Sicherheitslücke

Neue Netscape-Version korrigiert nur Sicherheitslücken. AOL hat die Version 8.1.3 von Netscape veröffentlicht und will damit vor allem Sicherheitslücken schließen. Welche Sicherheitslecks darin geschlossen wurden, ist nicht bekannt. Neue Funktionen bringt Netscape 8.1.3 nicht.

Neue Sicherheitslücke wird aktiv ausgenutzt. In der vergangenen Woche hat Microsoft einen Fehler in den animierten Icon-Dateien bestätigt, nun soll bereits diese Woche ein Patch erscheinen. Eigentlich sollte dieser erst am regulären Patch-Day Mitte April 2007 erscheinen. Da das Sicherheitsleck aber bereits durch Schadcode ausgenutzt wird, entschied sich Microsoft zu diesem für den Konzern sehr ungewöhnlichen Schritt.

Neue Version für die kommende Woche angekündigt. In OpenOffice.org 2.x wurden drei Sicherheitslücken gefunden, die zum Teil zum Ausführen beliebigen Programmcodes missbraucht werden können. Die in Arbeit befindliche Version 2.2 von OpenOffice.org soll die Fehler korrigieren und wird voraussichtlich in der kommenden Woche erscheinen.

Unternehmen widerspricht Meldungen. Derzeit machen Meldungen die Runde, denen zufolge Xbox Live gehackt und die Konten von Xbox-360-Spielern kompromittiert worden sein könnten. Microsoft widersprach dem nun.

Neue Versionen von Firefox erschienen; Marktanteil in Europa gleichbleibend. Das Mozilla-Team hat die Versionen 1.5.0.11 sowie 2.0.0.3 von Firefox veröffentlicht, um darin ein Sicherheitsleck in den ftp-Funktionen zu korrigieren. Auf Grund der Sicherheitslücke können sich Angreifer Informationen über die Netzwerkkonfiguration eines Rechners ergattern, um diese gegen das Opfer einzusetzen.

Update schließt einige nicht näher beschriebene Sicherheitslücken. Mit einem umfangreichen Update für MacOS X beseitigt Apple zahlreiche Fehler in seinem Betriebssystem. MacOS X 10.4.9 könnte die letzte größere Aktualisierung des Betriebssystems vor Erscheinen des Nachfolgers Leopard sein.

Nächster Patch-Day im April 2007. Am 13. März 2007 stünde eigentlich der nächste Patch-Day bei Microsoft an, an dem meist mehrere Sicherheits-Patches für verschiedene Produkte erscheinen. Der Softwarekonzern wird in diesem Monat jedoch keine Sicherheits-Patches veröffentlichen.

Patches können vorerst nicht in den offiziellen Kernel gelangen. Nachdem ein maskierter Hacker auf dem 23. "Chaos Communication Congress" (23C3) im Dezember 2006 schon eigenen Code auf der Xbox 360 ausführte, sind nun Patches für den Linux-Kernel erschienen. Damit soll das Betriebssystem auf Microsofts Spielekonsole laufen. Voraussetzung ist allerdings, dass die zur Code-Ausführung nötige Sicherheitslücke auf der Xbox 360 nicht behoben wurde und es wird ein spezieller Loader benötigt, der separat veröffentlicht werden soll.

Neue Thunderbird-Version bringt ansonsten nur Fehlerkorrekturen. Es wurde bereits erwartet, ist vom Mozilla-Team aber immer noch nicht offiziell angekündigt worden: Das Sicherheits-Update für den E-Mail-Client Thunderbird findet sich auf den Mozilla-Seiten, nachdem bereits entsprechende Patches für Firefox und SeaMonkey erschienen sind. Die aktuelle Version schließt zwei Sicherheitslücken in Thunderbird.

