Sicherheitslücke

Microsoft warnt vor einer kritischen Sicherheitslücke im Internet Explorer. Sie ermöglicht es Angreifern, eigenen Code auf verwundbaren Systemen auszuführen und wird bereits aktiv ausgenutzt.

29C3 Ob als Mensa-Essenskarte, Zugangsschutz für Labore oder Schließfächer der Studenten: An vielen Universitäten werden Mifare-RFID-Karten verwendet. Ein Projekt zeigt nun, dass das System sehr offen ist.

Samsung arbeitet an einem Patch, um das Sicherheitsleck in Kernel-Treibern der hauseigenen Exynos-Prozessoren zu beseitigen. Es macht die Android-Geräte Galaxy S3, Galaxy S2 und alle Galaxy-Note-Modelle angreifbar. Attacken bis zur Codeausführung sind möglich.

Die Benachrichtigungsfunktion zu neuen Catalyst-Treibern für Grafikkarten von AMD enthält eine Sicherheitslücke. Der Hersteller rät dazu, die Funktion zu deaktivieren. In kommenden Treiberversionen soll sie nicht mehr enthalten sein.

In Android-Smartphones mit Samsungs ARM-Prozessor Exynos 4210 und 4412 steckt eine Sicherheitslücke, die es ermöglicht, Daten auszulesen und eigenen Code auszuführen. Diverse Geräte sind betroffen, nicht nur von Samsung.

Microsoft will dafür sorgen, dass der Internet Explorer künftig keine Mausbewegungen außerhalb des Browserfensters mehr verrät. Die von Spider.io angestoßene Diskussion sei aber eher dem Wettbewerb von Werbeanalyse-Unternehmen geschuldet als der Sicherheit der Nutzer, sagt Microsoft.

Update Webseiten können im Internet Explorer Mausbewegungen abfragen, auch solche, die außerhalb des Browserfensters gemacht werden. Angreifer könnten damit beispielsweise Eingaben auf virtuellen Tastaturen abfangen.

Adobe hat einen Sicherheitspatch für den Flash Player veröffentlicht, der mehrere als gefährlich eingestufte Sicherheitslücken beseitigt. Die Sicherheitslecks können alle zur Ausführung von Schadcode missbraucht werden. Auch für AIR gibt es einen Sicherheitspatch.

Deepsec 2012 Die Snoop-It-App soll jedem eine Basisüberprüfung der Sicherheit von Apps ermöglichen. Das könnte dazu führen, dass viele iOS-Entwickler entdeckt werden, die auf fragwürdige Art und Weise Daten erheben.

Auch die aktuelle Version von Whatsapp weist eine Lücke auf, durch die sich Accounts kapern lassen. Dann ist es möglich, im Namen einer anderen Person Nachrichten zu senden und zu empfangen.

Update Das US-Cert warnt vor einer Hintertür in Druckern von Samsung sowie einigen Druckern von Dell, die von Samsung gefertigt werden. Sie verfügen über einen fest eingebauten Adminstrator-Account mit einem einheitlichen, nicht änderbaren Passwort.

Update Die freie Web-Analyse-Software Piwik enthielt eine Hintertür, die es Angreifern ermöglichte, beliebigen PHP-Code auf einem Server auszuführen. Mittlerweile steht eine korrigierte Version zum Download bereit.

Webseiten, die bei Go Daddy gelagert sind, werden offenbar derzeit von Kriminellen angegriffen, die anschließend die DNS-Einträge manipulieren. Das Ziel der Angreifer ist die Verteilung sogenannter Ransomware mit Hilfe harmlos erscheinender URLs.

Erneut gibt es einen Fall, bei dem die Standardpasswörter trotz WPA2 unsicher sind. Einige Belkin-Router verwenden für das Passwort einen Algorithmus, der leicht zurückgerechnet werden kann. Alles, was der Angreifer braucht, ist die Mac-Adresse.

Mozilla hat eine neue Version seines Browsers veröffentlicht. Firefox 17 beseitigt nicht nur Sicherheitslücken, sondern macht das Surfen im Netz mit Flash oder Java grundsätzlich sicherer. Auch Firefox ESR ist in einer neuen Version erschienen.

Ein kürzlich entdecktes Rootkit klinkt sich als Kernel-Modul in Linux-Systeme ein und legt Schadcode in Form von Iframes in ausgelieferten Webseiten ab. Auf dem Rechner eines Opfers sucht der Schadcode nach Schwachstellen und infiziert ihn.

Symantec hat eine aktualisierte Version einer Schadsoftware entdeckt, die neue Wege geht. Statt den Command-and-Control-Server direkt anzusprechen, nimmt die Software einen Umweg über einen Google-Dienst.

Angreifern ist es anscheinend gelungen, Besucher der Portal-Webseite von Opera mit Schadsoftware anzugreifen. Der Angriff nutzt eine sehr alte Sicherheitslücke aus. Opera untersucht den Fall, kann ihn aber noch nicht bestätigen.

Mit der Veröffentlichung von Skype in Version 4.1 können Linux-Anwender sich auch mit Nutzern über ein Microsoft-Konto verbinden. In Skype für Linux lässt sich außerdem der Windows Messenger nutzen.

Update Vorsicht bei der Verwendung des Instant Messengers Yuilop: Der Dienst verschickt Nachrichten unverschlüsselt im Klartext. Uns hatten die Entwickler etwas anderes gesagt.

Update Microsoft hat das Zurücksetzen des Skype-Kennworts deaktiviert. Damit soll verhindert werden, dass eine Sicherheitsgefahr in Skype weiterhin ausgenutzt werden kann. Angreifer konnten ohne große Mühe an die Skype-Zugangsdaten gelangen.

