Sicherheitslücke

In der SSH-Software Putty sind im Rahmen eines von der EU finanzierten Bug-Bounty-Programms mehrere schwerwiegende Sicherheitslücken entdeckt worden. Der verwundbare Code wird auch von anderen Projekten wie Filezilla und WinSCP verwendet.

Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
Von Andreas Maisch

Die Verschlüsselung der kabellosen Fujitsu-Tastatur LX901 lässt sich von Angreifern auf gleich zwei Arten umgehen - und für Angriffe aus der Distanz nutzen.

Die Optimierungen in Linux 5.1 sind ziemlich zahlreich: optimiertes Live-Patching, ein ausgemustertes Dateiformat, eine Abschirmung für externe USB-Datenträger, beschleunigtes WLAN und neue Funktionen für Grafikkarten.

Gleich mehrere Sicherheitslücken kombinierte ein Sicherheitsforscher, um Schadcode in Wordpress ausführen zu können. Die Wordpress-Standardeinstellungen und ein angemeldeter Administrator reichten als Voraussetzung.

Mit dem März-Patchday werden von Microsoft Sicherheitslücken geschlossen, dass möglichst schnell gehandelt werden sollte. Einige ermöglichen das Erschleichen höherer Rechte und betreffen Microsoft Edge.

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

Eine schwere Sicherheitslücke im Code der Schweizer Post für zukünftige Onlinewahlen ermöglicht es dem Betreiber einer Wahl, das Ergebnis zu manipulieren. Die Schweizer Post weiß angeblich schon seit 2017 von dem Problem, der Hersteller hat es jedoch versäumt, den Fehler zu beheben.

Adobe warnt vor einer Sicherheitslücke in Photoshop CC, die zwar kritisch ist, aber nicht sofort gepatcht werden muss. Ein Update zur Beseitigung steht trotzdem bereit.

Eine Sicherheitslücke erlaubt es, nicht gepatchte O2-Router des Modells Homebox 6441 zu übernehmen. Normalerweise aktualisieren sich die Router automatisch. Besser ist es aber, den aktuellen Patchlevel zu überprüfen.

Autoalarmanlagen sollen das geliebte Gefährt vor Diebstahl schützen. Britische Sicherheitsforscher fanden jedoch in den Apps von zwei Anbietern Sicherheitslücken, über die sie genau das erreichen konnten, was das System verhindern soll: ein Auto zu stehlen.

Die Sicherheitsforscher von Google warnen vor einer Lücke in Windows 7, die derzeit aktiv ausgenutzt wird und in Zusammenhang mit der schweren Sicherheitslücke im eigenen Chrome-Browser steht. Microsoft arbeitet an einem Patch, der aber noch nicht bereitsteht.

Eigentlich soll das Positional Error Signal von Festplatten einen Schaden verhindern. Forscher können dieses aber zum Abhören von Stimmen und sogar Liedern verwenden. Den Klangkörper bilden die Platter selbst.

Google hat in Chrome eine "echte Zeroday-Chain", also eine bislang unbekannte Sicherheitslücke gefunden. Nutzer des Browsers und seiner Derivate sollten schnellstmöglich ein Update aufspielen.

Obwohl Spectre Version 2 bereits länger bekannt ist, hat Microsoft aus Leistungsgründen bisher keine Mitigation dafür auf Windows-10-Clients freigeben. Mit dem aktuellen Patch und einem angepassten Retpoline soll sich das ändern - allerdings nur für Geräte mit Version 1809.

1.600 Sicherheitslücken hat ein Teenager gemeldet. Ein Report der Bug Bounty Platform veröffentlicht weitere Details zur Struktur der Plattform und dem typischen Bug-Bounty-Jäger.

Adobe hat für die Coldfusion-Versionen 11, 2016 und 2018 ein wichtiges Sicherheitsupdate veröffentlicht. Anwender sollten es möglichst schnell installieren. Der Grund sind laufende Angriffe.

Linus Torvalds hat Linux 5.0 freigegeben. Sicherheit steht abermals im Vordergrund, der Grafiktreiber bringt Freesync mit, Nvidias Geforce-RTX-Karten werden unterstützt und für den Touchscreen der Raspberry Pi Foundation gibt es einen Treiber.
Von Jörg Thoma

Trojaner nutzen eine 19 Jahre alte Sicherheitslücke in Winrar aus. Ein Update steht bereit. Auch andere Packprogramme könnten betroffen sein.

