Sicherheitslücke

In der jüngst aktualisierten Java-Version befindet sich ein weiteres Sicherheitsloch, das bereits aktiv ausgenutzt wird. Nutzer sollten die automatisierte Ausführung von Java-Applets deaktivieren und Java nur dann zulassen, wenn der Urheber absolut vertrauenswürdig ist.

Mozilla blockiert seit kurzem das automatische Ausführen der aktuellen Version der Laufzeitumgebung Java 7 in seinem Firefox-Browser. Wegen einer angeblichen Sicherheitslücke wurde auf Click-to-Play umgestellt.

Der Supportdienstleister Zendesk wurde gehackt. Nach aktuellem Stand hatten die Angreifer Zugriff auf die Daten von drei Zendesk-Kunden: Twitter, Tumblr und Pinterest. Deren Nutzer sind dadurch gefährdet.

Adobe hat mit einem Notfallpatch auf eine Zero-Day-Lücke im Adobe Reader und in Acrobat reagiert. Seit einer Woche ist bekannt, dass aktiv Angriffe auf die PDF-Software laufen. Vor allem Windows-Systeme sind das Ziel der Attacken.

Die Notfallupdates Java 7 Update 13 und Java 6 Update 39 vom 1. Februar 2013 haben nicht alle Sicherheitslücken geschlossen. Das Update 15 beziehungsweise 41 beseitigt weitere fünf. Drei stuft Oracle als besonders gefährlich ein.

Nach Facebook wurde auch Apple Opfer eine Angriffs. Über eine Sicherheitslücke in Java verschafften sich die Angreifer Zugriff auf die Rechner einiger Apple-Mitarbeiter. Apple hat ein entsprechendes Java-Update veröffentlicht.

Um die Exchange-Probleme seines mobilen Betriebssystems zu lösen, hat Apple iOS 6.1.2 veröffentlicht. Die unsichere Codesperre von iOS 6.1 hingegen hat Apple mit dem Update nicht beseitigt.

Facebook-Mitarbeiter sind vor einigen Wochen mit einem bis dato unbekannten Java-Exploit angegriffen worden. Nutzerdaten waren aber nicht betroffen und Oracle wurde über die Schwachstelle informiert. Infolgedessen erschien der Java-Notfallpatch, den Java-Anwender unbedingt installieren sollten.

OpenX hat seinen kostenlos gehosteten Adserver Onramp nach einem Angriff am Wochenende eingestellt. Der Dienst basiert auf der Open-Source-Software OpenX Source. Er sei deshalb besonders gefährdet gewesen, so die Begründung.

Nur wenige Tage, nachdem Adobe für den Flash Player einen Sicherheitspatch veröffentlicht hat, gibt es nun einen weiteren. Dieses Mal werden gleich 17 Sicherheitslücken geschlossen. Eine Sicherheitslücke im Adobe Reader wird derzeit aktiv ausgenutzt, einen Patch gibt es noch nicht.

Mit Updates für einige Versionen von Ruby on Rails haben Entwickler zwei kritische Sicherheitslücken geschlossen. Gleichzeitig gibt es ein Update für das Json-Gem, das ebenfalls einen gravierenden Fehler korrigiert.

Im Entwurf einer neuen EU-Richtlinie zum Datenschutz steckt viel Lobbyarbeit von Internetkonzernen. Mit dem neuen Projekt Lobbyplag wollen Netzaktivisten Transparenz schaffen.

Am 19. Februar 2013 will Oracle einen zweiten Patch für Java veröffentlichen. Für diesen Termin war ursprünglich der vorgezogene Patch geplant gewesen, in ihm fehlen aber noch einige Fixes.

Provider wie Unitymedia und KabelBW sollen ihre Kunden auf die schweren Lücken in den Routern DIR-300 und DIR-600 ansprechen, meint der Hersteller D-Link. Auch eine bisher noch nicht gepatchte Version eines Geräts könnte den Fehler enthalten, das wird derzeit geprüft.

