Ein Sicherheitsupdate für Googles Browser Chrome

Aktuell haben es Angreifer wieder auf Chrome abgesehen und attackieren den Browser. Außer dieser Lücke haben die Entwickler noch weitere geschlossen; darunter auch eine „kritische“. In seiner Warnmeldung dazu gibt Google an, Exploit-Code für eine mit dem Bedrohungsgrad „hoch“ eingestufte Lücke (CVE-2021-4102) gefunden zu haben. Die knappe Beschreibung legt nahe, dass Angreifer einen Speicherfehler erzeugen könnten. So etwas führt dann meist dazu, dass Schadcode auf Computer gelangt. Noch weitere Schwachstellen beseitigt Die kritische Sicherheitslücke (CVE-2021-4098) macht die Inter-Process-Communications (IPC) Mojo von Chrome angreifbar. Auch bei dieser Schwachstelle fehlt eine Beschreibung von möglichen Angriffsszenarien. Der Entdecker der Lücke vom Google Sicherheitsforscherteam Project Zero spricht dabei von einer unzureichenden Datenvalidierung. Über alles haben die Entwickler fünf Lücken in Chrome 96.0.4664.110 für Linux, macOS und Windows geschlossen. Unter macOS aktualisiert sich der Browser automatisch, bei den meisten Windows-Systemen ebenfalls. Um die auf einem Computer aktuell installierte Version zu prüfen, klickt man auf die drei vertikal angeordneten Punkte oben rechts und dann auf Hilfe, Über Google Chrome. Damit wird dann letztlich auch das Update ge startet.

2021-12-14T09:59:11+02:00Dezember 14th, 2021|Browser, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Ein Sicherheitsupdate für Googles Browser Chrome
Weiterlesen

Sicherheitsupdate gegen Angriffe auf Google Chrome

Googles Browser Chrome ist verwundbar und Angreifer setzen inzwischen schon gezielt an einer der Sicherheitslücken an, die in der aktuellen Version von den Entwicklern neben vier weiteren Schwachstellen geschlossen wurde. In einem Beitrag dazu warnen die Entwickler explizit davor, dass Angreifer schon eine der insgesamt fünf geschlossenen Schwachstellen (CVE-2021-21193) ausnutzen. Diese Lücke wurde mit dem Bedrohungsgrad "hoch" eingestuft. Der leider recht kurzen Beschreibung lässt sich nur entnehmen, daß Angreifer auf nicht näher beschriebenem Weg im HTML-Renderer Blink einen Speicherfehler (use after free) auslösen könnten. Und so etwas führt häufig dazu, dass darüber Schadcode auf Computer gelangt. Die aktuelle Version Chrome 89.0.4389.90 für Windows, macOS und Linux ist jetzt gegen diese Angriffe abgesichert. Unter Windows und macOS aktualisiert sich der Browser normalerweise automatisch. Wenn Sie die installierte Version prüfen wollen, klicken Sie einfach oben rechts auf die drei vertikalen Punkte und dann auf Hilfe/Über Google Chrome. Sollte für Ihre Version des Browsers eine Aktualisierung bereitstehen, finden Download und Installation auch umgehend statt.

2021-03-15T12:12:39+02:00März 15th, 2021|Browser, Coding, Sicherheit|Kommentare deaktiviert für Sicherheitsupdate gegen Angriffe auf Google Chrome
Weiterlesen

