Sicherheitslücke

Das X.org-Team weist auf einen Fehler in der Speicherverwaltung hin. Eigentlich ein üblicher Bug, doch dieser existierte über 20 Jahre und ist vermutlich in allen derzeit verwendeten X.org X-Servern vorhanden.

Der Entdecker einer Lücke in Windows 8.1 erhält von Microsoft 100.000 US-Dollar. Das Unternehmen hat den Betrag nun erstmals ausgezahlt, das Angebot gilt weiterhin. Allerdings muss es sich um neuartige Angriffsvektoren handeln.

Ein stärkeres Argument pro Steam Box als ein plattformexklusives Half-Life 3 gäbe es nicht - was zu Spekulationen führt. Jetzt hat Valve den Spielenamen in Europa markenrechtlich geschützt. Es gibt aber noch weitere Hinweise auf die Entwicklung.

Apple hat ein Update für iOS 7 veröffentlicht. IOS 7.0.2 schließt die Sicherheitslücke, die unberechtigten Nutzern den Zugriff auf gespeicherte Fotos vom Sperrbildschirm aus ermöglichte.

Die Govnet-Box basiert "ausschließlich auf Eigenentwicklungen - ohne jegliche Hintertüren zu den Spähprogrammen in- und ausländischer Geheimdienste", verspricht Peter Söll von NCP Engineering aus Nürnberg.

Die Linux-Distribution Tails erhält in Version 0.20.1 zahlreiche Fehlerkorrekturen, die teils kritische Sicherheitslücken schließen. Tails nutzt Tor zur Anonymisierung.

Mit iOS 7 hat Apple nicht nur viele Sicherheitslücken geschlossen, sondern auch gleich eine neue eingebaut. Ausgerechnet der Sperrbildschirm ist davon wieder betroffen. Der Angreifer muss allerdings schnell reagieren und erhält trotzdem keinen Vollzugriff.

Zwei junge Hacker haben Paypal gezeigt, wie man einen Webserver richtig konfiguriert. Die Sicherheitslücke war groß, die Firma reagierte trotzdem träge.

Virenschutz und Firewall machen den elektronischen Personalausweis nicht sicher, sagen die Hacker vom Chaos Computer Club. Sicherheitssoftware nennen sie Snake-Oil, die moderne Schadsoftware oft nicht erkennt.

Das BSI verbreitet über Jahre eine komplett unsichere Software zur Verschlüsselung. Es ist aber nicht die einzige Panne bei staatlichen Verschlüsselungsprodukten.

Verschiedene Personen berichten dem Bundesamt für Sicherheit in der Informationstechnik (BSI) von einer gravierenden Sicherheitslücke in der Verschlüsselung des von der Behörde bereitgestellten Programms GSTool. Statt Dank erhalten sie juristische Drohungen.

Ein Javascript-Bookmarklet ist in der Lage, den privaten Schlüssel zu einem Account des Filehosters Mega zu extrahieren. Die Frage ist: Ist das eine Sicherheitslücke?

Dass Microsoft und andere Firmen der NSA Sicherheitslücken ihrer Produkte liefern, bevor sie diese Informationen veröffentlichen, reicht nicht aus. Die NSA besorgt sich Zero-Day-Exploits auf dem Markt.

Ein ungepatchter Exploit in Java 6 wird inzwischen aktiv ausgenutzt. Seit April 2013 unterstützt Oracle Java 6 nicht mehr, einen Patch gibt es nur kostenpflichtig. Java 6 ist weiterhin stark verbreitet.

Update Über einen Trojaner lässt sich ein Rechner angreifen, um dann die PIN des elektronischen Personalausweises abzugreifen. Die Lücke hat der Chaos Computer Club dem ARD-Magazin Report München präsentiert.

In einigen älteren Modellen der Reihen Precision und Latitude von Dell gibt es eine Lücke im Bios, über die sich eine gefälschte Firmware installieren lässt. Zwar muss der Angegriffene dazu kräftig mithelfen, die Folgen können aber schwerwiegend sein.