Adobe warnt vor zwei Sicherheitslücken im Flash Player, die derzeit aktiv ausgenutzt werden. Angreifer können darüber beliebigen Schadcode ausführen und so fremde Computer unter ihre Kontrolle bringen. Adobe hat mit einem Notfallpatch darauf reagiert.

Mit einer neuen Firmware hat D-Link auf eine kürzlich bekanntgewordene Lücke in den Routern DIR-300 und DIR-600 reagiert. Die Geräte waren bisher auch über das Internet angreifbar, was nicht nur zu einem Eindringen in private Netzwerke führen konnte.

Fremde Webseiten ausführen, ohne dass der Nutzer es bemerkt: Das ist derzeit im Browser der PS Vita möglich. Die Lücke ist vor allem für Phishing-Angriffe nutzbar.

Forscher der Royal Holloway University in London haben eine Möglichkeit gefunden, um die im Web genutzten Verschlüsselungsverfahren SSL, TLS und DTLS auszuhebeln. Betroffen sind praktisch alle Implementierungen.

50 Sicherheitsprobleme listet Oracle für Java 7 Update 11, Java 6 Update 38 und ältere Java-Versionen auf. Da sich bereits Exploits im Umlauf befinden, hat Oracle nun mehrere Wochen früher als geplant Updates veröffentlicht. Java-Anwender sollten diese bald installieren.

Über einen Fehler im ASF-Demuxer des Videolan Clients (VLC) lässt sich möglicherweise Schadcode auf den Rechner eines Opfers einschleusen. Ein Patch ist bereits in Arbeit. Bis dahin sollten Anwender das VLC-Plugin im Browser deaktivieren.

Update Die Deutsche Telekom und AVM melden sich beide zu der UPnP-Sicherheitslücke, die zahlreiche Router betrifft. Sie versichern beide, dass ihre eigenen Router nicht von außen per UPnP angreifbar sind.

Megas Geldgeber und Reseller Instra hatte eine Sicherheitslücke beim Paypal-Bezahlvorgang für Mega-Pro-Zugänge. Ein Angriff per SQL-Injection war möglich, räumte Instra ein.

Update Das US-Cert warnt vor einer Lücke in den UPnP-Funktionen, welche vermutlich nahezu alle privat genutzten Router betrifft. Zwar gibt es eine einfache Abhilfe, aber das Stopfen der Lücke dürfte einige Zeit in Anspruch nehmen.

Schönreden hilft nicht, so der Tenor einer Telefonkonferenz von Oracle zu den Sicherheitsproblemen von Java. Es gelte jetzt, Java zu fixen und transparenter zu werden. Aber Transparenz scheint bei Oracle nicht ganz einfach zu sein.

Angreifer haben die Webseite der PC-Welt am Wochenende zur Verbreitung von Malware missbraucht. Die Administratoren sind auf den Angriff aufmerksam geworden, nachdem Chrome beim Besuch von Pcwelt.de vor Malware gewarnt hatte.

Lancom warnt vor einer Sicherheitslücke in einigen Routern der VoIP-Serie. Wer einen 1722, 1723, 1724 oder 1823 mit dem Zusatz VoIP einsetzt, sollte umgehend die Aktualisierung auf LCOS 8.62 SU6 durchführen, empfiehlt der Hersteller.

Java SE 7 Update 11 ist anfällig für mindestens zwei Sicherheitslücken. Angreifer können darüber beliebigen Schadcode ausführen und ein fremdes System unter ihre Kontrolle bringen. Einen Patch gibt es bislang nicht.

Das BSI hat kompromittierte OpenX-Server identifiziert, die Werbebanner auf vielbesuchten deutschsprachigen Webseiten ausliefern.

Mozilla arbeitet an einem Minion genannten Framework, mit dem sich Sicherheitstests für Web-Apps automatisieren lassen sollen. Jeder soll so mit einem Klick Sicherheitslücken finden können.

