Sicherheitsupdates gegen Schadcode-Angriffe auf Thunderbird

Der Hersteller Mozilla hat in seinem freien und kostenlosen Email-Client Thunderbird mehrere Sicherheitslücken mit Updates geschlossen. Wer seine Emails mit Thunderbird erledigt, sollte die Anwendung jetzt schnell auf den neuesten Stand bringen. Denn sonst könnten Angreifer an vorhandenen Schwachstellen ansetzen und im ungünstigsten Fall Schadcode auf den Computer schleusen und auch ausführen. Einer Warnmeldung zufolge, haben die Entwickler in Thunderbird 91.12 zwei als „moderat“ eingestufte Lücken geschlossen. In Thunderbird 102.1 haben sie auch noch zwei weitere Sicherheitsprobleme beseitigt. Eine dieser Lücken (CVE-2022-2505) wurde mit dem Bedrohungsgrad „hoch“ eingestuft. Wenn Angreifer erfolgreich an der Schwachstelle ansetzen, könnten sie (auf einem nicht näher beschriebenen Weg) Speicherfehler auslösen. Laut den Entwicklern könnten die Angreifer darüber dann mit etwas Aufwand Schadcode auf den angegriffenen PCs ausführen. Das führt in aller Regel zur kompletten Kompromittierung der Systeme.

2022-08-01T07:37:23+02:00August 1st, 2022|Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdates gegen Schadcode-Angriffe auf Thunderbird
Weiterlesen

Oracle sichert seine Produkte mit 349 Updates ab

Die gerade von Oracle veröffentlichten wichtigen Sicherheitspatches schließen unter anderem kritische Lücken in allen Anwendungen. Admins, die in ihren Unternehmen oder bei ihren Kunden Software von Oracle einsetzen (beispielsweise Datenbanken am Internetserver), sollten jetzt die aktuellen Sicherheitsupdates installieren. Der Softwarehersteller veröffentlicht Patches immer quartalsweise gesammelt. Diese Sammel-Updates kommen unter der Bezeichnung Oracle Critical Patch Update und im Juli sind darunter immerhin 349 Sicherheitspatches. Davon ist im Grunde das gesamte Software-Portfolio betroffen - es geht vom Autonomous Health Framework über NoSQL Database bis hin zu den Siebel Applications. Einige der Lücken sind echt gefährlich Entfernte Angreifer könnten zum Beispiel ohne Anmeldung an einer „kritischen“ Sicherheitslücke (CVE-2022-35169) in Oracle Database - Enterprise Edition den Hebel ansetzen. Weitere kritische Schwachstellen stecken unter anderem in Produkten aus Oracle Commerce, Communications Applications und Enterprise Manager. Wegen der Einstufung der Lücken ist anzunehmen, dass potentielle Angreifer Systeme nach erfolgreichen Angriffen komplett kompromittieren können. Deshalb sollten die Admins die Liste mit den betroffenen Anwendungen genau studieren und die für sie relevanten Sicherheitsupdates bald installieren. In der Vergangenheit kam es schon mehrfach vor, dass Lücken in Anwendungen des Software-Herstellers als Schlupflöcher für Angreifer dienten. Bisher gibt es aber noch keine Berichte über aktuell laufende Attacken.

2022-07-20T09:18:33+02:00Juli 20th, 2022|Allgemein|Kommentare deaktiviert für Oracle sichert seine Produkte mit 349 Updates ab
Weiterlesen

