Sicherheitslücke

Etwa fünf Milliarden Geräte weltweit sollen von kritischen Bluetooth-Sicherheitslücken betroffen sein. Die Fehler liegen jedoch nicht im Protokoll, sondern in den entsprechenden Stacks von Windows, Linux und Android. Bei Apple sind nur ältere Geräte von Blueborne betroffen.

Ausgerechnet der Chef des Bundesamtes für Sicherheit in der Informationstechnik möchte in der kommenden Legislaturperiode eine digitale Stimmabgabe bei Wahlen - weil er die "Digitalisierung ernst nehmen" will. Das Bundesverfassungsgericht und Angela Merkel sind anderer Meinung.

Beim US-Finanz- und Bonitätsdiensleister Equifax konnten Kriminelle offenbar rund 143 Millionen Kundendaten kopieren - über eine Sicherheitslücke in einer Webapplikation. Einige Manager verkauften kurz nach dem Hack Teile ihrer Aktienpakete.

Weil das Unternehmen Adware auf den Rechnern der Nutzer installiert hat, muss Lenovo eine Strafe zahlen und 20 Jahre lang ein umfangreiches Sicherheitsprogramm für vorinstallierte Software nachweisen.

Forscher warnen vor einer Sicherheitslücke in der estnischen eID-Karte. Es sei möglich, die Karte ohne PIN einzusetzen. Details sollen im Herbst veröffentlicht werden, die Regierung sieht derzeit noch keinen Grund für einen Rückruf.

Ein Bug in der IP-Telefonielösung Asterisk ermöglicht Angreifern, Telefonate mitzuhören. Das Problem liegt in der zugrundeliegenden RTP-Implementierung. Ein erster Patch ist da, aber noch fehlerhaft.

Bei der US-Kommunikationsbehörde FCC können Nutzer über eine API Stellungnahmen hochladen. Das Problem: Mit dem richtigen API-Schlüssel konnten dort beliebige Dokumente hochgeladen werden, so dass Angreifer den Regierungsserver für Malware- und Phishing-Kampagnen nutzen können.

Die staatliche Nachfrage nach Sicherheitslücken für die Quellen-TKÜ zeigt offenbar Wirkung. Schwachstellen in Whatsapp, Signal und anderen Messengern werden besser honoriert als Codeausführung in Windows.

Mit Hilfe eines Geräts soll es möglich sein, aktuelle iPhones ohne Wissen der Nutzer zu entsperren. Dazu wird eine Sicherheitslücke ausgenutzt, die nur wenige Nutzer betrifft. Apple will den Bug in iOS 11 schließen.

Ursprünglich wollte Foxit Software zwei von der Zero Day Initiative entdeckte Sicherheitslücken in seiner PDF-Software nicht schließen, schließlich hat die Software einen Safe Mode, der das Ausführen von Javascript unterbindet. Nach einem Blogeintrag der Initiative hat es sich Foxit anders überlegt.

Raspbian basiert nun mehr auf der aktuellen Debian-Version 9. Das Betriebssystem-Update für den Raspberry Pi schließt eine Sicherheitslücke des Funkchips. Ansonsten ändert sich für den Nutzer wenig.

Einem Hacker ist es offenbar gelungen, den Key für die Verschlüsselung der Firmware von Apples Secure-Enclave-Prozessor zu extrahieren - bei einem iPhone 5s. Damit können detaillierte Untersuchungen der Firmware vorgenommen werden, konkrete Angriffsszenarien gibt es bislang nicht.

Die dänische Reederei rechnet mit Kosten und Umsatzeinbußen von 200 bis 300 Millionen US-Dollar durch den Not-Petya-Angriff. Die Verluste sollen vor allem in der Bilanz des dritten Quartals anfallen.

Mittels spezieller SSH-URLs kann ein Angreifer Code in den Client-Tools von Quellcode-Verwaltungssystemen ausführen. Der Fehler betrifft praktisch alle verbreiteten Quellcode-Verwaltungssysteme wie Git, Subversion, Mercurial und CVS.

Wie viel Prozent des Tor-Traffics sind illegal? Nur sehr wenig, sagt das Tor-Projekt auf der Def Con. Der Anteil der Hidden Services sei verschwindend gering. Tor-Nutzer mit Linux sollten ihr Browser-Bundle auf den aktuellen Stand bringen.

Ein Hacker mit dem Pseudonym 0ctane hat auf der Konferenz Def Con einen Computer präsentiert, der vollständig ohne proprietäre Firmware auskommt. Er warnt vor Backdoors, die sich in der Hard- und Firmware befinden können.

Black Hat 2017 Durch geschickt gewählte HTTP-Header ist es Sicherheitsforschern gelungen, zahlreiche Lücken bei Yahoo, beim Department of Defense und bei der British Telecom zu identifizieren.

Black Hat 2017 Erneut findet sich eine schwerwiegende Sicherheitslücke in der Broadcom-WLAN-Firmware. Der Entdecker der Lücke präsentierte auf der Black Hat ein besonders problematisches Szenario: Eine solche Lücke könnte für einen WLAN-Wurm, der sich selbst verbreitet, genutzt werden.

Black Hat 2017 Mittels Caches von Content-Delivery-Netzwerken und Loadbalancern lassen sich geheime Daten aus Webservices extrahieren. Dafür müssen jedoch zwei Fehler zusammenkommen. Unter anderem Paypal war davon betroffen.

Erneut hat eine Bank Probleme mit Ihrer IT: Informationen über 400.000 Unicredit-Kunden aus Italien wurden kopiert. Die Bank will die Probleme behoben haben und investiert in die Datensicherheit.

