Ein OpenSSL-Update behebt eine kritische Sicherheitslücke. Mittels einiger Tricks kann ein Angreifer damit ein gewöhnliches Zertifikat zu einer Zertifizierungsstelle machen. Betroffen sind vor allem Clients.
Die Vorbereitungen auf den Quartalsbericht zum Zustand von Openoffice zeigen schwere Probleme bei dem Projekt. Die Beteiligten diskutieren gar, ob eine noch nicht behobene Sicherheitslücke genannt werden soll oder nicht.
Update Über eine bisher unentdeckte Sicherheitslücke im Flash-Player verbreitet das Hacking Team seine Spionagesoftware. Außerdem wurde eine weitere unbekannte Sicherheitslücke in 32-Bit-Windows-Systemen in den veröffentlichten Unterlagen gefunden.
Programme testweise mit massenhaft fehlerhaften Daten zu füttern, ist eine effektive Methode, um Fehler zu finden. Das sogenannte Fuzzing ist schon seit Jahrzehnten bekannt, doch bessere Tools und einige spektakuläre Funde von Sicherheitslücken haben zuletzt das Interesse daran erneut geweckt.
SSLv3 ist aus Firefox 39 endgültig entfernt worden, und RC4 ist nur noch temporär für einige wenige Seiten erlaubt. Das Mozilla-Team erweitert den Schutz des Browsers vor Malware, daneben gibt es noch viele kleinere Neuerungen.
Smartphones von LG sind aufgrund einer schlecht umgesetzten SSL-Verschlüsselung anfällig für Man-in-the-Middle-Attacken. Offenbar weiß der Hersteller schon länger davon, ein Patch soll das Problem beheben - auf manchen Geräten ist dieser aber noch nicht angekommen.
Über eine Schwachstelle in Android können Unbefugte Zugriff auf Daten auf dem Gerät erhalten. Die meisten verwendeten Android-Geräte weisen den Fehler weiterhin auf, obwohl Google schon vor Monaten darauf hingewiesen wurde.
Wer virtuelle Sicherheitsgateways von Cisco betreibt, sollte schleunigst die bereitgestellten Patches einspielen. Denn alle haben dieselben SSH- und Host-Schlüssel. Wer sie besitzt, erhält nicht nur vollen Zugriff auf die Gateways, sondern kann auch den darüberlaufenden Datenverkehr mitschneiden.
Seit der Poodle-Attacke ist klar, dass das uralte Protokoll SSL 3 nicht mehr sicher ist. Mit RFC 7568 gibt es jetzt ein offizielles Dokument, das den Einsatz des ursprünglich von Netscape entwickelten Verschlüsselungsprotokolls verbietet.
Update Nach Superfish das nächste Debakel mit vorinstallierter Software auf Windows-Laptops: Samsung liefert auf seinen Geräten ein Tool mit, das die automatische Update-Funktion von Windows deaktiviert.
Adobe muss außerplanmäßig patchen. Laufende Angriffe auf IE- und Firefox-Nutzer mit Flash Player machen es notwendig, die Sicherheitslücke möglichst schnell zu schließen.
Bei der Installation wird die Benutzerdatenbank in SAPs Hana mit dem stets gleichen Standardschlüssel abgesichert. Weil dieser nur selten geändert wird, könnten sich Unberechtigte leicht Zugriff auf die dort gespeicherten Administratorkonten verschaffen.
Wer in Android eine Schwachstelle findet, wird von Google entlohnt. Der Suchmaschinenanbieter erweitert sein Bounty-Programm auf das mobile Betriebssystem - allerdings mit einigen Einschränkungen.
Update OpenSSL veröffentlicht Updates für kleinere Sicherheitslücken - dabei ist den Entwicklern ein Fehler unterlaufen: Durch eine veränderte Datenstruktur ändert sich die Binärschnittstelle der Bibliothek, was zu Fehlfunktionen führen kann.
Sicherheitslücken in Adobes Flashplayer sollten Anwender zum Handeln zwingen. Bereits existierende Exploit-Kits werden derzeit sehr schnell an Patches angepasst. Für das letzte Update brauchten Angreifer nicht einmal zwei Wochen, um die abgesicherte Sicherheitslücke auszunutzen.