Microsoft hat in einem Blog-Eintrag eindringlich davor gewarnt, Windows XP auch nach der Einstellung des Supports im April 2014 weiter zu nutzen. Das Betriebssystem sei danach "auf ewig per Zero-Day-Exploit angreifbar".

In dieser Woche hat Microsoft für Windows 7 einen Sicherheitspatch veröffentlicht, der bei einigen Nutzern Probleme verursacht. Nach der Einspielung des Patches stürzt das Betriebssystem bei einigen Anwendern ab. Andere beklagen, dass sich einige Applikationen nicht mehr starten lassen.

Erstmals, seit Adobe seinen eigenen Patchday zum Microsoft Patch-Tuesday synchron geschaltet hat, muss Adobe keine Sicherheitslücken schließen. Windows-Anwender müssen dennoch patchen, denn Microsoft hat ein paar gefährliche Sicherheitslücken in seinen Betriebssystemen - inklusive Rechteausweitung.

Die OpenX-Entwickler haben die Downloadpakete ihres gleichnamigen Adservers korrigiert. Die Version 2.8.10 hat eine gefährliche Hintertür, die Angreifer in die Serverpakete einschmuggelten. OpenX 2.8.11 korrigiert diesen Fehler, der nur die freie Version betraf.

In Putty 0.62 und früheren Versionen befinden sich insgesamt vier Sicherheitslücken. Entwickler Simon Tatham hat deswegen eine neue Version veröffentlicht, mit der Anwender ihre alte Version ersetzen sollten.

Seit rund zehn Monaten befindet sich im Adserver OpenX eine Hintertür, wie Heise Security herausgefunden hat. Angreifer nutzen die Lücke bereits fleißig aus. Wie der verschleierte Code in die OpenX-Pakete kam, ist noch unbekannt.

Der über den Webhoster Freedom Hosting verteilte Schadcode dient tatsächlich der Identifizierung von Tor-Nutzern. Das hat das Anonymisierungsprojekt bestätigt. Der Schadcode wird über eine Schwachstelle in Firefox eingeschleust.

Der österreichische Sicherheitsforscher Stefan Viehböck hat einmal mehr eine kritische Sicherheitslücke in DSL-WLAN-Routern von Vodafone entdeckt. Die WPS-PIN der Router lässt sich anhand ihrer MAC-Adresse errechnen.

Update Freedom-Hosting-Seiten haben Schadcode über eine Schwachstelle in der Unternehmensversion von Firefox ausgeliefert, auf der der Tor-Browser basiert. Mit dem Angriff sollten offenbar Nutzer, Besucher und Administratoren von kinderpornografischen Seiten identifiziert werden.

Das Internet der Dinge eröffnet auch ungeahnte Möglichkeiten für Bösewichte, die die Geräte hacken können, wenn sie Sicherheitslücken aufweisen. Jetzt hat es einen Hersteller von Toilettenschüsseln erwischt.

Der Hacker Sprite_tm hat sich Festplatten und deren Aufbau genauer angesehen. Da diese Zugriffe von außen auf die Embedded-Hardware erlauben, können Angreifer eine Firmware entwickeln, die Daten auf dem Weg von den Plattern zu dem Controller verändert.

Mozilla arbeitet zusammen mit Blackberry an einem Fuzzing-Framework namens Peach v2, das helfen soll, die Sicherheit im Web zu steigern. Zudem hat Mozilla mit Minion eine Testplattform veröffentlicht, mit der sich Sicherheitstests weitgehend automatisieren lassen sollen.

Flavio Garcia, der nach eigenen Angaben das Sicherheitssystem Megamos Crypto von VW zum Absichern von Luxuskarossen geknackt hat, darf sein Wissen nicht publizieren. Ein britisches Gericht untersagte die Veröffentlichung.