Drei Sicherheitslücken am ersten Tag des "Month of PHP Bugs". In die Version 4.4.5 von PHP hat sich ein Fehler eingeschlichen, der PHP unter nicht unüblichen Umständen zum Absturz bringen kann. Derweil hat Stefan Esser die ersten Sicherheitslücken im Rahmen des von ihm ausgerufenen "Month of PHP Bugs" veröffentlicht.

SeaMonkey in Version 1.0.8 sowie 1.1.1 erschienen. Die auf der Gecko-Engine beruhende Browser-Suite Mozilla steht ab sofort in aktualisierten Versionen bereit. Beide Fassungen schließen einige Sicherheitslücken, um die Sicherheit der Software zu verbessern. Zudem hat SeaMonkey 1.1.1 einige Fehlerkorrekturen erfahren.

Genaue Beschreibung bei Security Focus erschienen. Auf dem 23. "Chaos Communication Congress" (23C3) hat am 30. Dezember 2006 ein maskierter, wortloser Hacker kurz das Ausführen von eigenem Code auf der Xbox 360 demonstriert und versprochen, dass bald Linux und MacOS X auf der Konsole laufen würden. Ein Eintrag auf Security Focus hat nun den Hack bestätigt, allerdings wird es doch erstmal nichts mit neuen Betriebssystemen für die Xbox 360.

Nutzer erhalten neue Passwörter. Einem Unbekannten ist es gelungen, E-Mail-Adressen, Zugangsdaten und Freundschaftsverbindungen illegal aus der Datenbank der mittlerweile zu Holtzbrinck gehörenden Berliner Studentenplattform studiVZ auszulesen, teilten die Betreiber am Abend mit. Wie viele Profile davon betroffen sind, ist zum jetzigen Zeitpunkt noch offen.

Fehler in Publisher 2007 erlaubt Ausführung von Programmcode. Microsofts neues Office-Paket ist seit nicht mal einem Monat auf dem Markt, da wurde bereits ein schweres Sicherheitsloch in Office 2007 gefunden. Ein Fehler in Publisher 2007 erlaubt einem Angreifer das Ausführen beliebigen Programmcodes.

Neue Versionen stopfen Sicherheitslücken, 2.0.0.2 soll besser unter Vista laufen. Die nun erschienene Browser-Version Firefox 2.0.0.2 schließt einige zumeist kleinere Sicherheitslücken und bringt eine verbesserte Unterstützung für Windows Vista mit. Zugleich erschien auch Firefox 1.5.0.10.

Browser-Adressleiste zeigt falsche Inhalte an. Im Internet Explorer 7 wurde ein Sicherheitsloch gefunden, das Angreifer für Phishing-Angriffe missbrauchen können. Durch einen Fehler zeigt die Adressleiste im Browser falsche Daten an. Somit bemerkt ein Anwender nicht, wenn er sich auf einer nicht vertrauenswürdigen Webseite befindet. Einen Patch gibt es bislang nicht.

Angreifer konnten Programmcode ausführen und Daten ausspionieren. Googles Desktop-Suche hat ein schwerwiegendes Sicherheitsloch enthalten, das nun geschlossen sein soll. Über das Ende 2006 gefundene Sicherheitsleck konnten Angreifer beliebigen Programmcode ausführen. Google selbst gab keine allgemein verfügbaren Informationen zu dem Fehler bekannt, sondern hüllt sich lieber in Schweigen.

Krita und Kexi mit neuen Funktionen. Das freie Linux-Büropaket KOffice ist in der Version 1.6.2 erschienen, mit der eine Sicherheitslücke in KWord geschlossen wird. Kleinere neue Funktionen wurden Krita und Kexi hinzugefügt, in den restlichen KOffice-Komponenten behoben die Entwickler Fehler. Ein Update wird allein auf Grund des Sicherheits-Patches empfohlen.