Update Eine Sicherheitslücke beim Kurznachrichtendienst Whatsapp hat viele Anwender verunsichert. Der Entwickler schweigt und die Schwachstelle besteht weiter. Zum Glück gibt es Alternativen.

Für den Flash Player hat Adobe einen Patch veröffentlicht, der sieben Sicherheitslücken schließt. Alle lassen sich zur Ausführung von Schadcode missbrauchen. Auch für AIR gibt es ein Sicherheitspatch.

Update Opera Software hat die Version 12.10 von Opera veröffentlicht. Mit dem Update erhält der Browser eine Reihe von Verbesserungen. Entwickler können noch leistungsfähigere Erweiterungen entwerfen und durch neue Webstandards sollen Webseiten schneller als bisher geladen werden.

Zahlreiche Websites, darunter auch sehr große, geben jedem Einblick in den Status ihrer Apache-Server, bei wenigen tauchen dort auch Passwörter von Nutzern auf.

Höchstens jede zweite Drohne des US-Militärs funkt derzeit verschlüsselt. Alle anderen kommunizieren im Klartext mit der Bodenstation und können abgehört werden. Erst 2014 soll das Problem behoben sein.

Ein Programmierer des Android-Betriebssystems Cyanogenmod hat eine Sicherheitslücke im Quellcode des Systems bemerkt. Nach einem kürzlich erfolgten Update wird das individuelle Entsperrmuster des Sperrbildschirms aufgezeichnet und auf dem Gerät gespeichert.

Das "steam://"-Protokoll enthält eine Sicherheitslücke, über die Angreifer Zugriff auf den Rechner des Spielers bekommen könnten. Besonders betroffen sind Nutzer von Safari.

Mozilla hat wie angekündigt eine korrigierte Version von Firefox 16 veröffentlicht. Zuvor hatte Mozilla Firefox 16 zurückgezogen, da Angreifer die besuchten URLs eines Nutzers auslesen konnten.

Mozilla hat seinen aktuellen Browser Firefox 16 wegen einer Sicherheitslücke am Morgen zurückgezogen. Noch heute soll eine korrigierte Version erscheinen.

Adobe muss erneut den Flash Player aktualisieren. Die neuen Versionen beseitigen gefährliche Sicherheitslücken in den Versionen für Windows, Mac OS X, Linux sowie Android. Anwender sollten möglichst schnell ihren Flash Player austauschen.

Update Ein nicht vom eigentlichen Entwicklerstudio stammendes Chrome-Spiel mit dem Namen Bad Piggies ist gefälscht und stellt ein massives Sicherheitsrisiko dar. Auch andere Programme von Rovio sind betroffen.

Kriminellen ist es laut Kaspersky Labs seit 2011 mehrfach gelungen, nahezu unbemerkt unterschiedliche DSL-Modem-Router in Brasilien anzugreifen. Dank einer Schwachstelle in der Firmware konnten neue Einstellungen vorgenommen und das Passwort neu gesetzt werden.

Update Mit der kostenlosen Android-App NoTelURL wird das Ausführen von USSD-Kommandos blockiert. Damit können Angreifer das Sicherheitsloch in einigen Android-Smartphones von Samsung nicht mehr ausnutzen.

Die Entwickler von PhpMyAdmin warnen vor einer kritischen Sicherheitslücke: Für einige Tage wurde über einen offiziellen Mirror des Projekts eine Version der Software mit einer Backdoor ausgeliefert.

Rund 100.000 Passwörter von Nutzern der Website IEEE.org sollen auf dem FTP-Server des Institute of Electrical and Electronics Engineers im Klartext für jeden zum Download bereitgestanden haben. Das meldet der rumänische Entwickler Radu Dragusin.

Update In zahlreichen Galaxy-Smartphones von Samsung ist ein Sicherheitsloch entdeckt worden, über das Angreifer alle Daten auf dem Android-Gerät löschen können. Dazu muss der Angreifer nur einen bestimmten USSD-Code per Webseite oder WAP-Push auf das Gerät schicken.

Die Kurznachrichtenanwendung Whatsapp ist nicht sicher. Es reichen wenige, leicht zu beschaffende Informationen, und schon kann jeder im Namen eines anderen Nachrichten abschicken. Eine Webanwendung vereinfacht Angriffe auf Nutzer des Dienstes, die ihr Passwort oft unbewusst an andere schicken.

Microsoft hat ein Update zur Schließung der Sicherheitslücke im Internet Explorer veröffentlicht, wenige Tage, nachdem unter anderem das Bundesamt für Sicherheit in der Informationstechnik vor dem Gebrauch des Internet Explorers gewarnt hatte. Zusätzlich wurden gleich noch vier weitere Lücken geschlossen.

Sicherheitsexperten haben eine Sicherheitslücke in bestimmten Fahrkarten mit NFC-Chips gefunden: Sie konnten entwertete Karten so manipulieren, dass sie damit weiterfahren konnten. Trotz ihrer Warnung sind die Fahrkarten weiter im Umlauf.

Microsoft hat ein Fix It für die schwere Sicherheitslücke im Internet Explorer veröffentlicht. Ein reguläres Update soll am morgigen 21. September 2012 erscheinen.

Update Gegen einen bislang nicht reparierten Fehler im Internet Explorer empfiehlt Microsoft die Installation des Enhanced Mitigation Experience Toolkits. Dies soll Angriffe erschweren. Das BSI hatte nach Bekanntwerden der Sicherheitslücke die Nutzung alternativer Browser empfohlen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist auf eine kritische Zero-Day-Schwachstelle im Internet Explorer hin. Die Behörde empfiehlt, vorübergehend einen anderen Browser zu verwenden.