Sucuri warnt vor einer Cross-Site-Scripting-Lücke in Jetpack. Sie lässt sich über speziell präparierte Kommentare ausnutzen. Ein Angreifer kann so JavaScript-Code einschleusen und unter Umständen Spam einfügen oder Besucher auf gefährliche Websites umleiten. weiter

Er nutzt dafür eine neue Funktion von Xcode 7. Sie erlaubt eine Zertifizierung von Apps mit einer Apple ID. Solche Apps lassen sich per Sideloading auch auf iPhones und iPads ohne Jailbreak installieren. weiter

Sie haben in den vergangenen zwei Wochen eine entsprechende Mitteilung erhalten. Reddit sah sich durch eine "generelle Zunahme" durch Dritte für schädliche Zwecke übernommener Konten zu der Maßnahme gezwungen. Es führt dies unter anderem auf die kürzliche Veröffentlichung von Millionen LinkedIn-Zugangsdaten zurück. weiter

Sie basiert auf einem verteilten Zufallsgenerator. Mehrere Computer im Tor-Netzwerk erzeugen künftig zufällige Zahlen, die zur Erstellung von Verschlüsselungsschlüsseln benutzt werden. Das soll die Schlüssel unvorhersehbar machen. weiter

Entwicklern steht ab sofort das Credential Management API zur Verfügung. Es meldet bereits eingeloggte Nutzer automatisch an, wenn sie eine Website erneut besuchen. Google reduziert zudem des Offscreen Rendering und damit den Stromverbrauch mobiler Websites. weiter

Eine neue Programmierschnittstelle sammelt im Hintergrund Sensor- und Nutzerdaten, um den aktuellen Benutzer eines Smartphones zu erkennen. Der erhält so ohne Eingabe eines Passworts Zugriff auf bestimmte Apps. Google will das System noch in diesem Jahr für Android-Entwickler freigeben. weiter

Das besagt zumindest das erste "Vulnerabilities Barometer" des Sicherheitsanbieters Stormshield. Java und Betriebssysteme verlieren hingegen als Einfallstor für Angreifer an Bedeutung. Die Ergebnisse bestätigen ähnliche Bedrohungsranglisten anderer Anbieter. weiter

Es handelt sich um die Zero-Day-Lücke CVE-2016-4117. Exploits für die Schwachstelle finden sich inzwischen in den Exploit Kits Magnitude, Neutrino und Angler. Adobe verteilt seit 12. Mai ein Update, das die Anfälligkeit beseitigt. weiter

Zwei Anfälligkeiten erlauben Brute-Force-Angriffe. Ein belgischer Sicherheitsforscher errät so erfolgreich Nutzernamen und Passwörter von Instagram-Konten. Facebook hat die Löcher inzwischen gestopft. weiter

Bei einem Viertel übernimmt ein externer Anbieter sogar die gesamte Verantwortung für die IT-Sicherheit. Bei einem Fünftel ist zusätzlich die eigene IT-Abteilung involviert. Die Zusammenarbeit mit Dienstleistern hängt der von Bitkom Research durchgeführten Umfrage zufolge nicht von der Firmengröße ab. weiter

Der Fehler steckt in einer Sicherheitsfunktion von Qualcomm-Chips. Er lässt sich allerdings nicht aus der Ferne und nur über eine schädliche App ausnutzen. Google verteilt seit Januar einen Patch, der bisher aber nur bei rund 25 Prozent aller anfälligen Geräte angekommen ist. weiter

CryptXXX installiert zusätzlich einen Sperrbildschirm. Er soll den Einsatz von Entschlüsselungstools, wie sie für TeslaCrypt zur Verfügung stehen, verhindern. CryptXXX wird mithilfe des Exploit Kits Angler über kompromittierte Websites und Malvertising verbreitet. weiter

Er stört sich daran, dass die Ende-zu-Ende-Verschlüsselung nur im Inkognitomodus der Messaging-App aktiviert ist. Dies mache Allo "unsicher". Der Sicherheitsberater des Allo-Teams, Thai Duong, zieht hingegen verschwindende Nachrichten einer Ende-zu-Ende-Verschlüsselung vor. weiter

Sie soll proaktiv vor fortgeschrittenen, andauernden Bedrohungen sowie Malware schützen. Dazu setzt sie auf Künstliche Intelligenz und maschinelles Lernen. Dell verspricht einfache Verwaltung und geringen Ressourcenverbrauch. Threat Defense wird ab Juli als Abonnement erhältlich sein. weiter

Der "Rapid-Detection Service" vereint maschinelle und menschliche Analyseverfahren, um Kunden in weniger als 30 Minuten über Sicherheitsvorfälle zu informieren. Zudem helfen Experten Firmen bei der Bewältigung - bei Bedarf auch vor Ort. Der Dienst soll sich nahtlos in vorhandene Netzwerksysteme integrieren. weiter

