Sicherheitslücke

Dem Nachrichtenmagazin Spiegel hat Rui Pinto Millionen an Dokumenten der Fußballbranche zugespielt. In seiner Heimat Portugal wartet er auf den Prozess. In 147 Fällen soll er beschuldigt werden, darunter auch der Erpressung.

Die Code-Hosting- und Entwicklungsplattform Github darf künftig CVE-Nummern vergeben. Dank einer Übernahme wird außerdem wohl die Suche nach Sicherheitslücken im Code vereinfacht und Github zeigt Sicherheitswarnungen für PHP.

Über eine Sicherheitslücke im Passwortmanager Lastpass konnten Webseiten auf die zuletzt verwendeten Zugangsdaten zugreifen - von einer anderen Webseite.

Detaillierte persönliche Informationen von Ecuadors Bürgern waren offen zugänglich im Internet. Insgesamt umfasste die Datenbank 20 Millionen Einträge, darunter auch der 2017 eingebürgerte Julian Assange.

Der Sperrbildschirm in iOS 13 kann mit einem einfachen Trick umgangen werden. So kann auf das Adressbuch des Besitzers zugegriffen werden. iOS 13 soll am 19. September veröffentlicht werden - die Lücke will Apple bis dahin nicht schließen.

Eine Sicherheitsfirma will eine Schadsoftware entdeckt haben, die ohne Nutzerinteraktion Daten aus dem Mobiltelefon auslesen kann. Die Schadsoftware komme per SMS und laufe auf der SIM-Karte. Das funktioniert allerdings nicht immer.

Mitarbeiter von Protonmail haben in OpenDMARC eine Sicherheitslücke entdeckt, mit der sich die Signaturprüfung austricksen lässt. Angreifer haben die Lücke bereits für Phishingangriffe gegen Journalisten genutzt. OpenDMARC wird offenbar nicht weiterentwickelt und es gibt kein Update.

Mit Telegram können aus Versehen gesendete Nachrichten unkompliziert auch beim Empfänger gelöscht werden. Das hat jedoch nicht zuverlässig funktioniert und die peinlichen Bilder verblieben auf dem Smartphone.

Facebook hatte bereits im vergangenen Jahr eingeräumt, dass die Funktion zur Freunde-Suche zum Datenabgriff missbraucht wurde. Im Internet ist nun eine Datenbank mit Einträgen zu Hunderten Millionen Nutzern entdeckt worden.

Die Gesellschaft für Freiheitsrechte klagt gegen das neue BKA-Gesetz. Die erhofften Vorteile für die Sicherheit stünden in keinem Verhältnis zu den hohen Kosten für die Betroffenen - und Betroffener werden könne man leicht.

Über mehrere Sicherheitslücken in den BMCs von Supermicro können Angreifer virtuelle USB-Sticks an die Server anschließen. Mit ihnen lassen sich Daten auslesen, Schadsoftware installieren oder das Betriebssystem austauschen.

Die EU-Kommission will für ihr Fossa-Projekt herausfinden, wie die Entwickler von Open-Source-Software besser unterstützt werden können, um die Sicherheit der Programme zu erhöhen. Klären soll das unter anderem eine Umfrage.

Sercomm hat ein neues Kabelmodem vorgestellt, das künftige Docsis-3.1-Datenraten bieten kann. Der Standard kann bald so hohe Datenraten im Kabelnetz liefern.

Der Account des Twitter-CEOs Jack Dorsey ist von einer Hackergruppe übernommen worden. Sie postete in seinem Namen rassistische und rechtsradikale Äußerungen. Schuld gibt Twitter einer Sicherheitslücke beim Mobilfunkanbieter.

Google deckt eine große Malware-Kampagne auf, bei der Nutzer von iPhones durch gehackte Webseiten angegriffen wurden. Dabei kamen auch sogenannte Zero Days zum Einsatz, also Sicherheitslücken, für die zum Zeitpunkt ihres Einsatzes noch kein Fix bereitstand.

Eine Sicherheitslücke im Dovecot-Mailserver könnte es Angreifern erlauben, Code auszuführen. Updates stehen bereit.

Vor etwa einem Jahr hat Tesla neue Schlüsselchips mit einer stärkeren Verschlüsselung herausgebracht, weil das Vorgängermodell gehackt wurde. Nun konnte ein Wissenschaftler auch diese klonen - und damit beliebige Model S öffnen und starten.

Nicht nur Protestierende in Hongkong nutzen eine Privatsphäreoption von Telegram, damit ihre Telefonnummer "Niemand" sehen kann. Doch die Option lässt sich leicht umgehen: Aus niemand werden ganz schön viele.

Über eine Sicherheitslücke im Lenovo Solution Centre lassen sich die Rechte eines Nutzers oder einer Schadsoftware ausweiten. Lenovo wird die Lücke nicht schließen und rät zur Deinstallation - dabei hat der Hersteller mehrfach das Supportende geändert.

Nutzer von Apples mobilen Betriebssystemen haben gegebenenfalls eine Update-Benachrichtigung auf ihren Geräten. Apple hat sowohl für die Apple Watch als auch für iPhone, iPod Touch und iPad ein neues Betriebssystem freigegeben. Unter iOS wird dabei auch eine Sicherheitslücke geschlossen.

Erst hat Valve eine Sicherheitslücke in Steam nicht anerkannt, dann sollte sie vertuscht werden. Nach ihrer Veröffentlichung wurde sie unzureichend gepatcht und der Entdecker vom Bug-Bounty-Programm ausgeschlossen. Nun hat der Forscher erneut eine Lücke gefunden - und Valve scheint langsam einzulenken.

