Sicherheitslücke

Schadhafte Verlinkung war rund zwei Wochen aktiv. Über Googles AdWords wurde zwei Wochen lang Schadcode verteilt, wie der Suchmaschinengigant per Blog-Eintrag nun eingesteht. Ein AdWords-Nutzer hatte Besucher auf Webseiten umgeleitet, die Schadcode verteilt haben und diesen auf den Rechnern der Opfer ausführen wollten. Mittlerweile sollen die betreffenden AdWords-Konten deaktiviert sein.

Google Desktop 5 für verschiedene Sprachen verfügbar. Mit einem Schlag hat Google die Version 5 der Desktop-Suche für Windows in zahlreichen Sprachen veröffentlicht. Die aktuelle Fassung bringt vor allem Verbesserungen an der Sidebar, in der Widget-Funktion sowie bei der Dateisuche. Außerdem sollen verbesserte Sicherheitsfunktionen den Nutzer besser vor Angriffen schützen. Die Mac-Version der Desktopsuche hat nur ein kleines Update erfahren.

Sicherheitslecks erlauben Ausführung von Programmcode. Für MacOS X ist ein Update erschienen, das mit einem Schlag 25 Sicherheitslecks im Betriebssystem schließt. Einige der Sicherheitslücken erlauben die Ausführung beliebigen Programmcodes, andere Sicherheitslöcher lassen sich hingegen nur von lokal angemeldeten Anwendern ausnutzen.

Wurm macht sich RPC-Sicherheitsloch zu Nutze. Das offene Sicherheitsloch im Windows Server wird Microsoft voraussichtlich erst am nächsten geplanten Patch-Day schließen. Seit Anfang der Woche machen sich Würmer das Sicherheitsleck bereits zu Nutze. Dennoch plant Microsoft keinen außerplanmäßigen Patch für den Windows Server 2000, 2003 sowie für den Windows Small Business Server 2000 und 2003.

RPC-Sicherheitsleck erlaubt Ausführung von Programmcode. In der vergangenen Woche hatte Microsoft auf ein nicht geschlossenes Sicherheitsloch im Windows Server hingewiesen. Das Risiko wurde von Redmond als wenig gefährlich klassifiziert. Zu dem Zeitpunkt war bereits Schadcode im Internet entdeckt worden. Wenige Tage später machte ein erster Wurm die Runde, der sich das Sicherheitsloch zu Nutze macht. Einen Patch gibt es bislang nicht.

Lesezeichen-Vorschau in Opera 9.20. Nach Abschluss des Beta-Tests steht Opera 9.20 ab sofort als Final zum Download bereit. Die neue Version bringt eine neue Funktion namens "Speed Dial", die häufig besuchte Webseiten in einer Vorschau anzeigt und einen bequemen Aufruf der Seite erlaubt.

Sicherheitsleck erlaubt Ausführung von Programmcode. Wie in der jüngsten Vergangenheit wiederholt geschehen, ist auch um Microsofts Patch-Day im April 2007 herum Beispielcode für ein nicht geschlossenes Sicherheitsloch in einem Redmondschen Produkt im Internet aufgetaucht. Diesmal betrifft es das Office-Paket von Microsoft, das eine Sicherheitslücke aufweist, über die Angreifer beliebigen Programmcode ausführen können.

Vier Sicherheits-Patches für Windows. Vor einer Woche hat Microsoft bereits einen Sicherheits-Patch veröffentlicht, um eine Sicherheitslücke bei der Darstellung animierter Cursor zu schließen. Am regulären Patch-Day für den Monat April 2007 hat Microsoft sechs Sicherheitslecks in Windows sowie zwei Sicherheitslücken im Content Management Server mit Patches bedacht.

Neue Netscape-Version korrigiert nur Sicherheitslücken. AOL hat die Version 8.1.3 von Netscape veröffentlicht und will damit vor allem Sicherheitslücken schließen. Welche Sicherheitslecks darin geschlossen wurden, ist nicht bekannt. Neue Funktionen bringt Netscape 8.1.3 nicht.

Neue Sicherheitslücke wird aktiv ausgenutzt. In der vergangenen Woche hat Microsoft einen Fehler in den animierten Icon-Dateien bestätigt, nun soll bereits diese Woche ein Patch erscheinen. Eigentlich sollte dieser erst am regulären Patch-Day Mitte April 2007 erscheinen. Da das Sicherheitsleck aber bereits durch Schadcode ausgenutzt wird, entschied sich Microsoft zu diesem für den Konzern sehr ungewöhnlichen Schritt.

Animierte Cursor erlauben Ausführung schadhaften Programmcodes. Microsoft hat ein Sicherheitsleck im Internet Explorer bestätigt. Mit Hilfe präparierter ani-Dateien für animierte Cursor lässt sich schadhafter Programmcode auf fremde Rechner schleusen und ausführen. Microsoft arbeitet an der Korrektur des Fehlers und will einen entsprechenden Patch veröffentlichen.

