Inhalte überspringen »
Alle Topthemen
Dienstag, 3. August 2010
Am Anfang war der Trojaner: die kleine Geschichte der MS-Shortcut-Lücke
Microsoft hat am Montag außer der Reihe ein
Security Bulletin
samt Patches
veröffentlicht,
mit denen eine 0-Day-Schwachstelle behoben wird. Diese
Schwachstelle, oder genauer ihre Ausnutzung, hat eine kurze, aber bewegende
Geschichte hinter sich.
Am Anfang stand ein USB-Schädling
Am 15. Juli gab es
erste
Berichte
über eine mögliche neue 0-Day-Schwachstelle in Windows, die von einem sich
über …
Donnerstag, 8. Juli 2010
Heißer Juni: 0-Days, signierte Schädlinge, gefährliches Java
Die Sicherheit von Clients wurde im Juni durch 0-Day-Schwachstellen in
Adobes Flash Player, Adobe Reader und Acrobat sowie Microsofts Windows XP
und Server 2003 bedroht. Angriffe über Schwachstellen in Java haben
merklich zugenommen, außerdem wurde an eher exotischen Stellen
Schadsoftware gefunden.
0-Day-Schwachstelle in Flash Player, Adobe Reader und Acrobat
Adobe
warnte
am 4. …
Montag, 7. Juni 2010
Ein Month of PHP Security: Das haben wir geschafft
Der Mai und damit auch der "MOPS" abgekürzte
Month of PHP Security
ist vorüber. In
den
ersten
vier
Wochen
wurden 33 Schwachstellen in PHP und 13 in PHP-Anwendungen
veröffentlicht, dazu gab es 11 "Tips und Tools". In den letzten 4
Tagen sind noch 14 Schwachstellen in PHP dazu gekommen, außerdem gab es
einen …
Freitag, 28. Mai 2010
MOPS: Und wieder neue PHP-Schwachstellen
Der Mai und damit auch der
Month of PHP Security
oder kurz "MOPS" nähert sich seinem Ende. In den
bisherigen
drei
Wochen
wurden bereits 22 Schwachstellen in PHP und 13 in PHP-Anwendungen
veröffentlicht, dazu gab es 7 "Tips und Tools". Dazu gekommen sind
nun 11 neue Schwachstellen in PHP und 4 Beiträge aus …
Freitag, 21. Mai 2010
Month of PHP Security: Neue Schwachstellen aufgetaucht
Auch die dritte Woche des
Month of PHP Security
(oder kurz MOPS) ist schon fast vorbei. In der
ersten
und
zweiten
Woche wurden bereits vierzehn Schwachstellen in PHP und neun in
PHP-Anwendungen veröffentlicht, dazu gab es sechs "Tips und Tools".
In dieser Woche neu dazu gekommen sind acht Schwachstellen in PHP, vier
in PHP-Anwendungen und …
Freitag, 14. Mai 2010
MOPS: 12 neue Schwachstellen und ein Tadel an die Entwickler
Und schon ist die zweite Woche des MOPS abgekürzten
Month of PHP Security
fast vorbei. Was ist seit dem ersten
Überblick
passiert? Es wurden acht neue Schwachstellen in PHP (insgesamt bisher
vierzehn), vier in PHP-Anwendungen (insgesamt neun) und drei weitere
Tips und Tools (insgesamt sechs) veröffentlicht.
Schachstellen in PHP
Bei den …
Freitag, 7. Mai 2010
MOPS: 6 Schwachstellen in PHP, 5 in Anwendungen, 3 Tips und Tools
Die erste Woche des MOPS, d.h. des
Month of PHP Security,
ist fast vorbei - Zeit, eine erste Zwischenbilanz zu ziehen. Bisher wurden
sechs Schwachstellen in PHP, fünf in PHP-Anwendungen und drei Tips und
Tools veröffentlicht.
Schachstellen in PHP
Den Anfang des MOPS machte eine
Schwachstelle,
die bereits 2007 im Rahmen des …
Donnerstag, 6. Mai 2010
About Security #253: Schwachstellen-Suche im Überblick (5)
Im fünften und letzten Teil des Überblicks über die
Schwachstellen-Suche in Webanwendungen geht es zuerst weiter um Angriffe
auf die Authentifizierung. Zu diesem Bereich gehört auch eine
"Remember me"-Funktion, mit der eine Webanwendung einen einmal
authentifizierten Benutzer bei einem erneuten Besuch automatisch erkennt.
Enthält die Funktion eine Schwachstelle, kann ein Angreifer
womöglich als Benutzer erkannt werden, ohne …
Donnerstag, 29. April 2010
About Security #252: Schwachstellen-Suche im Überblick (4)
Im vierten Teil des Überblicks über die Schwachstellen-Suche in
Webanwendungen geht es zuerst um Angriffe auf den Webserver. So, wie eine
normale Anwendung auf das Betriebssystem und seine Funktionen angewiesen
ist, ist eine Webanwendung auf den Webserver angewiesen. Ein Angreifer,
der die Kontrolle über den Webserver erlangt, kann danach auch die
Webanwendung kompromittieren.
Angriffe …
Donnerstag, 22. April 2010
Microsoft zieht Update für MS10-025 zurück
Microsoft hat das Update für das in der vorigen Woche
veröffentlichte
kritische Security Bulletin
MS10-025
zurückgezogen, da es die Schwachstelle nicht korrekt behebt. Das Bulletin
wurde aktualisiert, Microsoft
weist darauf hin,
dass ggf. die vorgeschlagenen Workarounds durchgeführt werden sollten.