Der berühmte Hacker Barnaby Jack lebt nicht mehr. Der durch seine Hacks von Geldautomaten, Insulinpumpen und Herzschrittmachern bekannte Jack plante eine weitere große Enthüllung. Seine Todesursache ist unbekannt.

Seit mehr als einer Woche sind nur wenige Teile der Entwicklerwebseiten von Apple überhaupt verfügbar. Doch langsam beendet Apple die Umbauarbeiten, die verhindern sollen, dass auf dieselbe Art noch einmal eingebrochen wird.

Der SIM-Karten-Hersteller Giesecke & Devrient versichert, dass kommerzielle SIM-Karten mit dem G&D-eigenen Betriebssystem sicher sind. Selbst im Ausland seien deutsche Nutzer sicher, teilte Vodafone mit.

Unbekannte haben am vergangenen Donnerstag Apples Server angegriffen. Das ist der Grund für die lange Auszeit, über die sich Entwickler mangels Informationen bereits beschwerten. Apple ist nun dabei, den Schaden zu beheben und beruhigt die Entwickler.

Millionen SIM-Karten weltweit sind auf Grund schwacher Verschlüsselung und fehlerhafter Software unsicher. Das hat der Sicherheitsexperte Karsten Nohl herausgefunden.

Microsoft hat seine Sicherheitsrichtlinien für App-Entwickler geändert. Sicherheitslücken müssen innerhalb einer Frist geschlossen werden, sonst werden die Programme aus den Stores entfernt.

In zahlreichen Routermodellen von Asus steckt eine schwere Sicherheitslücke. Ist die Funktion Aicloud aktiviert, können die von außen zugänglichen Dateien auf USB-Speichern des Routers ausgelesen werden. Auch ein Angriff auf Freigaben im lokalen Netz ist so möglich.

Die alternative Android-Distribution Cyanogenmod steht in der Version 10.1.2 zum Download bereit. Mit dem Update werden zwei sogenannte Masterkey-Sicherheitslöcher geschlossen. Auch in den Vorversionen von Cyanogenmod 10.1 wurden die Fehler bereits beseitigt.

Die HP-Server-Produkte der Storevirtual-Serie haben einen bisher unbekannten Zugang samt Root-Zugriff. HP nutzt diesen Zugang unter anderem, um vergessene Passwörter beim Kunden zurückzusetzen. Über einen kommenden Patch will HP die Sicherheitslücke noch in der nächsten Woche schließen.

Der Android-Mitbegründer Rich Miner hält das Problem der Android-Fragmentierung für übertrieben. Nur für technisch Interessierte sei es ein Thema, mit welcher Version des Betriebssystems ihr Android-Smartphone oder -Tablet läuft.

Für die aktuelle Android-Sicherheitslücke ist Exploit-Code veröffentlicht worden. Damit lässt sich eine bestehende Installationsdatei modifizieren und mit Schadroutinen versehen. Zudem wurde eine Freeware veröffentlicht, mit der sich das eigene Android-Gerät überprüfen lässt.

Viele Consumer-Geräte lassen sich per Web-Interface bequem konfigurieren, doch sie haben teilweise haarsträubende Sicherheitslücken. Insbesondere die Router sind angreifbar. Aber die Hersteller reagieren kaum, sagt Sicherheitsexperte Michael Messner.

Der Gründer und Hauptentwickler von Cryptocat wollte eigentlich die Vorzüge seines Projekts auf der Sigint 2013 vorstellen. Stattdessen musste sich Nadim Kobeissi aber rechtfertigen - für eine gefährliche Sicherheitslücke in seinem Chatsystem.

In Googles Mobilbetriebssystem Android ist eine Sicherheitslücke entdeckt worden. Darüber können Unbefugte Schadcode in eine App einfügen, ohne dass sich die kryptographische Signatur verändert. Eigentlich soll die Signatur genau das verhindern.