Sicherheitslücke

In der vergangenen Woche hatte Anonymous 1.000.001 UDIDs von iPhones veröffentlicht, doch diese stammen nicht wie von Anonymous behauptet vom FBI, sondern vom E-Book-Dienstleister Bluetoad, wie das Unternehmen einräumt.

Das FBI hat erklärt, nichts von einem Einbruch in einen Computer zu wissen. Auch von den Daten hat die US-Bundespolizei nach eigenen Angaben keine Kenntnis. Anonymous lästert und droht mit der Veröffentlichung weiterer Daten.

Das von Oracle verteilte Java 7 Update 7, das eine kritische Sicherheitslücke schließen sollte, enthält einen weiteren Fehler, der ebenso gefährlich ist. Anwender sollten deshalb selbst nach dem Einspielen des Updates die Java-Plugins im Browser deaktivieren.

Mit einem Update für Java SE schließt Oracle eine kritische Sicherheitslücke in seiner Software, die bereits seit einigen Tagen aktiv ausgenutzt wird. Das Update sollte schnellstmöglich eingespielt oder Java deaktiviert werden.

Update Über die jetzt aktiv genutzte Sicherheitslücke in Java war Oracle bereits seit mehreren Monaten informiert. Eine Sicherheitsfirma hatte sie Oracle mit 30 weiteren Fehlern im April 2012 gemeldet.

Über eine Sicherheitslücke in allen aktuellen Versionen von Java 7 für Windows können Angreifer über präparierte Webseiten Schadcode auf den Rechner schleusen. Der Exploit wird bereits aktiv ausgenutzt. Es wird empfohlen, Java-Plugins umgehend zu deaktivieren, bis ein Update erhältlich ist.

Mit der Smartscreen-Funktion legt Microsoft keine Datenbank mit den Software-Installationen von Windows-8-Computern an: Das teilt das Unternehmen mit und reagiert damit auf die Entdeckung, dass Windows 8 Software-Installationen an Microsoft sendet.

In der fertigen Version von Windows 8 hat Microsoft den Smartscreen-Filter für Installationen standardmäßig aktiviert. Damit wird die Installation von Anwendungen überwacht. Ein Sicherheitsexperte sieht darin ein Datenschutzrisiko.

Unbekannte sind in die Computersysteme der Nachrichtenagentur Reuters eingedrungen und haben eine Falschmeldung verbreitet. Auch hinter dem dritten Angriff im August 2012 scheinen Anhänger des syrischen Präsidenten Assad zu stehen.

Adobe hat im Rahmen seines monatlichen Patchdays Updates für den Adobe Reader für Windows und Mac OS X bereitgestellt. Ein Update für Linux gibt es nicht. Nutzer sollten den Reader vermeiden, bis es ein Update gibt.

Mit dem August-Patchday verteilt Microsoft fünf als kritisch eingestufte Updates. Sie schließen Sicherheitslücken, die es Angreifern ermöglichen, auf verwundbaren Windows-Rechnern Code auszuführen. Auch der Internet Explorer ist betroffen.

Ein Fehler im Zend-Framework gefährdet Onlineshops auf Basis von Magento. Das Problem ist seit Anfang Juli 2012 bekannt und der Anbieter bietet seitdem eine korrigierte Version an, doch so mancher Shop wurde bislang nicht aktualisiert, so dass Angreifer auf jede Datei auf den Servern per Web zugreifen können.

Mit einem Patch und einem Security Advisory hat Nvidia auf die Veröffentlichung einer Schwachstelle in seinen Grafikkartentreibern für Linux reagiert. Für aktuelle Treiber aus der 295-Reihe stehen Updates noch aus.

Opera Software hat Opera 12.01 veröffentlicht. Das Update beseitigt einige Programmfehler und Sicherheitslücken im Browser. Unter anderem wird ein Sicherheitsloch geschlossen, das bereits in Opera 11.64 korrigiert und in Opera 12.00 vergessen wurde.

Über einen Fehler im Nvidias Linux-Treiber können Angreifer lokal Root-Rechte erlangen. Nvidia soll seit einem Monat von dem Fehler wissen. Einen Patch gibt es noch nicht.

Update Das Kopierschutzsystem Uplay von Ubisoft enthält eine gravierende Sicherheitslücke - das hat offenbar ein für die Datensicherheit zuständiger Google-Angestellter zufällig bei einer Partie Assassin's Creed Revelations herausgefunden.

Cody Brocious kann aus seiner Zeit bei dem Startup Unified Platform Management mit seinem Arduino Hoteltüren mit elektronischen Schlüsselkarten öffnen. Er hatte dort per Reverse Engineering die Schlösser von Onity nachgebaut.

Im Supportforum von Dropbox und über Twitter beklagen sich europäische Nutzer über Spam-Mails. Ein Hack des Onlinedienstes kann nicht ausgeschlossen werden.

Update Hackern ist es gelungen, ein EC-Terminal von Verifone von außen anzugreifen und die Kartendaten sowie Geheimnummern auszulesen. 300.000 dieser Geräte stehen in Geschäften in Deutschland, die Lücke soll seit März 2012 bekannt gewesen sein.

In Windows 8 werden sich keine Gadgets mehr verwenden lassen. Microsoft schiebt Sicherheitsgründe vor und schaltet schon einmal die Gadget-Gallery für Windows Vista und 7 komplett ab.

Microsoft hat einen Patch für das Sicherheitsloch in den XML Core Services veröffentlicht. Das Sicherheitsloch wird bereits aktiv ausgenutzt. Außerdem stehen acht Patches für Windows, den Internet Explorer und Microsofts Office-Paket bereit.

