Sicherheitslücke

Schlamperei war die Ursache für den gestrigen Angriff via Twitter. Für die Attacke wurde ein Sicherheitsloch ausgenutzt, das Twitter im August 2010 bereits geschlossen hatte. Allerdings wurde der Fehler mit einem Update der Seite wieder eingefügt.

Tüftler und Kriminelle können den elektronischen Personalausweis und auch die Schweizer SuisseID mit einfachen Mitteln fernsteuern und so auch ohne direkten Zugriff auf die Dokumente die Identität des Ausweisinhabers missbrauchen. Darauf weist der Chaos Computer Club (CCC) hin.

Adobe hat einen Patch für den Flash Player veröffentlicht, um ein gefährliches Sicherheitsleck zu beseitigen, das bereits aktiv ausgenutzt wird. Der Fehler betrifft nicht nur den aktuellen Flash Player, sondern auch frühere Versionen der Software. Das Sicherheitsleck steckt auch in der Android-Version des Flash Players.

Eigentlich wollte Adobe erst in der kommenden Woche einen Sicherheitspatch für den Flash Player veröffentlichen. Nun gibt es den Patch bereits am 20. September 2010 nach US-Zeit.

Das Portal Niiu, über das verschiedene Zeitungsinhalte in einer tagesaktuellen Printausgabe abonniert werden können, hat offenbar ein erhebliches Sicherheitsproblem. Laut einem Blogbericht sind alle Inhalte online zugänglich, inklusive Kundendaten.

Aktuelle Versionen des Linux-Kernel für 64-Bit-Systeme enthalten eine Schwachstelle im 32-Bit-Kompatibilitätsmodus, über den ein Angreifer administrative Rechte erlangen kann. Ein Exploit ist bereits veröffentlicht. Die Kernel-Entwickler haben die Lücke inzwischen geschlossen.

Apple hat Quicktime 7.6.8 veröffentlicht, um das Binary-Planting-Sicherheitsloch von Windows zu beseitigen. Zudem wird eine weitere als gefährlich eingestufte Sicherheitslücke in der Software beseitigt. Die Fehler betreffen nur die Windows-Ausführung der Applikation.

Google hat ein Update für Chrome 6 veröffentlicht, um zehn Sicherheitslücken im Browser zu beseitigen. Nur ein Sicherheitsleck wird als gefährlich klassifiziert.

Ende vergangener Woche hatte Adobe vor einem Sicherheitsloch im Adobe Reader und in Acrobat gewarnt. Der Fehler wird bereits aktiv ausgenutzt, dennoch wird sich Adobe mehr als drei Wochen Zeit lassen, das Sicherheitsloch zu beseitigen.

IDF Intel hat für viel Geld den Antivirenspezialisten McAfee übernommen. Konkrete Pläne, wie McAfee integriert werden soll, hat Intel noch nicht veröffentlicht, aber der Chiphersteller will sich künftig kräftig bei der Abwehr von Schadsoftware einmischen.

Microsoft hat eine Anleitung veröffentlicht, wie Nutzer verhindern können, dass das offene Sicherheitsloch im Adobe Reader und in Acrobat ausgenutzt werden kann. Dazu muss das Enhanced Mitigation Experience Toolkit 2.0 (EMET) entsprechend konfiguriert werden.

Insgesamt neun Patches will Microsoft in diesem Monat veröffentlichen. Damit sollen elf Sicherheitslecks in Windows und Office geschlossen werden. Mindestens vier Sicherheitslücken lassen sich zur Ausführung von Schadcode missbrauchen.

Opera 10.62 steht als Download zur Verfügung und beseitigt ein gefährliches Sicherheitsloch, das nur die Windows-Version des Browsers betrifft. Außerdem wurden Fehlerkorrekturen vorgenommen.

Auch EXE-Dateien sind vom sogenannten Binary Planting unter Windows betroffen. Die Reihenfolge der Suchpfade beim Laden von ausführbaren Dateien beginnt in den meisten Fällen im jeweiligen Arbeitsverzeichnis. Im Gegensatz zu DLLs könnte eine schadhafte EXE-Datei mehrfach im System vorkommen.

