch an. In Apples QuickTime steckt ein Sicherheitsleck, über das Angreifer beliebigen Schadcode einschleusen und ausführen können. Dazu muss ein Opfer nur zum Öffnen einer entsprechend manipulierten Datei auf einem Windows-System verleitet werden. Bislang hat Apple keinen Patch veröffentlicht, um den Fehler zu korrigieren.

Nur Version aus KDE 4.x betroffen. Die Entwickler des freien Unix- und Linux-Desktops KDE haben in ihrer HTML-Rendering-Engine eine Sicherheitslücke entdeckt, durch die unter Umständen auch beliebiger Programmcode ausgeführt werden kann. Betroffen ist KDE ab Version 4.0.

Neue Build-Version vom FoxIt Reader 2.3 veröffentlicht. Kurz nachdem bekannt wurde, dass in der PDF-Anzeigesoftware FoxIt Reader zwei Sicherheitslücken stecken, erschien die neue Version 2.3, in der die Fehler allerdings nicht beseitigt waren. Nun wurde der FoxIt Reader neu aufgelegt, um auch die beiden Sicherheitslecks zu eliminieren.

Forscher erzeugten Schadcode automatisiert basierend auf Sicherheits-Patches. Anhand von Sicherheits-Patches für Software haben Forscher einen Automatismus entwickelt, um Schadcode zu generieren, der das zu schließende Sicherheitsleck ausnutzt. Solche Mechanismen könnten schon bald eine Gefahr für Anwender bedeuten, weil dadurch wenige Minuten nach Bereitstellung eines Patches bereits passender Schadcode im Internet auftauchen könnte.

Linux-Software wurde am MIT entwickelt. Sicherheits-Updates für den Kernel einzuspielen, geht normalerweise mit einem Neustart des Systems einher - zumindest in Serverumgebungen kann dies zum Problem werden, da während des Startvorgangs die auf dem System laufenden Dienste nicht zu erreichen sind. Eine neue Software aus den Labors des Massachusetts Institute of Technology (MIT) soll nun Abhilfe schaffen. Sie spielt Patches ein, ohne dass der Kernel anschließend neu gestartet werden muss.

Mit Tabbed-Browsing- und Lesezeichen-Unterstützung. Die PDF-Anzeige-Software FoxIt Reader wurde in der Version 2.3 veröffentlicht, die zwar einige Verbesserungen bringt, aber die jüngst bekanntgewordenen Sicherheitslecks nicht beseitigt. FoxIt Reader 2.3 bietet nun Tabbed-Browsing und unterstützt Lesezeichen sowie Ton- und Videodateien in PDF-Dokumenten.

Einsatz von Datenbanken machen Webseiten anfällig. Mehr als 500.000 infizierte Webseiten listet allein die Suchmaschine Google, berichtet F-Secure. In die betreffenden Webseiten wurde schadhafter JavaScript-Code eingeschleust, der Webseitenbesucher auf andere Seiten lockt und auf diesem Wege Schadcode auf die betreffenden Rechner bringt. Zu den infizierten Seiten gehören auch welche der Uno und der britischen Regierung.

Angreifer können Schadcode ausführen. In der PDF-Anzeige-Software FoxIt Reader stecken zwei Sicherheitslücken, die zum Ausführen von Programmcode missbraucht werden können. Ein Opfer muss nur dazu verleitet werden, eine entsprechend präparierte PDF-Datei mit der Windows-Software zu öffnen.

Hohe Gefahr für Nutzer von Photoshop Album Starter. In den Adobe-Applikationen Photoshop CS3, After Effects CS3 sowie Photoshop Album Starter wurde eine Sicherheitslücke entdeckt, über die Angreifer beliebigen Programmcode ausführen können, um ein fremdes System unter ihre Kontrolle zu bringen. Dazu muss ein Opfer nur zum Öffnen einer präparierten BMP-Datei verleitet werden, bei Photoshop Album Starter ist nicht einmal dies erforderlich.

Aufruf der Community-Seite leitete zu Hillary Clinton weiter. Wer am vergangenen Wochenende einen bestimmten Bereich der Website des demokratischen US-Präsidentschaftskandidaten Barack Obama aufrief, fand sich unversehens auf der Seite seiner Konkurrentin Hillary Clinton wieder. Eine Sicherheitslücke, die inzwischen geschlossen wurde, hat den Redirect ermöglicht.