Blog-Software Wordpress 2.0.9 und 2.1.1 veröffentlicht. Die Blog-Software Wordpress wurde in den Versionen 2.0.9 und 2.1.1 veröffentlicht. Dabei schließt Wordpress 2.0.9 eine kleine Sicherheitslücke, die mit Code eingeführt wurde, der eigentlich vor Cross-Site-Scripting (XSS) schützen soll.

Patches für Finder, iChat und Nutzerbenachrichtigung veröffentlicht. Apple hat ein Sicherheits-Update für MacOS X veröffentlicht, um vier Sicherheitslecks im Betriebssystem zu schließen, die im Rahmen des Projekts "Month of Apple Bugs" (MOAB) bekannt wurden. Der "Month of Apple Bugs" wies im Januar 2007 auf offene Sicherheitslücken in MacOS X sowie Mac-Applikationen hin, um darauf hinzuweisen, dass Apple-Systeme per se keineswegs vor Sicherheitslücken gefeit sind.

Nach PHP 5.2.1 schließt auch PHP 4.4.5 Sicherheitslücken. Mit der PHP 5.2.1 haben die PHP-Entwickler einige Sicherheitslücken in PHP 5 geschlossen. Einige davon finden sich auch in PHP 4, für das mit PHP 4.4.5 nun ein entsprechendes Update erschien.

Microsoft bietet keinen Patch an; Sicherheitsloch wird aktiv ausgenutzt. Nur einen Tag, nachdem Microsoft endlich die vier seit Wochen offenen Sicherheitslücken in Word geschlossen hat, muss der Software-Gigant ein weiteres Sicherheitsleck in der Textverarbeitung eingestehen. Das Sicherheitsloch wird bereits aktiv von Schadcode ausgenutzt, so dass es sich auch bei diesem Sicherheitsleck um eine so genannte "Zero Day"-Lücke handelt.

Patch-Day: Schwere Sicherheitslecks in Windows und Internet Explorer. Seit Anfang Dezember 2006 wurden vier offene Sicherheitslücken in Word gemeldet, die bislang alle nicht mit einem Patch bedacht wurden. Am Patch-Day vom Februar 2007 holt Microsoft dies endlich nach und beseitigt auch das Sicherheitsloch in Excel, so dass insgesamt acht Sicherheitslecks in Microsofts Office-Produkten geschlossen werden. Zudem werden neun Sicherheitslücken in Windows beseitigt, davon betreffen vier den Internet Explorer.

Stefan Esser ruft den "Month of PHP bugs" aus. Die PHP-Entwickler schließen mit PHP 5.2.1 einige Sicherheitslücken in der freien Scriptsprache. Zudem wurde die Stabilität verbessert. Derweil ruft Sicherheitsexperte Stefan Esser, der sich Ende 2006 aus dem PHP Security Response Team verabschiedete, für März den "Month of PHP bugs" aus, in dem er jeden Tag eine Sicherheitslücke in PHP veröffentlichen will.

Zwölf Patches aus Redmond, davon neun Fehlerkorrekturen für Windows. Am diesmonatigen Patch-Day plant Microsoft gleich zwölf Patches, wovon sich alleine neun Updates um Windows-Sicherheitslücken kümmern. Zwei Patches sind für Microsofts Office-Paket geplant und ein Patch widmet sich einer Reihe von Antivirenlösungen aus Redmond. Unklar ist noch, ob Microsoft im Februar 2007 endlich alle offenen und bekannten Sicherheitslücken im Office-Paket des Software-Riesen stopft.

Anti-Phishing-Funktion lässt sich leicht aushebeln. Ohne großen Aufwand lässt sich der Phishing-Filter in Firefox 2.x aushebeln, so dass Angreifer dem Firefox-Nutzer weiterhin Phishing-Seiten unterschieben können. In Firefox 1.5.0.9 wurde außerdem eine Sicherheitslücke im Pop-up-Blocker entdeckt, die ein Ausspionieren von Daten erlaubt. Ein Patch ist bislang nicht erschienen.