Adobe warnt vor einem offenen Sicherheitsloch in seinen PDF-Applikationen. Angreifer können über ein Sicherheitsleck im Adobe Reader sowie in Acrobat beliebigen Programmcode ausführen. Der Fehler wird bereits aktiv ausgenutzt, einen Patch gibt es noch nicht.

Apple hat Updates für Safari 4 und 5 veröffentlicht, um insgesamt drei gefährliche Sicherheitslecks in dem Browser zu beseitigen. Alle drei Sicherheitslöcher können zur Ausführung beliebigen Programmcodes missbraucht werden. Zudem werden einige Programmfehler im Browser beseitigt.

Facebook hat auf die Spamflut reagiert, die einige Anwendungen in dem sozialen Netzwerk ausgelöst hatte. Zum einen wurde eine Sicherheitslücke beseitigt, zum anderen wurden die Facebook-Anwendungen entfernt, die diese ausgenutzt hatten.

Für Firefox, Thunderbird und Seamonkey sind Updates erschienen, mit denen zahlreiche Sicherheitslücken geschlossen werden. Mindestens zehn Sicherheitslecks werden als gefährlich eingestuft und können zur Ausführung von Schadcode missbraucht werden.

Mit dem Firmwareupdate 3.42 unterbindet Sony auf der Playstation 3 die Möglichkeit, unsignierten Code auf der Konsole auszuführen. Das Playstation Network setzt das neue Update voraus, um online spielen zu können.

In Facebook ist wieder Spam unterwegs. Er verbreitet sich besonders schnell durch das Ausnutzen einer Sicherheitslücke bei den Facebook-Apps - und weil die Facebook-Nutzer mit unvorsichtigen Klicks Spammern aktiv helfen.

Microsoft hat ein grafisches Werkzeug veröffentlicht, das Anwendern bei der Abschottung des Rechners gegen Binary Planting helfen soll. Fixit 50522 bietet Abhilfe für den vergangene Woche veröffentlichten Registry-Patch.

Ciscos Software IOS XR enthält eine Schwachstelle bei der Verarbeitung von BGP-Paketen, die zu Denial-of-Service-Angriffen ausgenutzt werden kann.

Kein Ende in Sicht. Während erste Softwarehersteller tatsächlich schon Patches für Binary Planting alias DLL-Hijacking veröffentlichen, gibt es für das Grundproblem keine Lösung. Der Microsoft-Workaround hat Nachteile und lässt Anwendungen sogar ausfallen.

Mit der Version 1.1.4 des Mediaplayers VLC korrigiert das Videolan-Team eine Sicherheitslücke in Windows, die sich auch in vielen anderen Applikationen findet, das sogenannte Binary Planting.

Durch ein bereits geschlossenes Leck waren über die Webseiten der Drogeriekette Schlecker die Daten von über 150.000 Kunden des Unternehmens einsehbar. Name, Adresse, E-Mail und auch Kaufverhalten konnten von jedermann abgerufen werden. Ob die Datenbank bereits in falsche Hände geraten ist, ist nicht bekannt. Schlecker hat Anzeige erstattet.

Alle vier Reihen der gegenwärtig gepflegten Linux-Serien sind aktualisiert worden. Für den Linux-Kernel 2.6.34 wird es künftig keine weiteren Updates mehr geben und auch die Kernel-Serie 2.6.27 soll bald ausgemustert werden. Das sagte Kernel-Maintainer Greg Kroah-Hartman in den Release-Notes.

Das iPhone Dev Team will vorerst keinen neuen Jailbreak für Apples iOS veröffentlichen, denn das würde nur Apple helfen. Manchmal sei es eben besser, nichts zu tun, so die Hacker.

Die Zahl der vom Binary Planting betroffenen Anwendungen wächst stetig und es tut sich ein grundsätzliches Problem auf: Viele Programme rufen DLLs auf, die gar nicht existieren. Dann hilft auch Microsofts SafeDLLSearch nicht.

Die ersten Exploits für das sogenannte Binary Planting sind aufgetaucht, und das gleich in größerer Zahl. Damit die Sicherheitslücke, an der auch das Design des Betriebssystems schuld ist, ausgenutzt werden kann, müssen die Programmierer der Anwendungen allerdings ziemlich fahrlässig arbeiten.