KB3058515 heißt das Update, das für mehr Datenübertragungssicherheit unter Windows 7 und 8.1 im Standardbrowser führt. Microsoft hat HSTS nach der Windows-10-Vorschau auch für Vorgängersysteme mit Internet Explorer 11 freigegeben. Verteilt wird es als kritisches Sicherheitsupdate.
Ein Debian-Bug aus dem Jahr 2008 hinterlässt immer noch Spuren. Eine Analyse der öffentlichen SSH-Schlüssel bei Github zeigt: Mittels angreifbarer Schlüssel hätten Angreifer die Repositories von Projekten wie Python und Firmen wie Spotify oder Yandex manipulieren können.
Hitb 2015 Wie viel Toner benötigen US-Universitäten, welche Windkraftanlagen laufen gerade und welche Autokennzeichen werden gerade in New Orleans erfasst? John Matherly berichtet, wie freigiebig das Internet der Dinge mit Informationen umgeht.
Hitb 2015 Das Tor-Protokoll erlaubt es Angreifern relativ einfach, die Kontrolle über die Verzeichnisserver sogenannter Hidden Services zu erlangen. Dadurch ist die Deanonymisierung von Traffic deutlich einfacher als beim Zugriff auf normale Webseiten.
Hitb 2015 Mit relativ simplen Methoden ist es dem 18-jährigen Webentwickler Bas Venis gelungen, schwerwiegende Sicherheitslücken im Chrome-Browser und im Flash-Plugin aufzudecken. Er ruft andere dazu auf, nach Bugs in der Logik von Browsern zu suchen.
Die offiziellen Abbilder im sogenannten Docker-Hub enthielten in über 30 Prozent aller Fälle schwere Sicherheitslücken, heißt es in einer Studie. Darunter seien auch sehr schwerwiegende, die lange bekannt seien.
Unsichere Router sind aktuell von gleich zwei Versionen von Malware bedroht. Die eine verteilt Spam über soziale Medien, die andere leitet Anfragen auf manipulierte Webseiten um.
Gefahr über den Wolken: Die Angst davor, dass Hacker in die Elektronik eines Flugzeuges eindringen könnten, wächst. Denn mit der zunehmenden Vernetzung der Maschinen steigt auch die Anzahl der Schwachstellen an Bord.
Wer Sicherheitslücken findet, fliegt: Die Fluggesellschaft United Airlines startet ein Bug-Bounty-Programm und zahlt mit Bonusmeilen statt Geld. Es darf jedoch nicht überall nach Schwachstellen gesucht werden.
Update Ein Fehler im Diskettentreiber von QEMU kann in verschiedenen Virtualisierungslösungen zu einer Sicherheitslücke führen. Sie lässt sich selbst dann ausnutzen, wenn überhaupt kein virtuelles Diskettenlaufwerk genutzt wird.
In der Blog-Software Wordpress ist erneut eine Cross-Site-Scripting-Sicherheitslücke gefunden worden. Ursache ist eine Beispieldatei eines Icon-Sets. Betroffen sind das Default-Theme Twenty Fifteen und das Jetpack-Plugin.
Update Eine Cross-Site-Scripting-Sicherheitslücke gefährdet Nutzer von Wordpress-Blogs. Einen Fix gibt es noch nicht. Laut dem Entdecker der Lücke wurden seine Warnungen von Wordpress ignoriert.
Verschiedene Antiviren-Programme enthalten Features, um verschlüsselte HTTPS-Verbindungen zu scannen. Dabei gefährden sie die Sicherheit der Verschlüsselung. Besonders drastisch: In der aktuellen Version von Kaspersky ist die Freak-Sicherheitslücke noch nicht geschlossen.
Eine kritische Sicherheitslücke in der aktuellen Version von Magento erlaubt Angreifern das Ausführen von beliebigem PHP-Code. Sorgen macht der unprofessionelle Umgang des Herstellers mit der Lücke.
Eine schlecht dokumentierte Funktion der Wordpress-API ist von zahlreichen populären Plugins fehlerhaft verwendet worden. Der Fehler führt zu Cross-Site-Scripting-Lücken: Betroffen sind unter anderem das Jetpack-Plugin, die Plugins von Yoast und das All-in-one-SEO-Plugin.
Golem-Wochenrückblick Die Vorratsdatenspeicherung ist untot, auf der Hannover Messe gab es robotische Flatter- und Krabbeltiere und wir haben Android 5.1 angetestet: Sieben Tage und viele Meldungen im Überblick.
