Tor-Browser-Update schließt kritische Firefox ESR-Lücke

Das erste stabile Tor Browser-Release des neuen Jahres steht seit dem gestrigen Mittwoch für die Betriebssysteme Windows, macOS und Linux zum Download bereit. Auch für das mobile Betriebssystem Android ist diese Version verfügbar. Die Version Tor 10.0.8 des anonymisierenden Web-Browsers auf Firefox-ESR-Basis bringt mit der Aktualisierung auf Firefox ESR 78.6.1  ein wichtiges Sicherheitsupdate für die Desktop-Varianten. Bei der mobilen Browser-Version  wurde Firefox für Android auf die Version 84.1.4 angehoben. Dazu kommen jeweils ein Update des Skriptblockers NoScript auf die Version 11.1.7 und auch Browser-Bugfixes unter macOS und Android. Mit der Firefox ESR-Version 78.6.1 wurde der Browser von Mozilla gegen eine kritische Sicherheitslücke abgesichert. Ergänzende Informationen und Download Informationen zu dem Update finden Nutzer in Changelog der Release-Ankündigung zum Tor Browser 10.0.8. Die neue Tor Browser-Version kann ab sofort von der offiziellen Download-Site oder aus dem Distribution Directory heruntergeladen werden. Wegen des wichtigen Schließung der Sicherheitslücke in der Firefox ESR-Basis empfehlen wir das zeitnahe Aktualisieren schon bestehender Installationen.

2021-01-14T17:04:35+02:00Januar 14th, 2021|Browser, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Tor-Browser-Update schließt kritische Firefox ESR-Lücke
Weiterlesen

Sicherheitsupdate für Emailclient Thunderbird

Soeben haben die Entwickler in der aktuellen Version von Mozillas Mailclient Thunderbird eine gefährliche Sicherheitslücke geschlossen. Über diese Lücke könnten Angreifer das Mailprogramm mit DOS-Angriffen attackieren. Das von der Sicherheitslücke ausgehende Risiko wurde als "hoch" eingestuft. Nach der Warnmeldung von Mozilla könnten Angreifer die einen eigenen SMTP-Server nutzen, durch die Sicherheitslücke manipulierte Status-Codes übermitteln. Der Thunderbird liest diese Codes aus und legt sie als Byte im Stack (Stapelspeicher) ab. Und genau da können diese manipulierten Codes einen Speicherfehler vom Typ „stack overflow“ auslösen, was dann in der Regel zum Ausgangspunkt für DoS-Attacken genutzt wird. Auf diesem Weg kann in so einem Szenario dann auch Schadcode aller Art auf einen betroffenen Computer gelangen. Ein Update ist also dringend zu empfehlen. Die Entwickler haben die Schwachstelle (CVE-2020-26970) mit der neuen Version Thunderbird 78.5.1 geschlossen.

2020-12-03T20:12:01+02:00Dezember 3rd, 2020|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für Emailclient Thunderbird
Weiterlesen

Mozilla: Updates für Firefox und Thunderbird

Angreifer konnten Mozillas Browser Firefox und dem Mailclient Thunderbird Schadcode unterjubeln und damit eigene Befehle auf fremden Rechnern ausführen. Deshalb hat Hersteller Mozilla jetzt beide Programme abgesichert. Das von den geschlossenen Sicherheitslücken ausgehende Risiko wurde als „hoch“ eingestuft. Darüber hinaus hat Mozilla auch noch eine Funktion zur Erhöhung der Sicherheit beim Surfen in den Firefox eingebaut, welche aber in der Voreinstellung nicht aktiviert ist. Die abgesicherten Versionen Firefox 83, Firefox ESR 78.5 und Thunderbird 78.5 gibt es jetzt für alle Systeme. Nur noch verschlüsselt ins Internet Ab sofort besitzt Firefox 83 einen HTTPS-only-Modus. Ist dieser Modus aktiviert, dann baut der Browser immer eine verschlüsselte Verbindung via HTTPS zu den aufgerufenen Internetseiten auf. Das geschieht zum Beispiel automatisch, wenn man eine URL mit HTTP beginnend eingibt oder einen HTTP-Link anklickt. Unterstützt eine Internetseite kein HTTPS, zeigt der Browser eine Warnmeldung an, dass Dritte auf dieser  Seite zum Beispiel von Nutzern eingebene Kreditkartendaten mitschneiden könnten. Wer das Risiko einschätzen kann, der kann aber solche Seiten trotzdem besuchen. HTTPS-only ist dann für dieseeine Seite temporär deaktiviert. In einigen Fällen laden Internetseiten noch Ressourcen über HTTP nach, was zu sogenanntem „mixed content“ führt. Dabei kann es dann Darstellungsfehlern auf diesen Internetseiten geben. HTTPS-only muss in den Einstellungen aktiviert werden In den Einstellungen von Firefox [...]

