Sicherheitslücke

Sicherheitsprobleme führten zu Entscheidung. In Anbetracht neu auftauchender Sicherheitslücken im Nameserver BIND 8 stellt der Anbieter ISC die Unterstützung für seine Software ein. Einen letzten Patch gibt es zwar noch, Anwender sollen aber möglichst auf BIND 9 umsteigen - oder ihren DNS-Dienst abschalten.

Sicherheitslücke auf Paket-Server entdeckt. Das Gentoo-Projekt hat mehrere Server abgeschaltet, nachdem auf dem Paketserver eine Command-Injection-Sicherheitslücke gefunden wurde. Acht Server werden nun untersucht, die Pakete sollen jedoch nicht verändert worden sein.

Username und Passwort werden unbemerkt in lokalen Dateien gespeichert. Unter recht alltäglichen Umständen speichert der Internet Explorer 6 in Webseiten, die per FTP heruntergeladen wurden, den Benutzernamen und das Passwort des Benutzers. Dieses Verhalten kann fatal sein, wenn man das Programm zur Verwaltung seiner Internetpräsenz verwendet.

Neuer Treiber für Grafikkarten behebt schwerwiegendes Problem. Neben den üblichen kleinen Verbesserungen der Grafikleistung mancher Spiele hat AMD mit dem Treiberpaket "Catalyst 7.8" eine Sicherheitslücke gestopft, über die sich unsignierte Treiber in Windows Vista einbauen ließen. Zudem können nun auch Karten der Serien HD 2600 und 2400 automatisch übertaktet werden - und unter Linux gibt es einige neue Funktionen, die eigentlich selbstverständlich sind.

Am 14. August 2007 ist Patchday. Für den Patchday am 14. August 2007 kündigte Microsoft jetzt insgesamt neun Security Bulletins an, sechs davon fallen in die Kategorie "kritisch".

Mozilla-Entwickler stopfen URI-Lücke in Browser-Suite. Nachdem die Mozilla-Entwickler die URI-Sicherheitslücke im Zusammenspiel zwischen Firefox bzw. Thunderbird und dem Internet Explorer 7 eingedämmt haben, steht nun auch das entsprechende Update für die Browser-Suite SeaMonkey bereit. Dritte können die Lücke ausnutzen, um Programme auf fremden Rechnern zu starten.

Neue Demos vom Security-Experten Dave Maynor. Auf der in der vergangenen Woche in Las Vegas abgehaltenen BlackHat-Konferenz hat der in der Security-Branche recht bekannte Dave Maynor zusammen mit Robert Graham, beide inzwischen Besitzer von "Errata Security", seine neuen Erkenntnisse ausgebreitet. Die beiden zeigten dabei, wie man mit einfachsten Mitteln an WLAN-Hotspots fremde Identitäten annehmen kann, beispielsweise den Zugang zu einem E-Mail-Konto eines Webmailers.

Mozilla-Entwickler stopfen URI-Lücke auch in ihrem E-Mail-Client. Nachdem die Mozilla-Entwickler die URI-Lücke im Zusammenspiel zwischen Firefox und Internet Explorer 7 eindämmten, folgt nun auch ein entsprechendes Update für den E-Mail-Client Thunderbird. Die Sicherheitslücke erlaubt es Dritten, Applikationen auf fremden Rechnern zu starten und ist nicht auf die Mozilla-Produkte beschränkt.

Angreifer können Daten ausspähen. Die Sicherheitsfirma Security Evaluators hat Sicherheitslecks in Apples iPhone entdeckt, das von Angreifern dazu missbraucht werden kann, Daten auszuspionieren. Die Sicherheitsanfälligkeiten treten im iPhone-Browser und im Zusammenspiel mit der WLAN-Funktion des Apple-Handys auf.

Private PCs auf Ethernet-Ebene verbunden, nicht per Internet. In der am Montag, den 23. Juli 2007 erscheinenden Ausgabe berichtet die Zeitschrift c't über Fehlkonfigurationen bei DSL-Providern. Dadurch kann man auf Kosten anderer Nutzer - und mit deren IP-Adresse - mitsurfen, aber unter Umständen auch Windows-Freigaben einsehen. Bereits die Vorab-Berichterstattung sorgte für viel Wirbel und zahlreiche Missverständnisse.

Windows-Freigaben werden bei Providern durch ganze Subnetze verteilt. Bei einigen deutschen DSL-Providern weisen die internen Netze massive Fehlkonfigurationen auf. Dadurch kann man beispielsweise die Festplatten seines Nachbarn durchsuchen - oder auf dessen Kosten surfen.

