Arcadewelten.eu

Das PHP-Entwicklerteam hat einen erneuten Versuch unternommen, die kritische Schwachstelle beim Zusammenspiel mit CGI in den Griff zu bekommen. PHP interpretiert im CGI-Mode bestimmte URL-Parameter als Kommandozeilenparamter. Dadurch liefert ein betroffener Server den Quellcode einer Seite aus, wenn man die Zeichenkette ?-s an das Ende einer URL hängt (http://www.heise.de/?-s). Auch das Ausführen von Code ist auf diese Weise möglich.

Quelle: Heise.de

Mit dem am Freitag veröffentlichten Flash-Update schließt Adobe eine kritische Schwachstelle, die bereits aktiv für gezielte Angriffe ausgenutzt wird. Durch die Lücke kann ein Angreifer unter Umständen die Kontrolle über einen fremden Rechner übernehmen. Bei den von Adobe beobachteten Angriffen wurden Mails verschickt, welche die Empfänger dazu animiert haben, die angehängte Datei auszuführen.

Quelle: heise.de / zum Artikel

Mit dem Update auf WordPress 3.3.2 schließen die Entwickler einige Sicherheitslücken in der weit verbreitetem Blog-Software und ihren Komponenten. In den Bibliotheken Pluploa, SWFUpload und SWFObject wurden nicht näher beschriebene Schwachstellen geschlossen, die vertraulich von Sicherheitsexperten gemeldet wurden. Die Bibliotheken dienen unter anderem dem Hochladen und Einbetten von Mediendateien.

Quelle: heise.de /Zum Artikel

Microsoft hat anlässlich seines April-Patchdays sechs Bulletins veröffentlicht, die elf Schwachstellen schließen; unter anderem in Internet Explorer, Windows und Office. Die meisten Lücken befinden sich im Internet Explorer. Durch einige der sechs Schwachstellen kann man sein System beim Besuch einer speziell präparierten Webseite mit Schadcode infizieren. Dies funktioniert unter anderem dann, wenn die JavaScript-Engine auf ein bereits freigegebenes Objekt im Speicher zugreift ("use-after-free").

Quelle: Heise.de

Der Sicherheitsdienstleister Sicherheit-Online.org hat mehrere Schwachstellen im Internetportal Web.de entdeckt. Vermeintlich vertrauenswürdige URLs locken Nutzer auf betrügerische Seiten.

...

Bedrohungen auch in sozialen Netzwerken
Bei Facebook ist diese Praxis schon länger üblich. Lockmittel wie „unfassbare“ Videos oder Bilder verlangen eine Bestätigung mit „Gefällt mir“ und ein Link zur Schadsoftware teilt sich auf Ihrer Pinnwand. So infizieren Viren Ihren Rechner, die mit der gleichen Methode auf die Rechner Ihrer Freunde gelangen.

Quelle: Computerbild.de / Zum Artikel

Via Abzocknews.de

Der in Berlin ansässige Sicherheitsberater David Vieira-Kurz machte WinFuture.de darauf aufmerksam, dass der Apple Store gegenwärtig für eine Cross-Site-Scripting (XSS) Schwachstelle anfällig ist.

Durch das Ausnutzen dieser angeblich trivial auffindbaren XSS-Schwachstelle ist es unter Umständen möglich, Cookies auszulesen und im nächsten Schritt sogar Aktionen im Kontext eines anderen angemeldeten Benutzers auszuführen.

Ferner schreibt David Vieira-Kurz auf seiner Webseite 'Secalert.net', dass es im Bereich des Möglichen liegt, weitere Inhalte von eigenen, kontrollierten Webservern nachzuladen und auf diese Weise Benutzernamen und die zugehörigen Kennwörter auszuspähen.

Quelle : winfuture.de

In dieser Woche hat 'Adobe' ein Update für den Flash Player veröffentlicht, mit dem zahlreiche Sicherheitslücken aus der Welt geschaffen werden. Den Nutzern wird die Installation daher dringend empfohlen.

Mehrere dieser geschlossenen Schwachstellen könnte ein Angreifer dazu nutzen, um Schadcode auf die Systeme der Opfer einzuschleusen und diese letztlich möglicherweise sogar zu übernehmen. Insgesamt handelt es sich laut Adobe um zwölf geschlossene Schwachstellen im Flash Player.

