Sicherheitslücke

Unbegrenzten Zugriff auf aktuelle und einen kommenden Titel - alle ohne Kopierschutz - haben sich offenbar russische Hacker bei Uplay verschafft. Ubisoft hat deswegen Downloads deaktiviert, bis das Problem behoben ist.

Der Sicherheitsforscher Adam Caudill ist über einen offenen FTP-Server in Taiwan gestolpert, der neben diversen privaten Daten auch den Quellcode von UEFI-Firmware von American Megatrends samt dem privaten Schlüssel zum Signieren enthalten hat.

Wegen einer sehr gefährlichen Sicherheitslücke hat sich das PostgreSQL-Team zu einem ungewöhnlichen Schritt entschieden. Die Quelltexte der freien Datenbank werden für eine Weile gesperrt. So soll verhindert werden, dass durch Codeänderungen ein Angreifer das Sicherheitsproblem zu früh entdeckt.

Bei den Sony-Modellen Xperia Z und Xperia T lässt sich die Displaysperre des Android-Smartphones umgehen. Ein Unbefugter erhält dann vollen Zugriff auf das Gerät, kann Daten ausspähen oder auch Schadsoftware installieren.

Wer sein Passwort für eine Apple ID vergessen hat, muss normalerweise einige Sicherheitsabfragen bestätigen. Kurzzeitig reichten aber wenige Informationen, um beliebige Zugänge zu übernehmen. Die Sicherheitslücke zeigt, wie wichtig es ist, sich für solche Fälle vorzubereiten.

In Android-Geräten von Samsung sind eine Reihe von Sicherheitslücken gefunden worden. Angreifer können darüber unter anderem beliebigen Programmcode auf ein Android-Gerät schleusen. Das Schließen der Lücken wird wohl noch einige Zeit dauern.

Apple hat den Codesperren-Bug von iOS 6.1 mit der Veröffentlichung von iOS 6.1.3 geschlossen. Die Sicherheitslücke ermöglichte es, die Sperrfunktion der Smartphones zu umgehen. Jailbreaks verhindert das Update allerdings.

Apple hat mit Mac OS X 10.8.3 ein Update für sein aktuelles Betriebssystem Mountain Lion veröffentlicht. Es enthält einige kleine neue Funktionen, beseitigt aber vor allem diverse Fehler. Darunter ist ein peinlicher Bug, der Apps mit der Eingabe von 8 Zeichen zum Absturz bringt.

Apple hat eine Sicherheitslücke in seinem App Store beseitigt, über die Google-Mitarbeiter Elie Bursztein das Unternehmen bereits im Juli 2012 informierte. Durch fehlende Verschlüsselung war es unter anderem möglich, Passwörter zu stehlen und Apps auf Kosten der Nutzer auf ihren Geräten zu installieren.

Update Eine Webseite des deutschen Avast-Resellers Avadas ist gehackt worden. Dabei wurde eine Datenbank mit Kundendaten gestohlen, darunter auch gehashte Passwörter und Kundendaten im Klartext.

Ein Trojaner steckt in gefälschten Zahlungsaufforderungen von Groupon Deutschland und die Angreifer kennen die vollen Namen der Angeschriebenen. Groupon prüft "auf Hochtouren" mögliche Angriffe auf seine Server und die Computer seiner Partner.

Die Displaysperre von Samsungs Galaxy S3 lässt sich aushebeln, so dass Unbefugte vollen Zugriff auf das Gerät erhalten. Das Galaxy Note 2 hat einen ähnlichen Fehler. Vermutlich sind nur Samsung-Geräte betroffen, es handelt sich also nicht um einen Fehler in Android.

Eigentlich soll die neue Standard-Sicherheitseinstellung von Java für mehr Sicherheit sorgen, da nur noch signierte Java-Programme im Browser ohne Sicherheitswarnung ausgeführt werden. Doch nun ist ein erster signierter Java-Exploit aufgetaucht.