Jetzt auch mit den vollständigen Kreditkartennummern: Diese sollen sich in einer weiteren Datenbank mit rund 80.000 Einträgen befinden. Das bestätigt auch Mastercard in einer E-Mail an die betroffenen Kunden. Ein externer Dienstleister soll für das Datenleck verantwortlich sein.

In einer Diskussion um die Aufnahme eines neuen Dateisystems in den Linux-Kernel wird klar, dass viele Dateisystemtreiber mit defekten Daten nicht klarkommen. Das kann nicht nur zu Abstürzen führen, sondern auch zu Sicherheitslücken.

Update Rund 90.000 gekürzte Kreditkarten-Nummern sowie weitere persönliche Daten enthält eine Datenbank, die aus einem Datenleck bei einem Bonusprogramm von Mastercard stammt. Der Zahlungsdienstleister spricht von einem "Problem" und stoppt das Programm.

In der Systemkonfigurationssoftware Webmin waren offenbar für über ein Jahr Hintertüren, mit denen sich übers Netz Code ausführen lässt. Den Angreifern gelang es dabei offenbar, die Release-Dateien des Projekts zu manipulieren.

Das Entwicklerteam von Facebook hat ein eigenes Werkzeug zur statischen Code-Analyse erstellt und stellt nun erstmals Details dazu vor. Das Projekt habe Tausende Sicherheitslücken verhindert.

1,5 Prozent aller Logins sind nach Statistiken von Google durch Password Stuffing angreifbar, etwa die Hälfte der Nutzer hat mindestens einen angreifbaren Account. Google erhob diese Statistiken mit einer Browsererweiterung, die kompromittierte Zugangsdaten erkennt und davor warnt.

Die Verschlüsselung des Bluetooth-Protokolls lässt sich einfach aushebeln, ein Angreifer kann die Schlüssellänge kontrollieren und auf eine triviale Größe reduzieren. Abhilfe ist nicht in Sicht, die Bluetooth-Standardisierungsgruppe will die Schlüssellänge nur minimal erhöhen.

Die Kaspersky-Antivirensoftware bindet in jede Webseite eigenen Javascript-Code ein. Bis vor kurzem war dieser noch mit einer eindeutigen ID versehen, den man zum Tracking nutzen konnte.

Ein Systemdienst für Texteingabemethoden, das es seit Windows XP gibt, wurde offenbar mit wenig Sicherheitsbewusstsein entwickelt. Tavis Ormandy von Google gelang es damit, als Nutzer Systemrechte zu erlangen. Es gibt ein Update von Microsoft, doch das behebt wohl nicht alle Probleme.

Adobe muss am August-Patchday eine hohe Anzahl von Sicherheitslücken beseitigen, die aber meist keine unmittelbare Gefahr darstellen. In einem Fall hat jedoch Hyatt einen unangenehmen Fehler im CMS Experience Manager entdeckt.

Microsoft warnt vor zwei Remote-Code-Execution-Bugs im Remote Desktop Service. Damit lassen sich Windows-Rechner übers Netz kapern, wenn sie die Remoteadministration aktiviert haben. Alle aktuellen Windows-Versionen sind betroffen.

Auf Windows-Systemen, auf denen der Spiele-Launcher Steam installiert ist, können einfache Nutzer Programme mit Systemrechten ausführen. Der Entdecker der Lücke meldete diese über die Plattform Hackerone, dort erklärte man den Bug für ungültig und wollte eine Veröffentlichung verhindern.

Apple öffnet sich der Sicherheitszene und lobt ein umfangreiches Programm für das Entdecken von Sicherheitslücken bei seinen Betriebssystemen aus. Dazu wird auch eine Spezialversion des iPhones angeboten.

Mit der Spectre-ähnlichen SWAPGSAttack kann auf eigentlich geschützte Speicherbereiche zugegriffen werden, indem die spekulative Ausführung des Befehls ausgenutzt wird. Betroffen sind alle Intel-CPUs seit Ivy Bridge von 2012, von Microsoft gibt es bereits Patches für Windows 10.

Mit dem August-Sicherheitsupdate von Android patcht Google vergleichsweise wenige Fehler. Einig paar haben es allerdings in sich und betreffen insbesondere Qualcomm-basierte Hardware.

Der ADAC und der ÖAMTC haben Keyless-Go-Systeme zahlreicher Autohersteller getestet und sind zu einem ernüchternden Ergebnis gekommen. Nur vier Modelle haben sich nicht knacken lassen.

Hacker sind Männer in Hoodies, die im Keller vorm Computer sitzen: Mit diesem Klischee will Openideo aufräumen. Daher schreibt die Organisation einen Wettbewerb aus, um alternative Symbolbilder für Hacks, Sicherheitslücken und IT-Sicherheit zu finden. Die ersten fünf Plätze erhalten 7.000 US-Dollar.

Cisco soll wissentlich unsichere Software an die US-Streitkräfte, die US-Regierung und einige US-Bundesstaaten verkauft haben. Das Unternehmen zahlt mehrere Millionen Schadenersatz. Die Kläger behaupten, Cisco habe von den Problemen gewusst.

Sicherheitsforschern ist es gelungen, Steuerungsbefehle an Überwachungskameras und Philips-Hue-Lampen zu schicken. Die Geräte übertragen Daten und Befehle standardmäßig auf eine unsichere Weise.

Immer mehr Datenlecks werden dem Datenschutzbeauftragten Baden-Württembergs gemeldet. Bisher verhängte er in zehn Fällen Bußgelder. Besonders besorgt ist er über den unzureichenden Schutz von Arztpraxen.