Sicherheitslücke

Sicherheitskonferenz Blackhat kündigt sich an. Jorge Luis Alvarez Medina will auf der Blackhat-Sicherheitskonferenz Anfang Februar 2010 eine neue Sicherheitslücke im Internet Explorer präsentieren. Sie ermöglicht es einem Angreifer, den Internet Explorer in einen Dateiserver zu verwandeln, heißt es in der Ankündigung.

Relevante Mitarbeiter ausgespäht und Nutzerkonten von deren Kontakten gehackt. Es war abgefeimt, wie Hacker in Googles Systeme eindrangen: Zuerst bekamen sie heraus, wer im Unternehmen Zugang zu den relevanten Systemen hatte. Dann suchten sie in sozialen Netzen nach deren Kontakten und schoben den Mitarbeitern als deren Kontakt getarnte Spionagesoftware unter.

Microsoft hat bislang keine Angriffe bemerkt. Microsoft berichtet von einem Sicherheitsloch im Windows-Kernel, das zur Rechteausweitung missbraucht werden kann. Zur Ausnutzung des Sicherheitslecks muss ein Angreifer am System angemeldet sein. Einen Patch zur Beseitigung des Fehlers gibt es bislang nicht.

Sieben Sicherheitslücken können für Codeausführung missbraucht werden. Microsoft hat wie angekündigt außerhalb des monatlichen Patchday-Zyklus einen Sicherheitspatch für den Internet Explorer veröffentlicht. Damit werden gleich acht Sicherheitslecks in Microsofts Browser beseitigt. Eine der Sicherheitslücken wurde für Angriffe auf verschiedene Unternehmensnetzwerke verwendet. Auch Exploit-Code wurde bereits im Internet gesichtet, so dass der Patch schleunigst eingespielt werden sollte.

Zwei gefährliche Sicherheitslücken gefunden. In Adobes Shockwave Player befinden sich zwei Sicherheitslücken, die nun mit einem Update beseitigt werden. Über die Fehler lässt sich beliebiger Programmcode ausführen, um ein fremdes System unter die eigene Kontrolle zu bringen. Zur Fehlerbeseitigung muss der installierte Shockwave Player komplett deinstalliert werden.

Aktuelle Sicherheitslücke wird vor dem Patchday Mitte Februar 2010 beseitigt. Am Donnerstag, 21. Januar 2010, will Microsoft einen Patch für den Internet Explorer veröffentlichen. Damit soll das offene Sicherheitsloch in dem Browser beseitigt werden, über das mehrere Unternehmen Angriffe erdulden mussten. Zu den Opfern zählte auch Google.

Mozilla errechnet rund 300.000 zusätzliche Downloads aus Deutschland. Nicht nur bei Opera, sondern auch bei Mozilla sind die Downloadzahlen nach oben gegangen, nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor dem Einsatz des Internet Explorers gewarnt hat.

Genauer Termin folgt bis spätestens 21. Januar 2010. Außerhalb der Reihe will Microsoft in Kürze einen Sicherheitspatch für den Internet Explorer veröffentlichen. Damit soll ein Sicherheitsloch in Microsofts Browser beseitigt werden, das für Attacken auf mehrere Unternehmensnetzwerke missbraucht worden ist - unter anderem auf Google. Im Laufe des Tages will Microsoft verraten, wann der Patch erscheint.

Verdoppelte Downloadzahlen von Opera aus Deutschland. Nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Wochenende vor der weiteren Verwendung von Microsofts Internet Explorer gewarnt hatte, schnellten bei Opera die Downloadzahlen hoch. Der norwegische Browser wurde nach Firmenangaben deutlich häufiger heruntergeladen.

Fast jede .mov-Datei kann die Lücke ausnutzen. Eine Sicherheitslücke in Apples Multimediasoftware Quicktime kann über präparierte .mov-Dateien ausgenutzt werden. Fortinet schätzt die Gefährlichkeit des Problems als hoch ein und rät, das neue Quicktime zu installieren. Betroffen ist allerdings nur eine ältere Version der Software.

