Oracle sichert seine Produkte mit 349 Updates ab

Die gerade von Oracle veröffentlichten wichtigen Sicherheitspatches schließen unter anderem kritische Lücken in allen Anwendungen. Admins, die in ihren Unternehmen oder bei ihren Kunden Software von Oracle einsetzen (beispielsweise Datenbanken am Internetserver), sollten jetzt die aktuellen Sicherheitsupdates installieren. Der Softwarehersteller veröffentlicht Patches immer quartalsweise gesammelt. Diese Sammel-Updates kommen unter der Bezeichnung Oracle Critical Patch Update und im Juli sind darunter immerhin 349 Sicherheitspatches. Davon ist im Grunde das gesamte Software-Portfolio betroffen - es geht vom Autonomous Health Framework über NoSQL Database bis hin zu den Siebel Applications. Einige der Lücken sind echt gefährlich Entfernte Angreifer könnten zum Beispiel ohne Anmeldung an einer „kritischen“ Sicherheitslücke (CVE-2022-35169) in Oracle Database - Enterprise Edition den Hebel ansetzen. Weitere kritische Schwachstellen stecken unter anderem in Produkten aus Oracle Commerce, Communications Applications und Enterprise Manager. Wegen der Einstufung der Lücken ist anzunehmen, dass potentielle Angreifer Systeme nach erfolgreichen Angriffen komplett kompromittieren können. Deshalb sollten die Admins die Liste mit den betroffenen Anwendungen genau studieren und die für sie relevanten Sicherheitsupdates bald installieren. In der Vergangenheit kam es schon mehrfach vor, dass Lücken in Anwendungen des Software-Herstellers als Schlupflöcher für Angreifer dienten. Bisher gibt es aber noch keine Berichte über aktuell laufende Attacken.

2022-07-20T09:18:33+02:00Juli 20th, 2022|Allgemein|Kommentare deaktiviert für Oracle sichert seine Produkte mit 349 Updates ab
Weiterlesen

Patch gegen Angriffe auf Webserver Apache

Aktuell nutzen Angreifer eine kritische Lücke in Webservern auf Basis von Apache  aus. Sicherheitsupdates dagegen sind schon länger verfügbar. Wer als Admin für einen Apache-Webserver verantwortlich ist, sollte jetzt sein System auf den aktuellsten Stand bringen, denn Sicherheitsforscher beobachten aktuell Angriffe auf verwundbare Apache-Installationen. Die dabei ausgenutzte Sicherheitslücke (CVE-2021-40438) gilt als „kritisch“. Durch das einfache Versenden von präparierten HTTP-Anfragen könnten entfernte Angreifer ohne jede Authentifizierung laut einer Warnmeldung von Apache an der Schwachstelle in dem Modul mod_proxy ansetzen und dann Anfragen an beliebige Server weiterleiten (Server-Side Request Forgery SSRF). Betroffene Webserver dringend aktualisieren Die Schwachstelle soll in Apache Webservern von Version 2.4.17 bis einschließlich 2.4.48 stecken. Versionen ab 2.4.49 sollen gegen diese Attacken abgesichert sein. Die abgesicherte Ausgabe ist schon seit Mitte September 2021 verfügbar. Die aktuellen Angriffe haben unter anderem Sicherheitsforscher von Rapid7 beobachtet. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Ende November 2021 für dieses Sicherheitsproblem die IT-Bedrohungslage 2/Gelb verhängt. Laut Rapid7 gibt es zurzeit noch keine Hinweise auf weitverbreitete Angriffe. Weil weltweit aber sehr viele Webserver auf Apache-Basis laufen, liegt es nahe, dass das Volumen von Attacken noch zunehmen wird. Die Sicherheitsforscher geben dazu an, immerhin mehr als 4 Millionen potenziell angreifbare Server im Netz gefunden zu haben…

2021-12-03T14:09:53+02:00Dezember 3rd, 2021|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Patch gegen Angriffe auf Webserver Apache
Weiterlesen