Bislang wird nur Sicherheitsloch in Excel ausgenutzt. Microsoft hat einen Fehler in der Tabellenkalkulation Excel bestätigt, der auch andere Komponenten von Redmonds Office-Software betrifft. Im Internet ist bereits Schadcode gefunden worden, der das Sicherheitsloch in Excel ausnutzt. Mit Hilfe eines präparierten Excel-Dokuments lässt sich beliebiger Programmcode ausführen.

Sprachkommando-Funktion fehlen Sicherheitsabfragen. Mit Hilfe von Sprachdateien kann ein Angreifer jederzeit Zugriff auf ein Vista-System erlangen - vorausgesetzt die Sprachsteuerung von Windows Vista ist aktiviert. Dann genügt es, dem Opfer eine Audiodatei mit entsprechenden Sprachbefehlen unterzuschieben. Denn Sprachbefehle sind nicht an eine bestimmte Stimme gekoppelt und es fehlt eine Sicherheitsabfrage, um solchen Missbrauch zu verhindern.

Neues Sicherheitsleck erlaubt beliebige Code-Ausführung. In Microsofts Textverarbeitung Word wurden im laufenden Jahr bereits zwei Sicherheitslücken entdeckt. Auch für das neu gefundene Leck befindet sich bereits Schadcode in Umlauf, wie es bei den vier übrigen offenen Word-Lücken der Fall war. Insgesamt weist Word derzeit fünf nicht geschlossene, aber bekannte Sicherheitslücken auf.

Insgesamt vier nicht geschlossene Sicherheitslücken. In Microsofts Textverarbeitung Word wurde ein weiteres Sicherheitsloch entdeckt, für das bereits Schadcode in Umlauf sein soll. Damit weist Word derzeit insgesamt vier nicht geschlossene Sicherheitslücken auf, nachdem Microsoft den Januar-Patch-Day ungenutzt hat verstreichen lassen, drei seit Wochen bekannte Sicherheitslecks in Word zu schließen.

Sicherheitsleck in QuickTime seit 23 Tagen bekannt. Langsam aber sicher endet das Projekt "Month of Apple Bugs" (MOAB), das im laufenden Monat täglich über eine offene Sicherheitslücke in MacOS-X-Produkten berichtet. Nach nunmehr 23 Tagen hat sich Apple erstmals eine der Sicherheitslücken vorgeknöpft, die im Rahmen dieses Projekts aufgedeckt wurden. Daher steht nun ein offizieller Patch für das seit 1. Januar 2007 bekannte Sicherheitsloch in QuickTime bereit.

Microsoft aktualisiert Patch für Excel. Auch im Monat Januar 2007 hat Microsoft kein Glück mit seinem Patch-Day. Im vergangenen Jahr musste Microsoft mehrfach Patches korrigieren, weil diese fehlerhaft waren. Nun betrifft es einen Excel-Patch, der Microsofts Tabellenkalkulation so durcheinander bringt, dass sich Dokumente unter bestimmten Umständen nicht mehr damit öffnen lassen.

"Risk Matrix" hilft bei Beurteilung der Updates. Oracles Patch-Sammlung für den Januar 2007 schließt insgesamt 51 Sicherheitslücken in den Produkten des Herstellers. Eine Risk Matrix soll Administratoren bei der Entscheidung helfen, welche Updates schnell einzuspielen sind.

Zweites Update innerhalb von zehn Tagen. Mit der Version 2.0.7 ihrer Blog-Software beseitigen die Wordpress-Entwickler eine Sicherheitslücke, die in bestimmten PHP-Versionen auftreten kann. Zudem wurde ein Fehler beseitigt, der mit der kürzlich erschienenen Version 2.06 Einzug hielt.

Version zur Fehlerkorrektur schließt Sicherheitslücken. Während die Minor-Versionen des Linux-Kernels normalerweise nur kleinere Änderungen mit sich bringen, schließt der nun verfügbare Kernel 2.6.19.2 gleich mehrere Sicherheitslücken. Auch ein kritischer Fehler, durch den Daten nicht korrekt auf die Festplatte geschrieben wurden, ist nun behoben.

