Betroffen sind die Versionen IE 9, 10 und 11 unter Windows 10 und Windows Server. Ein Angreifer kann aus der Ferne Schadcode einschleusen und ausführen. Microsoft rät Betroffenen, den Zugriff auf eine alte Version der Scripting Engine jscript.dll einzuschränken. weiter

Eine neue Variante nutzt einen als Fodhelper bezeichneten Bypass. Dabei kommt eine legitime Windows-Datei zum Einsatz. Sie soll Nutzern eigentlich helfen, auch ohne Administratorrechte bestimmte Programme auszuführen. weiter

Es sind insgesamt 94 Produkte betroffen. 191 Schwachstellen lassen sich aus der Ferne ohne Eingabe von Anmeldedaten ausnutzen. Die Gesamtzahlen der Lücken stellt den bisherigen Rekord aus Juli 2018 ein. weiter

Es liegen mindestens drei verschiedene Exploits vor, von denen zwei öffentlich verfügbar sind. Das erhöht die Wahrscheinlichkeit von Angriffen deutlich. Windows Defender ist nun in der Lage, Attacken auf die Lücken zumindest zu erkennen und Nutzer zu warnen. weiter

Ein Update für die App schaltet die neue Funktion frei. Das iPhone dient nun als Hardware-Sicherheitsschlüssel für eine Anmeldung in zwei Schritten. Dafür wird allerdings eine Bluetooth-Verbindung zwischen iPhone und dem Gerät benötigt, auf dem die Anmeldung erfolgt. weiter

Es handelt sich um seine Variante des Banking-Trojaners Faketoken. Sie nutzt weiterhin klassische Funktionen einer Banking-Malware wie den Zugriff auf Kontodaten und SMS. Kaspersky findet bisher 5000 infizierte Smartphones. weiter

Sie steckt in der Kryptographie-Bibliothek. Angreifer können schädliche Dateien signieren und verschlüsselte Kommunikation abhören. Microsoft stellt offenbar vorab bestimmten Behörden und Betreibern kritischer Infrastrukturen einen Fix zur Verfügung. weiter

Unbekannte schleusen es in den Paket-Manager für JavaScript ein. Microsoft-Forscher entdecken das Paket schon nach 14 Tagen. In der Zeit kommt es nur auf rund 32 Downloads. Das Paket stiehlt unter anderem Umgebungsvariablen. weiter

Betroffen sind Geräte mit Chips von Broadcom. Sie enthalten möglicherweise eine Fehlerhafte Komponente, die eigentlich vor Signalstörungen schützen soll. Angreifer sind unter Umständen in der Lage, die vollständige Kontrolle über ein Modem zu übernehmen. weiter

Zwei Forscherteams stellen ihren Beispielcode unabhängig voneinander auf GitHub zum Download bereit. Damit ist eine wichtige Hürde für die Entwicklung eines Exploits für die Shitrix genannte Lücke genommen. Citrix stellt indes die Veröffentlichung eines Patches in Aussicht. weiter

Es handelt sich um ein Einstiegsgeräte des Herstellers Unimax. Das Smartphone wird in den USA mit einer staatlichen Förderung an Bürger mit geringen Einkommen verkauft. Malwarebytes findet auf den Geräten unter anderem eine bekannte Adware. weiter

Sie erlaubt es, bestimmte Geräte wie Google Pixel 2 zu rooten. Die Hintermänner haben es auf Daten von Apps wie Twitter, Facebook und Gmail abgesehen. Für die Schwachstelle in Android liegt seit Oktober ein Patch vor. weiter

Forscher registrieren in ihren Honeypots immer häufiger Scans nach anfälligen Citrix-Produkten. Cyberkriminelle verfügen aber offenbar noch nicht über einen funktionsfähigen Exploit. Nutzer warten indes weiter auf die Veröffentlichung eines Patches. weiter

Betroffen sind auch Nutzer in Deutschland. Shopper.a missbraucht die Bedienungshilfen, um beispielsweise Play Protect abzuschalten und Apps aus unbekannten Quellen zu installieren. Fake-Bewertungen legt die Malware mit dem Google-Konto eines Opfers an. weiter

Die Schwachstelle steckt im JavaScript JIT Compiler IonMonkey. Mozilla bestätigt aktive zielgerichtete Angriffe auf den Browser. Möglicherweise ist auch Internet Explorer von dem Problem betroffen. weiter

