Zahllose Websites über fehlerhafte JavaScript-Komponenten angreifbar

von Peter Marwan

Zu dem Ergebnis kommen Forscher der in Boston ansässigen Northeastern University nach der Untersuchung von 133.000 Websites. Demnach können die Fehler unter Umständen ausgenutzt werden, um über eine alte Cross-Site-Scripting-Lücke in jQuery manipulierte Skripte in eine Website einzuschleusen. weiter

Eset-Software ermöglicht Remote-Code-Ausführung bei Macs

von Stefan Beiersmann

Betroffen ist die Version 6 von Eset Endpoint Antivirus. Ein Angreifer kann per Man-in-the-Middle-Angriff Schadcode einschleusen und mit Root-Rechten ausführen. Ursache ist eine veraltete XML-Bibliothek. Eset verteilt seit 21. Februar ein Update für die Sicherheitslücke. weiter

Hashverfahren SHA-1 ausgehebelt

von Stefan Beiersmann

Forscher von Google und aus den Niederlanden präsentieren erstmals einen Kollisionsangriff. Sie erzeugen zwei unterschiedliche PDF-Dateien mit demselben SHA-1-Hash. Dafür benötigen sie mehr als 9 Trillionen SHA-1-Berechnungen. weiter

Dropbox stellt Open Source Securitybot vor

von Anja Schmoll-Trautmann

Securitybot soll Sicherheitsteams dabei helfen, Alarmsignale schneller zu analysieren und die Zahl der Falschmeldungen zu reduzieren. Dropbox stellt ihn als Open Source zur Verfügung und will so auch andere Unternehmen unterstützen, ihr internes Warnsystem zu verbessern. weiter

IBM integriert Watson in seine Sicherheitsplattform

von Stefan Beiersmann

Watson für Cyber Security stellt SOCs kognitive Technologien zur Verfügung. Zudem beschäftigt sich IBM mit Chat-Bots und einem sprachbasierten IT-Sicherheitsassistenten. Watson soll die für die Analyse sicherheitsrelevanter Ereignisse benötigte Zeit von Wochen auf mehrere Minuten reduzieren. weiter

Google-Forscher knackt Samsungs Sicherheitsplattform Knox

von Stefan Beiersmann

Vier Schwachstellen erlauben es, den Echtzeit-Kernel-Schutz auszuhebeln. Ein Programmierfehler macht beispielsweise die Sicherheitsfunktion Kernel Adress Space Layout Randomization unbrauchbar. Samsungs Januar-Android-Patch enthält Fixes für die Anfälligkeiten. weiter

Endpoint-Security-Lösungen: Bitdefender und Kaspersky gewinnen Test

von Stefan Beiersmann

Sie erreichen unter Windows 10 als einzige Lösungen die Maximalwertung von 18 Punkten. Eine Erkennungsrate von 100 Prozent erzielt aber auch Symantecs Endpoint Security. Microsofts System Center Endpoint Protection landet indes auf dem vorletzten Platz. weiter

WordPress stopft stillschweigend kritische Zero-Day-Lücke

von Stefan Beiersmann

Sie erlaubt nicht autorisierten Nutzern, beliebige Inhalte zu ändern oder zu veröffentlichen. Unter Umständen kann ein Angreifer auch Schadcode einschleusen und ausführen. Davon betroffen ist nur die im Januar veröffentlichte Version 4.7. weiter

Microsoft: Windows Defender ATP stoppt Ransomware

von Stefan Beiersmann

Das ist zumindest das Ergebnis einer Studie zur Ransomware Cerber. Demnach kann Windows Defender ATP die Funktionsweise einer Ransomware erkennen und deren weitere Ausbreitung im Netzwerk verhindern. Das Sicherheitstool ist allerdings Windows 10 Enterprise vorbehalten. weiter

Ex-Firefox-Entwickler kritisiert Antivirensoftware

von Stefan Beiersmann

Ihm zufolge sind die meisten Sicherheitslösungen fehlerhaft. Dadurch sollen sie die Angriffsfläche für Hacker vergrößern. Unter Windows hält Robert O'Callahan nur den Einsatz von Microsoft Defender für vertretbar. Seine Kritik beruht auf eigenen Erfahrungen und Untersuchungen von Googles Project Zero. weiter

WordPress stopft drei schwerwiegende Sicherheitslöcher

von Stefan Beiersmann

Sie stecken in der Version 4.7.1 und früher. Ein Patch soll verhindern, dass Plug-ins oder Themes für eine SQL Injection benutzt werden. Das Content Management System ist außerdem anfällig für Cross-Site-Scripting. weiter

Apple schließt kritische Sicherheitslücken in iOS und macOS

von Stefan Beiersmann

Macs, iPhones und iPads sind anfällig für das Einschleusen und Ausführen von Schadcode mit Kernelrechten. In Apples Mobilbetriebssystemen stecken insgesamt 18 Anfälligkeiten. Weitere elf Löcher stopfen die Entwickler in macOS Sierra 10.12.2. weiter

Symantec sperrt fehlerhafte Sicherheitszertifikate

von Stefan Beiersmann

Sie stammen von einem von WebTrust geprüften Partner. Den Missbrauch der Zeritifikate meldet ein unabhängiger Sicherheitsforscher. Symantec sperrt die Zertifikate innerhalb von 24 Stunden nach Erhalt der Meldung. weiter

HPE: Missstände in Cyber-Abwehrzentren

von Stefan Beiersmann

82 Prozent von 140 untersuchten Abwehrzentren erfüllen nicht die Anforderungen. Unternehmen fehlt unter anderem Fachpersonal. Ein weiteres Problem ist die Automatisierung von Prozessen, die "einen menschlichen Verstand benötigen". weiter

NAS-System von Qnap weist laut F-Secure-Warnung Sicherheitslecks auf

von Anja Schmoll-Trautmann

Angreifer haben die Möglichkeit, unbehelligt Malware zu installieren, auf Inhalte und Daten zuzugreifen, Passwörter zu stehlen und sogar Befehle per Remote auszuführen, wie F-Secure warnt. Schätzungen zufolge sind mindestens 1,4 Millionen Geräte betroffen. weiter

WhatsApp widerspricht angeblicher Hintertür

von Stefan Beiersmann

Es geht um eine mögliche Sicherheitslücke beim Umgang mit offline erstellten Nachrichten. Sie soll es WhatsApp erlauben, Nachrichten seiner Nutzer mitzulesen. Neben WhatsApp bestreitet auch der Entwickler des WhatsApp-Verschlüsselungsprotokolls Signal die angebliche Hintertür. weiter

Januar-Patchday: Microsoft stopft Sicherheitslöcher in Edge und Office

von Stefan Beiersmann

Von ihnen geht ein hohes Sicherheitsrisiko aus. Das gilt auch für eine Schwachstelle in Windows Vista, Server 2008, 7 und Server 2008 R2. Insgesamt bringt der erste Patchday des Jahres lediglich vier Bulletins. Ohne die Anfälligkeiten im Flash-Plug-in bleiben sogar nur drei Bugs in Microsoft-Produkten übrig. weiter

Switcher: Android-Malware ändert Einstellungen des WLAN-Routers

von Anja Schmoll-Trautmann

Die Kriminellen erstellen ihren eigenen DNS-Server und leiten Anfragen mittels DNS-Hijacking um. Die Angriffsmethode ist aktuell in China erfolgreich, könnte aber grundsätzlich auch Nutzer in Deutschland treffen. Kaspersky-Experte Alex Drozhzhin sieht für Kriminelle zahlreiche Möglichkeiten, so Passwörter und Log-in-Informationen abzugreifen. weiter