Hacks funktionieren mit IE-Versionen 6 und 7 unter Windows XP SP3. Inzwischen sind Varianten der Exploits, über die Hacker Angriffe auf Google starteten, im Internet aufgetaucht. Die getesteten Exploits ermöglichen Angreifern, über den Internet Explorer die Kontrolle über kompromittierte Rechner zu erlangen.

Durch Google-Angriffe bekanntgewordenes Leck wird verstärkt für Angriffe genutzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Benutzern des Internet Explorers, in den kommenden Tagen auf einen alternativen Browser umzusteigen. Die durch die Attacken auf Google bekanntgewordene Sicherheitslücke in dem Microsoft-Browser werde in den nächsten Tagen verstärkt für Angriffe genutzt.

Zugangskarten von Mitarbeitern lassen sich leicht emulieren. Einem Bericht des ARD-Magazins Kontraste zufolge gibt es an mehreren deutschen Flughäfen ein Sicherheitsproblem durch den Einsatz von veralteten RFID-Systemen. Die dort verwendeten Karten sollen sich einfach nachbilden lassen, was den Zugang zu Sicherheitsbereichen und auch zu Flugzeugen ermöglicht.

Gefährliches Sicherheitsloch in Microsofts Browser wird aktiv ausgenutzt. Im Internet Explorer befindet sich ein offenes Sicherheitsloch, das seit Mitte Dezember 2009 aktiv ausgenutzt wird. Unter anderem liefen darüber die Angriffe auf Google, mit denen der Suchmaschinenbetreiber seinen Abzug aus China begründet. Auch andere namhafte IT-Unternehmen waren jüngst entsprechenden Angriffen ausgesetzt.

Fehler tritt bei der Einrichtung neuer E-Mail-Konten auf. Die E-Mail-Software Mail von Mac OS X weist ein Sicherheitsproblem auf. Unter Umständen kann es passieren, dass Unbefugte vertrauliche E-Mail-Inhalte mitlesen können. Grund dafür ist ein Fehler im Einrichtungsassistenten der Software.

Neue TLS-Extension speichert Information zu bestehenden Verbindungen. Damit die Neuverhandlung von TLS- und SSL-Verbindungen künftig sicher vonstatten geht, werden Daten, die zur Neuverhandlung einer Verbindung benötigt werden, Zertifikate etwa, in einer neuen TLS-Erweiterung gespeichert. Die Sicherheitsschwachstelle war Ende letzten Jahres bekanntgeworden.

Neues Updatesystem wird diesen Monat erstmals ausprobiert. Wie angekündigt hat Adobe nun einen Sicherheitspatch für den Adobe Reader sowie für Acrobat veröffentlicht. Damit werden insgesamt acht Sicherheitslecks beseitigt, die zum Teil bereits seit fast einem Monat aktiv ausgenutzt werden. Nutzer des Adobe Reader sollten den Patch möglichst zügig einspielen.

Sicherheitsleck in Opentype Font Engine nur für Windows 2000 gefährlich. In der Windows-Komponente Opentype Font Engine steckt ein Fehler, der Angreifer dazu in die Lage versetzt, auf einem fremden System Schadcode auszuführen. Mit einem Patch wird der Fehler nun korrigiert.

Patch muss vom Nutzer manuell eingespielt werden. Adobe hat wie angekündigt einen Patch für Illustrator CS3 und CS4 veröffentlicht. Damit werden zwei Sicherheitslücken beseitigt, die beide für die Ausführung von Schadcode missbraucht werden können.

Im Januar 2010 wird Microsoft einen Windows-Patch veröffentlichen. Sicherheitstechnisch geht Microsoft das Jahr 2010 ruhig an. Der Softwarekonzern wird am 12. Januar 2010 nur einen Patch für Windows veröffentlichen.