Update Oracle hat ein weiteres Sicherheitsupdate für Java veröffentlicht und schließt damit zwei Sicherheitslücken, von denen eine seit vergangener Woche aktiv ausgenutzt wird. Allerdings weiß Oracle bereits seit 1. Februar von dem Problem.

In der jüngst aktualisierten Java-Version befindet sich ein weiteres Sicherheitsloch, das bereits aktiv ausgenutzt wird. Nutzer sollten die automatisierte Ausführung von Java-Applets deaktivieren und Java nur dann zulassen, wenn der Urheber absolut vertrauenswürdig ist.

Mozilla blockiert seit kurzem das automatische Ausführen der aktuellen Version der Laufzeitumgebung Java 7 in seinem Firefox-Browser. Wegen einer angeblichen Sicherheitslücke wurde auf Click-to-Play umgestellt.

Der in Assemblersprache geschriebene Backdoor-Trojaner Miniduke greift mit professionell erstellten PDF-Dateien an, die die Adobe-Reader-Versionen 9, 10 und 11 betreffen und deren Sandbox umgehen. Die Malware wehrt Analysewerkzeuge ab.

Adobes Flash Player hat wieder zwei kritische Sicherheitslücken, die bereits beim Erscheinen einer korrigierten Version aktiv ausgenutzt werden. Das Update sollte daher umgehend installiert werden.

Update Eine Schwachstelle im Netzwerkstack des Linux-Kernels blieb den Entwicklern mehr als ein Jahr verborgen. Hackern war sie jedoch bereits seit Mitte 2012 bekannt. Ein Exploit ist seitdem im Umlauf.

Der Supportdienstleister Zendesk wurde gehackt. Nach aktuellem Stand hatten die Angreifer Zugriff auf die Daten von drei Zendesk-Kunden: Twitter, Tumblr und Pinterest. Deren Nutzer sind dadurch gefährdet.

Adobe hat mit einem Notfallpatch auf eine Zero-Day-Lücke im Adobe Reader und in Acrobat reagiert. Seit einer Woche ist bekannt, dass aktiv Angriffe auf die PDF-Software laufen. Vor allem Windows-Systeme sind das Ziel der Attacken.

Die Notfallupdates Java 7 Update 13 und Java 6 Update 39 vom 1. Februar 2013 haben nicht alle Sicherheitslücken geschlossen. Das Update 15 beziehungsweise 41 beseitigt weitere fünf. Drei stuft Oracle als besonders gefährlich ein.

Nach Facebook wurde auch Apple Opfer eine Angriffs. Über eine Sicherheitslücke in Java verschafften sich die Angreifer Zugriff auf die Rechner einiger Apple-Mitarbeiter. Apple hat ein entsprechendes Java-Update veröffentlicht.

Um die Exchange-Probleme seines mobilen Betriebssystems zu lösen, hat Apple iOS 6.1.2 veröffentlicht. Die unsichere Codesperre von iOS 6.1 hingegen hat Apple mit dem Update nicht beseitigt.

Facebook-Mitarbeiter sind vor einigen Wochen mit einem bis dato unbekannten Java-Exploit angegriffen worden. Nutzerdaten waren aber nicht betroffen und Oracle wurde über die Schwachstelle informiert. Infolgedessen erschien der Java-Notfallpatch, den Java-Anwender unbedingt installieren sollten.

Update Die Code-Sperre von iOS 6.1 ist unsicher. Angreifer können sie mit etwas Fingerfertigkeit und dem richtigen Timing problemlos umgehen - und so Anrufe mit fremden iPhones tätigen oder auf fremde Daten zugreifen.

Der Videolan Client VLC soll ein Bittorrent-Modul erhalten. Damit sollen etwa Video-Torrents ohne Verzögerung im VLC-Player laufen. Der Entwickler, der den Code beisteuert, erhält 10.000 US-Dollar.

Mit dem zweiten Patchtag veröffentlicht Microsoft eine größere Anzahl von Patches für Office 2013 und Office 365. Außerdem gibt es Patches für ältere Office-Versionen, die dann besser mit Office 2013 zusammenarbeiten, und kritische Updates für Windows, die jeder einspielen sollte.