Erweiterter Notfallpatch für Apache-Webserver

Seit einigen Tagen zielen Angreifer in aller Welt auf verwundbare Internetserver auf Basis des Webservers Apache. Dazu kam zwar recht schnell ein Sicherheitspatch heraus, aber Sicherheitsforscher fanden heraus, dass auch damit aktualisierte Server immer noch angreifbar sind. Lücke macht Remote Code Execution möglich Wenn Angreifer erfolgreich an der Sicherheitslücke (CVE-2021-41773) ansetzen, könnten sie unter bestimmten Umständen mit speziellen URLs auf Dateien außerhalb des Document-Root-Verzeichnisses von Apache zugreifen. Laut einer aktualisierten Warnmeldung von Apache ist nomalerweise der Schutzmechanismus "require all denied" aktiviert, der vor solchen Angriffen schützen soll. In dieser Meldung warnen die Sicherheitsforscher aber auch, dass sogar immer noch Schadcode auf die Systeme kommen kann. Wie Angreifer den als "unzureichend" bezeichneten Patch umgehen, gibt der Text aber verständlicherweise nicht an. Für den erweiterten Angriff wurde inzwischen die Kennung CVE-2021-42013 vergeben - eine Einstufung des Bedrohungsgrads für die beiden Lücken gibt es noch nicht. Weil die Angreifer aus der Ferne Schadcode ausführen könnten, muss man wohl zumindest von einer hohen Einstufung ausgehen. Apache umgehend (noch einmal) patchen! Die beiden Schwachstellen stecken nur in den beiden Versionen 2.4.49 und 2.4.50. Die aktuelle Version 2.4.51 soll nun dagegen abgesichert sein. Auch das Computer Emergency Response Team (CERT) der US-Regierung warnt vor den Angriffen und rät den Admins dringend, Apache Webserver umgehend [...]

2021-10-08T10:56:30+02:00Oktober 8th, 2021|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Erweiterter Notfallpatch für Apache-Webserver
Weiterlesen

Update gegen kritische Sicherheitslücke im Wiki Confluence

Wer auf seiner Homepage die Wiki-Software Confluence von Atlassian selbst hostet, sollte jetzt dringend ein Update einspielen, denn in der Wiki-Software wurde eine Sicherheitslücke gefunden, die es Angreifern gestattet, eigenen Code auf den Servern auszuführen. Patches und Updates stehen bereit Der Hersteller Atlassian stellt für mehrere Versionen Patches und Updates bereit. Es sind aber nur die Nutzer von selbst gehosteten Confluence-Servern betroffen, die Cloud-Variante weist die Sicherheitslücke nicht auf. Die Lücke wurde in den Versionen 6.13.23, 7.4.11, 7.11.6, 7.12.5 und 7.13.0 geschlossen. Atlassian empfiehlt zwar den Einsatz der aktuellen Long-Time-Support-Version 7.13.0-, weiß aber auch, dass ein direktes Upgrade darauf nicht von allen Versionen aus möglich ist. Manche Unternehmen können auch im Betrieb befindliche Software nicht sofort mit einem Update härten. Deshalb gibt es als Übergangslösung vom Hersteller ein Script, dass von Admins genutzt werden kann, um die Lücke zunächst einmal schnell temporär zu schließen. Details dazu finden Sie auf Atlassians Seite zu dem Bug. Die Sicherheitslücke steckt in der OGNL-Implementierung Bei der Sicherheitlücke ist letztlich ein Fehler in der Object-Graph Navigation Language (OGNL), der dazu führt, dass beliebiger Code auf dem Server ausgeführt werden kann. Zwar ist in den meisten Fällen zur Ausnutzung der Lücke eine Authentifizierung nötig, aber in Ausnahmefällen gibt es diese Einschränkung nicht. Die Lücke [...]

2021-08-26T17:32:29+02:00August 26th, 2021|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Update gegen kritische Sicherheitslücke im Wiki Confluence
Weiterlesen

Google Chrome 85 schließt Sicherheitslücke in WebGL

Über eine Sicherheitslücke in der WebGL-API des Google-Browsers Chrome schaffen es Hacker, Schadcode auf einen Rechner zu übertragen und auch auszuführen. Mit der neuen Version Chrome 85 beseitigt Google die Schwachstelle in seinem Browser. Die Lücke in der WebGL-API In den Browsern wird WebGL zur Darstellung von 2D- und 3D-Inhalten ohne Zusatzprogramme benutzt. Ein Fehler in der Schnittstelle im Google-Browser Chrome gestattet es Hackern, die API zu missbrauchen, um darüber Schadcode auszuführen. Von dem Fehler sind die Version 81.0.4044.138, die Dev-Version 84.0.4136.5 und die Canary-Version 84.0.4143.7 betroffen. Für die Beta-Versionen gibt es schon einen Patch. In der Live-Version beseitigt Google das Problem mit dem aktuellen Chrome-85-Update, das heute erschienen ist. Bisher soll die Sicherheitslücke laut Google noch nicht ausgenutzt werden. Sollten sie das Update Chrome 85 noch nicht erhalten haben, können Sie den Browser auch manuell updaten. Hier die Download-Adressen der verschiedenen Versionen: Google Chrome (64 Bit) Google Chrome (32 Bit) Google Chrome (Mac) Google Chrome (Linux)