Neuer Updateprozess in Arbeit. Adobe will für den Adobe Reader einen neuen Updatemechanismus etablieren. Dieser Mechanismus arbeitet vollständig im Hintergrund, so dass Nutzer von einem Softwareupdate nichts bemerken. Bei Bedarf wird dieser Automatismus aber auch abschaltbar sein.

Ausgeklügelte Angriffe gegen CVE-2009-4324. Im neuen Jahr sind der Adobe Reader und Adobe Acrobat weiterhin anfällig für Angriffe. Ein besonders raffinierter Angriff nutzt die als CVE-2009-4324 bekannte Lücke aus. Weder auf Anti-Viren-Software noch auf Adobe sollten sich Anwender derzeit verlassen.

26C3 Hacker sehen großes Gefahrenpotenzial bei Clouds und sozialen Netzwerken. Bei den Security Nightmares werfen Hacker einen Blick auf kommende und vergangene Sicherheitsprobleme. Gefahren sehen die Hacker beim 26C3 vor allem bei Cloud Computing und der damit verbundenen dauerhaften Speicherung von wichtigen Daten. Sie können damit falschen Personen in die Hände fallen.

26C3 Software-Update verhindert künftige Angriffe. Die Sicherheitsspezialisten von Syss haben Fehler bei verschlüsselten USB-Sticks gefunden, die dazu führen, dass Angreifer ohne gültiges Kennwort auf die Daten auf den USB-Sticks zugreifen können. Beide Produkte sollen eigentlich besonders sicher sein.

26C3 Hacker demonstriert Angriff auf bekannte Schwachstelle im GSM-System. Dieter Spaar hat auf dem 26C3 einen DoS-Angriff auf das GSM-System gezeigt. Mit einem präparierten Handy ist es möglich, eine GSM-Zelle zu blockieren, ohne dass sich das Mobiltelefon dazu am Netz anmelden muss.

26C3 Open-Source-Projekt für Windows- und Linux-Nutzer. Der Hacker FX und weitere Mitglieder der Recurity Labs gehen einen anderen Weg als gewöhnlich: Statt Sicherheitslücken aufzudecken, hacken sie um Adobes Flash herum. Der Blitzableiter soll potenziell gefährliche SWF-Dateien entschärfen und so das Surfen mit Adobes Flash Player sicherer machen.

Microsoft stuft Gefahr als gering ein. Über die Weihnachtsfeiertage wurde ein Sicherheitsloch in Microsofts Internet Information Services (IIS) bekannt. Angreifer können darüber Schadcode ausführen. Über die Gefährlichkeit der Sicherheitslücke gibt es widersprüchliche Angaben.

Neue Pro-Version spielt h.264-Videos ab. Mit der neuen Version 5.57 des Mediaplayers Winamp werden mehrere Sicherheitslücken geschlossen. Die neue Version bringt auch eine bessere Integration für Windows 7 und kann h.264-Dateien abspielen.

Neue Version mit rund 60 Fehlerkorrekturen. Die PHP-Version 5.2.12 schließt mehrere Sicherheitslücken. Zudem wurden insgesamt 60 Fehler korrigiert, was der Software zu mehr Stabilität verhelfen soll.

Mehrere Fehler erlauben Angreifern, eigenen Code auszuführen. Mozilla schließt mit der Version 3.5.6 von Firefox drei kritische Sicherheitslücken. Zudem soll die Stabilität des Browsers mit dem Update verbessert und weitere sicherheitsrelevante Fehler beseitigt werden.

Offenes Sicherheitsloch wird aktiv ausgenutzt. Im Adobe Reader und in Acrobat ist ein Sicherheitsloch entdeckt worden, das bereits aktiv ausgenutzt wird. Welchen Schweregrad der Fehler hat, teilte Adobe nicht mit. Auch zu den Ursachen des Sicherheitslecks liegen keine Angaben vor. Der Hersteller arbeitet derzeit an einer Fehlerkorrektur.

Adobe veröffentlicht auch neue Version von AIR. Adobe hat einen Patch für den Flash-Player veröffentlicht, um mindestens sieben Sicherheitslecks zu beseitigen. Die Mehrzahl der Fehler wird als kritisch eingestuft, weil darüber beliebiger Programmcode ausgeführt werden kann.