Microsoft hat mit dem jüngsten Windows-Update eine schwerwiegende Sicherheitslücke in der HTTP-Verarbeitung behoben. Der entsprechende HTTP-Code läuft als Kerneltreiber.
IT-Sicherheitsexperten haben die Schwachstelle Redirect to SMB wiederentdeckt, die sämtliche Windows-Versionen betrifft. Sie lässt sich auch über zahlreiche Anwendungen ausnutzen. Unter Umständen geben Nutzer ihre Zugangsdaten zum Windows-Netzwerk preis.
Durch Fuzzing-Technik können unter anderem Sicherheitslücken gefunden werden. Mit Libfuzzer stellt das LLVM-Projekt nun eine eigene Bibliothek dazu bereit und nutzt diese auch selbst für den Compiler Clang.
Ein vermeintliches Verschlüsselungstool für Smartphones namens NQ Vault verschlüsselt offenbar seine Daten überhaupt nicht. Doch damit nicht genug: Es erstellt auch ungefragt Fotos des Nutzers.
Update Vor einem Jahr machte der Heartbleed-Bug in OpenSSL Schlagzeilen - doch solche Bugs lassen sich mit Hilfe von Fuzzing-Technologien aufspüren. Wir haben das mit den Tools American Fuzzy Lop und Address Sanitizer nachvollzogen und den Heartbleed-Bug neu entdeckt.
Update Das DNS-Protokoll hat eine Funktion, mit der man umfangreiche Informationen zu einer Domain abfragen kann. Dieser sogenannte AXFR-Transfer ist normalerweise nicht für die Öffentlichkeit, aber erstaunlich viele DNS-Server erlauben ihn trotzdem.
Eine bislang wenig beachtete Schwäche von RC4 nutzt der Kryptograph Itsik Mantin für seine neue Angriffsmethode. Ein weiterer kürzlich vorgestellter Angriff betrifft IMAP-Verbindungen.
Die Entwickler von OpenSSL haben ein Update veröffentlicht, das zahlreiche Sicherheitslücken behebt. Anders als von manchen befürchtet, ist allerdings keine gravierende Lücke wie Heartbleed dabei.
UpdateIMHO Sicherheitslücken in öffentlichen Datenbanken zu zählen, ist keine seriöse Methode, um etwas über die Sicherheit von Produkten auszusagen. Trotzdem wird das immer wieder gemacht - zuletzt vom Hasso-Plattner-Institut anlässlich der Cebit.
Zum fälschlicherweise ausgestellten Zertifikat für die Microsoft-Domain live.fi sind weitere Details bekannt. Demnach hatte sich Microsoft Wochen Zeit gelassen, um zu reagieren. In einem ähnlichen Fall ließ Microsoft sogar vier Jahre verstreichen.
Golem.de hat bei großen Root-Server-Anbietern nachgefragt, wie sie mit der Rowhammer-Lücke umgehen. Systeme mit ECC-Speicher sind vermutlich nicht betroffen und manchmal können Bios-Updates Angriffe erschweren.
Die Freak-Lücke hat Microsoft schnell geschlossen. Am heutigen Patchday gibt es dafür ein Update. Verwunderlich ist jedoch, dass es auch einen Patch für eine Lücke gibt, die von Stuxnet ausgenutzt wurde - und seit 2010 bekannt ist.
Displayhersteller LG engagiert sich verstärkt im Bereich vernetzter Autos: Zusammen mit Italdesign stattete der Südkoreaner das Konzeptfahrzeug Gea für den Genfer Automobilsalon mit Displaytechnik aus.
Durch permanente Speicherzugriffe lassen sich bei manchen Arbeitsspeichermodulen Bits umkippen. Dadurch sind verschiedene Angriffe möglich. Der Fehler liegt in der Hardware, ohne einen Austausch der Speichermodule ist der Angriff kaum zu verhindern.
Update Die Entwickler des Chrome-Browsers wollen künftig eine Funktion zum Synchronisieren von Sandbox-Threads einsetzen, die erst mit dem Kernel 3.17 eingeführt wurde. Nutzer von Distributionen mit älteren Kernels haben damit ein Problem. Das betrifft sogar das noch nicht veröffentlichte Debian Jessie.
