Wordpress

Subdomain Takeover wird in der IT-Security- und Hacker-Szene immer beliebter. Denn mit der einfachen Übernahme einer verwaisten Subdomain lassen sich schöne Angriffe durchführen oder Bug Bountys von Unternehmen einstreichen.
Von Moritz Tremmel

Die US-Justiz hat zwölf russische Agenten wegen des Hacks im US-Präsidentschaftswahlkampf angeklagt. Die Anklageschrift nennt viele technische Details und erhebt auch Vorwürfe gegen das Enthüllungsportal Wikileaks.

Eine Sicherheitslücke in Wordpress erlaubt angemeldeten Nutzern, die Installation zu übernehmen und Code auszuführen. Wordpress wusste von dem Problem seit November 2017, hat es aber bisher nicht gefixt.

Nach einer Übergangsfrist von zwei Jahren ist die EU-Datenschutz-Grundverordnung in Kraft getreten. Sie gibt dem Datenschutz einen neuen Stellenwert. Doch es bleibt zu hoffen, dass es bei der Durchsetzung die Richtigen trifft.
Eine Analyse von Friedhelm Greis

Die mögliche Löschung und der Export von Nutzerdaten gehören zu den neuen Anforderungen der Datenschutzgrundverordnung. Wordpress stellt dazu nun Werkzeuge bereitet und kann automatisch eine Datenschutzerklärung generieren.

Auf Twitter hat sich ein Nutzer bei T-Mobile Österreich darüber beschwert, dass dort offenbar Kundenpasswörter im Klartext gespeichert werden. Wir fanden ein weiteres gravierendes Sicherheitsproblem bei der Telekom-Tochter durch öffentlich zugängliche Git-Repositories mit Datenbankpasswörtern.

Eine Firma aus Israel will spektakuläre Informationen zu Sicherheitslücken bei AMD veröffentlicht haben. Doch bei näherem Hinsehen erweist sich die Veröffentlichung selbst als missratene Sprungvorhersage.
Eine Analyse von Hauke Gierow

Der bekannte US-Konzern Go Daddy hat sein Angebot auf Deutsch übersetzt. Gehostet wird im Rechenzentrum von Go Daddy in Amsterdam.

Dieses Konzept könnte sogar dem Axel-Springer-Verlag gefallen: Das neue Flattr-Addon vom Adblocker-Anbieter Eyeo will Webseiten eine neue Einnahmequelle verschaffen. Doch Nutzer müssen einige Nachteile in Kauf nehmen.

Die Community beschwert sich, Facebook bleibt zunächst stur und verzichtet letztlich doch noch auf die eigene Patent-Lizenz für das Javascript-Framework React. Das macht aber nichts besser, sondern eher schlechter für alle.
Eine Analyse von Sebastian Grüner

Virus Bulletin 2017 Die Malware in einer Ccleaner-Version hatte mindestens drei Stufen - von der ersten waren 1,65 Millionen Personen betroffen. Wer ein 64-Bit-Windows nutzt, soll allerdings nichts zu befürchten haben.

Noch im vierten Quartal sollen die 300 Mitarbeiter von Gigya zu SAP wechseln. Das Unternehmen entwickelt eine Business-to-Consumer-Plattform. In der Vergangenheit wurde die damals unsichere Software von Hackern ausgenutzt.

Die CDU nutzt ein uraltes Content-Management-System für eine simple Weiterleitung, die SPD gibt Datenbankpasswörter preis, im Grünen CMS ist eine Apache-Status-Webseite offen einsehbar, Ortsvereine von SPD und FDP werben für Viagra. Um die Sicherheit der Parteien-Webseiten steht es schlecht.
Eine Exklusiv-Meldung von Hanno Böck

Mit Certificate Transparency werden HTTPS-Zertifikate in öffentlichen Logs gespeichert. Das bringt mehr Sicherheit im TLS-Ökosystem, es führt aber auch zu überraschenden Gefahren für Webanwendungen wie Wordpress.
Von Hanno Böck

Während die Stadt München ihr Limux-Projekt abwickelt, empfiehlt eine neue EU-Studie quelloffene Software für die öffentliche Verwaltung und für Unternehmen. Vor wenigen Jahren behaupteten dieselben Autoren noch, Open Source gefährde den europäischen Softwaremarkt.
Von Jan Weisensee

Apple hat Workflow erworben, eines der wenigen Automatisierungswerkzeuge für iOS und WatchOS. Finanzielle Details der Übernahme wurden nicht bekannt. Die ehemals kostenpflichtige App Workflow ist ab sofort kostenlos im App Store erhältlich.

