Sicherheitslücke

Fehler in Firefox seit August 2006 bekannt. Sowohl die Firefox-Macher als auch Microsoft haben für ihre neuen Browser-Versionen verbesserte Sicherheit versprochen. Doch beide Webbrowser weisen längst bekannte Sicherheitslücken auf, die bislang nicht geschlossen wurden. Das Sicherheitsleck in Firefox 2.0 kann zu einem gezielten Browser-Absturz missbraucht werden. Unbestätigt ist, dass darüber auch Programmcode ausgeführt werden kann.

Winamp 5.31 mit zahlreichen Fehlerkorrekturen. Mit einem Update für Winamp werden zwei schwere Sicherheitslücken geschlossen, worüber Angreifer Programmcode ausführen können. Winamp 5.31 schließt die beiden Sicherheitslecks und korrigiert weitere Programmfehler.

Sicherheitsloch erlaubt Ausspähen von Daten. Der Internet Explorer 7 ist nicht mal einen Tag alt, da wurde schon eine Sicherheitslücke in Microsofts neuem Browser entdeckt. Das Sicherheitsleck erlaubt Angreifern das Ausspähen von Daten und wird als wenig kritisch eingestuft. Einen Patch zur Abhilfe gibt es bislang nicht.

Netzwerk-Shooter hat Probleme mit Windows-XP-Kernel-Patch. Electronic Arts sorgt erneut für Unmut bei Kunden: Für den futuristischen Netzwerk-Shooter Battlefield 2142 ist seit dieser Woche der erste Patch erhältlich, der unter Windows XP Probleme mit einem wichtigen Kernel-Sicherheitsupdate hat. EA empfiehlt kurzerhand dessen Deinstallation und nimmt in Kauf, dass die Rechner der Kunden damit angreifbarer werden.

Alle Plattformen vom Flash Player betroffen. Adobe berichtet über zwei bislang nicht geschlossene Sicherheitslecks im Flash-Player. Darüber können Angreifer verschiedene Kommandos ausführen, um etwa an vertrauliche Daten zu gelangen. Noch arbeitet der Hersteller an einem Patch, so dass derzeit keine Abhilfe zur Verfügung steht.

"Executive Summeries" bieten mehr Informationen. 101 Sicherheitslücken schließt Oracles Patch-Paket für den Monat Oktober 2006. Die meisten Korrekturen sind für die Datenbank-Produkte.

BSD- und Solaris-Treiber enthalten Sicherheitslücke vermutlich auch. Die Linux-Treiber von Nvidia enthalten eine Sicherheitslücke, durch die sich beliebiger Programmcode mit Root-Rechten ausführen lässt. Ein Angriff soll auch von einem entfernten Rechner aus möglich sein. Unter Umständen sind auch die BSD- und Solaris-Treiber betroffen, wobei Nvidia der Fehler angeblich bereits seit zwei Jahren bekannt ist. Ein Exploit existiert schon.

Zahlreiche Notebooks betroffen, erster Patch verfügbar. In den Treibern der bei vielen Marken-Notebooks verbauten Bluetooth-Module von Toshiba steckt eine schwere Sicherheitslücke. Ein Angreifer kann darüber Code einschleusen und ausführen - oder Windows XP zum Absturz bringen. Von Toshiba selbst gibt es bereits einen Patch.

Hardened-PHP-Projekt weist auf Designfehler hin. Stefan Esser warnt vor einem Fehler in der Scriptsprache PHP, mit der Nutzer auf Shared-Webhosting-Accounts aus ihrem "Verzeichnis-Gefängnis" ausbrechen können. Eigentlich soll über die Einstellung "open_basedir" verhindert werden, dass Nutzer auf solchen Maschinen außerhalb des ihnen zugedachten Verzeichnisses Dateien lesen und schreiben können, doch offenbar gibt es einen einfachen Weg dies zu umgehen.

Firefox-Entwickler rufen Hacker-Team zur Zusammenarbeit auf. Auf einer Hacker-Konferenz im kalifornischen San Diego sorgte die Bekanntgabe einer Sicherheitslücke in Firefox für einen Eklat. Die Hacker haben ein Sicherheitsleck so präsentiert, dass Angreifer den Fehler in der JavaScript-Implementierung des Mozilla-Browsers leicht ausnutzen können, berichtet das IT-Magazin ZDNet.com. Die Firefox-Entwickler zeigen sich wenig begeistert von diesem Vorgehen und riefen die Hacker zur Kooperation auf.

Auch Sicherheitslücken in Komponenten für Browser-Nutzung. Apple hat MacOS X erneut Sicherheits-Patches verpasst, um eine Reihe von Sicherheitslücken in dem Betriebssystem zu schließen. Hierbei geht es auch um Sicherheitslücken, die bei der Verwendung von Apples Safari-Browser auftreten. Einige der Sicherheitslecks gestatten das Ausführen beliebigen Programmcodes.