2020-11-18T11:10:24+02:00November 18th, 2020|Browser, Sicherheit|Kommentare deaktiviert für Mozilla: Updates für Firefox und Thunderbird
Weiterlesen

Chrome mit eigenem Speicher für Root-Zertifikate

Google hat jetzt eine Neuerung für seinen Browser Chrome angekündigt. Der Suchmaschinenkonzern plant einen eigenen Root-Speicher für Browserzertifikate. Bisher verlässt sich Chrome seit der Einführung des Browsers im Jahr 2009 auf den Zertifikatsspeicher des jeweiligen Betriebssystems. In diesem Root-Speicher werden die Root-Zertifikate abgelegt, welche die Betriebssysteme nutzen, um zum Beispiel die Echtheit von Anwendungen während der Installation zu prüfen. Die Browser kontrollieren das Zertifikat, mit dem eine sichere HTTP-Verbindung (HTTPS) signiert wurde und das deshalb die Echtheit der vom Nutzer aufgerufenen Website bestätigt. Chrome wird unabhängig von Windows und macOS Statt sich beispielsweise unter Windows auf das Microsoft Trusted Root Program oder unter macOS auf das Apple Root Certificate Program zu verlassen, will Google laut einer Wiki-Seite jetzt einen eigenen Root-Speicher mit der Bezeichnung Chrome Root Program einführen. Es soll die Zertifikatsprüfung auf allen Plattformen, die Chrome nutzt, übernehmen. Dabei gibt es aber eine Ausnahme: Das Mobilbetriebssystem iOS von Apple. Noch soll die Entwicklung des Root-Speichers aber in einem sehr frühen Stadium stecken. Einen Zeitplan für den Wechsel auf den eigenen Root-Speicher gibt es bei dem Konzern wohl noch nicht. Es wurden aber schon Regeln definiert, welche die Certificate Authorities (Aussteller von SSL-Zertifikaten) einhalten müssen, damit das Chrome Root Program ihre Zertifikate akzeptiert. Nach aktuellen Zahlen von Net Applications verfügt Google Chrome derzeit über einen Marktanteil [...]

2020-11-03T00:13:27+02:00November 3rd, 2020|Browser, Coding, Sicherheit|Kommentare deaktiviert für Chrome mit eigenem Speicher für Root-Zertifikate
Weiterlesen

Sicherheitsupdate für Microsofts Webbrowser Edge

Wer mit dem Microsoft Edge im Internet unterwegs ist, sollte den Browser umgehend auf den aktuellen Stand bringen, denn Angreifer nutzen aktuell schon eine Sicherheitslücke aktiv aus. In dem Browser haben die Entwickler insgesamt fünf Lücken geschlossen. Die schon ausgenutzte Schwachstelle (CVE-2020-15999) steckt in der Programmbibliothek FreeType. Viele Infos über diese Sicherheitslücke sind noch nicht bekannt aber Angreifer sollen darüber Speicherfehler auslösen können. Das führt dann meist zu einem DoS-Zustand, was eine Anwendung letztlich abstürzen lässt. Es ist aber auch die Ausführung von Schadcode möglich. Der Bedrohungsgrad wird als "hoch" eingeschätzt, schreibt Microsoft im Sicherheitscenter für Edge. So sind auch drei weitere Lücken eingestuft. Die fünfte Sicherheitslücke (CVE-2020-16003) hat die Einstufung "mittel". Dadurch kann es beim Drucken zu einem Speicherfehler (use after free) kommen. Sowohl Edge als auch Chrome basieren auf Chromium. Bei Edge ist die Ausgabe 86.0.622.51 abgesichert. Die abgesicherte Chrome-Ausgabe 86.0.4240.111 ist bereits erschienen.

