Sicherheitslücke

Update Sicherheitsexperten warnen vor einer neuen Malware, die gezielt Produkte von Apple angreife. Wirelurker soll die bislang größte Attacke auf die Systeme des US-Konzerns sein.

Gotofail, Heartbleed, Poodle: Derartige Sicherheitslücken sollen Entwickler, die TLS-Verbindungen benutzten, mit dem Google-Werkzeug Nogotofail verhindern. Genutzt werden dazu MITM und Clients auf vielen Plattformen.

Es wird wieder Zeit, sich bei Sicherheitslücken verstärkt um Adobes Flashplayer zu kümmern. Zwei gerade erst abgesicherte und gefährliche Sicherheitslöcher sind bereits in aktuelle Exploit-Kits integriert worden. Eset glaubt sogar, dass Flash nun wieder Java in der Beliebtheitsskala ablöst.

Wenn Unternehmen Sicherheitslücken nicht rechtzeitig melden, darf die Bundesnetzagentur Bußgelder verhängen. Gemacht hat sie das noch nicht, obwohl die Zahl der Datenpannen gestiegen ist.

Wer seine Drupal-Installation nicht innerhalb von sechs Stunden nach Bekanntgabe der kürzlich entdeckten Sicherheitslücke gepatcht hat, sollte sein System als kompromittiert betrachten, warnt das Drupal-Team.

Eine SQL-Injection-Lücke erlaubt den Zugriff auf Kundendaten des Playstation Networks. Sony wurde bereits vor zwei Wochen über die Sicherheitslücke informiert, sie wurde jedoch bisher nicht geschlossen. Es ist nicht der erste Vorfall im Playstation-Network.

Der noch in Planung befindliche Zahlungsdienstleister CurrentC wurde gehackt - die E-Mail-Konten der Teilnehmer an dem Pilotversuch wurden ausgespäht. Hinter CurrentC steht ein Konsortium von US-Einzelhändlern, die einen eigenen Zahlungsdienstleister entwickeln wollen.

Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.

Durch einen Fehler im OLE-System zum Einbetten von Office-Dokumenten kann auf einen fremden Rechner Code eingeschleust werden. Alle Windows-Versionen seit Vista sind betroffen, Microsoft bietet einen Hotfix an.

Black Hat Europe 2014 Chinesischen Forschern ist es gelungen, mit einer relativ simplen Methode zahlreiche Use-after-Free-Fehler im Internet Explorer zu finden. Einem der Forscher wurde die Einreise in die EU zur Black-Hat-Konferenz verwehrt.

Black Hat Europe 2014 Sicherheitslücken in USB-Treibern können eine einfache Möglichkeit darstellen, um Systeme zu übernehmen. Mittels Fuzzing-Technologien fanden zwei Sicherheitsforscher zahlreiche potenzielle Lücken in Linux-Treibern.

Im Content-Management-System Drupal 7 ist eine schwere Sicherheitslücke, über die sich Angreifer Zugriff auf eine gesamte Webseite verschaffen können. Die Lücke ist in der API, die solche Angriffe eigentlich verhindern soll. Ein Update gibt es bereits.

Update Die neue OpenSSL-Version 1.0.1j behebt drei Sicherheitslücken und unterstützt das SCSV-Protokoll, das als Reaktion auf den Poodle-Angriff eingebaut wurde. Die Unterstützung von OpenSSL 0.9.8 läuft aus.

Eine Lücke in einem uralten SSL-Protokoll gefährdet die Sicherheit von Netzverbindungen. Poodle ist jedoch auch mit modernen Browsern ausnutzbar. Dafür sorgt ein Workaround, mit dem sich alte Protokollversionen erzwingen lassen.

Russische Hacker sollen in den vergangenen Jahren zahlreiche Ziele im Westen und in der Ukraine angegriffen haben. Sie nutzten dabei offenbar eine Sicherheitslücke aus, die in allen aktuellen Windows-Versionen bestehen und am Dienstag gepatcht werden soll.

Der Drittanbieter Snapsaved räumt bei Facebook ein, dass der Server des Angebots, das Inhalte von Snapchat abgreift, gehackt wurde.

Mit dem Online-Status bei Messengern wie Whatsapp lassen sich Forschern zufolge persönliche Informationen der Nutzer herausfinden. Zum Beispiel konnten sie mit diesen Metadaten komplette Tagesabläufe von Nutzern rekonstruieren.

Adobe, Microsoft und Oracle werden am kommenden Dienstagabend zahlreiche Patches veröffentlichen: Der Oktober-Patchtag bei allen drei Unternehmen überschneidet sich. Einerseits entlastet dies die Admins, andererseits müssen sie sich auf eine größere Patch-Menge einstellen.

45 Prozent aller Android-Smartphones sind noch immer von einer vor wenigen Wochen entdeckten Sicherheitslücke im Smartphone-Browser betroffen. In Deutschland liegt die Zahl sogar deutlich höher.

Update Offenbar sind mehrere Server von Yahoo gehackt worden, allerdings nicht wie zunächst berichtet durch die Shellshock-Lücke. Trotzdem war der Exploit-Code von Shellshock im Spiel. Auch Lycos und die Winzip-Webseite sind betroffen.