OpenX hat seinen kostenlos gehosteten Adserver Onramp nach einem Angriff am Wochenende eingestellt. Der Dienst basiert auf der Open-Source-Software OpenX Source. Er sei deshalb besonders gefährdet gewesen, so die Begründung.

Nur wenige Tage, nachdem Adobe für den Flash Player einen Sicherheitspatch veröffentlicht hat, gibt es nun einen weiteren. Dieses Mal werden gleich 17 Sicherheitslücken geschlossen. Eine Sicherheitslücke im Adobe Reader wird derzeit aktiv ausgenutzt, einen Patch gibt es noch nicht.

Mit Updates für einige Versionen von Ruby on Rails haben Entwickler zwei kritische Sicherheitslücken geschlossen. Gleichzeitig gibt es ein Update für das Json-Gem, das ebenfalls einen gravierenden Fehler korrigiert.

Im Entwurf einer neuen EU-Richtlinie zum Datenschutz steckt viel Lobbyarbeit von Internetkonzernen. Mit dem neuen Projekt Lobbyplag wollen Netzaktivisten Transparenz schaffen.

Am 19. Februar 2013 will Oracle einen zweiten Patch für Java veröffentlichen. Für diesen Termin war ursprünglich der vorgezogene Patch geplant gewesen, in ihm fehlen aber noch einige Fixes.

Provider wie Unitymedia und KabelBW sollen ihre Kunden auf die schweren Lücken in den Routern DIR-300 und DIR-600 ansprechen, meint der Hersteller D-Link. Auch eine bisher noch nicht gepatchte Version eines Geräts könnte den Fehler enthalten, das wird derzeit geprüft.

Adobe warnt vor zwei Sicherheitslücken im Flash Player, die derzeit aktiv ausgenutzt werden. Angreifer können darüber beliebigen Schadcode ausführen und so fremde Computer unter ihre Kontrolle bringen. Adobe hat mit einem Notfallpatch darauf reagiert.

Mit einer neuen Firmware hat D-Link auf eine kürzlich bekanntgewordene Lücke in den Routern DIR-300 und DIR-600 reagiert. Die Geräte waren bisher auch über das Internet angreifbar, was nicht nur zu einem Eindringen in private Netzwerke führen konnte.

Fremde Webseiten ausführen, ohne dass der Nutzer es bemerkt: Das ist derzeit im Browser der PS Vita möglich. Die Lücke ist vor allem für Phishing-Angriffe nutzbar.

Forscher der Royal Holloway University in London haben eine Möglichkeit gefunden, um die im Web genutzten Verschlüsselungsverfahren SSL, TLS und DTLS auszuhebeln. Betroffen sind praktisch alle Implementierungen.

50 Sicherheitsprobleme listet Oracle für Java 7 Update 11, Java 6 Update 38 und ältere Java-Versionen auf. Da sich bereits Exploits im Umlauf befinden, hat Oracle nun mehrere Wochen früher als geplant Updates veröffentlicht. Java-Anwender sollten diese bald installieren.

Über einen Fehler im ASF-Demuxer des Videolan Clients (VLC) lässt sich möglicherweise Schadcode auf den Rechner eines Opfers einschleusen. Ein Patch ist bereits in Arbeit. Bis dahin sollten Anwender das VLC-Plugin im Browser deaktivieren.

Update Die Deutsche Telekom und AVM melden sich beide zu der UPnP-Sicherheitslücke, die zahlreiche Router betrifft. Sie versichern beide, dass ihre eigenen Router nicht von außen per UPnP angreifbar sind.

Megas Geldgeber und Reseller Instra hatte eine Sicherheitslücke beim Paypal-Bezahlvorgang für Mega-Pro-Zugänge. Ein Angriff per SQL-Injection war möglich, räumte Instra ein.

Update Das US-Cert warnt vor einer Lücke in den UPnP-Funktionen, welche vermutlich nahezu alle privat genutzten Router betrifft. Zwar gibt es eine einfache Abhilfe, aber das Stopfen der Lücke dürfte einige Zeit in Anspruch nehmen.