Updates schließen Sicherheitslücken. Nachdem kürzlich Firefox in der Version 2.0.0.5 erschienen ist, um Sicherheitslücken zu schließen, stehen nun auch die Mozilla-Applikationen Thunderbird, SeaMonkey und Flock in korrigierten Fassungen bereit. Mit Thunderbird 2.0.0.5 werden zwei als gefährlich eingestufte Sicherheitslecks geschlossen.

Update schließt Sicherheitslücken und bringt einige Verbesserungen. Der Web-Browser Opera steht ab sofort in der Version 9.22 als Download zur Verfügung. Die neue Version beseitigt unter anderem ein Sicherheitsleck, das für Phishing-Angriffe missbraucht werden kann. Ansonsten hat der Browser Fehlerkorrekturen erfahren und soll insgesamt zuverlässiger agieren.

Übersicht soll bei Beurteilung der Updates helfen. Mit der Patch-Sammlung für Juli 2007 schließt Oracle insgesamt 45 Sicherheitslöcher in seinen Produkten. In einer Risk Matrix gibt Oracle wieder an, wie wichtig die einzelnen Updates einzustufen sind.

Firefox 2.0.0.5 bereits in deutscher Sprache verfügbar. Das Mozilla-Team hat ein Update für Firefox veröffentlicht, das verschiedene Sicherheitslücken schließt. Außerdem behebt Firefox 2.0.0.5 einige kleine Programmfehler und der Browser hat minimale Verbesserungen erhalten.

Angreifer können Telefonate verfolgen oder selbst Anrufe starten. Der Sicherheitsspezialist SPI Labs warnt iPhone-Besitzer davor, über den iPhone-Browser Telefonnummern auf Webseiten anzuwählen. Durch antippen kann eine Rufnummer innerhalb einer Webseite aus dem Browser heraus angerufen werden, indem diese an die Telefonapplikation übergeben wird. Hierbei tritt eine Sicherheitslücke auf, die sich Hacker zunutze machen können, um Schadcode auszuführen.

Neue Version schließt acht gefährliche Sicherheitslücken in QuickTime. Mit der aktuellen Version erhält die Gratis-Version von QuickTime endlich eine Option, um Videos im Vollbildmodus darzustellen. Zudem weist Apples QuickTime acht gefährliche Sicherheitslecks auf, die sowohl die Windows- als auch die Mac-Ausführung betreffen und mit dem Update geschlossen werden sollen. Im Zuge dessen wurde auch iTunes aktualisiert, um einen Fehler beim Zugriff auf die iTunes-Bibliothek zu beseitigen.

Angreifer können fremde Systeme unter ihre Kontrolle bringen. Adobe beseitigt einige Sicherheitslücken in Photoshop CS2 und CS3, mit denen sich Angreifer Kontrolle über entsprechende Systeme verschaffen können. Auch für den Flash-Player wurde ein wichtiges Update veröffentlicht.

Fehler in Firewall von Windows Vista. Allein drei Sicherheitslücken korrigiert Microsoft mit einem Patch in der Tabellenkalkulation Excel und ein weiteres Sicherheitsleck steckt in der Office-Komponente Publisher. Zudem muss Microsoft am diesmonatigen Patch-Day insgesamt vier Sicherheitslöcher in Windows beseitigen. Ein Fehler davon betrifft die Firewall von Windows Vista.

Version behebt zahlreiche Fehler. Sun hat das zweite Update für die Java SE 1.6 veröffentlicht. Damit werden etliche Fehler behoben, als Sicherheitslücke wird dabei keines der Probleme beschrieben.

Vorabinformationen zum Patch-Day im Juli 2007. Am 10. Juli 2007 wird Microsoft in diesem Monat eine Reihe von Patches für seine Produkte veröffentlichen, um Sicherheitslücken in Windows und Office zu schließen. Wie auch im Vormonat sind wieder sechs Security Bulletins geplant, um Sicherheitslücken zu schließen, die einem Angreifer das Ausführen von Programmcode und damit eine umfassende Kontrolle über ein fremdes System erlaubt.

Werbeaktion für 15-minütigen Freizugang lässt sich missbrauchen. Wer sich an der WLAN-Community FON aktiv beteiligt, stellt anderen seine DSL-Verbindung kostenlos oder auch gegen Entgelt per Funk zur Verfügung - sofern die Gäste eine FON-Kennung haben. Im Rahmen einer Werbeaktion lässt FON jedoch Fremde auch ohne ordentliche Anmeldung und damit im Grunde anonym auf die FON-Hotspots - was deren private Betreiber nicht sonderlich erfreut.