2020-10-27T17:51:32+02:00Oktober 27th, 2020|Browser, Sicherheit|Kommentare deaktiviert für Sicherheitsupdate für Microsofts Webbrowser Edge
Weiterlesen

Aktiv ausgenutzte Lücke in Browser Chrome geschlossen

Google hat die stabile Version seines Webbrowsers Chrome für Windows, macOS und Linux auf Version 86.0.4240.111 upgedatet. Mit dieser neuen Version werden fünf Sicherheitslücken geschlossen, vier davon stellen nach Einschätzung der Entwickler ein hohes Sicherheitsrisiko für die Benutzer dar. Eine von den geschlossenen Lücken wird eine laut Googles Project Zero schon aktiv von Angreifern ausgenutzt. Deshalb sollten die Nutzer nach dem Update schauen, das in den kommenden Tagen und Wochen verteilt werden soll. Sicherheitslücke in FreeType abgedichtet Wie üblich haben die Entwickler dieSchwachstellen und die Security-Fixes in einem aktuellen Blogeintrag zum Chrome Stable Channel Update dokumentiert, die externe Sicherheitsforscher entdeckt und gemeldet hatten. Mit genaueren Details zu den Lücken CVE-2020-16000 in der Blink Browser-Engine, CVE-2020-16001 ("Use after free in media"), CVE-2020-16002 in PDFium, CVE-2020-15999 in FreeType sowie zur einzigen "Medium"-Lücke CVE-2020-16003 ("Use after free in printing") hält sich der Blogeintrag wie immer sehr zurück: Zugriff auf Details der Sicherheitslücken gibt es erst, wenn die meisten Benutzer das Update installiert haben. So soll das Risiko aktiver Angriffe auf noch nicht dagegen geschützte Systeme verkleinert werden. Über die Lücke CVE-2020-15999 in der Programmbibliothek FreeType finden solche Angriffe allerdings wohl aktuell schon statt. Auf Twitter teilte Project Zero-Mitarbeiter Ben Hawkes mit, dass die Chrome-Entwickler sehr schnell auf die Warnung des Teams reagiert hätten. [...]

2020-10-21T22:46:03+02:00Oktober 21st, 2020|Allgemein, Browser, Coding, Sicherheit, Webwerkzeuge|1 Kommentar
Weiterlesen

Drupal: SQL-Injection-Angriffe auf OAuth-Server-Modul

Wer bei seinem Content-Management-System (CMS) Drupal Version 8 das OAuth-Server-Modul installiert hat, läuft Gefahr, über SQL-Injection angegriffen zu werden und sollten so schnell wie möglich ein Update auf das OAuth-Server-Modul für Drupal 8 auf die Version 8.x-1.1 durchführen. Nach einem aktuellen Sicherheitshinweis sind ältere Versionen des OAuth-Server-Moduls anfällig für Angriffe über SQL Injection. Die neue Version 8.x-1.1 schließt die als „moderat kritisch“ bewertete Lücke. Leider kann man dem Security Advisory SA-CONTRIB-2020-034 keine Details beispielsweise zu möglichen Konsequenzen eines erfolgreichen Angriffs auf die mit "moderately critical" bewertete Lücke entnehmen. Verwundbar soll der der komplette Versionszweig 8.x sein, weshalb auch die Entwickler ein Update auf die abgesicherte OAuth-Server-Modulversion 8.x-1.1 empfehlen.

2020-10-16T20:05:54+02:00Oktober 16th, 2020|Allgemein, CMS, Sicherheit|Kommentare deaktiviert für Drupal: SQL-Injection-Angriffe auf OAuth-Server-Modul
Weiterlesen

BSI-Sicherheitswarnung zu Exchange-Server-Lücken

Wer auch einen Exchange Server administriert, sollte die Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vor kritischen Lücken in Microsoft Exchange Server jetzt ernst nehmen. Es liegen zwar schon Updates für diese Anfälligkeiten vor, aber nach einer Analyse des BSI sollen immer noch Zehntausende in Deutschland betriebene Exchange Server ungepatcht sein. Die drei Schwachstellen im Detail Dabei geht es der Behörde vor allem um die drei Schwachstellen mit den Kennungen CVE-2020-0688, CVE-2020-0692 und CVE-2020-16875, für die zum Teil schon Exploit-Code öffentlich verfügbar ist. Die Sicherheitslücke CVE-2020-0688 soll sogar schon für gezielte Angriffe ausgenutzt werden. Die erstgenannten zwei Lücken erlauben unter Umständen die vollständige Kompromittierung eines Exchange Servers bzw. die nicht autorisierte Ausweitung der Benutzerrechten. Davon betroffen sind Exchange Server 2010, 2013, 2016 und 2019. Über die dritte Lücke (CVE-2020-16875) lässt sich möglicherweise auch Schadcode aus der Ferne einschleusen und ausführen - allerdings nur nach vorheriger korrekter Authentifizierung. Dies Problem tritt beim Exchange Server Version 2016 und 2019 auf. Tipps vom BSI „Die anfälligen Dienste der Microsoft Exchange Server sollten grundsätzlich nicht öffentlich erreichbar sein. Trotzdem sind nach wie vor viele Exchange-Server über Exchange Web Services öffentlich erreichbar und mehrere Tausend Exchange Server anfällig für CVE-2020-0688“, steht in der aktuellen Warnung des BSI. „Die von der Firma Rapid [...]