Die Malware ist für 17 Prozent der weltweiten Angriffe auf Windows-Systeme verantwortlich. Im Mobilbereich führt der Android-Schädling HummingBad die Statistik an. Erstmals ist auch eine iOS-Schadsoftware unter den führenden drei mobilen Bedrohungen. weiter

Sie soll ungenaue Informationen liefern und Nutzer verunsichern. Dem Entwickler zufolge will Apple jedoch nur verhindern, dass der Eindruck entsteht, iOS sei unsicher. Apple soll die App erst entfernt haben, nachdem sie populärer als Spiele wie Grand Theft Auto geworden ist. weiter

Die Entwürfe griffen sie mit fremden Kontodaten bei Businesswire, Marketwire und PR Newswire ab. Insgesamt verschafften sie sich 150.000 Pressemeldungen vor allem zu Quartalsergebnissen vorab. Diese ließen sie gegen Zahlungen in fünfstelliger Höhe Spekulanten zukommen. weiter

Unter Linux und OS X resultierte das Parsen präparierter Portable-Executables in einem Heap Overflow. Unter Windows weitet sich das Problem zu Remote-Codeausführung aus, da es die Antiviren-Engine in den Kernel lädt. Ein Update ist seit gestern verfügbar. weiter

Sie enthalten Angaben zu sexuellen Neigungen und Präferenzen. Experten glauben, dass sich viele davon problemlos Realnamen zuordnen lassen. Die Daten sind bei OkCupid öffentlich einsehbar - wenn auch jeweils nur isoliert. Das Portal beklagt einen Verstoß gegen seine Nutzungsbedingungen. weiter

Angreifer können sie theoretisch ausnutzen, um Schadcode auszuführen. Ursache ist eine fehlerhafte Überprüfung von Eingabedaten. Außer der Archivierungssoftware selbst sind auch alle Produkte betroffen, die deren Bibliotheken implementieren. Mit Version 16.00 wurden die Lücken geschlossen. weiter

Von ihr direkt kontrollierte Geldinstitute sollen darüber Störfälle melden. Die Datenbank dient dem stellvertretenden Generaldirektor François-Louis Michaud zufolge als "Frühwarn- und Analysesystem". Seit Februar läuft bereits ein Pilotprojekt mit 18 von der EZB beaufsichtigten Banken. weiter

Betroffen sind die Versionen für Windows und OS X sowie die in Chrome, IE 11 und Edge enthaltenen Plug-ins. Darunter ist auch die seit Anfang der Woche bekannte Zero-Day-Lücke. Ein Angreifer kann unter Umständen die vollständige Kontrolle über ein ungepatchtes System übernehmen. weiter

Es geht um eine Schwachstelle in dem auf Firefox basierenden Tor-Browser. Mozilla vermutet, dass die Anfälligkeit im Firefox-Code steckt. Es will nun per Gerichtsbeschluss die Details erfahren, bevor die Regierung sie an Dritte weitergibt. weiter

Es verspricht eigentlich bis zu 15.000 Dollar fürs Finden von Lücken mit großen potenziellen Auswirkungen. Sicherheitsforscher Behrouz Sadeghipour hatte die Schwachstelle "ImageTragick" auf der Yahoo-Site Polyvore am 4. Mai gemeldet und Beispielcode beigefügt. Er ist aber nicht ihr Entdecker. weiter

Betroffen sind die Versionen für Windows, OS X und Linux. Für insgesamt fünf Schwachstellen zahlt Google eine Belohnung von 20.337 Dollar. Das Update schließt auch die seit Anfang der Woche bekannte Zero-Day-Lücke in Adobes Flash-Plug-in. weiter

Es geht ihnen offenbar um Anmeldedaten für geschäftliche und private E-Mail-Konten hochrangiger CDU-Mitglieder. Dafür richten sie einen gefälschten CDU-Server in Lettland ein. Die Hacker erstellen aber auch Phishing-Websites für die E-Mail-Provider GMX und Web.de. weiter

Die Sicherheitslücke ist schon seit Jahren bekannt. SAP verteilt seit 2010 einen Patch, der die anfällige Komponente deaktiviert. Trotzdem sind noch mindestens 36 Unternehmen weltweit – auch in Deutschland – angreifbar. weiter

Das umstrittene Wi-Fi Sense fehlt im jüngsten Insider-Build 14342. Laut Gabe Aul von Microsoft handelt es sich um eine dauerhafte Entscheidung. Der Aufwand sei in Relation zu Interesse und Nutzung zu groß. Die Funktion ermöglichte Kontakten WLAN-Zugriffe, ohne ihnen das eigentliche Passwort anzuzeigen. weiter

Darunter ist auch eine Zero-Day-Lücke, die Nutzer aller Versionen von Internet Explorer betrifft. Insgesamt bringt der Mai-Patchday 15 Sicherheitsupdates. Sie beseitigen auch Schwachstellen in Office und .NET Framework. weiter