Adobe kündigt das Ende von Flash an. In drei Jahren wird es keine Fixes und Sicherheitsupdates für das Browser-Plugin mehr geben, von dem sich viele längst verabschiedet haben.

Wer eine Sicherheitslücke an ein Unternehmen meldet, sollte es dafür eigentlich nicht mit der Polizei zu tun bekommen. Doch ein Schüler in Ungarn wurde festgenommen, nachdem er Schwachstellen im neuen E-Ticket-System der Budapester U-Bahn gefunden hatte.

Wie gut ist es eigentlich um die Security von Spielen bestellt? Der Sicherheitsforscher Justin Taft wollte es herausfinden und wurde in der Source-Engine fündig. Nach einem Abschuss droht bei seiner modifizierten Karte die Infektion mit Ransomware oder anderer Schadsoftware.

Ermittlungsbehörden in verschiedenen Ländern haben mehrere Darknet-Marktplätze dichtgemacht. Neben Alphabay ist auch Hansa Market betroffen.

Über eine Schwachstelle im Parity Ethereum Client wurden 153.000 Ether im aktuellen Wert von 30 Millionen US-Dollar gestohlen. Die sogenannte White Hat Gruppe nutzte umgehend die gleiche Lücke, um weitere 377.116 Ether in Sicherheit zu bringen.

Offenbar ist die als Samba Cry bekanntgewordenen Lücke immer noch ein lohnendes Ziel für Angreifer. Jetzt gibt es eine weitere Malware, die diese Lücken ausnutzen will. Die Malware zielt offenbar auf verwundbare NAS ab.

An vier verschiedenen Punkten soll ein Angreifer immer noch Schadcode über Ciscos Konferenzsoftware Webex ausführen können. Google-Mitarbeiter Travis Ormandy spricht von mehr als 20 Millionen betroffenen Nutzern - Cisco arbeitet an einer Lösung.

Mit einer einzigen Zeile lässt sich eine angeblich geschlossene Sicherheitslücke im WLAN-Angebot der Deutschen Bahn weiterhin ausnutzen, um private Daten auszulesen. Der Chaos Computer Club (CCC) kritisiert den Patch als "untauglich".

Mehr als 50 Lücken in Windows, den Browsern Internet Explorer und Edge sowie in seiner Scripting Engine hat Microsoft am heutigen Patchday geschlossen. Die meisten Schwachstellen erlauben es, Code aus der Ferne auf einem Rechner einzuschleusen und auszuführen. Betroffen ist auch Microsofts Hololens.

Auch zum Juli-Patchday muss Adobe einen neuen Flashplayer veröffentlichen. Die aktuelle Version 26.0.0.137 beseitigt eine Sicherheitslücke, die das Ausführen von Code erlaubt. Insgesamt müssen aber nur drei Sicherheitslücken geschlossen werden.

Dem Qubes-Projekt fehlt es zwar generell noch an passender Hardware, die das sichere Betriebssystem auf eine verlässliche Basis stellt. Aber sollte diese je auftauchen, bringen neu eingeführte Zertifizierungen den Nutzern mehr Klarheit.

Viele Millionen Smartphones weisen eine gefährliche Sicherheitslücke auf. Der Fehler steckt in einem Broadcom-WLAN-Chip. Google hat einen Patch dafür veröffentlicht.

Golem-Wochenrückblick Massenhaft Kundendaten frei im Netz, Drunter und Drüber beim Oneplus Five - und wir holen unseren DOS-Rechner aus dem Keller. Sieben Tage und viele Meldungen im Überblick.

Mit seinem wie üblich wenig diplomatischen Feingefühl machte Kernel-Chefhacker Linus Torvalds auf der Kernel-Mailingliste deutlich, was er von dem auf Sicherheit fokussierten Projekt Grsecurity hält: reichlich wenig.

Einen Tag nach Ausbruch einer neuen globalen Ransomware-Welle gibt es Informationen zum Verbreitungsweg. Die Macher der Ransomware gehen offenbar deutlich organisierter vor, als bei Wanna Cry. Auch das Kernkraftwerk Tschernobyl ist infiziert.

Windows 10 S soll vor Ransomware schützen - sagt Microsoft. Einem Sicherheitsforscher gelang es trotzdem, innerhalb weniger Stunden Zugriff auf Systemprozesse zu bekommen.

Wanna Cry führt auch in Australien zu Verlusten - aber nicht wegen einer Zahlung an die Erpresser. Der australische Bundesstaat Victoria hat nach einer Infektion von Verkehrskameras rund 8.000 Strafen gegen Raser, Über-Rot-Fahrer und andere Verkehrssünder zurückgenommen.

Sieben Exploits für Fehler im Stack-Management: Qualys hat eine Sicherheitslücke für Linux veröffentlicht, mit der lokale Angreifer erweiterte Rechte bekommen können. Die Stack-Guards-Funktion schützt nicht vor dem Angriff.

Nutzern droht künftig die Abschaltung ihres Internetzugangs, wenn ein Gerät Teil eines Botnetzes ist. Die CDU will in solchen Fällen die Hersteller stärker in die Pflicht nehmen.

Mazda hat eine Sicherheitslücke im eigenen In-Car-Entertainment-System nach drei Jahren geschlossen. Der Autobauer sieht darin kein Problem, Angriffe auf kritische Komponenten seien nicht möglich. Ein vor kurzem erschienenes Update soll das Problem beheben.