Zwei Sicherheitslücken betreffen nur die Windows-Ausführung. Insgesamt vier Sicherheitslecks wurden in Apples Safari-Browser entdeckt, die nun mit der Version 3.1.1 beseitigt werden. Zwei Sicherheitslöcher betreffen nur die Windows-Ausführung des Browsers, während die übrigen zwei Sicherheitslücken auch in der Mac-Ausführung von Safari stecken.

Fehler in JavaScript-Engine. In der JavaScript-Engine von Firefox wurde eine Sicherheitslücke entdeckt, die den Browser zum Absturz bringt und auch zum Ausführen von Schadcode missbraucht werden könnte. Mit der aktuellen Version 2.0.0.14 von Firefox wird dieses Sicherheitsloch geschlossen, weitere Neuerungen sind nicht vorhanden.

Critical Patch Update April 2008 freigegeben. Oracles Patch-Paket für den April 2008 beseitigt 41 Sicherheitslücken in der Produktpalette des Softwareentwicklers. 17 der Fehlerkorrekturen sind für Oracles Datenbankprodukte in den unterschiedlichsten Versionen.

Sicherheitsleck in Google Spreadsheet wurde geschlossen. Über ein mittlerweile geschlossenes Sicherheitsleck in Google Spreadsheet war es Angreifern möglich, Cookie-Daten auszulesen. Darüber konnte dieser alle vom Opfer verwendeten Google-Dienste nutzen. Er hätte die Nachrichten aus Google Mail lesen, darüber E-Mails verschicken und alle Dateien aus Google Docs einsehen können.

Umstellung auf NDS Videoguard und neue Version von Nagravision. Nachdem das Verschlüsselungssystem Nagravision von Kudelski geknackt wurde, setzt der Pay-TV-Sender Premiere künftig auf das Konkurrenzprodukt NDS Videoguard, das eine Tochtergesellschaft von Rupert Murdochs News Corporation entwickelt hat. Noch im zweiten Quartal 2008 installiert Premiere eine neue Software auf den Receivern und verschickt neue Smartcards.

Korrektur-Patch ändert den Umgang mit Flash-Inhalten. Vor knapp einem Monat hatte Adobe für den Flash-Player einen Sicherheits-Patch für den April 2008 in Aussicht gestellt, der nun veröffentlicht wurde. Der Patch beseitigt insgesamt sieben Sicherheitslücken im Flash-Player, die zum Teil zum Ausführen von Schadcode missbraucht werden können. Außerdem wurde der Umgang mit Flash-Inhalten verändert.

Internet Explorer nun wieder ohne Eolas-Hürde. In den Windows-Versionen hat Microsoft sechs Sicherheitslecks beseitigt, die in der Mehrzahl zum Ausführen von Schadcode missbraucht werden können. Das Gleiche gilt auch für ein Sicherheitsloch im Internet Explorer, der nun keine Eolas-Hürde mehr aufweist. Dabei ist auch Windows Vista mit Service Pack 1 für einige der nun bekanntgewordenen Sicherheitslücken anfällig.

Version schließt Sicherheitslücke. Erst vor wenigen Tagen war die freie SSH-Implementierung OpenSSH 4.9 erschienen, nun legen die Entwickler die Version 5.0 nach. Zu spät hatten sie von einer Sicherheitslücke erfahren, die sie nun korrigiert haben. Die Version 4.9 enthielt auch neue Funktionen.

Sechs Sicherheits-Patches für Windows geplant. Für den Patch-Day im April 2008 hat Microsoft acht Security Bulletins angekündigt. Am 8. April 2008 erscheinen allein für die Windows-Plattform sechs Patches, die Lücken schließen sollen, über die Angreifer beliebigen Schadcode ausführen können. Weitere zwei Patches betreffen das Office-Paket von Microsoft.

Neue Version mit kleinen Verbesserungen für MacOS X. Mit der Version 9.27 seines Webbrowsers beseitigt Opera einige Sicherheitslücken. Über zwei nun geschlossene Sicherheitslücken können Angreifer beliebigen Code ausführen.

Pufferüberläufe durch Untertitel. Die quelloffene Audio- und Videowiedergabe-Software "VLC Media Player" ist in der neuen Version 0.8.6f erschienen. Neben behobenen Sicherheitsproblemen verträgt sich die neue Version jetzt auch wieder besser mit älteren Windows-Betriebssystemen und mit Multi-Monitor-Konfigurationen unter MacOS X.