Sicherheitsupdate 78.8 schließt vier Lücken in Thunderbird

Ende Januar 2021 hatte die Mozilla-Tochter MZLA Technologies die Version 78.7.0 ihres Mailprogramms Thunderbird veröffentlicht. Jetzt bringt der Hersteller weitere Verbesserungen für den Mailer. Das letzte Update beseitigte vor allem Programmfehler, während die neue Version 78.8.0 auch vier gefährliche Sicherheitslücken schließt. Deshalb sollten Sie die neue Version auch umgehend installieren: Das können Sie entweder über die integrierte Update-Funktion des Mailers oder einfach einen der folgenden Downloads für Windows, macOS oder Linux. So ersetzen Sie die alte Programmversion, wobei Ihre Daten erhalten bleiben. Download: Mozilla Thunderbird Portable (Windows) Download: Mozilla Thunderbird (Mac) Download: Mozilla Thunderbird (Linux) Vier Sicherheitslücken geschlossen Drei der vier mit Thunderbird 78.8.0 geschlossenen Sicherheitlücken stuft der Hersteller in die zweithöchsten Risikostufe "hoch" ein. Dies bedeutet, dass Angreifer die Schwachstellen in Thunderbird 78.7.0 wochenlang ausnutzen konnten, um über offene  Browserfenster vertrauliche Daten des Nutzers abzugreifen oder sogar Schadcode einzuschleusen. Auch Fehler bei der Speichersicherheit wurden behoben, die sich zur Ausführung von Progammcode missbrauchen ließen. Berichte, die an den Hersteller versandt werden, konnten über Zugriffsverletzungen Adressen beinhalten, die Rückschlüsse auf persönliche Daten gestatteten. Auch sieben Fehler beseitigt Das Update beseitigt auch sieben Fehler in dem Programm. Der Import von Adressbüchern im CSV-Format soll nun nicht mehr zu Fehlermeldungen führen, und auch die Darstellungsprobleme beim Dark Mode und bei verschiedenen Oberflächen-Widgets sollen [...]

2021-03-03T10:48:43+02:00März 3rd, 2021|Coding, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate 78.8 schließt vier Lücken in Thunderbird
Weiterlesen

Sicherheitsupdate für Chrome beseitigt Schwachstellen

Wenn Sie mit dem Google-Browser Chrome unter den Betriebssystemen Windows, macOS oder Linux surfen, sollten Sie jetzt sicherstellen, dass ihr Webbrowser auf dem aktuellen Stand ist. Ansonsten könnten Angreifer mehrere Schwachstellen ausnutzen, um ihren Computer zu attackieren. Aus einer Warnmeldung geht hervor, dass die Entwickler insgesamt zehn Sicherheitslücken in dem Browser entschärft haben. In dieser Meldung sind auch die CVE-Nummern der Schwachstellen aufgelistet. Die meisten der zehn Lücken wurden mit dem Bedrohungsgrad „hoch“ eingestuft. Details zu den geschlossenen Sicherheitslücken Leider verrät Google auch diesmal kaum Details zu den Schwachstellen, um Cyberkriminellen keine Anhaltspunkte zu geben. Bekannt ist, dass in fast allen Fällen Angreifer Speicherfehler in verschiedenen Kontexten wie Downloads, Media und Payment auslösen könnten. Wenn ein solcher Angriff erfolgreich, stürzt eine Anwendung mindestens ab (DoS-Attacke). Häufig können Angreifer in so einem Fall aber auch Schadcode auf den angegriffenen Computer übertragen und ausführen. Die  neue Version Chrome 88.0.4324.182 ist abgesichert. Normalerweise aktualisiert sich Chrome beispielsweise unter macOS oder Windows automatisch. Die installierte Version lässt sich prüfen, wenn man oben rechts neben der Adressleiste auf die drei vertikal angeordneten Punkte (Einstellungen) klickt. Unter dem Unterpunkt Hilfe/Über Google Chrome sieht man die installierte Ausgabe. Sollte diese veraltet sein, startet das Update dann automatisch.

2021-02-18T11:45:35+02:00Februar 18th, 2021|Browser, Coding, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für Chrome beseitigt Schwachstellen
Weiterlesen

Sicherheitsupdate für Krypto-Bibliothek Libgcrypt

Wegen einer Sicherheitslücke sollten Entwickler die Krypto-Bibliothek Libgcrypt in der aktuellen Version 1.9.0 jetzt besser nicht mehr einsetzen. In seiner Ankündigung warnt der Programmierer Werner Koch vor dem Einsatz dieser verwundbaren Version. Die Bibliothek Libgcrypt wird zum Beispiel bei GnuPG benutzt. Eigentlich ist die Ausgabe 1.9.0 vom 19. Januar 2021 ja noch ziemlich frisch und kommt deshalb auch zum Glück noch nicht flächendeckend zum Einsatz. Laut Koch ist die Krypto-Bibliothek aber aktuell schon in Fedora 34 und Gentoo verfügbar. Werner Koch warnt vor einem "schweren Fehler" in der Software. Nähere Angaben zu der Sicherheitslücke machte er aber zunächst noch nicht. Gestern verkündete Werner Koch in einem Sicherheits-Advisory  die Verfügbarkeit der neuen Version Libgcrypt 1.9.1, die einen "kritischen Security-Bug" beseitigt. Nach der Beschreibung hat der Sicherheitsforscher Tavis Ormandy einen möglichen Pufferüberlauf auf dem Heap in der Software entdeckt. Der lässt sich relativ einfach dafür ausnutzen, Code einzuschleusen und auszuführen zu lassen. Dazu reicht es aus, dass die betroffene Bibliothek Daten eines Angreifers entschlüsselt. Wer noch Libgcrypt 1.9.0 einsetzt, sollte deshalb dringend einen Update auf die neue Version durchführen.