Klingelt der Babysitter oder doch ein Einbrecher? Über eine Sicherheitslücke in Rings smarter Türklingel konnten die Videos kopiert oder ausgetauscht werden. Im schlimmsten Fall konnten sich Einbrecher so die Tür öffnen lassen.

Durch Thunderbolt-Anschlüsse sind in modernen Laptops Angriffe auf den Speicher durch bösartige Hardware mittels DMA möglich. Verhindern soll das eine Technologie namens IOMMU, doch die ist oft abgeschaltet oder lässt sich umgehen.

In manchen OpenSSL-Konfigurationen und in Citrix-Loadbalancern wurde eine Padding-Oracle-Lücke gefunden, mit der man TLS-Datenverkehr entschlüsseln kann. Ein Forscherteam hat weitere Lücken entdeckt, weiß aber bei vielen nicht, welche Produkte dafür verantwortlich sind.

Die Entwickler von Drupal erläutern ihre künftige Releasestrategie und kündigen das Supportende für Drupal 7 an. Da Major-Updates bei Drupal oft umständlich sind nutzen viele Webseiten noch diese alte Version.

16 Millionen Heimnetzwerke wurden für eine Studie der Sicherheitsfirma Avast überprüft: In fast jedem zweiten Netzwerk wurden verwundbare Geräte gefunden. Viele Nutzer haben noch nie ihren Router aktualisiert.

Passwort vergessen? Kein Problem, viele Anbieter machen es Nutzern leicht, ihr Passwort zurückzusetzen - und damit auch Kriminellen. Wir haben uns angesehen, wie leicht es ist, mit der Funktion an Daten zu gelangen oder ein E-Mail- oder Social-Media-Konto zu übernehmen.
Eine Analyse von Moritz Tremmel

Signaturen von PDF-Dateien sind offenbar nicht besonders sicher: Einem Forscherteam der Uni Bochum gelang es, die Signaturprüfung in nahezu allen PDF-Programmen auszutricksen.

Vorsicht beim Entpacken von ACE-Archiven: Sie können Dateien an beliebige Orte des Systems schreiben - und damit auch Code ausführen. Ein stabiles Update von Winrar wurde noch nicht veröffentlicht.

Um Teilnehmer seines Bug-Bounty-Programms rechtlich besser abzusichern, startet Github ein Safe-Harbor-Programm, das die Aktionen der Sicherheitsforscher absichern soll. Die Richtlinien basieren auf eigener Erfahrung und Vorlagen aus der Community. Das Programm selbst wird ebenfalls erweitert.

Apple hat mit iOS 12.1.4 vor einigen Wochen eine Sicherheitslücke in FaceTime geschlossen. Dennoch funktioniert Gruppen-Facetime noch nicht fehlerfrei.

Die Schweizer Post hatte dazu aufgerufen, ihr Online-Voting-System zu testen - allerdings nur gegen die Zusicherung, gefundene Sicherheitsprobleme nicht unabgesprochen zu veröffentlichen. Jetzt ist der Quellcode zugänglich gemacht worden.

Was findet man eigentlich alles, wenn man den IP-Adressraum eines Landes scannt? Der Sicherheitsforscher Christian Haschek konnte viele Webserver, veraltete Software und ein paar Skurrilitäten entdecken.

Die Sicherheitslage ist angespannt. Immer mehr Sicherheitsvorfälle werden dem BSI gemeldet. Die Zahlen sind jedoch wenig aussagekräftig.

Über einen Trick kann ein Angreifer Ubuntus Paketverwaltung Snap vorgaukeln, dass ein normaler Nutzer Administratorrechte habe - und damit wirklich einen Nutzer mit Root-Rechten erstellen.

Die aktuell im Darknet angebotenen E-Mail-Adressen und Passwörter wurden um weitere 8 gehackte Webseiten erweitert. Unklar ist, wie der Hacker an die Daten gelangen konnte.

Xiaomis Scooter mit Elektroantrieb haben eine drastische Sicherheitslücke: Die Scooter können per Bluetooth ferngesteuert werden.