Wegen diesen teilweise kritischen Problemen hat man im Hause Adobe die Entscheidung getroffen, außerhalb des Quartalspatchdays das besagte Update freizugeben. Über die offiziellen Anlaufstellen können die Updates für Windows, Mac OS X, Android, Solaris und Linux heruntergeladen werden.

Quelle : winfuture.de / Zum Artikel

In bekannte Manier haben sich die Entwickler von 'Microsoft' auch in diesem Monat wieder eine Woche vor dem Patch-Day zu den bevorstehenden Updates geäußert. Am Dienstag will man 20 Sicherheitslücken schließen.

Zu diesem Zweck wird Microsoft im Rahmen des monatlichen Patch-Days, der immer am zweiten Dienstag im Monat stattfindet, 14 Patches zum Download freigegeben. Die Installation der Updates wird allen Windows-Nutzern empfohlen. Die angesprochenen Patches betreffen in diesem Monat die Windows-Betriebssysteme, den Internet Explorer und Office.

Aus den offiziellen Angaben geht hervor, dass drei Sicherheitslücken als kritisch eingestuft werden, da hierbei eine akute Gefahr für die Benutzer besteht. Ein Angreifer könnte die Schwachstellen unter Umständen ausnutzen, um Schadcode aus der Ferne auf die Systeme der Opfer einzuschleusen.

Die restlichen 11 Updates stuft Microsoft in die Kategorie „wichtig“ ein. Diese betreffen neben Windows-Systemen wie bereits angesprochen auch Microsoft Office und den Internet Explorer. Teilweise könnte ein Angreifer auch diese Schwachstellen zur Ausführung von Schadcode nutzen. Allerdings besteht hierbei keine größere Gefahr, so Microsoft.

Zahlreiche Facebook-Nutzer beklagten sich in den vergangenen Tagen über eine groß angelegte Welle von veröffentlichten Sex- und Gewaltbildern auf ihren Profilen. Die Betreiber konnten die zugehörige Schwachstelle nun schließen.

Den bekannt gewordenen Informationen zufolge konnten die Betreiber des weltgrößten Social Networks die zugehörige Schwachstelle ausfindig machen und die Spamwelle auf Facebook weitgehend stoppen. Sensible Daten sind dabei nicht abhanden gekommen, heißt es.

In diesem Zusammenhang ruft Facebook zur Vorsicht auf, wenn es um unbekannte Links geht, die auf dem Sozialen Netzwerk veröffentlicht werden. Derartige Adressen sollten nicht aufgerufen oder in die Adresszeile des Browsers eingegeben werden, teilte man mit.

Verbreitet wurden die besagten Inhalte letztlich von den Nutzern des Netzwerks selbst. Dazu war es erforderlich, einen Link mit JavaScript-Code in die Adresszeile des Browsers einzugeben. Wie diese Entwicklung zeigt, waren viele Facebook-Mitglieder dazu bereit.

Die geschalteten Sicherheitsmaßnahmen von Facebook konnten in diesem Zusammenhang überwunden werden, da die Nutzer den Code selbst eingeben mussten. Auch vor solchen Fälle wollen sich die Betreiber von Facebook in Zukunft besser schützen, berichtet die britische 'BBC'.

Die neuen Sicherheitsupdates für Windows sind da. Aktuell stopft Microsoft ein kritisches Wurmloch und repariert drei minder schwere Löcher in seinen Betriebssystemen – nur Windows XP bekommt diesmal keinen Softwareflicken ab.

Microsoft liefert insgesamt vier neue Update-Pakete für Windows 7 und Vista aus, von denen eines mit der höchsten Gefahrenstufe kritisch eingestuft wird. Der Grund: Die mit Patch MS11-083 geschlossene Lücke ließe sich für eine Wurmattacke missbrauchen. Schon die Verbindung mit dem Internet genügt hierfür. Wurm-Schädlinge verbreiten sich eigenständig und könnten beispielsweise blitzschnell Viren und Trojaner in Tausende von PC einschleusen. Noch werde das Leck nicht für Wurm-Angriffe ausgenutzt, warnt Microsoft.
Windows-Update für Netzwerksicherheit

Mit weiteren Updates beseitigt Microsoft unter anderem Schwachstellen in Windows Mail sowie Windows Meeting Space und im Kernelmodus-Treiber. Sie alle erhöhen die Netzwerksicherheit. So verhindert Patch MS11-085, dass Windows-7-Nutzer über präparierte Netzwerk-Verzeichnisse heimlich Schadsoftware untergeschoben bekommen. Das Update für den Kernel-Treiber korrigiert den Umgang mit schädlichen TrueType-Schriftart-Dateien, über die Angreifer einen Windows-PC schlimmstenfalls außer Gefecht setzen könnten.

