Sicherheitsspeziaisten der deutschen Firma Syss benötigten dafür lediglich einen Ausdruck auf Papier. Der von ihnen “Biometricks” gennante Angriff auf Windows Hello lässt sich in den aktuellsten Versionen von Windows 10 mit der Aktivierung von “Enhanced Anti-Spoofing” abwehren.
Sie steckt in Teamviewer für Windows, Mac OS X und Linux. Ein Angreifer kann die Funktion “Richtungswechsel” benutzen, um ohne Zustimmung des Nutzers die Kontrolle über sein System zu übernehmen. Beispielcode für einen Exploit findet sich auf GitHub.
Jeder Mac-Rechner, auf dem Apples neuestes Betriebssystem installiert ist, lässt sich mit Eingabe der User-ID “root” ohne Eingabe eines Passworts entsperren. Apple arbeitet derzeit noch an einem Fix.
Unternehmen gehen bei Amazon S3 oft arglos mit der Konfiguration ihrer Speichercontainer um. Das ist gefährlich, denn uneingeschränkte Schreibrechte ermöglichen Man-in-the-Middle-Attacken. “GhostWriter” nennt sich dieses neue Angriffsszenario.
Die Plattform setzt damit den kürzlich mit der Einführung des Dependency Graph eingeschlagenen Weg fort. Der zeigt – bislang für Javascript und Ruby – Abhängigkeiten des eigenen Codes von anderer Software ab. Nun erhalten Entwickler Benachrichtigungen, wenn in einem dieser Programme eine Schwachstelle gefunden wurde.
Der Fehler betrifft Windows 8 und Windows 10. Das systemweit erzwungene ASLR vergibt offenbar statische statt zufällige Speicheradressen. Das begünstigt speicherbasierte Angriffe und macht Windows 8 und 10 in diesem Punkt unsicherer als Windows 7.
Der November-Patchday bringt Fixes für insgesamt 20 kritische Anfälligkeiten. Updates stehen auch für Windows, Office, ASP.NET Core und .NET Core zur Verfügung. Adobe patcht zudem Reader und Acrobat, Flash Player und Photoshop CC 2017.
Ein Video zeigt die Entsperrung eines iPhone X durch eine Maske. Sicherheitsforscher haben damit die Gesichtserkennung durch eine Schwäche in Apples KI überwunden. Im Laufe der Woche wollen sie weitere Details veröffentlichen.
Ein Fuzzing-Tool hat 79 Bugs offenbart. 14 davon wurden nun veröffentlicht. Sie ermöglichen Denial-of-Service-Angriffe und können zu Systemabstürzen führen. Angreifer benötigen allerdings physischen Zugriff auf ein Linux-System.
Unter anderem weden zum Android-Patchday im November Fixes für die KRACK-Lücken in WPA2 und in der Sicherheitsfunktion Trusted Execution Environment (TEE) bereitgestellt. Samsung und LG kündigen Patches zumindest für ausgewählte Geräte an.
Der Fehler tritt unter Mac OS X und Linux auf. Er steckt im Mozilla-Browser Firefox, der den Unterbau für den Tor-Browser liefert. Datei-URLs umgehen unter Umständen den Browser und stellen eine direkte Verbindung zwischen Betriebssystem und entferntem Server her.
Beim iPhone 7 mit iOS 11.1 nutzten die Sicherheitsforscher zwei Schwachstellen in der WLAN-Verbindung und im Safari-Browser aus. Beim Samsung Galaxy S8 waren es Schwachstellen im Browser und im Baseband-Chip. Die Hersteller haben nun 90 Tage Zeit, um Patches bereitzustellen bevor die Lücken veröffentlich werden.
Insgesamt behebt das erste große Update für iOS 20 Sicherheitslücken. Sie könnten ausgenutzt werden, um Schadcode einzuschleusen und auszuführen von. Daneben bringt iOS 11.1 Verbesserungen für die Kamera-App und neue Emojis.
Die Angriffe richten sich derzeit vor allem gegen Behörden in Europa und den USA. Die Angreifer nutzen dabei den Umstand aus, dass vielfach noch kein Update eingespielt wurde.
Unbekannte schleusten den Trojaner Proton in die Installationsdatei des Elmedia Player ein. Den Download-Server des Anbieters Eltima hacken sie über eine JavaScript-Bibliothek. Proton installiert eine Hintertür, die es dem Angreifer erlaubt, nahezu die vollständige Kontrolle zu übernehmen.