Hacker nutzen Ubisofts PSP-Spiel Lumines, um Code auszuführen. Mit Ubisofts PSP-Spiel Lumines und einem modifizierten Spielstand ist es den Hackern von Noobz in Partnerschaft mit Archaemic gelungen, selbst geschriebene Software ("Homebrew") auf allen PSP-Firmware-Versionen zum Laufen zu bringen. In der Regel läuft vom Hersteller nicht autorisierte Software auch nicht auf Spielekonsolen oder Spielehandhelds - eine Hürde, die Tüftler zu beseitigen versuchen.

Erweiterte RAW-Unterstützung für neue Digitalkameras. Apple hat die Version 10.4.10 von MacOS X als Update veröffentlicht und korrigiert damit verschiedene Fehler im Betriebssystem. Große Neuerungen hat das Update somit nicht zu bieten, so dass keine neuen Funktionen darin zu finden sind.

Angreifer können beliebigen Programmcode ausführen. In Google Online-Office "Text & Tabellen" befindet sich ein gefährliches Sicherheitsleck, über das Angreifer beliebigen Code ausführen können. Bereits das Öffnen eines entsprechend präparierten Textdokuments genügt, um Opfer eines solchen Angriffs zu werden.

Aktuelle Version schließt zwei Sicherheitslücken. Vor über zwei Wochen wurden eine Reihe von Sicherheitslücken in Firefox, Thunderbird und SeaMonkey geschlossen. Die Version 2.0.0.4 von Thunderbird war damals aber noch nicht fertig. Nun hat das Mozilla-Team das bislang fehlende Sicherheits-Update endlich nachgeliefert. Es korrigiert die gleichen Fehler wie in Thunderbird 1.5.x.

Neue Struktur der Security Bulletins. Wie angekündigt, hat Microsoft anlässlich des diesmonatigen Patch-Days die Struktur der zugehörigen Security Bulletins überarbeitet. In diesem Monat schließt Redmond sechs Sicherheitslücken im Internet Explorer, drei Fehler in Windows, vier Sicherheitslecks in Outlook Express bzw. Windows Mail sowie zwei Fehler in der Office-Komponente Visio.

Zahlreiche Sicherheitslöcher in neuem Windows-Browser gefunden. Nur wenige Stunden, nachdem Apple die öffentliche Beta-Version des Safari-Browsers für die Windows-Plattform vorgestellt hat, wurden bereits zahlreiche Sicherheitslecks im Browser gefunden. Angestachelt wurden die Sicherheitsexperten durch das Apple-Versprechen, dass Safari auf der Windows-Plattform von Anfang an hohe Sicherheit liefere. Wie sich zeigt, kann Apple dieses Versprechen nicht einlösen.

Kreative Nutzung von Sicherheitslücken. Das US-Start-up "Intellectual Weapons" hat angekündigt, maßgeschneiderte Patches für "Schwachstellen, technische Fehler oder Sicherheitslücken" entwickeln und patentieren zu wollen. Das Geschäftsmodell sieht vor, von "Softwareherstellern, Sicherheitsanbietern und Wettbewerbern des Softwareherstellers" Lizenzen für die Nutzung der patentierten Patches zu kassieren. Ein Teil der Profite - "typischerweise 50 Prozent" - sollen an den Entdecker der Sicherheitslücke ausgezahlt werden.

Erster Vorab-Patch-Day mit mehr Detail-Informationen. Für den Juni 2007 steht der allmonatliche Patch-Day in Kürze an. Erstmals liefert Microsoft in diesem Monat mehr Vorabinformationen zu den geplanten Patches. Bislang gab der Software-Riese nur an, wie viele Patches für eine Plattform erscheinen und welche maximale Gefährdungsstufe von den zu schließenden Sicherheitslücken ausgeht.

Letzte Updates für Firefox 1.5.x und SeaMonkey 1.0.x. Von den Mozilla-Applikationen Firefox, Thunderbird und SeaMonkey sind neue Versionen verfügbar, die eine Reihe von Sicherheitslücken in den Applikationen schließen. Unter anderem können die Sicherheitslöcher von Angreifern dazu missbraucht werden, schadhaften Programmcode auszuführen.