Drupal: Erneut erlauben Lücken die Website-Übernahme

Schon vor zwei Wochen gab es Updates gegen zwei Sicherheitslücken in der Drupal-Komponente Guzzle. Weitere Sicherheitslecks in der Guzzle-Bibliothek ermöglichen es Angreifern aber immer noch, verwundbare Drupal-Installationen zu kompromittieren. Weitere neue Updates dichten die Sicherheitslücken ab. Im Content-Management-System (CMS) Drupal kommt die Komponente Guzzle zum Einsatz, in welcher die Entwickler gerade erneut zwei weitere Sicherheitslücken geschlossen haben. Nach Angaben Cyber-Sicherheitsbehörde CISA der USA konnten Angreifer diese missbrauchen, um verwundbare Drupal-Installationen zu übernehmen. Das Drupal-Projekt reagiert darauf mit Updates, in welche die Schwachstellen entschärfen. Schon wieder stecken die Schwachstellen in Guzzle Cookie-Header transportieren als Antworten auf Anfragen an den Server sensible Informationen. Bei https-Anfragen an den Server könnte dieser fälschlicherweise derartige Informationen weitergeben, wenn er die Anfrage auf http oder einen anderen Host umleitet (CVE-2022-31042, CVSS 7.5, Risiko “hoch”). Die Authorization-Header enthalten ebenfalls vertrauliche Daten, und dasselbe Fehlverhalten wie bei den Cookie-Headern kann auch bei ihnen auftreten (CVE-2022-31043, CVSS 7.5, hoch). In der dazugehörigen Sicherheitsmeldung schreiben die Drupal-Entwickler, dass die Lücken zwar nicht den Drupal-Kern selbst beträfen, aber potenziell Dritthersteller-Module und eigene Code-Erweiterungen und stufen die Gefahr als so hoch ein, dass sie ein Sicherheitsupdate außer der Reihe herausgeben haben. Auch CISA warnt vor den Lücken in Guzzle Auch die CISA warnt schon vor den Sicherheitslücken und empfiehlt Drupal-Administratoren, die Hinweise in der [...]

2022-06-15T07:55:02+02:00Juni 15th, 2022|Coding, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Drupal: Erneut erlauben Lücken die Website-Übernahme
Weiterlesen

Google hat sieben Fehler im Chrome-Browser beseitigt

Google hat jetzt vier hochriskante und drei weitere Sicherheitslücken in seinem Browser Chrome beseitigt. Laut CISA sollten die Benutzer diese Patches schnellstmöglich installieren. Google hat soeben Updates für den Browser Chrome veröffentlicht, mit denen insgesamt sieben Sicherheitslücken geschlossen werden, die in dem weltweit millionenfach genutzten Browser gefunden wurden und von denen vier als hochriskant eingestuft sind. Einer Warnung der United States Cybersecurity & Infrastructure Agency (CISA) zufolge könnten Angreifer diese Schwachstellen in Google Chrome für Windows, Mac und auch unter Linux ausnutzen, um die Kontrolle über ein betroffenes System zu übernehmen. Die CISA rät den Benutzern jetzt, auf die neueste Version von Google Chrome 102.0.5005.115 zu aktualisieren, um zu verhindern, dass die Sicherheitslücken ausgenutzt werden. Wie Angreifer die hochriskanten Schwachstellen genau ausnutzen können, wurde wie üblich aus Sicherheitsgründen noch nicht bekannt gegeben. „Der Zugang zu Fehlerdetails und Links kann eingeschränkt werden, bis die Mehrheit der Nutzer ein Update erhalten hat. Wir werden auch Einschränkungen beibehalten, wenn der Fehler in einer Bibliothek eines Drittanbieters vorhanden ist, von der andere Projekte in ähnlicher Weise abhängen, die aber noch nicht behoben wurden“, schreibt Google in seinem Blogpost zu den Updates. „Wir möchten uns auch bei allen Sicherheitsforschern bedanken, die während des Entwicklungszyklus mit uns zusammengearbeitet haben, um zu verhindern, [...]

2022-06-14T08:10:13+02:00Juni 14th, 2022|Browser, Sicherheit|Kommentare deaktiviert für Google hat sieben Fehler im Chrome-Browser beseitigt
Weiterlesen