2020-08-25T23:01:56+02:00August 25th, 2020|Browser, Sicherheit|Kommentare deaktiviert für Google Chrome 85 schließt Sicherheitslücke in WebGL
Weiterlesen

Critical Patch Update bei Oracle

Bei seinem Quartalsupdate "Critical Patch Update" hat der Datenbank-Hersteller Oracle insgesamt 319 Patches für zahlreiche der Produktfamilien veröffentlicht. Eine große Zahl der damit geschlossenen Sicherheitslücken wurden als kritischeingeordnet. Mehrere dieser Sicherheitslücken könnten aus der Ferne missbraucht werden, um die verwundbaren Systeme zu übernehmen, weshalb Oracle seinen Kunden dazu rät, die im Rahmen des Critical Patch Updates bereitgestellten Patches umgehend einzuspielen. Details zu den geschlossenen Sicherheitslücken Weitergehende Details zu den betroffenen Produkten, geschlossenen Lücken und verfügbaren Updates kann man Oracles Update Advisory entnehmen. Bei der Einschätzung des Sicherheitsrisikos der einzelnen Schwachstellen helfen Oracles Angaben zum CVSS (Common Vulnerability Scoring System): CVSS-v3-Scores ab 7.0 bis einschließlich 8.9 stehen für ein "hohes" Sicherheitsrisiko; Scores von 9.0 bis 10.0 stehen für "critical". Die zusätzliche Angabe "Network" unter "Attack Vector" im Update Advisory sagt aus, dass Angriffe "über das Internet", also aus der Ferne, ausgeführt werden können.

2019-07-17T12:18:02+02:00Juli 17th, 2019|MySQL, Webwerkzeuge|Kommentare deaktiviert für Critical Patch Update bei Oracle
Weiterlesen

Aufruf zum Patchen von Drupal-Seiten

In dem weit verbreiteten Content Management System (CMS) Drupal stecken noch mehrere zum Teil als "kritisch" eingestufte Sicherheitslücken. Inzwischen sind aber auch schon fehlerbereinigte Versionen verfügbar. Weil Angreifer über diese Lücken die Kontrolle über solche Internetseiten erlangen könnten, sollte die Aktualisierung des CMS zügig erfolgen. Die gepatchten Versionen Die Entwickler des CMS haben die Schwachstellen in den Drupal-Versionen 7.60, 8.5.8 und 8.6.2 geschlossen. Wer noch ältere Versionen der Software einsetzt, sollte zumindest auf Version 8.5.x aktualisieren. Dieser Versionsstrang erhält den Entwicklern zufolge noch bis zum Mai 2019 Sicherheitsupdates – dann wird bei der nächsten Wartung sowieso ein Upgrade nötig. Die kritischen Sicherheitslücken In der Sicherheitswarnung findet man Infos zu den Lücken. Die als kritisch eingestuften Schwachstellen finden sich im Contextual-Links-validation-Modul und im Mailsystem DefaultMailSystem::mail() von Drupal. Aktuell ist noch nicht viel über die Angriffsszenarien dazu bekannt. Es heißt aber, dass allein schon der Versand von präparierten Mails zur Ausführung von Schadcode führen kann.