2021-01-30T12:11:32+02:00Januar 30th, 2021|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für Krypto-Bibliothek Libgcrypt
Weiterlesen

Update für Drupal macht Archiv-Uploads sicher

In einer der Bibliotheken, die das beliebte CMS Drupal einsetzt, steckt ein Fehler und gefährdet Internetseiten mit bestimmten Einstellungen der Konfiguration. Inzwischen sind aber schon Sicherheitsupdates verfügbar. Es gibt aber auch einen Workaround, über den die Admins die Seiten auch einen gegen solche Angriffe schützen können. Die in der Warnmeldung der Entwickler als „kritisch“ bezeichnete Lücke (CVE-2020-36193) steckt in der pear-Archive_Tar-Bibliothek. Diese Library kümmert sich um die Verarbeitung von komprimierten Archiven wie zum Beispiel .tar. War ein Angriff erfolgreich, dann könnten Angreifer schreibend auf den Internetserver zugreifen (Directory Traversal). Workaround: Upload von Archiven verbieten Allerdings sind nur Seiten bedroht, bei denen der Upload solcher Dateien erlaubt ist. Wenn die Admins diese Funktion deaktivieren, ist die Gefahr erst einmal gebannt. Besser wäre es aber, jetzt eine der abgesicherten Versionen 7.78, 8.9.13, 9.0.11 oder 9.1.3 zu installieren. Die Drupal-Entwickler weisen auch darauf hin, dass der Support für älter Versionen als 8.9.x inzwischen ausgelaufen ist und dass diese veralteten Versionen keine Sicherheitsupdates mehr bekommen.

2021-01-22T10:26:51+02:00Januar 22nd, 2021|CMS, Sicherheit|Kommentare deaktiviert für Update für Drupal macht Archiv-Uploads sicher
Weiterlesen

Sicherheitsupdate für Emailclient Thunderbird

Soeben haben die Entwickler in der aktuellen Version von Mozillas Mailclient Thunderbird eine gefährliche Sicherheitslücke geschlossen. Über diese Lücke könnten Angreifer das Mailprogramm mit DOS-Angriffen attackieren. Das von der Sicherheitslücke ausgehende Risiko wurde als "hoch" eingestuft. Nach der Warnmeldung von Mozilla könnten Angreifer die einen eigenen SMTP-Server nutzen, durch die Sicherheitslücke manipulierte Status-Codes übermitteln. Der Thunderbird liest diese Codes aus und legt sie als Byte im Stack (Stapelspeicher) ab. Und genau da können diese manipulierten Codes einen Speicherfehler vom Typ „stack overflow“ auslösen, was dann in der Regel zum Ausgangspunkt für DoS-Attacken genutzt wird. Auf diesem Weg kann in so einem Szenario dann auch Schadcode aller Art auf einen betroffenen Computer gelangen. Ein Update ist also dringend zu empfehlen. Die Entwickler haben die Schwachstelle (CVE-2020-26970) mit der neuen Version Thunderbird 78.5.1 geschlossen.

2020-12-03T20:12:01+02:00Dezember 3rd, 2020|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für Emailclient Thunderbird
Weiterlesen

Sicherheitsupdate für Microsofts Webbrowser Edge

Wer mit dem Microsoft Edge im Internet unterwegs ist, sollte den Browser umgehend auf den aktuellen Stand bringen, denn Angreifer nutzen aktuell schon eine Sicherheitslücke aktiv aus. In dem Browser haben die Entwickler insgesamt fünf Lücken geschlossen. Die schon ausgenutzte Schwachstelle (CVE-2020-15999) steckt in der Programmbibliothek FreeType. Viele Infos über diese Sicherheitslücke sind noch nicht bekannt aber Angreifer sollen darüber Speicherfehler auslösen können. Das führt dann meist zu einem DoS-Zustand, was eine Anwendung letztlich abstürzen lässt. Es ist aber auch die Ausführung von Schadcode möglich. Der Bedrohungsgrad wird als "hoch" eingeschätzt, schreibt Microsoft im Sicherheitscenter für Edge. So sind auch drei weitere Lücken eingestuft. Die fünfte Sicherheitslücke (CVE-2020-16003) hat die Einstufung "mittel". Dadurch kann es beim Drucken zu einem Speicherfehler (use after free) kommen. Sowohl Edge als auch Chrome basieren auf Chromium. Bei Edge ist die Ausgabe 86.0.622.51 abgesichert. Die abgesicherte Chrome-Ausgabe 86.0.4240.111 ist bereits erschienen.