PHP-Updates schützen vor Einschleusen von Schadcode

Gleich zwei Fehler in PHP-Modulen zur Anbindung von SQL-Datenbanken gestatten die Ausführung beliebigen Fremd-Codes. Deshalb sollten Admins von Shared-Hosting-Servern PHP zügig updaten. IT-Sicherheitsforscher Charles Fol fand gleich zwei Fehler in PHP-Datenbankmodulen, die er zur erfolgreichen Ausführung eigenen Codes benutzen konnte. Diese Schwachstellen stecken in allen PHP-Versionen der aktuell gepflegten Versionsbäumen bis einschließlich 7.4.29, 8.0.19 und 8.1.6. Bug #1: postgreSQL Die erste der Lücken (CVE-2022-31625) steckt in der Anbindung an postgreSQL-Datenbanken. Durch ein falsch initialisiertes Array zur Speicherung von Parametern einer Datenbankanfrage könnten Angreifer bei geschickter Kombination von bestimmten Datentypen den Heap korrumpieren und dann eigenen (Schad-)Code auf dem Zielsystem ausführen. Um diese Sicherheitslücke auszunutzen, müssten sie aber zusätzlich auch die Möglichkeit haben, eigenen PHP-Code auf dem Zielsystem auszuführen. Bug #2: MySQL Die zweite Sicherheitslücke steckt in der PHP-Anbindung an MySQL und bekam die CVE-ID CVE-2022-31626. Hier nutzte Fol einen Pufferüberlauf in der PHP-eigenen Implementation des MySQL-Protokolls aus, um den eingeschleusten Code dann auszuführen. Nötige Randbedingungen Aber auch hier ist eine Randbedingung zu erfüllen, um den Schadcode injizieren zu können: Der Zielserver muss dazu eine Verbindung zu einem speziell präparierten MySQL-Server aufbauen können, die außerdem noch ein besonders langes Passwort von über 4000 Zeichen benutzt. Der Sicherheitsdienstleister Tenable ordnete beiden Fehlern einen CVSS-Score von 9.8 (kritisch) zu und geht [...]

2022-06-11T11:16:12+02:00Juni 11th, 2022|Coding, MySQL, PHP, Sicherheit|Kommentare deaktiviert für PHP-Updates schützen vor Einschleusen von Schadcode
Weiterlesen

Notfallupdate: Angriffe auf Firefox und Thunderbird

Mozilla hat außer der Reihe Sicherheitsupdates für die Programme Firefox, Klar und Thunderbird herausgegeben, die schon aktiv angegriffene Lücken darin schließen. Zwei dieser Sicherheitslücken mit der Risikoeinstufung "kritisch" schließt die Mozilla-Foundation außer der Reihe mit Updates der Webbrowser Firefox und Klar sowie des Mailers Thunderbird. Diese Anwendungen werden schon aktiv von Cyberkriminellen angegriffen. Administratoren und Benutzer sollten die Updates jetzt rasch installieren. Die Sicherheitslücken dichten die neuen Versionen Firefox 97.0.2, Firefox ESR 91.6.1, Firefox für Android 97.3.0 und Firefox Klar 97.3.0 (Privater Browser - die Firefox-Version mit aktiviertem Tracking-Schutz und Werbeblocker, in Englisch als Focus bekannt) sowie Thunderbird 91.6.2 ab. Weiterreichende Details zu den Lücken nennt die Mozilla-Stiftung nicht. Es gibt noch keine Details Die Sicherheitsmeldung der Mozilla-Entwickler gibt nur die CVE-Nummern und eine grobe Beschreibung der Schwachstellen an. Bei beiden Lücken treten die Fehler durch das sogenannte "Use-after-free" auf, also der Nutzung eines Zeigers auf Speicherbereiche, die eigentlich schon wieder freigegeben wurden. Die Auswirkungen dieser Art Sicherheitslücken variieren generell von der Möglichkeit, Daten zu manipulieren über den Absturz der Programme bis hin zur Ausführung eingeschleustem Schadcode auf dem Rechner. Der Besuch einer „bösen“ Internetseite reicht aus Bei beiden Lücken kann das Öffnen einer entsprechend präparierten Webseite ausreichen, um die Lücke zu missbrauchen. Die eine Lücke kann unter Umständen aufgehen, wenn XSLT-Parameter entfernt werden, erläutert Ubuntu [...]

2022-03-07T11:35:13+02:00März 7th, 2022|Allgemein, Browser, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Notfallupdate: Angriffe auf Firefox und Thunderbird
Weiterlesen

Drupal: Updates für Core-Module des CMS

Für das QuickEdit-Modul, die JSON:API- and REST/File-Module sowie das Media-Modul des Drupal-Kerns in den beiden Versionsreihen 8.x und 9.x des CMS stehen seit letzter Woche Aktualisierungen bereit. Mit den neuen Versionen von Drupal werden insgesamt fünf Sicherheitslücken geschlossen, die von den Entwicklern als "moderat kritisch" eingestuft wurden. Durch diese Lücken könnten Angreifer unter bestimmten Voraussetzungen zum Beispiel Zugriffs- und Validierungsmechanismen umgehen und dann auf vertrauliche Daten zugreifen. Weitergehende Informationen zu den Sicherheitslücken und den dagegen verfügbaren Updates finden Sie in den Advisories des Drupal-Teams: Access Bypass - SA-CORE-2021-010 Access bypass - SA-CORE-2021-009 Access bypass - SA-CORE-2021-008 Cross Site Request Forgery - SA-CORE-2021-007 Cross Site Request Forgery - SA-CORE-2021-006