Eine Schwachstelle in Adobes allgegenwärtigem Flash-Player erlaubte jüngst Website-Betreibern nach Angaben eines Sicherheitsexperten, die Webcam und das Mikrofon der Computer von Internet-Nutzern ohne deren Wissen anzuzapfen.

Damit dies funktionierte, musste der Anwender lediglich eine speziell präparierte Website besuchen und bestimmte Schaltflächen anklicken. Ohne eine weitere Warnung wurden dadurch die Webcam und das Mikrofon aktiviert, so dass ein Angreifer die entsprechenden Streams mitschneiden konnte.

Im Jahr 2008 war bereits eine ähnliche Clickjacking-Lücke im Flash-Player aufgetreten. Adobe hat nach eigenen Angaben bereits einen entsprechenden Fix für die Schwachstelle entwickelt und seine Systeme bereits aktualisiert. Die Lücke geht auf Fehler im Einstellungs-Manager des Flash-Players zurück.

Quelle : winfuture.de

Der Sicherheitsexperte Jose A. Vazquez macht auf eine als kritisch eingestufte Schwachstelle in mehreren Versionen des Opera-Browsers aufmerksam. Die Entwickler hat er bereits vor geraumer Zeit darüber informiert.

Allerdings blieb eine Reaktion auf die beschrieben Schwachstelle von den Entwicklern aus Norwegen bislang aus. Vor über einem Jahr wurde der Sicherheitsexperte schon auf diese Problematik, die sich ein Angreifer zunutze machen könnte, aufmerksam. Wann mit einem entsprechenden Update zu rechnen ist, teilte man bisher noch nicht mit.

Quelle : winfuture.de

Über eine Schwachstelle in der Forensoftware hat ein Hacker das Entwickler-Forum des Handyherstellers Nokia kompromittiert. Der Angreifer verschaffte sich über eine SQL-Injection Zugriff auf die Datenbank des Entwicklerforums unter developer.nokia.com, und konnte laut Nokia so auf die E-Mailadressen der hier registrierten Nutzer zugreifen.

Quelle: Heise.de / Zum Artikel

via abzocknews.de

Adobe hat wie angekündigt einen Notfall-Patch (Version 10.3.183.10) für den Flash-Player veröffentlicht, der einige kritische Lücken schließt. Der Hersteller muss außerplanmäßig reagieren, da eine der Schwachstellen bereits aktiv für Angriffe ausgenutzt wird: Durch die Cross-Site-Scripting-Lücke können Angreifer die Same-Origin-Policy umgehen und so etwa auf das Webmailkonto des Opfers zugreifen oder seine Cookies stehlen. Hierzu muss der Angreifer sein Opfer lediglich auf eine präparierte Webseite locken.

Zu den übrigen fünf Lücken macht Adobe nur spärliche Angaben. Durch vier der Lücken kann ein Angreifer aus der Ferne Schadcode ins System schleusen, unter anderem durch zwei Stack-Overflow-Fehler. Durch die sechste Lücke gelangt der Angreifer an Informationen, auf die er keinen Zugriff haben dürfte (Information Disclosure).

Flash ist bis Version 10.3.183.7 unter allen Desktop-Betriebssystemen verwundbar. Unter Android sind alle Versionen einschließlich 10.3.186.6 angreifbar, die fehlerbereinigte Version trägt die Versionsnummer 10.3.186.7. Den in Chrome integrierten Flash-Player hat Google bereits vor zwei Tagen mit dem Update auf Chrome 14.0.835.186 auf den aktuellen Stand gebracht. Die derzeit installierte Version des Flash-Player kann man bei Adobe in Erfahrung bringen.

Der Sicherheitschef von Facebook, Joe Sullivan, hat sich über den offiziellen Blog im Zusammenhang mit dem kürzlich gestarteten "Bug Bounty Program" mit einer positiven Zwischenbilanz zu Wort gemeldet.

Vor wenigen Wochen kündigen die Betreiber des weltgrößten Social Networks an, Nutzer mit einem gewissen Geldbetrag belohnen zu wollen, sofern diese auf mögliche Sicherheitslücken oder Schwachstellen aufmerksam werden und das Unternehmen darüber informieren.

Quelle : winfuture.de