Sicherheitsmanagement

Windows-Update-Dienst ermöglicht Einschleusen von Malware in Firmen

Wie Sicherheitsforscher auf der Black-Hat-Konferenz gezeigt haben, lassen sich Admin-Rechte dank einer unsicheren Implementierung des WSUS-Dienstes ausweiten. Das ermöglicht Man-in-the-Middle-Attacken. Die Experten empfehlen, SSL-Verschlüsselung standardmäßig zu aktivieren. weiter

Check Point meldet Sicherheitslücke in nahezu allen Android-Geräten

Die von ihren Entdeckern Certifi-gate getaufte Schwachstelle erlaubt Angreifern uneingeschränkten Zugriff auf ein Gerät. Sie können dazu Applikationen für die Fernwartung missbrauchen, die in der Regel mit diesen Rechten ausgestattet sind. Grund ist, dass Android keine Möglichkeit bietet, um die Zertifikate für erweiterte Rechte zu deaktivieren. weiter

WordPress 4.2.4 schließt sechs Sicherheitslücken

Davon bietet eine die Möglichkeit, per SQL-Injection Schaden anzurichten. Drei der nun behobenen Schwachstellen erlauben Angriffe per Cross-Site-Scripting. Die Entwickler empfehlen Nutzern daher dringend, ihre Installationen zu aktualisieren. weiter

Exploit für ungepatchte Lücke in OS X 10.10 ermöglicht Root-Rechte

Die Schwachstelle wurde im Juli durch den Sicherheitsforscher Stefan Esser entdeckt. Ein Adware-Installer nutzt die vollumfängliche Austattung mit Admin-Rechten und die dadurch ausbleibende Passwort-Abfrage bereits aktiv aus, wie Malwarebytes herausgefunden hat. Über die Unix-Shell und die Anwendung VSInstaller spielt sie unerwünschte Software auf das System. weiter

Hacker knackt OnStar-Fahrzeugsystem von General Motors

Er öffnet die Türen eines Autos, startet den Motor und ortet das Fahrzeug. Mit einem auf einem Raspberry Pi basierenden Gerät fängt er die Kommunikation zwischen einer mobilen Smartphone-App und den GM-Servern ab. Danach erhält Samy Kamkar dauerhaft Zugriff auf alle OnStar-Funktionen. weiter

Forscher entwickeln schnellere Tor-Alternative Hornet

Bei Tests erreichen sie Transferraten von bis zu 94 GBit/s. Hornet nutzt zwei unterschiedliche Onion-Protokolle zur Anonymisierung von Daten. Es ist aber wie Tor auch für sogenannte Confirmation-Angriffe anfällig. weiter

Nach Highway-Hack: Fiat Chrysler ruft 1,4 Millionen Fahrzeuge zurück

Es handelt sich um Modelle der Baureihen Ram, Dodge Viper, Dodge Charger sowie Jeep der Baujahre 2013 bis 2015. Das Software-Update bringt laut Chrysler weitere Sicherheitsfunktionen. US-Politiker wollen nun per Gesetz die Hersteller zwingen, Fahrzeugsysteme vor Hackerangriffen zu schützen. weiter

Microsofts Cybersecurity-Software ATA ab August verfügbar

Sie basiert auf Technologien des im November 2014 übernommenen Aorato. Advanced Threat Analytics soll Unternehmen vor Cyberangriffen schützen. Die Software analysiert Nutzerverhalten und erkennt Angriffe in Echtzeit. weiter

Google: Geplante US-Exportbestimmungen gefährden Sicherheit

Es geht um die Umsetzung des Wassenaar-Abkommens. Es soll eigentlich den Export von Spähsoftware an repressive Staaten regulieren. Google befürchtet nun auch Einschränkungen für den Austausch von Informationen über Sicherheitslücken. weiter

Juli-Patchday: Microsoft schließt kritische Lücken in Windows und IE

In IE 6, 7, 8, 9, 10 und 11 klaffen alleine 28 Sicherheitslöcher. Außerdem sind SQL Server, Office, Hyper-V und zahlreiche Windows-Komponenten wie das Remote-Desktop-Protokoll anfällig. Microsoft stellt letztmalig auch Updates für Windows Server 2003 zur Verfügung. weiter

