Sicherheitslücke

Eine Lücke in einem uralten SSL-Protokoll gefährdet die Sicherheit von Netzverbindungen. Poodle ist jedoch auch mit modernen Browsern ausnutzbar. Dafür sorgt ein Workaround, mit dem sich alte Protokollversionen erzwingen lassen.

Russische Hacker sollen in den vergangenen Jahren zahlreiche Ziele im Westen und in der Ukraine angegriffen haben. Sie nutzten dabei offenbar eine Sicherheitslücke aus, die in allen aktuellen Windows-Versionen bestehen und am Dienstag gepatcht werden soll.

45 Prozent aller Android-Smartphones sind noch immer von einer vor wenigen Wochen entdeckten Sicherheitslücke im Smartphone-Browser betroffen. In Deutschland liegt die Zahl sogar deutlich höher.

Update Offenbar sind mehrere Server von Yahoo gehackt worden, allerdings nicht wie zunächst berichtet durch die Shellshock-Lücke. Trotzdem war der Exploit-Code von Shellshock im Spiel. Auch Lycos und die Winzip-Webseite sind betroffen.

Die jüngsten Patches für Bash beheben jetzt alle Lücken im Funktionsparser, die zu Shellshock und diversen Varianten geführt haben. Sicherheitskritisch sind die letzten Updates jedoch nicht mehr.

Die Sicherheitslücke BERserk ist nur deshalb ein Problem, weil einige Zertifizierungsstellen sich nicht an gängige Empfehlungen für RSA-Schlüssel halten. Mit BERserk akzeptieren Firefox und Chrome gefälschte Zertifikate.

Apple hat die erste Golden Master-Version von OS X 10.10 alias Yosemite für zahlende Entwickler veröffentlicht. Für normale Anwender gibt es die 4. Betaversion des Betriebssystems, das vermutlich noch im Oktober in der finalen Version veröffentlicht wird.

Apple liefert jetzt einen Patch für Shellshock aus. Der behebt zwar nicht alle bekannten Bugs im Funktionsparser von Bash, aber das ist vermutlich kein Sicherheitsproblem.

Update In der NSS-Bibliothek ist eine Sicherheitslücke entdeckt worden, mit der sich RSA-Signaturen fälschen lassen. Betroffen sind die Browser Chrome und Firefox, für die bereits Updates erschienen sind. Es handelt sich um eine Variante der Bleichenbacher-Attacke von 2006.

Einst hat er sich bei IBM, Nokia und Motorola Zugriff verschafft. Nun will der bekannte und vorbestrafte Hacker Kevin Mitnick mit Software Exploits Rekordsummen einnehmen.

Update Eine Sicherheitslücke in der Linux-Shell Bash hat gravierende Auswirkungen. In vielen Fällen lässt sich damit von Angreifern Code auf Servern auch aus der Ferne ausführen.

Update Eine Sicherheitsfirma will die Einbindung von Malware-Code auf der Webseite der Javascript-Bibliothek jQuery beobachtet haben. Ob die Server von jQuery gehackt worden sind, ist noch unklar.

Im von Debian und Ubuntu verwendeten Paketmanagement Apt ist ein sicherheitskritischer Fehler entdeckt worden. Es ist bereits das zweite Mal in kurzer Zeit, dass Apt Sicherheitsprobleme hat.

Bei der mobilen Version der Sendungsverfolgung von DHL führte ein falsch konfigurierter Webserver dazu, dass fremde Paketdaten einsehbar waren. Die Post hat einen Bericht dazu bestätigt.

Eine besonders kreative Variante einer Cross-Site-Scripting-Lücke macht auf der Webseite Hacker News die Runde: Mittels eines TXT-DNS-Records lässt sich auf zahlreichen Webseiten Javascript einfügen.

Der Paketmanager Apt hat eine Reihe von Lücken bei der Validierung von Paketen. Aktualisierungen für die Linux-Distributionen Debian und Ubuntu stehen inzwischen bereit.

Das FreeBSD-Team hat eine Sicherheitslücke im TCP-Stack des Kernels geschlossen. Sie hat sich über eine seit zehn Jahren bekannte Schwachstelle im TC-Protokoll ausnutzen lassen.

Wegen eines Fehlers in Androids AOSP-Browser soll es möglich sein, über eine präparierte Seite mit Javascript alle aktuellen Tabs und Cookies einsehen zu können. Betroffen sein sollen die Android-Versionen vor Kitkat - also viele Einsteiger- und Mittelklasse-Geräte.

Eine neue TLS-Erweiterung ermöglicht es, die Reihenfolge zwischen Authentifizierung und Verschlüsselung zu ändern. Die bisherige Methode führte zu Sicherheitsproblemen wie der Lucky-Thirteen-Attacke.

Weil ein Firmware-Update auf einigen Druckern von Canon fast ohne Absicherung installiert werden kann, haben IT-Sicherheitsexperten dort als Machbarkeitsnachweis das Ballerspiel Doom installiert.

Die Betreiber des IRC-Netzwerks Freenode haben eine Kompromittierung ihrer Server festgestellt. Alle Nutzer sollten vorsorglich ihr Passwort ändern.