Account-Hacking erfolgte über "Social Engineering". Microsoft hatte vor einigen Tagen nach Berichten über entwendete Accounts technische Sicherheitsprobleme bei Xbox Live ausgeschlossen. Allerdings konnten die Support-Mitarbeiter dazu verleitet werden, Accounts umzuleiten, wie Xbox-Live-Chef Larry "Major Nelson" Hryb in seinem Blog eingestehen musste.

Installation ist nicht trivial. Dass sich Fremdcode auf Microsofts Spielekonsole Xbox 360 ausführen lässt, ist bereits länger bekannt. Nun demonstriert ein Video, wie die Linux-Distribution Ubuntu auf der Xbox 360 gestartet werden kann. Die dafür nötigen Schritte sind allerdings nicht trivial.

Neue Version für die kommende Woche angekündigt. In OpenOffice.org 2.x wurden drei Sicherheitslücken gefunden, die zum Teil zum Ausführen beliebigen Programmcodes missbraucht werden können. Die in Arbeit befindliche Version 2.2 von OpenOffice.org soll die Fehler korrigieren und wird voraussichtlich in der kommenden Woche erscheinen.

Unternehmen widerspricht Meldungen. Derzeit machen Meldungen die Runde, denen zufolge Xbox Live gehackt und die Konten von Xbox-360-Spielern kompromittiert worden sein könnten. Microsoft widersprach dem nun.

Neue Versionen von Firefox erschienen; Marktanteil in Europa gleichbleibend. Das Mozilla-Team hat die Versionen 1.5.0.11 sowie 2.0.0.3 von Firefox veröffentlicht, um darin ein Sicherheitsleck in den ftp-Funktionen zu korrigieren. Auf Grund der Sicherheitslücke können sich Angreifer Informationen über die Netzwerkkonfiguration eines Rechners ergattern, um diese gegen das Opfer einzusetzen.

Update schließt einige nicht näher beschriebene Sicherheitslücken. Mit einem umfangreichen Update für MacOS X beseitigt Apple zahlreiche Fehler in seinem Betriebssystem. MacOS X 10.4.9 könnte die letzte größere Aktualisierung des Betriebssystems vor Erscheinen des Nachfolgers Leopard sein.

Nächster Patch-Day im April 2007. Am 13. März 2007 stünde eigentlich der nächste Patch-Day bei Microsoft an, an dem meist mehrere Sicherheits-Patches für verschiedene Produkte erscheinen. Der Softwarekonzern wird in diesem Monat jedoch keine Sicherheits-Patches veröffentlichen.

Patches können vorerst nicht in den offiziellen Kernel gelangen. Nachdem ein maskierter Hacker auf dem 23. "Chaos Communication Congress" (23C3) im Dezember 2006 schon eigenen Code auf der Xbox 360 ausführte, sind nun Patches für den Linux-Kernel erschienen. Damit soll das Betriebssystem auf Microsofts Spielekonsole laufen. Voraussetzung ist allerdings, dass die zur Code-Ausführung nötige Sicherheitslücke auf der Xbox 360 nicht behoben wurde und es wird ein spezieller Loader benötigt, der separat veröffentlicht werden soll.

Beta-Version von Google Desktop Search 5 erschienen. Mit Google Desktop Search 5 erhält die Desktop-Suche einige Verbesserungen, die sich in der Mehrzahl auf die Sidebar und die Widgets beziehen. Außerdem integriert die Dateisuche nun eine Vorschau gefundener Dokumente und verbesserte Sicherheitsfunktionen haben in die Beta-Version Einzug gehalten.

Patch für QuickTime und neue iTunes-Version erschienen. Mit einem QuickTime-Update schließt Apple gleich acht gefährliche Sicherheitslücken. Ein Sicherheitsleck betrifft nur die Windows-Ausführung, während die sieben übrigen Sicherheitslecks sowohl in der Windows- als auch in der Mac-Ausführung von QuickTime stecken. Zudem hat Apples iTunes-Software ein Update erfahren.

Update auf Version 2.1.2 dringend angeraten. Einem Cracker ist es gelungen, eine kritische Sicherheitslücke in Wordpress 2.1.1 einzuschleusen. Zwar sind nicht alle Downloads dieser Version betroffen, mit der neuen Version 2.1.2 wollen die Entwickler aber ein klares Zeichen setzen, denn darin ist die Sicherheitslücke ihren Angaben nach definitiv beseitigt.