Neun Sicherheitslücken erlauben die Ausführung von Programmcode. Microsoft hat in diesem Monat insgesamt sechs Security Bulletins veröffentlicht, die summa summarum zwölf Sicherheitslücken beseitigen. Fünf Fehler betreffen den Internet Explorer und ebenfalls fünf Sicherheitslecks wurden in Windows entdeckt. Zwei Bulletins beseitigen Sicherheitslücken in Microsofts Office-Software.

Patch erst im kommenden Jahr geplant. Im Illustrator CS3 und CS4 hat Adobe ein gefährliches Sicherheitsloch entdeckt, das im schlimmsten Fall zur Ausführung beliebigen Programmcodes missbraucht werden kann. Einen Patch zur Abhilfe will Adobe jedoch erst nächstes Jahr bereitstellen.

CCC: Totalversagen der Programmierer. Die Schülercommunity Häfft ist offline, nachdem der Chaos Computer Club (CCC) die Betreiber auf eine eklatante Sicherheitslücke hingewiesen hat: Private Daten von tausenden Kindern und Jugendlichen waren für jeden frei zugänglich.

Sechs Bulletins zum Dezember-Patchday angekündigt. Microsoft hat zum Dezember-Patchday sechs Security-Bulletins angekündigt. Drei davon beziehen sich auf kritische Sicherheitslücken, darunter auch eine kritische Sicherheitslücke im Internet Explorer, die Ende November 2009 bekannt wurde.

Fehler im Run-Time Link Editor erlaubt Zugriff als Administrator. Ein Bug im Run-Time Link Editor in den Versionen 7.1, 7.2 und 8 der Distribution FreeBSD gewährt nicht privilegierten Benutzern administrative Zugriffsrechte auf das System.

Offene Sicherheitslücke wird derzeit nicht aktiv ausgenutzt. Nun warnt auch Microsoft offiziell vor einer am Wochenende bekanntgewordenen Sicherheitslücke im Internet Explorer, für die derzeit kein Patch bereitsteht. Laut Microsoft ist der IE in den Versionen 6 und 7 unter Windows 2000, XP und Vista sowie Windows Server 2003 und 2008 betroffen.

Exploit nutzt CSS-Daten und benötigt Javascript. Auf der Mailingliste Bugtraq ist am Wochenende ein neuer Exploit für Microsofts Internet Explorer 6 und 7 aufgetaucht. Er könnte genutzt werden, um Besuchern einer Website Schadcode unterzuschieben.

Entwickler beseitigen rund 100 Bugs. Mit PHP 5.3.1 beseitigen die Entwickler der freien Skriptsprache zahlreiche Fehler. Auch einige Sicherheitslücken werden beseitigt, so dass allen Nutzern zum Update geraten wird.

Kunden bekamen bei Vertragsende Werbeanrufe von der Konkurrenz. In Großbritannien haben T-Mobile-Angestellte Vertragsdaten von Kunden gestohlen und an Zwischenhändler verkauft. Diese riefen die Kunden kurz vor Vertragsende an und versuchten, ihnen Verträge mit der Konkurrenz zu verkaufen. Christopher Graham, Großbritanniens oberster Datenschützer, fordert härtere Strafen für solches Vergehen.

Sicherheitsleck bei hunderttausenden Kreditkarten. Wer in Spanien mit Visa- oder Mastercard eingekauft hat, muss damit rechnen, dass seine Kreditkartendaten missbraucht werden. Die deutschen Banken und Sparkassen starteten deshalb eine Umtauschaktion von hunderttausenden Kreditkarten.

Man-in-the-Middle-Attacke unter realen Umständen erfolgreich. Eine kürzlich entdeckte Sicherheitslücke im SSL/TLS-Protokoll ist unter realen Umständen erfolgreich ausgenutzt worden. Die Man-in-the-Middle-Attacke erfolgte über das HTTPS-Protokoll.