Chrome95-Update beseitigt mehrere Sicherheitslücken

Kurz nach der Veröffentlichung einer neuen Hauptversion wurden schon Sicherheitsupdates nachgeliefert. Von mehreren der geschlossenen Sicherheitslücken ging ein hohes Risiko aus. Die Chrome-Entwickler haben am gestrigen Dienstag die Version 95 des Google-Browsers für Linux, Windows und macOS veröffentlicht. In ihrer Ankündigung wiesen Sie dabei auf mehrere Schwachstellen hin, die jetzt mit der Aktualisierung auf Chrome 95.0.4638.54 beseitigt wurden. Fünf der Schwachstellen sollen ein hohes Risiko aufweisen, und die übrigen wurden mit "Low" bis "Medium" eingestuft. Insgesamt bringt das Update laut Google 19 Security-Fixes mit. Es soll in den nächsten Tagen und Wochen an bestehende Browser-Installationen verteilt werden. Wie üblich nennt Google dabei kaum Details zu den Schwachstellen oder den Möglichkeiten, sie auszunutzen. Um zusätzliche Angriffe zu vermeiden, gibt es nähere Informationen erst, wenn die meisten Nutzer das Update schon erhalten haben. Was das Update sonst noch bringt Außer der verbesserten Sicherheit bringt die neue Chrome-Version auch einige funktionale Neuerungen, die Google in Kürze in Einträgen in den Chrome- und Chromium-Blogs zusammenfassen will. Unter anderem wurde mit Chrome 95 die Unterstützung des unsicheren und kaum noch genutzten File Transfer Protocol (FTP) endgültig eingestellt und der entsprechende Code aus dem Browser entfernt. Neuerungen, die Chrome 95 für Entwickler bringt, zeigt die Übersichtsseite "What's New In DevTools". Auch für mobile Geräte stehen Chrome 95-Varianten [...]

2021-10-21T07:35:23+02:00Oktober 20th, 2021|Browser, Coding, Sicherheit|Kommentare deaktiviert für Chrome95-Update beseitigt mehrere Sicherheitslücken

Chrome 80 mit SameSite-Cookies und ohne FTP

Soeben hat Google die neueste Version 80 seines Chrome-Browsers veröffentlicht. Damit verwirklichen die Entwickler des Browsers unter anderem lange angekündigte Änderungen beim Umgang mit Cookies . Der Umgang mit SameSite-Cookies Mit Chrome 80 werden alle Cookies, die das Same-Site-Attribut nicht verwenden, so behandelt, als setzten sei das Attribut „SameSite=Lax“ gesetzt. In dem neuen Browser wird der externe Zugriff auf Cookies von Dritten nur noch dann gestattet, wenn sie explizit als „SameSite=None“ deklariert sind. Auch das Attribut „Secure“ muss dabei gesetzt werden, das den Zugriff via HTTPS erzwingt. Dadurch werden alle Cookies ohne das SameSite-Attribut auf First-Level-Domains beschränkt. Der Umgang mit Mixed Content Mit Version 80 von Googles Chrome-Browser setzen die Entwickler außerdem weitere Änderungen um, mit denen HTTPS-Mixed-Content abgeschafft werden soll. Auf längere Sicht sollen dafür alle HTTP-Ressourcen vollautomatisch auf HTTPS umgestellt werden. Das macht der Browser schon jetzt so weit wie möglich mit Audio- und Videocontent. Kann der aber dann nicht geladen werden, bleibt es weiter bei HTTP. Das Laden von Bildern über eine HTTP-Verbindung auf einer HTTPS-Domain unterstützt der Browser weiterhin. Dabei wird die Internetseite dann allerdings weiterhin als nicht sicher angezeigt. Damit schickt Google eine klare Botschaft an die Seitenbetreiber, endlich ihre Seiten auf HTTPS umzustellen. Wie man Mixed Content finden und beseitigen kann, zeigt ein [...]