Die jüngsten Patches für Bash beheben jetzt alle Lücken im Funktionsparser, die zu Shellshock und diversen Varianten geführt haben. Sicherheitskritisch sind die letzten Updates jedoch nicht mehr.

Die Sicherheitslücke BERserk ist nur deshalb ein Problem, weil einige Zertifizierungsstellen sich nicht an gängige Empfehlungen für RSA-Schlüssel halten. Mit BERserk akzeptieren Firefox und Chrome gefälschte Zertifikate.

Apple hat die erste Golden Master-Version von OS X 10.10 alias Yosemite für zahlende Entwickler veröffentlicht. Für normale Anwender gibt es die 4. Betaversion des Betriebssystems, das vermutlich noch im Oktober in der finalen Version veröffentlicht wird.

Apple liefert jetzt einen Patch für Shellshock aus. Der behebt zwar nicht alle bekannten Bugs im Funktionsparser von Bash, aber das ist vermutlich kein Sicherheitsproblem.

Fritzbox-Nutzer, die die gepatchte Sicherheitslücke für unerlaubten Fernzugriff nicht geschlossen haben, werden wieder angegriffen. AVM rät, die Patches jetzt schnell aufzuspielen, doch eine Auto-Updatefunktion gibt es noch nicht lange.

Die ersten Fehlerkorrekturen für die Shellshock-Lücke in Bash waren unvollständig. Inzwischen ist von fünf verschiedenen Sicherheitslücken die Rede.

Update Inzwischen wird die Bash-Sicherheitslücke Shellshock zur Verbreitung von Malware ausgenutzt. Die erste Korrektur war offenbar unvollständig. Wir haben die wichtigsten Hintergründe zu Shellshock zusammengefasst.

Update In der NSS-Bibliothek ist eine Sicherheitslücke entdeckt worden, mit der sich RSA-Signaturen fälschen lassen. Betroffen sind die Browser Chrome und Firefox, für die bereits Updates erschienen sind. Es handelt sich um eine Variante der Bleichenbacher-Attacke von 2006.

Einst hat er sich bei IBM, Nokia und Motorola Zugriff verschafft. Nun will der bekannte und vorbestrafte Hacker Kevin Mitnick mit Software Exploits Rekordsummen einnehmen.

Update Eine Sicherheitslücke in der Linux-Shell Bash hat gravierende Auswirkungen. In vielen Fällen lässt sich damit von Angreifern Code auf Servern auch aus der Ferne ausführen.

Update Eine Sicherheitsfirma will die Einbindung von Malware-Code auf der Webseite der Javascript-Bibliothek jQuery beobachtet haben. Ob die Server von jQuery gehackt worden sind, ist noch unklar.

Im von Debian und Ubuntu verwendeten Paketmanagement Apt ist ein sicherheitskritischer Fehler entdeckt worden. Es ist bereits das zweite Mal in kurzer Zeit, dass Apt Sicherheitsprobleme hat.

Bei der mobilen Version der Sendungsverfolgung von DHL führte ein falsch konfigurierter Webserver dazu, dass fremde Paketdaten einsehbar waren. Die Post hat einen Bericht dazu bestätigt.

Eine besonders kreative Variante einer Cross-Site-Scripting-Lücke macht auf der Webseite Hacker News die Runde: Mittels eines TXT-DNS-Records lässt sich auf zahlreichen Webseiten Javascript einfügen.

Der Paketmanager Apt hat eine Reihe von Lücken bei der Validierung von Paketen. Aktualisierungen für die Linux-Distributionen Debian und Ubuntu stehen inzwischen bereit.

Das FreeBSD-Team hat eine Sicherheitslücke im TCP-Stack des Kernels geschlossen. Sie hat sich über eine seit zehn Jahren bekannte Schwachstelle im TC-Protokoll ausnutzen lassen.

Wegen eines Fehlers in Androids AOSP-Browser soll es möglich sein, über eine präparierte Seite mit Javascript alle aktuellen Tabs und Cookies einsehen zu können. Betroffen sein sollen die Android-Versionen vor Kitkat - also viele Einsteiger- und Mittelklasse-Geräte.

Eine neue TLS-Erweiterung ermöglicht es, die Reihenfolge zwischen Authentifizierung und Verschlüsselung zu ändern. Die bisherige Methode führte zu Sicherheitsproblemen wie der Lucky-Thirteen-Attacke.

Weil ein Firmware-Update auf einigen Druckern von Canon fast ohne Absicherung installiert werden kann, haben IT-Sicherheitsexperten dort als Machbarkeitsnachweis das Ballerspiel Doom installiert.

Die Betreiber des IRC-Netzwerks Freenode haben eine Kompromittierung ihrer Server festgestellt. Alle Nutzer sollten vorsorglich ihr Passwort ändern.

Es gab Gerüchte, Geheimdienste und Hacker hätten von der Heartbleed-Lücke längst gewusst und sie ausgenutzt, bevor sie publik wurde. Dafür gebe es keine Hinweise, heißt es jetzt in einer Studie.

Google hat seine Pläne zur Abschaffung von SHA-1-Signaturen konkretisiert. Trotz langjähriger Warnungen gibt es noch Tausende Zertifikate mit SHA-1-Signaturen, die bald Probleme bekommen werden.