Sicherheitslücke

Flavio Garcia, der nach eigenen Angaben das Sicherheitssystem Megamos Crypto von VW zum Absichern von Luxuskarossen geknackt hat, darf sein Wissen nicht publizieren. Ein britisches Gericht untersagte die Veröffentlichung.

Der berühmte Hacker Barnaby Jack lebt nicht mehr. Der durch seine Hacks von Geldautomaten, Insulinpumpen und Herzschrittmachern bekannte Jack plante eine weitere große Enthüllung. Seine Todesursache ist unbekannt.

Millionen SIM-Karten weltweit sind auf Grund schwacher Verschlüsselung und fehlerhafter Software unsicher. Das hat der Sicherheitsexperte Karsten Nohl herausgefunden.

Microsoft hat seine Sicherheitsrichtlinien für App-Entwickler geändert. Sicherheitslücken müssen innerhalb einer Frist geschlossen werden, sonst werden die Programme aus den Stores entfernt.

In zahlreichen Routermodellen von Asus steckt eine schwere Sicherheitslücke. Ist die Funktion Aicloud aktiviert, können die von außen zugänglichen Dateien auf USB-Speichern des Routers ausgelesen werden. Auch ein Angriff auf Freigaben im lokalen Netz ist so möglich.

Die alternative Android-Distribution Cyanogenmod steht in der Version 10.1.2 zum Download bereit. Mit dem Update werden zwei sogenannte Masterkey-Sicherheitslöcher geschlossen. Auch in den Vorversionen von Cyanogenmod 10.1 wurden die Fehler bereits beseitigt.

Die HP-Server-Produkte der Storevirtual-Serie haben einen bisher unbekannten Zugang samt Root-Zugriff. HP nutzt diesen Zugang unter anderem, um vergessene Passwörter beim Kunden zurückzusetzen. Über einen kommenden Patch will HP die Sicherheitslücke noch in der nächsten Woche schließen.

Der Android-Mitbegründer Rich Miner hält das Problem der Android-Fragmentierung für übertrieben. Nur für technisch Interessierte sei es ein Thema, mit welcher Version des Betriebssystems ihr Android-Smartphone oder -Tablet läuft.

In Googles Mobilbetriebssystem Android ist eine Sicherheitslücke entdeckt worden. Darüber können Unbefugte Schadcode in eine App einfügen, ohne dass sich die kryptographische Signatur verändert. Eigentlich soll die Signatur genau das verhindern.

Apple hat ein Sicherheitsupdate für Snow Leopard, Lion und Mountain Lion veröffentlicht. Über HPs Zero Day Initiative wurden in den Mac-OS-X-Versionen gefährliche Sicherheitslücken in der Quicktime-Komponente entdeckt.

Stallman hat sich zu Microsofts Zusammenarbeit mit US-Geheimdiensten geäußert. Er sprach auch über universelle Hintertüren in Windows.

Das Bug Bounty Program von Microsoft belohnt ab nächster Woche Sicherheitsforscher, die sich die Vorschau von Windows 8.1 alias Windows Blue genau anschauen. Insbesondere in den ersten 30 Tagen will Microsoft so Sicherheitsfehler finden, bevor das Betriebssystem von der breiten Masse eingesetzt wird.

Microsoft hat seine kostenlose Sicherheitssoftware EMET in der Version 4.0 freigegeben. Damit können Administratoren unsichere und nicht mehr gepflegte Software etwas sicherer machen und sie so weiter im Einsatz lassen.

Oracle beendet den Support für Java 6. Rund 40 Sicherheitslücken, die teilweise gefährlich sind, dokumentiert Oracle in Java 5, 6 und 7. Doch nur für Java 7 gibt es ein öffentlich zugängliches Sicherheitsupdate. Für Apple-Nutzer gibt es eine Ausnahme.

Tausende US-Firmen tauschen angeblich Informationen über Schwachstellen in ihren Produkten gegen Geheimdienstwissen. Behörden können das für Angriffe nutzen.

Eine gefährliche Sicherheitslücke, die unter Linux längst gepatcht wurde, wird nun unter Android ausgenutzt. Laut Symantec ist es Entwicklern von Schadsoftware gelungen, den Exploit zu portieren. Abhilfe durch eine neue Android-Version gibt es zunächst nicht.

Adobe muss wie fast jeden Monat zahlreiche Lücken in seinen Flash Playern schließen. Zudem beendet Adobe den Support für Flash 10.3 mit diesem letzten Update. Mit dem nächsten Patchday wird nur noch Flash 11.7 unterstützt.

Googles Sicherheitsforscher sollen Sicherheitslücken in Software anderer Hersteller künftig schon nach sieben Tagen veröffentlichen, wenn diese aktiv von Angreifern ausgenutzt werden - auch dann, wenn der Hersteller sie noch nicht geschlossen hat. Das ist auch ein Angriff auf die Sicherheitspolitik von Microsoft und Oracle.

Update Die Deutsche Telekom hat eine Sicherheitslücke im WLAN-Router Speedport LTE II gefunden. Angreifer könnten dadurch die Bandbreite einschränken. Ein dringend empfohlenes Update zur Behebung des Problems steht bereit.

Eine seit Jahren bekannte potenzielle Sicherheitslücke ist auf allen Geräten mit Android und iOS weiterhin nutzbar. Solche Tablets und Smartphones teilen der Umgebung ihre bevorzugten WLANs mit, und das ist durchaus ein Problem.

Echte Computerviren gibt es in Industrieländern kaum noch. Wer umgangssprachlich von Viren spricht, meint Trojaner, Adware oder Würmer. Doch Microsoft sieht sie vor dem Comeback - in Regionen mit schlechter Internet- und Patch-Versorgung.