Sie erlauben unter anderem das Löschen und Veröffentlichen von Videos. Check Point entdeckt unter anderem eine XSS-Lücke in der TikTok-Website. Sie lässt sich auch mit anderen Bugs kombinieren, um Nutzerdaten zu stehlen. weiter

Dabei stellen Schadprogramme auf Endgeräten die häufigsten Sicherheitsvorfälle dar. Jeder Achte wurde zudem beim Online-Banking betrogen. weiter

Ein Reddit-Nutzer steuert ungewollt über einen Google Nest Hub fremde Überwachungskameras an. Google ist das Problem inzwischen bekannt. Es arbeitet mit Xiaomi an einer Lösung. weiter

Google entfernt die Erweiterung Shitcoin Wallet aus dem Chrome Web Store. Sie stiehlt außerdem die Anmeldedaten von weiteren Online-Plattformen zur Verwaltung von Kryptowährungen. Möglicherweise ist auch die gleichnamige Windows-App betroffen. weiter

Per Gerichtsbeschluss übernimmt der Softwarekonzern die Kontrolle über mehr als 50 Domains. Die Hacker sollen dafür Phishing-E-Mails verschickt und Phishing-Seiten gehostet haben. Die Angriffe richten sich gegen Regierungsmitarbeiter und Menschenrechtler in den USA, Japan und Südkorea. weiter

Die von Positive Technology entdeckte Schwachstelle mit der Kennung CVE-2019-19781 existiert bereits seit 2014. Sie soll Angreifern Zugriff auf das lokale Netzwerk erlauben. Angeblich sind davon mehr als 80.000 Firmen in 158 Ländern betroffen. weiter

Außerdem bietet die neue Chrome-Version weitere Funktionen zur Verbesserung der Sicherheit. Dazu zählt etwa ein Echtzeit-Blacklisting bösartiger Websites. weiter

Ein Angreifer kann aus der Ferne eine Anmeldung ohne Passwortabfrage erzwingen. Drei weitere Schwachstellen erlauben eine nicht autorisierte Ausweitung von Nutzerrechten. Im schlimmsten Fall erhält ein lokaler User Root-Rechte. weiter

Microsoft gleicht die Anmeldedaten seiner Nutzer mit einer Datenbank mit mehr als 3 Milliarden Nutzernamen und Kennwörtern ab. In der Zahl sind auch Konten von Azure Active Directory enthalten. Die Inhaber von Consumer-Konten fordert Microsoft zur Vergabe neuer Kennwörter auf. weiter

Die IBM-Forscher ordnen die Malware ZeroCleare den Gruppen APT33 und APT34 zu. Erstere steckt auch hinter dem Wiper Shamoon. ZeroCleare nutzt für die eigentliche Datenlöschung ein legitimes Festplatten-Tool, das den MBR löscht und die Partitionstabelle zerstört. weiter

Ein Mitarbeiter des Unternehmens gibt ein Session-Cookie an einen externen Hacker weiter. Der erhält somit Zugriff auf Details zu Schwachstellen. Offenbar fehlten einfache Sicherheitsvorkehrungen, die einen Missbrauch des Coookies hätten verhindern können. weiter

Sie sollen den Browserverlauf von Nutzern ausspähen. Das ist laut Mozillas Richtlinie für Browser-Erweiterungen verboten. Auch Google untersagt diese Praxis. Im Chrome Web Store sind die Add-ons indes weiterhin erhältlich. weiter

Schädliche Apps können Berechtigungen im Namen von legitimen Apps einfordern. Die Schwachstelle erlaubt es solchen Apps auch, sich generell als legitime App auszugeben. Auch ohne Root-Rechte erhalten gefährliche Apps so Zugriff auf Geräte und Apps. weiter

Als kritisch bewertet Google sieben Anfälligkeiten. Sie stecken unter anderem im Android Framework und im Media Framework. Betroffen sind Geräte mit Android 8.x Nougat, 9 Pie und 10. weiter

Betroffen ist auch die Desktopanwendung von Autodesk. Alle drei Programme prüfen die Echtheit von DLL-Dateien nicht ausreichend. Ihnen lassen sich unter Umständen unsignierte Programmbibliotheken unterschieben, was einem Angreifer Systemrechte verschafft. weiter