2020-02-06T11:10:06+02:00Februar 6th, 2020|Browser, Coding, HTML, Sicherheit|Kommentare deaktiviert für Chrome 80 mit SameSite-Cookies und ohne FTP

Firefox 70 warnt vor unverschlüsselten Verbindungen

Browser-Hersteller Mozilla ändert mit dem noch im Herbst (22.10.2019) kommenden Firefox 70 die Symbole, mit denen der Browser seinen Benutzer auf verschlüsselte bzw. unverschlüsselte Websites aufmerksam macht. Damit passen die Entwickler den Browser an die Änderung an, dass HTTPS-Verbindungen zu Internetseiten heute die Regel und nicht mehr die Ausnahme sind. Die neuen Symbole zur Verschlüsselung Anstelle eines grünen Schloss-Symbols für HTTPS- Internetseiten sieht man in Zukunft in der Adressleiste neben der URL ein graues Icon. Die farbigen Symbole sind den unverschlüsselten HTTP- und FTP-Verbindungen vorbehalten. Die erkennt man daran, dass das graue Schloss mit einem roten Kreuz durchgestrichen wird. „Das früher grüne Schloss-Symbol wird nun grau, mit der Absicht, den standardmäßigen (sicheren) Verbindungszustand weniger zu betonen und stattdessen unsichere Verbindungen zu betonen“, erläuterte der Mozilla-Mitarbeiter Johan Hofmann im Mozilla-Blog. Der Browser heißt ab dann auch nicht mehr „Firefox Quantum“, sondern einfach nur noch „Firefox Browser“.

2019-10-17T09:20:39+02:00Oktober 17th, 2019|Allgemein, Browser, Webwerkzeuge|Kommentare deaktiviert für Firefox 70 warnt vor unverschlüsselten Verbindungen

Chrome unterstützt FTP nicht mehr

Die Entwickler des Chrome-Browsers bei Google haben angekündigt, dass sie die Unterstützung für das File Transfer Protocol (FTP) aus Chrome entfernen wollen. Zur Begründung sagten sie, FTP werde kaum noch benutzt und wenn doch, dann meist ohne irgendeine Verschlüsselung oder Authentifizierung. Nach den Statistiken von Chrome nutzen weniger als 0,1 Prozent der User FTP im Browser. Schon seit längerer Zeit verabschieden sich auch die Browserhersteller nach und nach von FTP. Chrome rendert zum Beispiel schon jetzt keine Inhalte mehr, wenn sie von FTP-URLs stammen und blockiert FTP-URLs, die von anderen Seiten  beispielsweise als Bilder eingebunden werden. FTP-Verschlüsselung in Browsern nie eingesetzt Hinzu kommt auch noch, dass es zwar theoretisch TLS-Support für FTP für eine Verschlüsselung gibt, aber Browser dies nie unterstützt haben. Dehalb können FTP-Downloads über den Browser auch immer manipuliert werden. Ein Man-in-the-Middle-Angreifer könnte deshalb zum Beispiel bei einen Softwaredownload einfach durch eine Schadsoftware ersetzen. Anno Dunnemals war FTP ja durchaus eine gängige Methode für Softwaredownloads, aber inzwischen hat sich hier verschlüsseltes HTTPS weitgehend als Alternative durchgesetzt. Deshalb haben auch die Linux-Kernel-Entwickler ihren FTP-Server schon vor über zwei Jahren abgeschaltet.

2019-08-17T23:41:23+02:00August 17th, 2019|Allgemein, Browser, HTML|Kommentare deaktiviert für Chrome unterstützt FTP nicht mehr

Upload aller Dateitypen in WordPress

Wer schon einmal versucht hat, beispielsweise eine gepackte RAR-Datei in die Mediathek einer WordPress-Installation hochzuladen. Könnte sich dabei die Fehlermeldung „Dieser Dateityp ist aus Sicherheitsgründen leider nicht erlaubt“ eingefangen haben. Wenn man solche Dateien nutzen möchte, zum Beispiel, um sie als Download anzubieten, kann man sie eigentlich nur noch manuell mit einem FTP-Programm in das richtige Verzeichnis übertragen. Dabei sollte man auch den Eigentümer (User:Group) korrekt setzen. Uploads in der Konfigurationsdatei freigeben Wer regelmäßig solche Dateien anbieten muss, hat aber alternativ die Möglichkeit, in der Konfigurationsdatei „wp-config.php“ im Hauptverzeichnis von Wordpress den Upload für alle Dateitypen freizugeben. Zu diesem Zweck fügt man die Zeile define( 'ALLOW_UNFILTERED_UPLOADS', true ); in diese Datei ein. Danach klappt es dann aber auch mit dem Upload eines RAR-Archivs direkt über die Mediathek.

2018-12-15T00:41:57+02:00Dezember 15th, 2018|Bildbearbeitung, Coding, PHP, Webwerkzeuge|Kommentare deaktiviert für Upload aller Dateitypen in WordPress
Nach oben