2020-10-08T17:56:03+02:00Oktober 8th, 2020|Allgemein, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für BSI-Sicherheitswarnung zu Exchange-Server-Lücken
Weiterlesen

Chrome 86 kommt mit verkürzten URLs, Warnungen und Passwortcheck

Der Google-Browser Chrome 86 ist ab sofort für alle unterstützten Betriebssysteme als Desktop- und Mobilversion verfügbar. Die Version 86 zeigt verkürzte URLs und unsichere Downloads an und bringt außerdem einen Passwortcheck mit. Änderung der URL-Anzeige Wie schon angekündigt, hat Chrome 86  erneut die Anzeige von URLs geändert. Diese sind zunächst nur noch teilweise sichtbar, wobei der Fokus auf der Domain liegt. Nach einem Klick in die Adresszeile kann man dann die komplette URL sehen. Die Modifikation kommt aber noch nicht zu allen Anwendern, es handelt wsich zunächst um einen Testlauf. Google hat schon mehrfach mit der Anzeige in der Adresszeile experimentiert. Vergangenes Jahr verschwanden zum Beispiel "www" und "https://", was bei allem Nutzern nicht gerade auf Begeisterung stieß. Google sieht darin zwar Vorteile, weil es mehr Übersicht schaffe, aber Kritiker meinen, dass es wichtige Bestandteile der URL seien, um zu wissen, wo man sich befindet Der neue Passwortcheck Durch den neuen Passwortcheck warnt Chrome Benutzer vor kompromittierten Passwörtern, die bei irgendeiner Datenpanne abgegriffen wurden. Um den Nutzern mehr Sicherheit zu bieten, hofft Google, dass ihnen eine Erleichterung beim Ändern eines solchen Passworts hilft. Außer der Warnung soll auch eine Weiterleitung zur der Seite, auf der man das Passwort erneuern kann, angezeigt werden. Dafür müssen allerdings letztlich die [...]

2020-10-07T10:51:11+02:00Oktober 7th, 2020|Browser, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Chrome 86 kommt mit verkürzten URLs, Warnungen und Passwortcheck
Weiterlesen

MD5-Passwörter mit PHP erzeugen

Noch immer findet man sehr einfache Schutzmechanismen, die mit Klartext-Passwörtern arbeiten, welche im Quellcode der entsprechenden Routinen abgespeichert sind. Jeder, der Zugriff auf diese Routinen hat, kann solche Passwörter problemlos auslesen und dann missbrauchen. Die Sicherheit bei der Speicherung solcher Passwörter lässt sich mit einem MD5-Hash zwar nicht perfektionieren, aber doch recht deutlich verbessern. Und das lässt sich auch schon recht einfach mit PHP-Bordmitteln realisieren: <?PHP //Eine Zufallszahl zwischen 1000 und 9999 erzeugen $zzahl = mt_rand(1000, 9999); // MD5-Hash aus Zufallszahl und aktueller Zeit bilden $zahlzeit = md5($zzahl.microtime()); $passwort = substr($zahlzeit, "0" ,"8");  //Die Zahl 8 definiert dabei die Länge des Passworts echo $passwort;?> Dieser Codeschnipsel erzeugt ein 8-stelliges (maximal 32-stelliges) Passwort aus Buchstaben und Zahlen. Man muss hier darauf hinweisen, dass sich nicht alle Anforderungen an ein sicheres Passwort mit MD5 erfüllen lassen. Es ist zum Beispiel lange bekannt, dass voneinander verschiedene Zeichenfolgen durchaus denselben Hashwert liefern könnten. Ein MD5-Hash ist aber schon deutlich sicherer als die Speicherung eines Passwortes innerhalb der Routine im Klartext!

2020-10-05T09:28:50+02:00Oktober 5th, 2020|Allgemein, PHP, Sicherheit|Kommentare deaktiviert für MD5-Passwörter mit PHP erzeugen
Weiterlesen
Nach oben