Neue Version 5.1.2 korrigiert den Fehler. In der freien Groupware PHProjekt ist ein Sicherheitsloch aufgetaucht, durch das Angreifer Skripte ausführen können. Eine neue Version steht bereits zum Download zur Verfügung, in der die Sicherheitslücke geschlossen wurde.

Weitere Angriffe von erleuchteter Bühne. Auch Intels ehemaliger Chief Technology Officer und jetziger Chef der Enterprise-Abteilung Pat Gelsinger ließ sich auf dem IDF dazu hinreißen, in seiner Keynote-Ansprache eine Spitze gegen AMD zu setzen. Zwar war Gelsinger dabei etwas dezenter als zuvor Justin Rattner mit seinem Opteron im Papierkorb, doch auch dieser Gag erscheint überflüssig.

Schadcode im Internet unterwegs; kein Patch verfügbar. Microsoft hat eine Sicherheitslücke in der Präsentationssoftware PowerPoint bestätigt. Das Sicherheitsloch wird bereits von Schadcode ausgenutzt, der im Internet unterwegs ist. Die Ursachen für das Sicherheitsleck in PowerPoint gab Redmond nicht bekannt. Wann der Fehler korrigiert wird, ist ebenfalls unbekannt.

Kein Patch verfügbar. Nur einen Tag nachdem Microsoft ein seit über einer Woche bekanntes Sicherheitsleck im Internet Explorer geschlossen hat, tauchte Schadcode für eine nicht geschlossene Sicherheitslücke in Redmonds Browser im Internet auf. Das Sicherheitsloch erlaubt einem Angreifer die Ausführung beliebigen Programmcodes; ein Patch ist nicht verfügbar.

Fehlerhafter Patch hat Dateien unter Windows 2000 zerstört. Die angekündigte Neuauflage des Kernel-Patches für Windows 2000 ist ab sofort verfügbar. Microsoft hatte im September 2006 einen Patch veröffentlicht, der auf Systemen mit Windows 2000 unter bestimmten Umständen Dateien zerstört, so dass diese nicht mehr lesbar sind. Der aktuelle Patch soll diesen Fehler korrigieren.

VML-Dateien erlauben Ausführung von Programmcode. Überraschend hat Microsoft einen außerplanmäßigen Sicherheits-Patch für den Internet Explorer veröffentlicht. Für das am 20. September 2006 bekannt gewordene Sicherheitsloch in Microsofts Browser hatte ein Drittanbieter bereits einen Patch veröffentlicht. Dieser Schritt dürfte Redmond dazu gebracht haben, den Patch außerplanmäßig zu veröffentlichen. Denn gleichwohl beteuert Microsoft weiterhin, die Gefahr durch das Sicherheitsloch sei nur gering.

Angreifer können beliebigen Programmcode ausführen. In Apples WLAN-Implementierung namens AirPort wurden drei Sicherheitslücken gefunden, die ein Patch beseitigen soll. Über die Sicherheitslecks in dem Treiber kann ein Angreifer beliebigen Programmcode ausführen und sich so eine umfassende Kontrolle über ein fremdes System verschaffen.

Opera 9.02 schließt Sicherheitsleck. Mit Opera 9.02 wird ein Sicherheitsloch in dem Browser geschlossen und die neue Version bringt einige Fehlerkorrekturen. So wurde Hand an die Rendering-Engine gelegt, so dass Webseiten fehlerfrei dargestellt werden sollten.

Noch kein Patch verfügbar. Eine neue Sicherheitslücke im Internet Explorer wird bereits aktiv ausgenutzt und wurde von Microsoft bestätigt. Über das Sicherheitsleck können Angreifer beliebigen Programmcode ausführen, um sich eine umfassende Kontrolle über einen fremden Rechner zu verschaffen. Microsoft beschwichtigt, das reale Risiko sei gering, während Sicherheitsexperten von Secunia und McAfee die Gefahr als hoch einschätzen.

Hotfix soll Fehler beseitigen. Die Fehlerkette bei Microsofts Sicherheits-Patches reißt nicht ab. Auch ein in diesem Monat veröffentlichter Sicherheits-Patch macht gehörigen Ärger. Unter bestimmten Umständen zerstört ein Sicherheits-Patch für Windows 2000 Dateien, so dass diese nicht mehr lesbar sind. Microsoft hat bereits einen Hotfix zur Beseitigung des Fehlers veröffentlicht, ein korrigierter Patch steht noch aus.