Adobe schließt 54 Sicherheitslücken in Reader, Acrobat und Shockwave

In den PDF-Anwendungen stecken alleine 52 als kritisch eingestufte Anfälligkeiten. Sie erlauben das Einschleusen und Ausführen von Schadcode und Denial-of-Service-Angriffe. Ein Hacker könnte mithilfe von zwei Bugs in Shockwave Player die Kontrolle über ein betroffenes System übernehmen. weiter

Adobe bringt Notfall-Update für Flash Player

Für Windows und Mac OS X steht ab sofort das Update auf die Version 18.0.0.209 zur Verfügung. Es behebt mindestens zwei als kritisch eingestufte Zero-Day-Lücken. Mozilla blockiert inzwischen in Firefox das Flash-Plug-in 18.0.0.203 und früher. weiter

Nach Übernahme durch Twitter: Passwortmanager Mitro wird eingestellt

Die Schließung erfolgt am 31. August. Schon ab dem 18. Juli können keine neun Konten mehr angelegt werden. Ab 16. August lassen sich Daten nur noch lesen, aber keine weiteren hinzufügen. Die Entwickler bieten eine Exportfunktion zum einfachen Umstieg auf LastPass oder 1Password an. weiter

Trend Micro entdeckt Zero-Day-Lücke in Java

Sie steckt offenbar nur in der aktuellen Version 8 Update 45. Java 6 und 7 sind laut dem Sicherheitsanbieter nicht betroffen. Ein Exploit für die Java-Lücke wird derzeit gegen ein Nato-Mitglied und das US-Militär eingesetzt. weiter

Patch schließt Man-in-the-Middle-Lücke in OpenSSL

Die Schwachstelle steckt nur in den Versionen 1.0.1n, 1.0.1o, 1.0.2b und 1.0.2c. Sie sind erst seit wenigen Wochen erhältlich und von daher nicht sehr weit verbreitet. Ein Angreifer könnte ein gefälschtes Zertifikat benutzen, um eine manipulierte Website als legitime Seite auszugeben. weiter

Adobe schließt 36 Sicherheitslücken in Flash Player

Ein Angreifer könnte mit ihrer Hilfe die Kontrolle über ein betroffenes System übernehmen. Darunter ist auch ein Loch, das in den Hacking Team entwendeten Geschäftsunterlagen beschrieben wird. Kommenden Dienstag veröffentlicht Adobe auch Patches für Reader und Acrobat. weiter

Adobe warnt vor Angriffen auf Zero-Day-Lücke in Flash Player

Es handelt sich um einen Bug, der in entwendeten Geschäftsunterlagen von Hacking Team beschrieben wird. Laut Trend Micro nutzen mindestens drei Exploit Kits die Lücke bereits aus. Adobe will noch heute einen Patch bereitstellen. weiter

Erneut kritische Sicherheitslücke in OpenSSL entdeckt

Sie steckt in der Versionen 1.0.1 und 1.0.2. Die Lücke kann unter Umständen für Denial-of-Service-Angriffe oder das Einschleusen und Ausführen von Schadcode ausgenutzt werden. Am Donnerstag stellt das OpenSSL Project einen Patch für die Schwachstelle zur Verfügung. weiter

iOS 8.4: FireEye beschreibt drei Sicherheitslücken der Vorgängerversionen

In iOS 8.3 und früher stecken zwei Bugs, die die Manipulation von Apps und unautorisierte Datenzugriffe erlauben. Unter iOS 8.1.2 und früher war es zudem möglich, VPN-Verbindungen abzufangen. Laut FireEye läuft iOS 8.1.2 und früher noch auf rund einem Drittel aller iPhones und iPads. weiter

Apple kündigt Fixes für Xara-Lücken in iOS und OS X an

Ein erster Patch blockiert bereits anfällige Apps im Mac App Store. Zum Zeitplan für weitere Fehlerkorrekturen macht Apple jedoch keine Angaben. Laut iMore sind die Auswirkungen von Xara auf iOS weniger gravierend als auf OS X. weiter

Xara: Kritische iOS- und OS-X-Lücken erlauben Passwortdiebstahl

Ein Team aus sechs Forschern kompromittiert Apples Keychain und auch das Prüfverfahren für den App Store. Mithilfe einer manipulierten App erhalten sie Zugriff auf Passwörter und Tokens für iCloud und Facebook. Apple weiß seit Oktober 2014 von den Anfälligkeiten. weiter