Eine seit Mai 2012 bekannte Sicherheitslücke in den XML-Diensten von Windows wird durch Schädlinge bereits genutzt. Das Aufrufen einer Webseite mit dem Internet Explorer reicht bereits. Einen Hotfix gibt es, aber der muss manuell installiert werden.

Microsoft will am Patchday im Juli 2012 summa summarum 16 Sicherheitslecks beseitigen. Die Fehler finden sich unter anderem in Windows, im Internet Explorer und in Microsofts Office-Paket.

AMD hat die WHQL-geprüfte Version des Catalyst 12.6 freigegeben und eine Betaversion des Treibers Catalyst 12.7 veröffentlicht. Damit lässt sich Antialiasing in Diablo 3 auf Radeon-Karten nutzen. Außerdem ist der Treiber mit Skyrim bis zu 25 Prozent schneller.

Die neue Version 3.0 von Secunias PSI gibt es nun auch in deutscher Sprache. Die für Anwender sehr praktische Software zur Erkennung von Programmen mit Sicherheitslücken kann jetzt zudem Software selbst aktualisieren.

Im Internet ist Exploit-Code für das gefährliche Sicherheitsloch im Internet Explorer veröffentlicht worden. Damit könnten sich die Attacken darüber weiter intensivieren.

Über eine Sicherheitslücke können Angreifer Code aus einer virtuellen Maschine auf den Hostrechner einschleusen. Betroffen sind unter anderem Xen und zahlreiche 64-Bit-Betriebssysteme, die auf Intel-CPUs laufen.

Microsoft beseitigt anders als angekündigt sogar 27 Sicherheitslücken in seinen Softwareprodukten. Allein der Patch für den Internet Explorer stopft neun gefährliche Sicherheitslöcher. Ein gefährliches Windows-Sicherheitsloch betrifft RDP und für ein Sicherheitsloch im Internet Explorer und in Office gibt es noch keinen Patch.

Ein Fehler in einigen Versionen der Datenbanken MySQL und MariaDB führt dazu, dass eine Anmeldung auch ohne korrektes Kennwort möglich ist. Grund ist ein fehlerhafter Vergleich zwischen gespeichertem Hashwert und dem eingegebenen Passwort.

Adobe hat für den Flash Player einen Patch veröffentlicht, der sieben Sicherheitslücken schließt. Sechs Sicherheitslücken lassen sich zur Ausführung von Schadcode missbrauchen.

Update Kunden des Berliner Computerhändlers CSV berichten von gezielten Phishing-Mails an sie. Das lässt darauf schließen, dass deren Urheber zumindest Zugang zum E-Mail-Verteiler von CSV erlangt haben.

Am Patchday im Juni 2012 will Microsoft insgesamt 25 Sicherheitslöcher in seinen Softwareprodukten schließen. Dafür gibt es sieben Patches für Windows, den Internet Explorer, das .NET Framework, Visual Basic for Applications sowie Dynamics AX.

Mit einem Patch hat Adobe die Sicherheitslücken in seinen Bildbearbeitungs- und Grafikprogrammen Photoshop CS5 und Illustrator CS5 geschlossen. Ursprünglich wollte Adobe gar nicht reagieren, sondern empfahl ein kostenpflichtiges Update auf CS6.

Die Gruppe Swaggsec ist in die Computersysteme von China Telecom und Warner eingedrungen. Warner hat es den Angreifern besonders leicht gemacht: Im Intranet fanden sie eine Dokumentation der Sicherheitslücken des Filmunternehmens.

Die in der vergangenen Woche bekanntgewordene Malware Flame wurde zum Teil mit gefälschten Microsoft-Zertifikaten signiert, so dass die Software wirkte, als käme sie von Microsoft.

Angreifer sind in das System von Cloudflare eingedrungen und haben Zugriffe auf das Imageboard 4Chan auf ihren eigenen Twitter-Account umgeleitet. Laut Cloudflare erfolgte der Einbruch über eine Sicherheitslücke bei Google.

AVM hat eine neue Beta-Firmware für die Fritzbox Fon WLAN 7270 und 7390 veröffentlicht. Sie beseitigt eine von der Heise-Redaktion gefundene Sicherheitslücke im Mediaserver.

Die kostenlose Betaversion der Bildbearbeitungssoftware Photoshop CS6 funktioniert nicht mehr. Adobe hatte den Download am 3. Mai 2012 von seinen Servern genommen und deaktiviert nun die installierten Versionen.

Einige Router der Serie Fritzbox von AVM geben im lokalen Netz ihre Konfigurationsdaten preis, ohne dass dafür eine Zugriffsberechtigung besteht. Im schlimmsten Fall kann so auch das WLAN-Passwort ausgelesen werden. Für zwei betroffene Router gibt es bereits ein Firmwareupdate.

Durch eine Sicherheitslücke im Nameserver ist die Adresse Kino.to von Hackern übernommen worden. Kino.to gehört weiterhin dem Gründer von Kino.to, Dirk B., dessen Prozess am 22. Mai 2012 weitergeht.

Sicherheitsforscher haben gefährliche Sicherheitsprobleme in der Windows-Version von Quicktime entdeckt. Ein Patch von Apple auf die Version 7.7.2 wurde bereits veröffentlicht.

In der Linux-Version der Videotelefoniesoftware Skype haben die Entwickler eine seit längerem bekannte Schwachstelle in der Bibliothek Libpng repariert.

Apple unterstützt wider Erwarten doch alte Mac-OS-Versionen. Wer noch Mac OS X in der Version 10.5 alias Leopard einsetzt, bekommt nun ein Werkzeug gegen den Flashback-Trojaner und verliert unter Umständen sein Flash-Plugin.