Kritische Sicherheitslücken werden heutzutage innerhalb von Stunden ausgenutzt. Dagegen helfen schnelle und automatische Updates.
Ein IMHO von Hanno Böck

In Wordpress wurde eine Sicherheitslücke entdeckt, mit der ein Angreifer nach Belieben Inhalte ändern kann. Betroffen sind die Versionen 4.7.0 und 4.7.1. Dank der automatischen Update-Funktion von Wordpress sind die meisten Nutzer bereits geschützt.

Eine fehlerhafte Htaccess-Datei führte dazu, dass private Fotos Tausender Frauen bei einem Datinganbieter für Frauen frei im Netz verfügbar waren. Der Betreiber Skirt Club hat die Webseite nach Offenlegung der Sicherheitslücke erstmal vom Netz genommen.

Die Initiative Let's Encrypt schaut auf das Jahr 2016 zurück und ist mit dem ersten vollen Jahr im Produktivbetrieb zufrieden, auch wenn es einige Probleme gab.

In der PHP-Bibliothek PHPMailer wurde eine schwerwiegende Remote-Code-Execution-Lücke gefunden. Bislang gibt es nur spärliche Details. PHPMailer wird von vielen Webapplikationen wie Joomla genutzt.

Weil der zentrale Update-Server von Wordpress unsichere Hashfunktionen zulässt, hätten Angreifer Code ausführen und massenhaft Wordpress-Installationen angreifen können. Die Sicherheitslücke wurde mittlerweile geschlossen.

Ist er John Doe? Ein IT-Mitarbeiter der Kanzlei Mossack Fonseca wurde in der Schweiz verhaftet. Ihm wird die massenhafte Weitergabe geheimer Informationen vorgeworfen.

Let's Encrypt will Verbindungen im Internet besser absichern und so die privaten Daten der Nutzer besser schützen. Doch jetzt hat das Projekt durch eine Panne selbst zahlreiche Mailadressen preisgegeben.

Wenn der Linux-Redakteur über die Windows-Nutzung flucht, ist eigentlich alles wie immer. Doch die Vorschau von Ubuntu auf Windows ist viel mehr als nur ein weiterer Grund zum Aufregen.
Von Sebastian Grüner

Das ging schneller als erwartet: Let's Encrypt ist nicht mehr im Betastadium. Außerdem gibt es neue Unterstützer.

In Zusammenarbeit mit Wordpress wird Let's Encrypt alle dort gehosteten Seiten mit einem SSL-Zertifikat ausstatten. Ein Problem mit Windows-XP-Nutzern wurde zwischenzeitlich behoben.

Der Panama-Leaks-Firma Mossack Fonseca ist offenbar nicht nur das Steuerrecht herzlich egal - sondern auch die IT-Security. Kein TLS, Drown und uralte Versionen von Drupal und Outlook Web Access machen es Angreifern leicht.

Ein bisschen Javascript, eigenes HTML und ein optionaler Cache von Google: Dieser Mix soll Webseiten für Mobilgeräte deutlich beschleunigen. Das Project Amp startet nun offiziell mit großer Unterstützung von Verlagen weltweit.

Die Webseite der beliebten Linux-Distribution Linux Mint wurde am Wochenende offenbar kurzfristig übernommen - mindestens einen Tag lang verteilte die Webseite ein kompromittiertes Installations-Image mit Malware. Außerdem wurden Nutzerdaten kopiert.

Version 7 des populären PHP-Interpreters ist erschienen. Mit diesem Release wird die Skriptsprache vor allem deutlich schneller und gleichzeitig sparsamer im Speicherverbrauch.
Von Benjamin Eberlei und Kore Nordmann

Das beliebte Blog-CMS Wordpress bekommt eine neue Verwaltungsoberfläche. Viele Nutzer dürften sie aber aufgrund der technischen Anforderungen kaum nutzen können - oder mangels neuer Funktionen nutzen wollen.

In einem jährlichen Transparenzbericht lobt die Electronic Frontier Foundation ausdrücklich Adobe, das jetzt sämtliche Kriterien erfüllt. Kritik gab es für Whatsapp, das dieses Jahr erstmals in der Liste auftaucht. Einige große Konzerne fallen jedoch im Vergleich zum Vorjahr zurück.

Ab Mitte September sollen alle Nutzer gratis Zertifikate von Let's Encrypt erhalten können. Bereits in einem Monat will das Team Zertifikate für ausgesuchte Webseite verteilen.

