Sicherheitslücke

Eine Sicherheitslücke in einem Router der Deutschen Telekom rettet einen Internetnutzer, der wegen illegalen Filesharings eines Filmes mehr als 1.200 Euro zahlen sollte. Über eine simple PIN konnte sich zeitweise jeder mit dem WLAN des W 504V verbinden, ohne den WLAN-Key zu kennen.

Update Die Programm-Manager-App von Kabel Deutschland hat eine schwere Sicherheitslücke. Damit kann der Online-Zugang von Kunden gekapert werden.

Ifa 2014 Auf der Internationalen Funkausstellung in Berlin (Ifa) wird das Smarthome zu einem großen Thema. Kaspersky Lab warnt jetzt erneut vor potenziellen Sicherheitslücken im Heimnetz, und ein Blick in vergangene Meldungen zeigt, dass die Gefahr tatsächlich groß ist.

Windows-Nutzer von Chrome 37 erhalten ein besseres Font-Rendering und können eine 64-Bit-Version nutzen. Die Veröffentlichung schließt auch 50 Sicherheitslücken, darunter eine kritische, die Google 30.000 US-Dollar wert ist.

Synology ist schon länger in den Fokus von Angreifern geraten, daher empfiehlt es sich, das Update 4 des DSM-Builds 4493 einzuspielen. Der schließt unter anderem eine Lücke in OpenSSL im NAS-System.

Bei einer aktuellen Finanzierungsrunde ist herausgekommen, dass Snapchat 100 Millionen Nutzer im Monat hat. Damit kommt der Messenger langsam in den Bereich von Twitter.

Mitgliedern von Googles Project Zero ist es gelungen, einen kleinen Fehler in der Glibc auszunutzen, um unter einem Linux-System Root-Zugriff zu erhalten. Dafür mussten zahlreiche Hürden überwunden werden.

Update Gegenüber Heise haben mehrere große deutsche Provider erklärt, dass ihre Fernwartungsserver sicher seien. Zuvor hatten Datenexperten Sicherheitslücken im Fernwartungsprotokoll TR-069 im Nahen Osten entdeckt.

Durch Messungen des Erdungspotentials lassen sich geheime Schlüssel von älteren GnuPG-Versionen extrahieren. Das kann durch Messungen an Metallteilen am Gehäuse oder durch Netzwerkkabel geschehen.

Die neue Firmware FritzOS 6.20 ist für die Fritzbox 7490 erhältlich. Ein Upgrade für weitere Modelle solle in wenigen Wochen folgen, verspricht AVM.

Def Con 2014 Hacker haben sich das Blackphone vorgenommen und einige Fehler entdeckt. Einer ist längst behoben, andere erfordern einen physischen Zugriff auf das Smartphone und eine Eingabe des Benutzers.

Def Con 22 Keren Elazari sieht die Hackercommunity in der Verantwortung, für positive Veränderungen zu sorgen und das Internet sicherer zu machen. Auf Regierungen und multinationale Konzerne könne man sich dabei nicht verlassen.

Def Con 22 Mit Hilfe eines Seitenkanalangriffs ist es einem Sicherheitsforscher gelungen, einen geheimen Token eines netzbasierten Lichtschalters herauszufinden. Grund ist ein Timingproblem in der Funktion memcmp(). Solche Angriffe galten bislang als unpraktikabel.

Das Wordpress-Plugin Custom Contacts Form hat einen Fehler, der es Angreifern erlaubt, administrative Rechte über eine Webseite zu erhalten. Es gibt bereits einen Patch.

Black Hat 2014 Der Sicherheitsexperte Dan Geer macht radikale Vorschläge, wie Politik und Wirtschaft für mehr Sicherheit im Netz sorgen können. Seine persönliche Maßnahme: Rückzug.

Black Hat 2014 In einem Hotel in China ließen sich Licht und Fernseher mit Hilfe eines iPads steuern. Nach einer kurzen Analyse des Systems stellte der Sicherheitsforscher Jesus Molina fest, dass er ohne viel Aufwand auch die Geräte in allen anderen Zimmern kontrollieren konnte.

Neue Enthüllungen über die US-Geheimdienste deuten darauf hin, dass es neben Edward Snowden weitere Quellen für die Berichte gibt. Auch die US-Regierung ist davon überzeugt.

Erneut gibt es eine Lücke im Unity-Lockscreen von Ubuntu. Diese könnte Angreifern das Passwort verraten. Patches und neue Pakete stehen bereit. Der Unity-Lockscreen wurde für derartige Fehler bereits mehrfach kritisiert.

Update Die Malware Synolocker verschlüsselt sämtliche Dateien auf NAS-Systemen von Synology und verlangt danach Lösegeld. Noch ist das Einfallstor für Malware unbekannt.

Eine neue Version des Enhanced Mitigation Experience Toolkit (EMET) ist von Microsoft fertiggestellt worden. Neu ist die sogenannte Attack Surface Reduction, die das Laden von Plugins verhindert oder auf bestimmte Zonen beschränkt.

Die Verteilung des Updates auf Android 4.4.4 für das Moto X hat begonnen: Damit erhält auch Motorolas Topmodell die aktuelle Android-Version. Die Verteilung hatte sich wegen der kurzfristigen Veröffentlichung der aktuellen Android-Version verzögert.