Zwei Sicherheitslücken betreffen Windows und Mac-Plattform. In QuickTime hat Apple zwei Sicherheitslecks geschlossen. Der nun erhältliche Sicherheits-Patch korrigiert Fehler in den Java-Funktionen von QuickTime. Über entsprechend manipulierte Webseiten kann ein Angreifer im schlimmsten Fall schadhaften Programmcode auf fremde Systeme schleusen.

Präparierte PDF-Dateien ermöglichen beliebige Code-Ausführung. Apple stopft mit einem neuen Update erneut zahlreiche Sicherheitslücken für sein Client-Betriebssystem MacOS X 10.3 und 10.4 sowie die Servervariante. Darunter sind Fehler beim Umgang mit Aliasen, PDF-Dateien und VPN-Verbindungen.

Entwickler empfehlen sofortiges Update. Eine neue Version der Madwifi-WLAN-Treiber für Linux stopft insgesamt drei Sicherheitslücken, von denen zwei von entfernten Angreifern ausgenutzt werden konnten. Daher empfehlen die Entwickler, ein Update so bald wie möglich durchzuführen.

Sicherheitsloch erlaubt Ausführung von Schadcode. In Opera 9.x wurde eine gefährliche Sicherheitslücke entdeckt, über die Angreifer beliebigen Programmcode einschleusen und ausführen können. Dazu muss ein Opfer nur dazu verleitet werden, eine entsprechend präparierte Datei per BitTorrent zu laden. Mit einem Update soll der Fehler nun korrigiert werden.

Kein aktualisierter Patch verfügbar. Der im Mai 2007 erschienene Sammel-Patch für den Internet Explorer macht mit der aktuellen Browser-Version Ärger - jedenfalls unter bestimmten Umständen. Hat der Nutzer des Internet Explorer 7 den Pfad für den Browser-Cache verändert, kommt es beim Programmstart zu einer Fehlermeldung, sobald der Sammel-Patch installiert wurde.

Schwere Sicherheitslecks im Internet Explorer 7 und in Office 2007. Am Patch-Day für den Monat Mai 2007 bringt Microsoft - wie erwartet - einen Patch, der ein Sicherheitsloch im Windows Server schließt. Außerdem beseitigt Redmond fünf schwere Sicherheitslücken im Internet Explorer, sieben gefährliche Sicherheitslücken in Microsofts Office-Paket sowie Fehler im Exchange-Server und in Microsofts CAPICOM.

Free60-Projekt macht Fortschritte, dennoch läuft Linux nur auf älterer Firmware. Das Free60-Projekt hat eine Live-CD mit Linux für Microsofts Xbox 360 veröffentlicht. Damit lässt sich Linux auf der Spielekonsole ausprobieren, ohne dass ein Eingriff in das System notwendig ist.

Winamp mit fehlerhafter Verarbeitung von MP4-Dateien. Mit einem Patch wird ein Sicherheitsloch in Winamp geschlossen, worüber Angreifer beliebigen Programmcode ausführen können. Dazu müssen sie ihre Opfer nur dazu bringen, eine manipulierte MP4-Datei mit der Software zu öffnen.

Insgesamt sieben Security Bulletins für Mai-Patch-Day angekündigt. Auch im Mai 2007 steht wieder ein Patch-Day von Microsoft an. In diesem Monat will der Software-Riese Sicherheitslücken in Windows, Office, im Exchange Server sowie in Capicom und im BizTalk-Server schließen. Mehrere dieser Sicherheitslücken werden von Microsoft als gefährlich eingestuft.

Fehler beim Öffnen von png-Dateien. Sowohl in Adobes Photoshop als auch in Corels Paint Shop Pro wurde ein Sicherheitsloch entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Opfer müssen lediglich zum Öffnen einer entsprechend präparierten png-Datei verleitet werden. Updates der Hersteller gibt es bislang nicht.

Fehler in AirPort- und ftp-Funktionen. Apple hat ein Sicherheits-Patch für MacOS X veröffentlicht, mit dem zwei Lücken im Betriebssystem geschlossen werden. Von keinem der beiden Sicherheitslücken geht eine größere Gefahr aus, weil eine Ausführung von Programmcode darüber nicht möglich ist.

Fehlerhafte Verarbeitung von MP4-Dateien. In der aktuellen Winamp-Version wurde ein Sicherheitsleck entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Dazu müssen sie ihre Opfer nur dazu bringen, eine manipulierte MP4-Datei mit der Software zu öffnen.