Gerade aktualisiert und offenbar schon wieder anfällig: Java soll auch in der aktualisierten Version 7 Update 11 mit einem neuen Exploit angreifbar sein. Er soll unter Kriminellen für 5.000 US-Dollar gehandelt werden und drei Käufer gefunden haben, wie Sicherheitsexperte Brian Krebs berichtet.

Für das Galaxy Note 10.1 und das Galaxy Note 2 hat Samsung in Deutschland ein Update veröffentlicht. Das Android-Update beseitigt das Sicherheitsloch in den Treibern für den Exynos-Prozessor. Das Sicherheitsleck erlaubt es Angreifern, beliebigen Programmcode auszuführen.

Oracle hat am regulären Patchday zahlreiche Reparaturen zu Fehlern in seinen Anwendungen veröffentlicht, die meisten in MySQL. Für noch offene Sicherheitslücken in Java soll es erst im Februar Patches geben.

Die DTP-Anwendung Scribus ist in Version 1.4.2 freigegeben worden. Künftig gibt es eine 64-Bit-Variante, die unter Windows läuft. Damit kann Scribus mehr als 4 GByte RAM für Dokumente nutzen.

Seit schätzungsweise über fünf Jahren seien unter anderem Regierungsstellen im Rahmen der Operation Roter Oktober ausspioniert worden, berichten die Sicherheitsexperten von Kaspersky Lab. Die Cyberspionage war ähnlich ausgeklügelt aufgebaut und getarnt wie die Flame-Attacke.

Update Für den 14. Januar 2013 hat Microsoft einen Patch für den Internet Explorer in Aussicht gestellt und nun veröffentlicht. Damit soll das Sicherheitsleck in älteren Versionen des Browsers beseitigt werden. Zuvor gab es nur einen sogenannten Fix-It.

Mit einem Patch außerhalb der Reihe hat Oracle die Ende vergangener Woche bekanntgewordene Sicherheitslücke in Java 7 beseitigt. Nutzer sollten dringend auf die neue Version Java SE 7 Update 11 umsteigen.

Die am Donnerstag bekanntgewordene Zero-Day-Lücke in Java wird unter Windows und Unix bereits aktiv ausgenutzt. Das BSI rät zur Deinstallation von Java.

Mozilla hat angekündigt, dass der Firefox-Browser bis auf weiteres alle Versionen des Java-Plugins blockieren wird. Grund ist eine Sicherheitslücke, die die Systeme der Nutzer kompromittieren könnte.

In allen Java-Versionen inklusive Java 7, Update 10, ist eine kritische Sicherheitslücke, die bereits aktiv genutzt wird. Dabei wird ein Fehler im Security Manager ausgenutzt. Über Webseiten eingeschleuster Schadcode kann mit Administratorrechten ausgeführt werden.

Ein kritischer Fehler in fast allen Versionen von Ruby on Rails ermöglicht das Ausführen von Systemkommandos aus der Ferne. Die Schwachstelle ist im XML-Parser. Patches für etliche Ruby-on-Rails-Versionen sind bereits erhältlich.

Adobe hat Patches für den Adobe Reader und für Acrobat veröffentlicht, die 27 Sicherheitslücken schließen. Auch für den Flash Player und für AIR ist ein Update erschienen, das aber nur ein Sicherheitsloch zu beseitigen hat.

Ein Sicherheitsforscher, der sich selbst Clrokr nennt, hat einen Jailbreak für Windows RT veröffentlicht. Damit lassen sich für ARM-Prozessoren entwickelte Desktop-Applikationen auf einem Tablet mit Windows RT nutzen, was Microsoft bislang unterbindet.

Update Microsoft hat einen provisorischen Patch für den Internet Explorer veröffentlicht. Dieser soll verhindern, dass das Ende Dezember 2012 bekanntgewordene Sicherheitsloch in Microsofts Browser weiter ausgenutzt werden kann.