Neue Thunderbird-Version bringt ansonsten nur Fehlerkorrekturen. Es wurde bereits erwartet, ist vom Mozilla-Team aber immer noch nicht offiziell angekündigt worden: Das Sicherheits-Update für den E-Mail-Client Thunderbird findet sich auf den Mozilla-Seiten, nachdem bereits entsprechende Patches für Firefox und SeaMonkey erschienen sind. Die aktuelle Version schließt zwei Sicherheitslücken in Thunderbird.

Drei Sicherheitslücken am ersten Tag des "Month of PHP Bugs". In die Version 4.4.5 von PHP hat sich ein Fehler eingeschlichen, der PHP unter nicht unüblichen Umständen zum Absturz bringen kann. Derweil hat Stefan Esser die ersten Sicherheitslücken im Rahmen des von ihm ausgerufenen "Month of PHP Bugs" veröffentlicht.

SeaMonkey in Version 1.0.8 sowie 1.1.1 erschienen. Die auf der Gecko-Engine beruhende Browser-Suite Mozilla steht ab sofort in aktualisierten Versionen bereit. Beide Fassungen schließen einige Sicherheitslücken, um die Sicherheit der Software zu verbessern. Zudem hat SeaMonkey 1.1.1 einige Fehlerkorrekturen erfahren.

Genaue Beschreibung bei Security Focus erschienen. Auf dem 23. "Chaos Communication Congress" (23C3) hat am 30. Dezember 2006 ein maskierter, wortloser Hacker kurz das Ausführen von eigenem Code auf der Xbox 360 demonstriert und versprochen, dass bald Linux und MacOS X auf der Konsole laufen würden. Ein Eintrag auf Security Focus hat nun den Hack bestätigt, allerdings wird es doch erstmal nichts mit neuen Betriebssystemen für die Xbox 360.

Nutzer erhalten neue Passwörter. Einem Unbekannten ist es gelungen, E-Mail-Adressen, Zugangsdaten und Freundschaftsverbindungen illegal aus der Datenbank der mittlerweile zu Holtzbrinck gehörenden Berliner Studentenplattform studiVZ auszulesen, teilten die Betreiber am Abend mit. Wie viele Profile davon betroffen sind, ist zum jetzigen Zeitpunkt noch offen.

Fehler in Publisher 2007 erlaubt Ausführung von Programmcode. Microsofts neues Office-Paket ist seit nicht mal einem Monat auf dem Markt, da wurde bereits ein schweres Sicherheitsloch in Office 2007 gefunden. Ein Fehler in Publisher 2007 erlaubt einem Angreifer das Ausführen beliebigen Programmcodes.

Neue Versionen stopfen Sicherheitslücken, 2.0.0.2 soll besser unter Vista laufen. Die nun erschienene Browser-Version Firefox 2.0.0.2 schließt einige zumeist kleinere Sicherheitslücken und bringt eine verbesserte Unterstützung für Windows Vista mit. Zugleich erschien auch Firefox 1.5.0.10.

Browser-Adressleiste zeigt falsche Inhalte an. Im Internet Explorer 7 wurde ein Sicherheitsloch gefunden, das Angreifer für Phishing-Angriffe missbrauchen können. Durch einen Fehler zeigt die Adressleiste im Browser falsche Daten an. Somit bemerkt ein Anwender nicht, wenn er sich auf einer nicht vertrauenswürdigen Webseite befindet. Einen Patch gibt es bislang nicht.

Angreifer konnten Programmcode ausführen und Daten ausspionieren. Googles Desktop-Suche hat ein schwerwiegendes Sicherheitsloch enthalten, das nun geschlossen sein soll. Über das Ende 2006 gefundene Sicherheitsleck konnten Angreifer beliebigen Programmcode ausführen. Google selbst gab keine allgemein verfügbaren Informationen zu dem Fehler bekannt, sondern hüllt sich lieber in Schweigen.

Krita und Kexi mit neuen Funktionen. Das freie Linux-Büropaket KOffice ist in der Version 1.6.2 erschienen, mit der eine Sicherheitslücke in KWord geschlossen wird. Kleinere neue Funktionen wurden Krita und Kexi hinzugefügt, in den restlichen KOffice-Komponenten behoben die Entwickler Fehler. Ein Update wird allein auf Grund des Sicherheits-Patches empfohlen.

Blog-Software Wordpress 2.0.9 und 2.1.1 veröffentlicht. Die Blog-Software Wordpress wurde in den Versionen 2.0.9 und 2.1.1 veröffentlicht. Dabei schließt Wordpress 2.0.9 eine kleine Sicherheitslücke, die mit Code eingeführt wurde, der eigentlich vor Cross-Site-Scripting (XSS) schützen soll.

Patches für Finder, iChat und Nutzerbenachrichtigung veröffentlicht. Apple hat ein Sicherheits-Update für MacOS X veröffentlicht, um vier Sicherheitslecks im Betriebssystem zu schließen, die im Rahmen des Projekts "Month of Apple Bugs" (MOAB) bekannt wurden. Der "Month of Apple Bugs" wies im Januar 2007 auf offene Sicherheitslücken in MacOS X sowie Mac-Applikationen hin, um darauf hinzuweisen, dass Apple-Systeme per se keineswegs vor Sicherheitslücken gefeit sind.