Auch Sicherheitsloch im Application Enhancer gefunden. Im Rahmen des "Month of Apple Bugs" wurde eine Sicherheitslücke im Finder von MacOS X entdeckt. Das Öffnen einer manipulierten DMG-Image-Datei genügt, damit Angreifer eine Denial-of-Service-Attacke vornehmen oder womöglich sogar schadhaften Programmcode ausführen können. Zudem wurde eine Sicherheitslücke im Application Enhancer gefunden, der für Workaround-Patches für die gefundenen Sicherheitslücken benötigt wird.

Update schließt zwei Sicherheitslücken. Mit dem Adobe Reader sowie Acrobat 7.0.9 korrigiert Adobe eine Anfang Januar 2007 bekannt gewordene Sicherheitslücke in der Software sowie ein zweites Sicherheitsleck. Beide Sicherheitslücken erlauben einem Angreifer das Ausführen beliebigen Programmcodes, um sich so eine umfassende Kontrolle über ein fremdes System zu verschaffen. Adobe Reader 8.0 enthält den Fehler nicht.

Patch-Day schließt fünf Excel-Lecks und drei Outlook-Sicherheitslücken. Die Vermutung hat sich nicht bestätigt, dass Microsoft endlich die drei offenen Sicherheitslücken in Word schließt. Zwar hat der Softwarekonzern drei Patches für sein Office-Paket veröffentlicht, aber keines dieser Korrekturen kümmert sich um die seit Dezember 2006 bekannten Sicherheitslücken, zu denen im Internet bereits Schadcode unterwegs ist. Immerhin wird das im Januar 2007 bekannt gewordene Sicherheitsleck in Excel geschlossen.

Mehrere Funktionen anfällig für Integer Overflows. In dem X-Server von X.org stecken mehrere Sicherheitslücken, die zu Integer Overflows führen können. Ausgenutzt werden können sie zwar nur von einem bereits authentifizierten Client, betroffen sind allerdings alle Versionen seit X.org 6.8.2. Patches stehen bereits zum Download bereit.

Kein Patch von Microsoft verfügbar. In Microsofts Tabellenkalkulation Excel wurde ein Sicherheitsloch gefunden. Angreifer können darüber beliebigen Programmcode ausführen. Opfer müssen lediglich dazu gebracht werden, eine entsprechend manipulierte XLS-Datei zu öffnen.

Sicherheitslöcher erlauben Ausführung beliebigen Codes. Mitte Dezember 2006 erschien Opera in der Version 9.1 mit integriertem Phishing-Schutz. Wie erst jetzt bekannt wurde, korrigiert der aktuelle Browser zwei Sicherheitslücken. Beide Sicherheitslecks können von Angreifern zum Ausführen von Programmcode missbraucht werden. Während das eine Sicherheitsloch bei der Anzeige von jpeg-Bildern zuschlägt, tritt das andere bei der Darstellung von SVG-Daten auf.

Fehler steckt in den PDF-Spezifikationen. Im Rahmen des "Month of Apple Bugs" (MOAB) wurde eine Sicherheitslücke im PDF-Format aufgedeckt. Diese verursacht entweder Programmabstürze, kann aber auch für das Ausführen von Programmcode missbraucht werden. Mehrere Anzeigeapplikationen sind von dem Problem betroffen.

Version 2.0.6 beseitigt einige Probleme der freien Blog-Software. Zwei kritische Fehler in der freien Blog-Software WordPress werden mit der neuen Version 2.0.6 beseitigt. Sicherheitsexperte Stefan Esser hatte auf zwei Fehler in der Software hingewiesen, durch die Dritte evtl. Administrationsrechte über ein entsprechendes Blog erlangen können.