Die Art und Weise, wie Anwendungen DLL-Dateien behandeln, hat weitreichende Folgen für die Sicherheit von Windows. Zahlreiche Anwendungen können zum Einschleusen und Ausführen von Schadcode missbraucht werden, wenn die Entwickler beim Nachladen von DLLs nicht aufgepasst haben. Viel Schutz gibt es nicht, zudem ist der veröffentlichte Workaround kompliziert in der Handhabung.

In vier neuen Linux-Versionen haben die Entwickler eine Sicherheitslücke geschlossen, bei der Angreifer über Fehler in der Speicherverwaltung Root-Rechte erlangen können. Reparierte Versionen sind bereits in den Repositories verschiedener Distributionen aufgetaucht, etwa von Ubuntu.

Google hat eine neue Version von Chrome veröffentlicht, um zehn Sicherheitslücken im Browser zu beseitigen. Drei Sicherheitslecks werden als gefährlich eingestuft, von sechs Fehlern geht eine hohe Gefahr aus.

Adobe hat den angekündigten Patch für die PDF-Applikationen Reader und Acrobat veröffentlicht. Neben dem auf der Black Hat bekanntgewordenen Sicherheitsloch beseitigt der Patch ein zweites Sicherheitsleck. Beide Sicherheitslücken können zur Codeausführung missbraucht werden.

Das Videolan-Team hat eine neue Version des freien Mediaplayers VLC 1.1.3 veröffentlicht. Diese beseitigt einige Fehler, die in älteren Versionen zu Abstürzen führen.

Adobe veröffentlicht erst am 19. August 2010 einen Sicherheitspatch für den Adobe Reader und für Acrobat. Der außerplanmäßige Patch wurde bereits für diese Woche angekündigt, ein genaues Datum war aber noch nicht bekannt.

Sowohl in Googles Android als auch in Palms WebOS wurden Sicherheitslücken gefunden, die vom Hersteller bereits geschlossen wurden. Aber nicht allen Gerätebesitzern steht bereits das notwendige Update bereit, vor allem die meisten Android-Smartphones bleiben anfällig für Angriffe.

Alte Geräte wie das erste iPhone und der erste iPod touch sind weiterhin anfällig für eine gefährliche Sicherheitslücke. Denn Apple hat die Geräte und ältere iOS-Versionen bereits aufgegeben. Einen Patch gibt es nun aus der Community.

Mit der Veröffentlichung von Quicktime 7.6.7 schließt Apple eine seit rund zwei Wochen bekannte kritische Sicherheitslücke in seinem Mediaplayer für Windows.

Opera 10.61 steht ab sofort als Download zur Verfügung. Die aktuelle Version beseitigt drei Sicherheitslöcher. Ein Sicherheitsleck kann zur Ausführung von Schadcode missbraucht werden. Zudem wurden etliche Programmfehler korrigiert.

Apple hat mit iOS 4.0.2 für das iPhone und iOS 3.2.2 für das iPad eine neue Betriebssystemversion veröffentlicht. Sie schließt die Sicherheitslücke, mit der die Geräte per Jailbreak geknackt werden können, wenn eine präparierte Website aufgesucht wird.

Zum Patchday in diesem Monat hat Microsoft elf Patches für die Windows-Plattform veröffentlicht, um insgesamt 23 Fehler zu beseitigen. Zudem wurden fünf gefährliche Sicherheitslücken im Internet Explorer und fünf gravierende Sicherheitslöcher in der Office-Software beseitigt. Insgesamt sollen 14 Patches 34 Sicherheitslücken beseitigen.

Adobe hat Patches für die Produkte Flash Player sowie Flash Media Server veröffentlicht, um darin befindliche Sicherheitslücken zu schließen. Fünf Sicherheitslücken im Flash Player können zur Ausführung von Schadcode missbraucht werden. Für Coldfusion hat Adobe einen Hotfix veröffentlicht.

Mit dem Erscheinen des Foxit Reader 4.1.1.0805 wird eine gefährliche Sicherheitslücke in der Freetype-2-Bibliothek beseitigt. Die Bibliothek wird auch im PDF-Reader von iOS verwendet. Das Sicherheitsloch sorgte bereits bezüglich Jailbreakme etwa für das iPhone für Schlagzeilen.