Nutzerkennungen und Passwörter sollen sich leicht ausspähen lassen. Der drahtlose Internetdienst FON hat laut der Untersuchungen eines Nutzers eine gravierende Sicherheitslücke im Login-Vorgang. Diese erlaube es Fremden, die Nutzernamen und zugehörigen Passwörter auszuspähen. FON bestätigte die Sicherheitslücke gegenüber Golem.de.

Sicherheits-Update für Firefox, Thunderbird, SeaMonkey und Camino. Für die vier Mozilla-Applikationen Firefox, Thunderbird, SeaMonkey und Camino stehen Updates bereit, die eine Reihe von Sicherheitslücken schließen. Über einige dieser Sicherheitslecks können Angreifer Programmcode ausführen, um sich eine umfassende Kontrolle über ein fremdes System zu verschaffen. Mit den Updates soll die Sicherheit der Mozilla-Produkte allgemein verbessert werden.

Homebrew-SDK und auch mit Firmware 2.70 - 2.80 lauffähiges Tetris. Auch wenn Sony Computer Entertainment immer wieder die Löcher in der PlayStation Portable stopft, sind doch private Tüftler immer wieder dabei, mit Tricks eigene Software auf dem Spiele-Handheld zum Laufen zu bekommen. Nun hat die Szene ein "Homebrew SDK" hervorgebracht, mit dem sich leichter PSP-Software entwickeln lässt und als präparierte TIFF-Bilddatei zum Ausführen gebracht werden kann - ein damit entwickelter lauffähiger Tetris-Clone für PSPs mit Firmware-Versionen 2.70 bis 2.80 wurde ebenfalls veröffentlicht.

Apple bietet neue QuickTime-Version. Gleich sechs Sicherheitslücken in QuickTime schließt Apple mit der aktuellen Version. Die Sicherheitslecks erlauben Angreifern das Einschleusen und Ausführen von Programmcode. Alle Sicherheitslöcher wurden sowohl für die Windows- als auch die MacOS-X-Version von QuickTime bestätigt.

Update schließt Sicherheitsleck. Über ein gefährliches Sicherheitsleck im Flash-Player von Adobe können Angreifer beliebigen Programmcode auf ein fremdes System schleusen. Ein Opfer muss lediglich dazu gebracht werden, eine entsprechend manipulierte SWF-Datei zu öffnen. Adobe bietet Patches an, um das Problem in allen davon betroffenen Applikationen zu beheben.

Sicherheitsloch in Word 2000 bleibt offen. Zwei Sicherheitslücken in Windows und ein Sicherheitsleck in Publisher knöpft sich Microsoft an dem Patch-Day für den Monat September 2006 vor. Zudem hat Redmond zwei Sicherheits-Patches aus dem Vormonat überarbeitet, um Sicherheitsanfälligkeiten sowie Probleme zu beseitigen. Für das bereits bekannte Sicherheitsloch in Word 2000 gibt es bislang keinen Patch.

Betreiber lässt alle Nutzer aus Sicherheitsgründen Passwörter ändern. Linden Lab, Betreiber der virtuellen Realität Second Life, hat seine Kunden über eine in der vergangenen Woche entdeckte Sicherheitslücke informiert. Dritte hätten Einblick in persönliche Daten der Nutzer bekommen können, die Kreditkarten-Informationen wären aber nicht abrufbar gewesen.

Bestellung auf Kosten anderer mit einfachsten Mitteln. Über Wochen wies der Online-Shop Quelle.de eine Sicherheitslücke auf, durch die man auf Kosten anderer Kunden oder der Quelle-Agenturen Waren bestellen konnte. Das Unternehmen hat das Loch inzwischen gestopft und Strafanzeige gestellt.

Alioth wurde als IRC-Proxy missbraucht. Erneut wurde ein Server des Debian-Projektes geknackt. Betroffen war dieses Mal Alioth, ein Dienst, bei dem Entwickler ihre Projekte einstellen können. Am gestrigen 5. September 2006 war der Server daher nicht erreichtbar.

Software anfällig für Denial-of-Service-Angriffe. Die bekannte Nameserver-Software BIND lässt sich über spezielle Anfragen zum Absturz bringen. Updates zur Fehlerbereinigung hat der Hersteller bereits veröffentlicht.

Projekt hat bereits Updates veröffentlicht. Signaturen der freien SSL- und TLS-Implementierung OpenSSL lassen sich fälschen. Davon betroffen sind alle Systeme, auf denen die OpenSSL-Bibliotheken vorhanden sind. Updates, die den Fehler beseitigen, sind bereits verfügbar.