Alibaba verhandelt über eine Beteiligung an Snapchat. Das Startup mit seinem 24-jährigen Chef wird dabei mit 10 Milliarden US-Dollar bewertet. Umsatz erzielt Snapchat praktisch noch keinen.

Black Hat 2014 Ein Fehler in Apaches Harmony soll die Ursache für die fehlerhafte Zertifikatsprüfung in Android sein. Harmony war Apaches Java-Implementierung, das Google in Android einsetzt.

Der Hacker Steven Graham hat einen Programmierfehler beim Foto-Sharing-Dienst Instagram gefunden. Um Druck auf das Mutterunternehmen Facebook zu machen, droht er nun mit einem Hackerangriff.

In Deutschland ist ein großes Updates für das HTC One (M8) auf den ersten Geräten verfügbar: Die Aktualisierung bringt neben Android 4.4.3 zahlreiche Verbesserungen an der Kamera und weiteren Systemfunktionen.

In der Linux-Distribution Tails befindet sich eine Sicherheitslücke, über die Nutzeridentitäten aufgedeckt werden können. Die Schwachstelle ist nicht in Tor, sondern im Invisible-Internet-Project-Netzwerk zu finden.

Für Broadcom erstellt Eric Anholt einen freien Grafiktreiber für den VC4, der im Raspberry Pi eingesetzt wird. Anholt komme bisher aber eher langsam voran. Die 2D-Beschleunigung Glamor sollte jedoch schon bald bereitstehen.

Sicherheitspanne bei der Europäischen Zentralbank: Kriminelle drangen in den Webserver ein und verlangten Geld für die gestohlenen Daten.

Über das Mailpoet-Plugin wurden anscheinend bereits mehrere Zehntausend Wordpress-Webseiten mit Schadsoftware versehen. Der Angriff funktioniert laut den Entdeckern auch, wenn das Plugin nicht aktiv ist.

Ein Hacker behauptet, sich Zugang zu den Seiten der US-Medien Wall Street Journal und Vice verschafft zu haben. Die gestohlenen Daten bietet er zum Kauf an.

Mit der neuen Version des Browsers Firefox verhindert Mozilla aktiv den Download von bekannter Schadsoftware. Der Browser unterstützt nun eine in Deutschland selten genutzte Amtssprache. Für Unternehmen löst Firefox 31 die alte Version 24 ab und Thunderbird wurde auch neu aufgelegt.

Black Hat 2014 Ein Vortrag über Probleme des Anonymisierungsnetzwerks Tor wurde aus dem Programm der Black-Hat-Konferenz in Las Vegas gestrichen. Offenbar folgte die Streichung auf Wunsch der Anwälte der Universität, in der die Vortragenden arbeiten.

Undokumentierte Systemdienste in Apples Betriebssystem iOS sollen es Angreifern leicht machen, Nutzerdaten auszulesen. Auch Apple selbst kann laut einem Sicherheitsforscher alle Daten einsehen und weitergeben.

Im Webserver Apache 2.x ist eine Sicherheitslücke, die aus der Ferne ausgenutzt werden kann - auch ohne Authentifizierung.

Die russische Hackergruppe W0rm hat sich Zugang zu den Servern der Nachrichtenwebseite Cnet verschafft. Die Datenbank mit Benutzerdaten wollen die Hacker für einen symbolischen Betrag von einem Bitcoin verkaufen.

Unter bestimmten Umständen lieferte LibreSSL unter Linux dieselben Zufallszahlen mehrfach. Das Problem wurde in einem neuen Release behoben, die OpenBSD-Entwickler sehen aber das eigentliche Problem beim Linux-Kernel.

Am Oracle-Patchday, der zeitversetzt einmal im Quartal nach den Patchtagen von Microsoft und Adobe stattfindet, hat das Unternehmen neue Versionen von Java veröffentlicht. Wer Java 7 oder 8 einsetzt, sollte ein Update durchführen.

Mit Vollzeit-Entwicklern im Project Zero will Google, das Sicherheitsforschung bisher nur nebenbei betrieben hat, das Internet sicherer machen und politisch Verfolgten helfen.

Update AVM wird seine Router Fritzbox 3490 und Fritz Powerline 1000E in den Handel bringen. FritzOS 6.20 verspricht mehr Sicherheit, was das Unternehmen auch nötig hat.

Sicherheitsexperten haben erfolgreich eine LED-Lampe mit WLAN-Mesh-Funktion angegriffen. Der Weg ist zwar recht aufwendig, könnte aber die Vorlage für weitere Forschung sein, denn im drahtlosen Smarthome gibt es zahlreiche neue Geräte mit potenziellen Sicherheitslücken.

Die populäre Videoplattform Dailymotion ist in der vergangenen Woche für Angriffe auf ihre Nutzer ausgenutzt worden. Unbekannten gelang es, ein Exploitkit unterzubringen, das Sicherheitslücken im Internet Explorer, Oracles Java sowie dem Flashplayer nutzt. Letztere Lücke war besonders aktuell.

Wann entscheiden die US-Geheimdienste, noch unbekannte Sicherheitslücken zu verheimlichen? Nach dem Heartbleed-Bug wollen US-Datenschützer das per Gericht erfahren.

Die seit einigen Wochen bekannte Lücke in der Kryptobibliothek GnuTLS kann noch immer im VLC-Player ausgenutzt werden. Der Code ist bereits gepatcht, die Binärversion steht aber noch nicht bereit.