Datendiebstahl bei Yahoo in Japan: Daten von rund 22 Millionen Nutzern sind mutmaßlich entwendet worden.

Über eine Schwachstelle im Linux-Kernel kann sich ein lokaler Angreifer von einem eingeschränkten Konto Root-Rechte verschaffen. Die Schwachstelle besteht bereits seit mehreren Jahren. Die Lücke wurde klammheimlich geschlossen.

Microsoft hat einen Sicherheitspatch für den Internet Explorer 8 veröffentlicht. In diesem Monat wurde dieses Sicherheitsleck bereits ausgenutzt. Im Rahmen von Microsofts Patchday gab es neun weitere Patches für die Produkte aus Redmond.

Adobe hat Sicherheitspatches für den Flash Player, AIR, den Adobe Reader, Acrobat und Coldfusion veröffentlicht. In allen drei Produkten werden gefährliche Sicherheitslücken geschlossen, 13 sind es im Flash Player und 24 im Adobe Reader sowie in Acrobat.

Der Mozilla Maintenance Service von Firefox und Thunderbird lässt sich von lokaler Schadsoftware zur Erlangung höherer Rechte ausnutzen. Die Sicherheitslücke kann nur über Umwege ausgenutzt werden. Andere Lücken sind allerdings kritisch und sollten vom Anwender durch Updates beseitigt werden.

Adobe warnt Nutzer von Coldfusion vor laufenden Angriffen im Netz und fordert Administratoren von Coldfusion auf, die Installationen abzusichern. Ein Patch kommt erst nächste Woche parallel zum Microsoft-Patchday.

Noch vor dem monatlichen Patchday hat Microsoft nun eine Zwischenlösung für die Zero-Day-Lücke im Internet Explorer 8 veröffentlicht. Der Hotfix soll zumindest fürs Erste den Internet Explorer 8 absichern.

Im Metasploit-Framework, das Anwender zum Testen der eigenen Sicherheit nutzen, ist ein Exploit integriert worden, der den Internet Explorer 8 überprüft. Somit dürften bald neben militärischen Zielen auch private Anwender angegriffen werden - allerdings sind nur wenige gefährdet.

Neue Firmware stopft Lücken in Produkten von D-Link. Die Updates gibt es für fünf Routermodelle und sieben Netzwerkkameras. In den IP-Cams wurden die Fehler erst vor kurzem entdeckt.

Eine bislang unbekannte Sicherheitslücke im Internet Explorer 8 wird aktiv ausgenutzt, um Trojaner auf Rechnern eines Opfers zu installieren. Angreifer hatten bislang Mitarbeiter der US-Atomwaffenforschung im Visier.

Apple hat die Version 6.1.4 von iOS ausschließlich für das iPhone 5 veröffentlicht. Die Liste der Änderungen ist sehr knapp gehalten - sie umfasst eine einzige Textzeile.

In Lotus Notes werden Java-Applets und Javascript-Code ohne Nachfrage heruntergeladen und ausgeführt. Bis ein Update vorhanden ist, sollten Nutzer Java und Javascript deaktivieren.

Ein noch nicht veröffentlichter Parameter für URLs ermöglicht es, die Verbreitung von PDFs anhand von IP-Adressen zu verfolgen. Der Anwender merkt davon nichts. Der Fehler ist in allen Versionen von Adobes Reader vorhanden. Noch gibt es keinen Patch.

In der Software Strongswan, die unter Linux und anderen Unix-Systemen für IPsec-Verbindungen eingesetzt wird, wurden ungültige Signaturen für das ECDSA-Verfahren akzeptiert. Eine gravierende Sicherheitslücke, die mehrere Jahre unentdeckt blieb.

Sicherheitsexperten haben eine Schadsoftware entdeckt, die nur ein modifiziertes httpd-Binary verwendet. Alles andere passiert im Arbeitsspeicher. Die Angreifer sollen bereits hunderte Apache-Server unter ihre Kontrolle gebracht haben. Administratoren sollten ihre Server überprüfen.

Microsoft hat einen überarbeiteten Sicherheitspatch für die Windows-Plattform veröffentlicht. Mit dem aktualisierten Patch soll es nun keine Probleme mehr geben und das Sicherheitsloch in den Windows-Kernel-Treibern geschlossen werden.

Auch nach dem letzten Patchday reißen die Meldungen über Sicherheitslücken in Java nicht ab. Jetzt ist eine neue Lücke in der Reflection-API bekanntgeworden. Damit sie greift, muss der Nutzer aber Warnhinweise ignorieren.

Zwei Sicherheitsprojekte haben sich zahlreiche Router vorgenommen und teilweise erschreckende Sicherheitslücken gefunden. Die Geräte stammen unter anderem von Belkin, Linksys, Netgear und Sitecom.

Das Bundesinnenministerium nennt die De-Mail "so nutzerfreundlich wie möglich und so sicher wie nötig." Die qualifizierte elektronische Signatur habe sich wegen ihrer schwierigen Handhabbarkeit nicht durchgesetzt. Das sehen Experten anders.

Das heute veröffentlichte Java 7 Update 21 schließt 42 Sicherheitslücken und erhöht die Abfragen, wenn Java-Code auf angesteuerten Webseiten ausgeführt werden soll.

Mit einem Android-Smartphone hat Sicherheitsexperte Hugo Teso demonstriert, dass die Kommunikationssysteme im Luftverkehr unsicher sind. Er kaperte darüber ein Flugzeug in einem Flugsimulator und steuerte es mit einer eigens geschriebenen App.

Microsoft hat einen Sicherheitspatch für Windows zurückgezogen, weil nach der Installation Probleme bei den Nutzern aufgetreten sind. Wer den Patch bereits eingespielt hat, sollte ihn wieder deinstallieren, empfiehlt Microsoft.