2020-10-27T17:51:32+02:00Oktober 27th, 2020|Browser, Sicherheit|Kommentare deaktiviert für Sicherheitsupdate für Microsofts Webbrowser Edge
Weiterlesen

Aktuelles Sicherheitsupdate: CMS Drupal 7.70

Wer seine Seiten als Website-Admin mit dem Content Management System (CMS) Drupal 7 erstellt hat, sollten jetzt dringend das soeben erschienene Sicherheitsupdate von Drupal installieren. Ansonsten könnten böswillige Angreifer die Besucher seiner Internetseiten ganz einfach auf eine von ihnen erstellte Website umleiten. In ihrer Sicherheitswarnung stufen die Drupal-Entwickler auch das Angriffsrisiko, das von der Lücke ausgeht, nur als "moderat kritisch" ein. Vermutlich wurde deshalb auch noch keine CVE-Nummer zur Kennzeichnung der Schwachstelle vergeben. Bei der Schwachstelle handelt es sich um eine sogenannte Open-Redirect-Lücke, die nur in  Drupal 7 steckt. Wenn ein Angriff erfolgreich ist, könnten die Angreifer das Opfer – also einen Besucher Ihrer Website - auf eine von ihnen kontrollierte Internet-Seite locken. Das könnte wegen der unzureichenden Überprüfung des Destination-Abfrage-Parameters drupal_goto() zum Beispiel über einen entsprechend präparierten Link geschehen. Die  ist gegen das Problem abgesichert.

2020-05-26T16:18:26+02:00Mai 26th, 2020|CMS, Sicherheit|Kommentare deaktiviert für Aktuelles Sicherheitsupdate: CMS Drupal 7.70
Weiterlesen

Drupal 8: Mehrere Lücken im Webform-Modul beseitigt

Durch ein wichtiges Sicherheitsupdate soll verhindert werden, dass Angreifer aus der Ferne mit Formularfunktionen von Drupal spielen oder sogar schädlichen Code ausführen. Wenn Sie unter Drupal 8 das Webform-Modul nutzen, um Formulare zu erstellen, sollten Sie dieses so bald wie möglich auf den neuesten Stand bringen. Die Entwickler des CMS haben insgesamt sieben Sicherheitslücken geschlossen, deren Schweregrad von "moderately critical" bis "critical" reicht. Angreifer könnten aus der Ferne die Lücken, die unter anderem in fehlenden Validierungs- und Filtermechanismen der Formularfunktionen bestehen, zum Beispiel ausnutzen, um JavaScript- oder PHP-Code auszuführen. Exploit-Möglichkeiten sind noch nicht für alle Lücken bekannt und zum Teil ist auch eine vorherige Authentifizierung nötig. Die abgesicherte Version Webform 8.x-5.11 können Sie als Update aus dem CMS heraus sowie als Download auf der Drupal-Website bekommen. Details zu den geschlossenen Sicherheitslücken Zu den Drupal-Sicherheitslücken geben die nachstehenden, nach Schweregrad geordneten Advisories nähere Informationen: Webform - Critical - Remote Code Execution - SA-CONTRIB-2020-011 Webform - Critical - Access bypass - SA-CONTRIB-2020-016 Webform - Moderately critical - Cross site scripting - SA-CONTRIB-2020-015 Webform - Moderately critical - Cross site scripting - SA-CONTRIB-2020-014 Webform - Moderately critical - Cross site scripting - SA-CONTRIB-2020-013 Webform - Moderately critical - Access bypass - SA-CONTRIB-2020-012 Webform - Moderately critical - Access bypass - SA-CONTRIB-2020-017

2020-05-08T16:49:16+02:00Mai 8th, 2020|CMS, HTML, Javascript, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Drupal 8: Mehrere Lücken im Webform-Modul beseitigt
Weiterlesen
Nach oben