Das Bulletin betrifft nur Windows 2000 Server SP4 mit den Windows Media
Services. …
About Security #251: Schwachstellen-Suche im Überblick (3)
Im dritten Teil des Überblicks über die Schwachstellen-Suche in
Webanwendungen geht es zuerst um die Suche nach typischen Schwachstellen in
kompilierten Programmen. Auch wenn Webanwendungen meistens in
Skriptsprachen geschrieben werden, können Pufferüberlaufschwachstellen etc.
darüber ausgenutzt werden: Entweder in externen Programmen, oder im
Interpreter der Skriptsprache selbst, der ja i.A. auch nichts anderes als
ein kompiliertes Programm ist.
…
Donnerstag, 15. April 2010
About Security #250: Ein Blick in die Zukunft
Dies ist die 250. Folge "About Security", dazu kommen jeweils fünf
nicht nummerierte Weihnachts-Special und CeBIT-Berichte. Damit handelt es
sich um ein doppeltes Jubiläum: Die Serie wird gleichzeitig 5 Jahre
alt,
#1
erschien am 14.4.2005. 5 Jahre - das ist im IT-Bereich eine halbe
Ewigkeit.
Fast genau das gleiche habe ich schon vor …
Mittwoch, 14. April 2010
Patchday: Microsoft stopft 25 Schwachstellen, Adobe 15 und Oracle 47
Am April-Patchday haben Microsoft, Adobe und Oracle kräftig aufgeräumt:
Microsoft hat wie
angekündigt
elf
Security-Bulletins
veröffentlicht, die insgesamt 25 Schwachstellen betreffen, von Adobe gibt
es ein
Security Bulletin
für 15 Schwachstellen, und Oracle stopft mit dem
Critical Patch Update
für den April 47 Schwachstellen in fast der gesamten Produktpalette,
darunter 16 für Sun-Produkte, die erstmals …
Donnerstag, 8. April 2010
About Security #249: Schwachstellen-Suche im Überblick (2)
Nach dem Sammeln von Informationen über die Webanwendung und der Suche
nach zustandbasierten Angriffen, Cross-Site-Scripting- und
SQL-Injection-Schwachstellen geht es als nächstes um
Directory-Traversal-Angriffe
Die Grundlagen eines Directory-Traversal-Angriffs sind einfach: Der
Angreifer übergibt für einen Parameter statt eines vorgesehenen
Dateinamens eine Reihe von ../-Sequenzen zum Wechseln des
Verzeichnisses sowie nach seiner …
Donnerstag, 1. April 2010
About Security #248: Schwachstellen-Suche im Überblick
Zum Abschluss des Themenkomplexes "Schwachstellensuche in Webanwendungen"
gibt es eine Zusammenfassung aller notwendigen Schritte. Los geht es mit
dem
Sammeln von Informationen
über die zu untersuchende Webanwendung sowie die verwendete Infrastruktur
wie z.B. den Webserver. Zuerst werden dazu alle Seiten der Anwendung
einmal durchlaufen (siehe About Security
#144).
Die …
Mittwoch, 31. März 2010
IE-Patchday: 10 Schwachstellen geschlossen
Microsoft hat am
kurzfristig angekündigten
außerplanmäßigen "IE-Patchday" ein
Security Bulletin
zum Internet Explorer veröffentlicht. Außer der aktuellen
0-Day-Schwachstelle
werden neun weitere, vertraulich gemeldete
Schwachstellen
behoben.
Die 0-Day-Schwachstelle
Die
0-Day-Schwachstelle,
die nur den IE 6 und 7 betrifft, wird immer stärker ausgenutzt. Nachdem
anfangs nur gezielte Angriffe gemeldet wurden, wurde der …
Donnerstag, 25. März 2010
About Security #247: Schwachstellen-Suche: Session-Token (3)
Bevor Session-Token analysiert werden können, müssen sie erst
einmal gefunden und gesammelt werden. Außerdem muss eine
Möglichkeit gefunden werden, selbst erstellte Token zu testen.
Gründliche Vorbereitung zahlt sich aus
Bereits bei der Analyse der Webanwendung (siehe About Security
#144 ff.) wurden die Seite der Webanwendung ermittelt, auf denen sich die
Benutzer …
Donnerstag, 18. März 2010
About Security #246: Schwachstellen-Suche: Session-Token (2)
Auch Sessiontoken und ähnliche Werte, die im Gegensatz zu den in
About Security
#245
beschriebenen Ansatz keinerlei Bedeutung haben, müssen irgendwie
erzeugt werden. Bekommt ein Angreifer heraus, wie das passiert, kann er
danach u.U. eigene Token erstellen, indem er den Wert eines ihm bekannten Tokens
extrapoliert: Die Token sind vorhersagbar.
Bedrohungspotential
Wie …
Donnerstag, 11. März 2010
About Security: Ein Bericht von der CeBIT 2010
Die CeBIT 2010 ist vorüber, Zeit für den traditionellen Bericht
über einige Neuigkeiten aus dem Bereich der IT-Sicherheit.
Neuigkeiten?
Die gab es dieses Jahr zumindest in der Security-Halle kaum zu sehen. Neu
war vor allem, dass die Messeleitung den Finanzbereich, früher in
einer der 20er-Hallen untergebracht, nun in die Halle 11 …
Mittwoch, 10. März 2010
Microsoft: 8 Schwachstellen behoben, kritische 0-Day-Schwachstelle entdeckt
Am März-Patchday hat Microsoft wie
angekündigt
zwei als wichtig eingestufte Security Bulletins
veröffentlicht,
mit denen insgesamt acht zuvor nicht bekannte Schwachstellen behoben werden.
Außerdem wurde ein
Security Advisory
zu einer 0-Day-Schwachstelle im Internet Explorer
veröffentlicht,
die bereits für gezielte Angriffe ausgenutzt wird.
0-Day-Schwachstelle im IE
Die kritische Schwachstelle zuerst: Microsoft
untersucht …