Gimp-Entwickler berichten, dass Sourceforge einen ihrer Accounts übernommen habe und nun Werbung darüber verteile. Ein Einzelfall ist das nicht. Der Projekthoster sagt, er reaktiviere nur ein verwaistes Projekt.

Automattic betreibt Wordpress.com und bietet viele Dienstleistungen zu der Blog-Software. Das Unternehmen steht nun mit dem Kauf der Onlineshop-Lösung Woocommerce vor der größten Übernahme seiner Geschichte. Woocommerce soll 30 Millionen US-Dollar kosten.

In der Blog-Software Wordpress ist erneut eine Cross-Site-Scripting-Sicherheitslücke gefunden worden. Ursache ist eine Beispieldatei eines Icon-Sets. Betroffen sind das Default-Theme Twenty Fifteen und das Jetpack-Plugin.

Eine Cross-Site-Scripting-Sicherheitslücke gefährdet Nutzer von Wordpress-Blogs. Einen Fix gibt es noch nicht. Laut dem Entdecker der Lücke wurden seine Warnungen von Wordpress ignoriert.

Eine schlecht dokumentierte Funktion der Wordpress-API ist von zahlreichen populären Plugins fehlerhaft verwendet worden. Der Fehler führt zu Cross-Site-Scripting-Lücken: Betroffen sind unter anderem das Jetpack-Plugin, die Plugins von Yoast und das All-in-one-SEO-Plugin.

Ein Schritt vor und zwei zurück: Nach dem ersten missratenen Versuch ist das quelloffene Journalisten-Werkzeug Linius nun lizenzkonform. Dafür wurde das vom Bayerischen Rundfunk mitentwickelte Tool an anderer Stelle verschlimmbessert.

Mit Let's Encrypt soll jeder Webseitenbetreiber einfach und vor allem kostenlos ein TLS-Zertifikat bekommen. Die Linux Foundation will das Projekt nun unterstützen, was finanzielle und organisatorische Vorteile bringen soll.

Fotos teilen, Karriere machen, kommentieren: So unterschiedlich die Bedürfnisse der Internetnutzer sind, so groß ist die Auswahl an sozialen Netzwerken. Das überfordert viele: Welche Social-Media-Kanäle soll man nutzen? Wer will, findet seine Plattformen.

Der öffentlich-rechtliche Bayerische Rundfunk teilt eine Eigenentwicklung fürs Web mit Journalisten und anderen Interessierten. Dabei macht sich die Rundfunkanstalt sichtlich wenig Gedanken um Urheber- und Lizenzrechte - gelobt aber Besserung.
Von Sebastian Grüner

Die Webseite des Internet Systems Consortiums (ISC) ist vor kurzem über eine Lücke in Wordpress gehackt worden. Für einige Zeit hat die Site dabei das Exploit-Kit Angler ausgeliefert, wovor das ISC nun warnt. Die dort angebotene Software wie Bind soll nicht betroffen sein.

Das IT-Sicherheitsgesetz soll eigentlich die kritische Infrastruktur schützen. Neue Vorschriften gibt es aber auch für alle kommerziellen Betreiber von Internetseiten wie Webshops und Medien. Noch bleiben viele Fragen offen.

Durch eine Lücke in einem beliebten Plugin werden derzeit Wordpress-Installationen in großer Zahl kompromittiert. Der Fehler steckt in einem Tool für responsives Webdesign, von dem viele Nutzer nicht einmal wissen dürften, dass sie es verwenden.

Endlich keine verzerrten Buchstabenkombination mehr: Googles No-Captcha soll mit nur einem Klick erkennen, ob ein Mensch die Eingabe tätigt oder ein Skript. Im Zweifel wird Memory gespielt.

Das schwerste Sicherheitsproblem seit 2009: Über manipulierte Kommentare könnten Angreifer eine Wordpress-Installation übernehmen. Millionen von Seiten sind weltweit gefährdet.

Aufbauend auf eigenen Techniken wie dem Ubuntu Server und den Tools Maas, Juju und Landscape bietet Canonical nun eine eigene Openstack-Distribution an. Diese soll eine einfache Benutzung ermöglichen. Canonical kümmert sich, falls gewünscht, auch um den kompletten Betrieb der Infrastruktur.

Das Wordpress-Plugin Custom Contacts Form hat einen Fehler, der es Angreifern erlaubt, administrative Rechte über eine Webseite zu erhalten. Es gibt bereits einen Patch.