Nach PHP 5.2.1 schließt auch PHP 4.4.5 Sicherheitslücken. Mit der PHP 5.2.1 haben die PHP-Entwickler einige Sicherheitslücken in PHP 5 geschlossen. Einige davon finden sich auch in PHP 4, für das mit PHP 4.4.5 nun ein entsprechendes Update erschien.

Microsoft bietet keinen Patch an; Sicherheitsloch wird aktiv ausgenutzt. Nur einen Tag, nachdem Microsoft endlich die vier seit Wochen offenen Sicherheitslücken in Word geschlossen hat, muss der Software-Gigant ein weiteres Sicherheitsleck in der Textverarbeitung eingestehen. Das Sicherheitsloch wird bereits aktiv von Schadcode ausgenutzt, so dass es sich auch bei diesem Sicherheitsleck um eine so genannte "Zero Day"-Lücke handelt.

Patch-Day: Schwere Sicherheitslecks in Windows und Internet Explorer. Seit Anfang Dezember 2006 wurden vier offene Sicherheitslücken in Word gemeldet, die bislang alle nicht mit einem Patch bedacht wurden. Am Patch-Day vom Februar 2007 holt Microsoft dies endlich nach und beseitigt auch das Sicherheitsloch in Excel, so dass insgesamt acht Sicherheitslecks in Microsofts Office-Produkten geschlossen werden. Zudem werden neun Sicherheitslücken in Windows beseitigt, davon betreffen vier den Internet Explorer.

Stefan Esser ruft den "Month of PHP bugs" aus. Die PHP-Entwickler schließen mit PHP 5.2.1 einige Sicherheitslücken in der freien Scriptsprache. Zudem wurde die Stabilität verbessert. Derweil ruft Sicherheitsexperte Stefan Esser, der sich Ende 2006 aus dem PHP Security Response Team verabschiedete, für März den "Month of PHP bugs" aus, in dem er jeden Tag eine Sicherheitslücke in PHP veröffentlichen will.

Zwölf Patches aus Redmond, davon neun Fehlerkorrekturen für Windows. Am diesmonatigen Patch-Day plant Microsoft gleich zwölf Patches, wovon sich alleine neun Updates um Windows-Sicherheitslücken kümmern. Zwei Patches sind für Microsofts Office-Paket geplant und ein Patch widmet sich einer Reihe von Antivirenlösungen aus Redmond. Unklar ist noch, ob Microsoft im Februar 2007 endlich alle offenen und bekannten Sicherheitslücken im Office-Paket des Software-Riesen stopft.

Anti-Phishing-Funktion lässt sich leicht aushebeln. Ohne großen Aufwand lässt sich der Phishing-Filter in Firefox 2.x aushebeln, so dass Angreifer dem Firefox-Nutzer weiterhin Phishing-Seiten unterschieben können. In Firefox 1.5.0.9 wurde außerdem eine Sicherheitslücke im Pop-up-Blocker entdeckt, die ein Ausspionieren von Daten erlaubt. Ein Patch ist bislang nicht erschienen.

Bislang wird nur Sicherheitsloch in Excel ausgenutzt. Microsoft hat einen Fehler in der Tabellenkalkulation Excel bestätigt, der auch andere Komponenten von Redmonds Office-Software betrifft. Im Internet ist bereits Schadcode gefunden worden, der das Sicherheitsloch in Excel ausnutzt. Mit Hilfe eines präparierten Excel-Dokuments lässt sich beliebiger Programmcode ausführen.

Sprachkommando-Funktion fehlen Sicherheitsabfragen. Mit Hilfe von Sprachdateien kann ein Angreifer jederzeit Zugriff auf ein Vista-System erlangen - vorausgesetzt die Sprachsteuerung von Windows Vista ist aktiviert. Dann genügt es, dem Opfer eine Audiodatei mit entsprechenden Sprachbefehlen unterzuschieben. Denn Sprachbefehle sind nicht an eine bestimmte Stimme gekoppelt und es fehlt eine Sicherheitsabfrage, um solchen Missbrauch zu verhindern.

Neues Sicherheitsleck erlaubt beliebige Code-Ausführung. In Microsofts Textverarbeitung Word wurden im laufenden Jahr bereits zwei Sicherheitslücken entdeckt. Auch für das neu gefundene Leck befindet sich bereits Schadcode in Umlauf, wie es bei den vier übrigen offenen Word-Lücken der Fall war. Insgesamt weist Word derzeit fünf nicht geschlossene, aber bekannte Sicherheitslücken auf.