Es gab Gerüchte, Geheimdienste und Hacker hätten von der Heartbleed-Lücke längst gewusst und sie ausgenutzt, bevor sie publik wurde. Dafür gebe es keine Hinweise, heißt es jetzt in einer Studie.

Google hat seine Pläne zur Abschaffung von SHA-1-Signaturen konkretisiert. Trotz langjähriger Warnungen gibt es noch Tausende Zertifikate mit SHA-1-Signaturen, die bald Probleme bekommen werden.

Update Hat das FBI mit Hilfe der NSA den Silk-Road-Server in Island ausfindig gemacht? Diese Vorwürfe will die US-Bundespolizei nun entkräftet haben. Die Anonymisierung durch Tor sei leicht auszuhebeln gewesen.

Eine Sicherheitslücke in einem Router der Deutschen Telekom rettet einen Internetnutzer, der wegen illegalen Filesharings eines Filmes mehr als 1.200 Euro zahlen sollte. Über eine simple PIN konnte sich zeitweise jeder mit dem WLAN des W 504V verbinden, ohne den WLAN-Key zu kennen.

Update Die Programm-Manager-App von Kabel Deutschland hat eine schwere Sicherheitslücke. Damit kann der Online-Zugang von Kunden gekapert werden.

Nach der Veröffentlichung zahlreicher intimer Fotos von US-Prominenten will Apple Berichte überprüfen, wonach sich Datendiebe über eine Sicherheitslücke in der iCloud Zugriff auf Konten verschafft haben.

Update Die bei 4Chan aufgetauchten kompromittierenden Fotos einiger US-Promis sollen angeblich über einen Hack auf Apples iCloud gestohlen worden sein. Wie der Verantwortliche an die Daten herangekommen ist, bleibt unklar.

Mozilla hat aus Versehen E-Mail-Adressen und Passwörter von fast 100.000 Bugzilla-Nutzern offengelegt. Für die Mozilla Foundation ist es bereits die zweite Sicherheitslücke innerhalb weniger Wochen.

Ifa 2014 Auf der Internationalen Funkausstellung in Berlin (Ifa) wird das Smarthome zu einem großen Thema. Kaspersky Lab warnt jetzt erneut vor potenziellen Sicherheitslücken im Heimnetz, und ein Blick in vergangene Meldungen zeigt, dass die Gefahr tatsächlich groß ist.

Windows-Nutzer von Chrome 37 erhalten ein besseres Font-Rendering und können eine 64-Bit-Version nutzen. Die Veröffentlichung schließt auch 50 Sicherheitslücken, darunter eine kritische, die Google 30.000 US-Dollar wert ist.

Synology ist schon länger in den Fokus von Angreifern geraten, daher empfiehlt es sich, das Update 4 des DSM-Builds 4493 einzuspielen. Der schließt unter anderem eine Lücke in OpenSSL im NAS-System.

Bei einer aktuellen Finanzierungsrunde ist herausgekommen, dass Snapchat 100 Millionen Nutzer im Monat hat. Damit kommt der Messenger langsam in den Bereich von Twitter.

Mitgliedern von Googles Project Zero ist es gelungen, einen kleinen Fehler in der Glibc auszunutzen, um unter einem Linux-System Root-Zugriff zu erhalten. Dafür mussten zahlreiche Hürden überwunden werden.

Update Gegenüber Heise haben mehrere große deutsche Provider erklärt, dass ihre Fernwartungsserver sicher seien. Zuvor hatten Datenexperten Sicherheitslücken im Fernwartungsprotokoll TR-069 im Nahen Osten entdeckt.

Über eine Lücke in der Fritzbox-App konnten Hacker den Router übernehmen. Laut AVM war das Risiko für einen möglichen Man-in-the-Middle-Angriff jedoch gering.

Google will Zertifikate, die mit SHA-1 signiert sind, bis spätestens 2017 loswerden. Der Chrome-Browser wird bald entsprechende Warnungen anzeigen. SHA-1 gilt schon seit einigen Jahren als potentiell unsicher.

In mehr als 140.000 vernetzten Geräten haben Forscher teils schwerwiegende Sicherheitslücken entdeckt, darunter Zero-Day-Exploits, hartcodierte Passwörter und private Schlüssel.

Durch Messungen des Erdungspotentials lassen sich geheime Schlüssel von älteren GnuPG-Versionen extrahieren. Das kann durch Messungen an Metallteilen am Gehäuse oder durch Netzwerkkabel geschehen.

Die neue Firmware FritzOS 6.20 ist für die Fritzbox 7490 erhältlich. Ein Upgrade für weitere Modelle solle in wenigen Wochen folgen, verspricht AVM.

Def Con 2014 Hacker haben sich das Blackphone vorgenommen und einige Fehler entdeckt. Einer ist längst behoben, andere erfordern einen physischen Zugriff auf das Smartphone und eine Eingabe des Benutzers.

Def Con 22 Keren Elazari sieht die Hackercommunity in der Verantwortung, für positive Veränderungen zu sorgen und das Internet sicherer zu machen. Auf Regierungen und multinationale Konzerne könne man sich dabei nicht verlassen.