Der Internet Explorer, der Adobe Flash Player und Windows selbst erhalten mit dem aktuellen Patch fast ausschließlich Sicherheitsverbesserungen. Knapp 70 Lücken werden geschlossen, einige davon wurden bereits ausgenutzt. Auch Microsofts Hololens erfährt ein Update.

Eine Sicherheitslücke ermöglicht es, dass Software aus einem Container ausbricht. Die Ausführungsumgebung Runc, mit der Container gestartet werden, kann überschrieben und so der Host übernommen werden. Docker und viele andere Lösungen sind verwundbar.

Mit dem aktuellen Februar-Update für Android schließt Google eine Sicherheitslücke, durch die Schadcode über eine PNG-Datei eingeschleust werden kann. Das Team hat außerdem weitere kritische Sicherheitslücken behoben.

Mit Clusterfuzz sucht Google automatisiert nach Fehlern im Chromium-Code oder in anderen Open-Source-Programmen. Die Software läuft dafür in der Google-Cloud und steht jetzt selbst als Open-Source bereit. Theoretisch könnte sie damit auf andere Cloud-APIs portiert werden.

Der Fehler in Gruppen-Facetime, der das iPhone oder iPad zur Abhöreinrichtung machen könnte, ist mit dem neu veröffentlichten iOS 12.1.4 behoben worden. Die Server wurden ebenfalls wieder eingeschaltet.

Eine Sicherheitslücke, die die freien Office-Programme Libreoffice und Openoffice betrifft, erlaubt Angreifern das Ausführen von Code mittels einer Skript-Schnittstelle. Von Libreoffice gibt es ein Update, von Openoffice nicht.

Den zugrunde liegenden Fehler für die schwere Sicherheitslücke von Facetime in der vergangenen Woche hat Apple zwar gefixt, doch das System bleibt erst einmal offline. Medienberichten zufolge müssen die Endgeräte gepatcht werden.

Eine Spionageabteilung im Auftrag der Vereinigten Arabischen Emirate soll die iPhones von Aktivisten, Diplomaten und ausländischen Regierungschefs gehackt haben. Das Tool sei wie Weihnachten gewesen, sagte eine frühere NSA-Mitarbeiterin und Ex-Kollegin von Edward Snowden.
Ein Bericht von Friedhelm Greis

In der EU sind seit Inkrafttreten der DSGVO mehr als 40.000 Datenpannen registriert worden, die meisten davon in Deutschland. Was genau hinter den Verletzungen des Datenschutzes steckt, wird jedoch nicht erfasst.

Eine Verwaltungssoftware für Zahnarztpraxen installiert beim Update automatisch einen Adobe Reader in einer sehr alten Version, der zahlreiche bekannte Sicherheitslücken hat. Der Hersteller meint, das Problem behoben zu haben, das stimmt aber offenbar nicht.

Im Microsoft Exchange Server steckt eine schwerwiegende Sicherheitslücke, die es Angreifern erlaubt, sich erweiterte Rechte zu erschleichen. Ein Patch steht noch aus. Es gibt aber Methoden zur Risikoreduzierung.

Seit Inkrafttreten der EU-Datenschutz-Grundverordnung sind in Europa fast 100.000 Datenschutzbeschwerden von Bürgern eingegangen. In Niedersachsen war dies nur eingeschränkt möglich.

Apple hat die Videochatfunktion Gruppen-Facetime wieder abgeschaltet, um eine Sicherheitslücke zu schließen, die das Smartphone zur Wanze macht. Mit der Funktion konnten mehrere Personen gleichzeitig kommunizieren.

Die deutschen Kabelnetzbetreiber wollen nicht, dass die Router-Freiheit auf die Europäische Union ausgedehnt wird. Dazu werden fragwürdige Definitionen zum Netzabschlusspunkt aus der Vergangenheit wieder hervorgeholt.

Das MySQL-Protokoll erlaubt es Servern, Daten des Clients auszulesen. Offenbar nutzte die kriminelle Gruppe Magecart dies zuletzt, um mit dem PHP-Datenbankfrontend Adminer Systeme anzugreifen. Auch PhpMyAdmin ist verwundbar.