Jon Ellch bricht sein Schweigen. Mit ihren Vorträgen über schwere Sicherheitslücken in vielen WLAN-Implementierungen auf den Sicherheitskonferenzen Black Hat und DEFCON sorgten Jon Ellch und Dave Maynor für Wirbel, vor allem unter Apple-Anhängern. Schließlich behaupten die beiden, auch MacBooks seien von dem Problem betroffen, ohne dass bisher Details veröffentlicht wurden, die beiden gingen regelrecht auf Tauchstation. Ob der zunehmenden Angriffe von Mac-Bloggern brach Ellch sein Schweigen.

Bislang kein Patch zur Abhilfe verfügbar. In Word 2000 soll eine bislang unbekannte Sicherheitslücke stecken, die bereits von Schadsoftware ausgenutzt wird. Symantec stieß auf ein Trojanisches Pferd, das bislang aber kaum verbreitet ist. Der Schädling lädt ein Backdoor-Programm nach, um einen möglichst umfassenden Zugriff auf ein fremdes System zu erlangen.

Sicherheitslücke erlaubt Ausführung von Programmcode; kein Patch verfügbar. Im Internet Explorer 6 wurde ein neues Sicherheitsloch entdeckt, worüber Angreifer beliebigen Programmcode ausführen können. Beispiel-Code illustriert zumindest einen Denial-of-Service-Angriff. Bislang steht kein Patch zur Abhilfe bereit.

Kernel wird als stabile Serie weitergeführt. Der Linux-Entwickler Adrian Bunk hat nun die nächste Version des Linux-Kernels 2.6.16.x veröffentlicht. Wie angekündigt pflegt er diese Version als stabile Serie weiter. Kernel 2.6.16.28 enthält dementsprechend Sicherheits-Updates, aber keine neuen Funktionen.

Funktioniert ab Firmware 2.0 bis hoch zur 2.80. Die leistungsfähige PlayStation-Portable verlockt viele Entwickler, eigene Spiele, Emulatoren und Anwendungen dafür zu entwickeln. Nun wurde ein neuer Hack entdeckt, mit dem privat entwickelte Software auf dem Spielehandheld lauffähig wird - ohne dafür Grand Theft Auto: Liberty City Stories und dessen Speicherstand-Fehler zum Starten eigener Software nutzen zu müssen.

Neuer Sammel-Patch nach Aufschub verfügbar. Microsoft hat den fehlerhaften Sicherheits-Patch für den Internet Explorer 6 überarbeitet und bietet nun eine neue Version zum Download an. Der in diesem Monat anlässlich des Patch-Days erschienene Sammel-Patch für den Redmond-Browser öffnete ein neues Sicherheitsloch. Dieses sollte nun nach Einspielung des korrigierten Patches geschlossen werden.

Microsoft verschiebt angekündigte Patch-Überarbeitung. In der vergangenen Woche gestand Microsoft einen Fehler in einem Sicherheits-Patch für den Internet Explorer 6 mit Service Pack 1 ein. Wie der Software-Gigant nun einräumt, führt der Fehler nicht nur zum Programmabsturz, sondern öffnet zugleich ein neues Sicherheitsloch. Der für den 22. August 2006 in Aussicht gestellte überarbeitete Patch für den Internet Explorer wird nun erst erscheinen.

Sicherheits-Patch für PowerPoint seit August 2006 verfügbar. TrendMicro hatte eine Sicherheitslücke in PowerPoint ausgemacht und diese als bisher unbekannt klassifiziert. Nun rudert der Virenspezialist zurück und gesteht ein, dass für die Sicherheitslücke im August 2006 ein Sicherheits-Patch erschienen ist.

Trojanisches Pferd kommt als PowerPoint-Datei daher. Microsofts Office-Komponente PowerPoint besitzt ein bisher unbekanntes Sicherheitsloch, das bereits von Schadcode ausgenutzt wird. Ein Trojanisches Pferd ist im Umlauf, das sich das Sicherheitsleck zu Nutze macht, berichten die Virenforscher von TrendMicro. Ein Opfer muss lediglich zum Öffnen einer präparierten PowerPoint-Datei gebracht werden.

Updates für die beiden aktuellen PHP-Serien. Mit PHP 5.1.5 und PHP 4.4.4 schließen die Entwickler der freien Scriptsprache einige Sicherheitslücken in ihrer Software. Erst Anfang August wurden mit PHP 4.4.3 Sicherheitslecks beseitigt.

Schädling lässt sich als Bot fernsteuern. Im Internet wurde ein neuer Windows-Wurm gesichtet, der sich eine Sicherheitslücke in Windows zunutze macht. In der vergangenen Woche wurde das Sicherheitsloch durch Erscheinen eines Patches bekannt. Nur wenige Tage später geistert nun Schadcode durch das Internet, der sich bislang aber nicht sonderlich stark verbreitet hat.