Unter anderem gibt es Updates bereits von Cisco, Microsoft, Netgear und mehreren Linux-Anbietern. Google und Apple haben Patches in Aussicht gestellt. AVM und Lancom weisen darauf hin, dass WLAN-Router und WLAN–Access-Points nur eingeschränkt angreifbar sind und beim Aufruf von HTTPS-Seiten die Verschlüsselung dennoch sicher ist.
Die Sicherheitslücke steckt in allen Versionen des Adobe Flash Player für Windows, Mac OS X und Linux. Auch die Plug-ins für Chrome, Edge und Internet Explorer sind darüber angreifbar. Über die Lücke lässt sich Schadcode einschleusen und auf dem infizierten System ausführen.
Der Fehler steckt in einer RSA-Bibliothek von Infineon. Er erlaubt es, die privaten Schlüssels aus dem öffentlichen Schlüsselteil zu errechnen. Bei Schlüsseln mit einer Länge von 2048 Bit ist der Aufwand allerdings weiter sehr hoch, bei einer Schlüssellänge von 1024-Bit dagegen durchaus vertretbar.
Für Android werden im Oktober Fixes für 14 Schwachstellen ausgeliefert. Ein separater Patch ist nur für Nexus- und Pixel-Geräte verbindlich. Googles Partner dürfen diese 38 Fixes, die unter Umständen auch für ihre Geräte sicherheitsrelevant sein können auslassen. Die aktuellste Sicherheitspatch-Ebene erhalten sie trotzdem.
Egal ob es darum geht, einen Nagel einzuschlagen, eine Schraube zu befestigen oder einen versteckten HTTP-Tunnel zu erkennen: Es kommt darauf an, das richtige Werkzeug zu benutzen, weiß Gérard Bauer, Vice President EMEA bei Vectra Networks.
Angreifer könnten die Sicherheitslücke mit der Kennung CVE-2017-13676 unter bestimmten Umständen ausnutzen, um Schadcode auszuführen. Das Update auf Version 4.4.0.58 von Norton Remove and Reinstall behebt den Fehler.
Durch ihn können alle in “Schlüsselbund” gespeicherten Passwörter im Klartext ausgelesen werden. Der Fehler steckt offenbar auch in früheren Versionen des Betriebssystem. Apple wurde bereits Anfang September informiert, hat aber keinen Patch integriert.
Dem Bundesamt für Sicherheit in der Informationstechnik zufolge sind bis zu fünf Milliarden Geräte mit Bluetooth-Funktion betroffen. Nutzer sollen – sofern vorhanden – Updates umgehend einspielen. Falls noch kein Update verfügbar ist sollten sie die Bluetooth-Funktionen deaktivieren.
Verschiedene Netzwerk-Management-Lösungen des Software-Anbieters NetSarang können über die Hintertür ShadowPad angegriffen werden, warnen die Sicherheitsexperten von Kaspersky.
Es handelt sich um eine Variante einer älteren Flash-Lücke. Ein niederländischer Sicherheitsforscher umgeht den von Adobe im September 2016 dafür veröffentlichten Fix. Seit vergangenem Dienstag steht ein neuer Patch zur Verfügung, der die Sicherheitslücke endgültig beheben soll.
In unverzichtbaren Komponenten von Solar- und Photovoltaikanlagen sind Sicherheitslecks, die ausgenutzt werden können, um die gesamte europäische Stromversorgung zu destabilisieren und möglicherweise zusammenbrechen zu lassen.
Die Sicherheitslücken stecken in Outlook 2007, Outlook 2010, Outlook 2013 und Outlook 2016. Microsoft stuft die Updates als wichtig ein und verteilt sie außerhalb des planmäßigen, monatlichen Patchdays über Windows Update. Das CERT-Bund stuft das von den Lücken ausgehende Risiko als “hoch” ein.
Mindestens neun davon stellen ein hohes Risiko dar. Sie erlauben das Einschleusen und Ausführen von Schadcode. Zu den neuen Funktionen von Chrome 60 gehören das Payment Request API und das Web Budget API.
Der Fehler lässt sich ausnutzen, um die Ende-zu-Ende-Verschlüsselung auszuhebeln. Sicherheitsforscher Alex Radocea hat ein eigenes Gerät als vertrauenswürdig registriert und damit alle Inhalte des digitalen Schlüsselbunds eines Dritten abrufen können. Das funktioniert allerdings nur mit Zugang zum iCloud-Konto des Opfers.
Die Verbraucherzentrale NRW hat gegen den MediaMarkt Köln wegen eines dort mit Sicherheitslücken verkauften Android-Smartphones Klage eingereicht. Auf dem mit einem Testkauf im August 2016 mit Android 4.4 Cynus T6 des koreanischen Herstellers Mobistel fand das BSI 15 Sicherheitslücken, die bis heute nicht geschlossen wurden.