2018-10-20T22:30:41+02:00Oktober 20th, 2018|Allgemein, CMS, Webwerkzeuge|Kommentare deaktiviert für Aufruf zum Patchen von Drupal-Seiten
Weiterlesen

Angriff auf Tor-Nutzer mit Javascript

Benutzer des Tor-Browsers werden aktuell aktiv über eine Zero-Day-Lücke angegriffen, die letztlich einen Fehler im Speichermanagement des zugrundeliegenden  Firefox-Browsers ausnutzt. Eventuell sind auch Nutzer des Firefox-Browsers ohne Tor-Bundle betroffen. Die Sicherheitslücke soll es Angreifern erlauben, ihren Code auf dem Rechner der Tor-Nutzer auszuführen. Der vermutlich verwendete Schadcode wurde schon auf einer Tor-Mailingliste gepostet. Browser-Hersteller Mozilla arbeitet noch an einem Patch, um die Sicherheitslücke zu schließen. Sicherheitsforscher weisen darauf hin, dass der verwendete Angriff einer Attacke aus dem Jahr 2013 sehr ähnlich ist. So schreibt Twitter-Nutzer @TheWack0lian: "Es ist eigentlich fast exakt der gleiche Payload wie er im Jahr 2013 benutzt wurde." Damals hatte die Bundespolizei der USA, das FBI, einen Server, der mutmaßlich an der Verbreitung von Missbrauchsdarstellungen an Kindern beteiligt war, mit diesem Exploit infiziert, um einzelne Tor-Nutzer zu enttarnen.

2016-12-01T01:06:51+02:00Dezember 1st, 2016|Javascript|Kommentare deaktiviert für Angriff auf Tor-Nutzer mit Javascript
Weiterlesen

Patch KB3133977 für Windows 7 kann Rechner lahmlegen

Das schon einige Zeit verfügbare Update KB3133977 für Windows 7 beseitigt ein Problem mit dem betriebssystemeigenen Programm zur Verschlüsselung „Bitlocker“ - und macht auf einigen PCs mit ASUS-Motherboards Probleme. Nach der Installation dieses Patches lässt sich das Betriebssystem nicht mehr starten und das UEFI-BIOS meldet eine „Secure Boot Violation„. Das Sicherheitsmerkmal Secure Boot ist aber erst ab der Version 8 des Betriebssystems Windows . Der Grundfehler mit diesem Update ist offenbar, dass das UEFI-BIOS nach der Installation fälschlicherweise davon ausgeht, das Betriebssystem sei zu Secure-Boot in der Lage. Ersten Meldungen von Benutzern zu diesem Problem gab es schon kurz nach Veröffentlichung des Patches im März. Allerdings ging man bei Microsoft offenbar diesen Meldungen nicht wirklich nach und setzte dann am 12. April den Status des Updates sogar von „optional“ auf „empfohlen“ herauf. Dies nicht besonders schlaue Verhalten löste natürlich bei vielen Systemen mit ASUS-Mainboards nun auch die automatische Installation des fehlerhaften Patches aus und führte in der Folge zu noch deutlich mehr Fehlermeldungen. Inzwischen wissen wir, daß Microsoft im Grunde nichts falsch gemacht hat, sondern daß der Hersteller der betroffenen Mainboards, die Firma ASUS, für diesen Fehler verantwortlich zeichnet. Nach deren Hinweisen lässt sich das Problem aber zügig mit den Bordmitteln lösen. ASUS hat dazu eine [...]

2016-05-08T23:20:37+02:00Mai 8th, 2016|Allgemein|Kommentare deaktiviert für Patch KB3133977 für Windows 7 kann Rechner lahmlegen
Weiterlesen

Erste Patches für die Glibc-Sicherheitslücke

Nahezu genauso verbreitet wie das Betriebssystem Linux selbst ist leider auch die Sicherheitslücke mit dem Bezeichner CVE-2015-7547, allgemein als glibc-Lücke bekannt. Inzwischen haben mehrere Hersteller reagiert und dazu Sicherheits-Updates herausgegeben, die die Schwachstelle in den Netzwerkfunktionen der glibc schließen. Durch diese Lücke können Angreifer Linux-Systeme aus der Ferne mit Hilfe von speziell präparierte DNS-Paketen übernehmen. Bei Zyxel gibt es zum Beispiel ein Hotfix für die VPN-Firewalls der ZyWALL-Serie, für die Unified Security Gateways und für die Small Business Gateways. Der Patch soll aktuell schon über den ZyXEL-Support erhältlich sein, nächste Woche sollen dann abgesicherte Firmwareupdates folgen. Weitere Details zu den Reaktionen weiterer Hersteller wie Citrix oder VMWare finden Sie in einem aktuellen Artikel bei Heise.

2016-02-24T08:40:37+02:00Februar 24th, 2016|Allgemein|Kommentare deaktiviert für Erste Patches für die Glibc-Sicherheitslücke
Weiterlesen
Nach oben