2021-09-20T13:17:29+02:00September 20th, 2021|CMS, Sicherheit|Kommentare deaktiviert für Drupal: Updates für Core-Module des CMS
Weiterlesen

Neue Tor-Browser-Version mit Sicherheitsupdates

Der anonymisierende Tor Browser, den man für den Zugang zum Darknet braucht, ist gerade in der Version 10.5.5 für Windows, Linux, macOS und Android erschienen. Neben den üblichen Bugfixes und Komponenten-Updates bringt die neueste Ausgabe des Browsers auch mehrere sicherheitsrelevante Aktualisierungen. Tor und Firefox-Basis abgesichert Die vom Tor-Browser benutzte Version des Tor-Netzwerks zur Anonymisierung wurde auf Version 0.4.5.10 aktualisiert. Mit dem Update wird eine Schwachstelle beseitigt, die entfernten Angreifern ohne vorherige Authentifizierung unter bestimmten Voraussetzungen die Durchführung von Denial-of-Service-Angriffen ermöglicht hätte. Informationen zu verwundbaren und abgesicherten Tor-Versionen finden Sie in einem Advisory des DFN-CERT zu CVE-2021-38385 und in einem Blogeintrag zu den aktuellen Tor-Releases. Die Android-Version des Tor-Browsers basiert  jetzt auf der neueren Firefox-Version 91.2.0. Sie kommt mit Fixes für mehrere Sicherheitslücken, von denen ein zum Teil hohes Risiko ausgeht. Nach Informationen aus Mozillas Security Advisory zu Firefox 91 könnten die Lücken unter anderem für ausnutzbare Programmabstürze und (mit viel Aufwand) auch zur Codeausführung missbraucht werden. Download und weitere Informationen Alle Neuerungen werden im Blogeintrag zum Tor Browser 10.5.5 beschrieben. Darin findet sich auch ein Hinweis, dass der Support für die Onion Services (Tor Hidden Services) v2 durch den Tor Browser "sehr bald" zugunsten von v3 eingestellt werde. Browser-Nutzer sollten ihre Bookmarks fürs Darknet deshalb auch auf v3-Onion-Adressen aktualisieren. Den Tor Browser 10.5.5 [...]

2021-08-23T17:07:48+02:00August 23rd, 2021|Browser, Sicherheit|Kommentare deaktiviert für Neue Tor-Browser-Version mit Sicherheitsupdates
Weiterlesen

Datenbank MongoDB 5.0 veröffentlicht

Bei seiner alljährlichen Konferenz MongoDB.live hat MongoDB Inc., , die Version 5.0 der gleichnamigen dokumentorientierten NoSQL-Datenbank und weitere Neuerungen im Bereich des Multi-Cloud-DBaaS-Dienstes (Database as a Service) MongoDB Atlas vorgestellt. MongoDB 5.0 mit versionierter API, nativen Zeitreihen und Live-Resharding Die Entwickler dürften sich besonders über die versionierte API, die nativen Zeitreihen und die Funktion Live-Resharding freuen. Alle Datenbankfeatures stehen ihnen außerdem in Zukunft auch im Rahmen einer Preview von MongoDB Atlas in Serverless-Instanzen zur Verfügung. DB-Updates ohne große Änderungen des Anwendungscodes Normalerweise ist das Application Lifecycle Management (ALM) eng mit dem Verwalten der Datenbank verknüpft. Mit der neuen versionierten API gibt MongoDB 5.0 den Entwicklern die Möglichkeit, beides voneinander zu entkoppeln. In Zukunft lassen sich dadurch Datenbank-Upgrades durchführen, ohne größere Änderungen für den Anwendungscode befürchten zu müssen. Zu dem Zweck definiert die versionierte API eine Zusammenstellung häufig verwendeter Befehle und Parameter, die auch bei Major Releases der DB unverändert bleiben. Idealerweise muss der Code einer Anwendung deshalb über Jahre hinweg nicht mehran neue MongoDB-Versionen angepasst werden.

2021-07-13T16:59:23+02:00Juli 13th, 2021|Coding, MySQL, Webwerkzeuge|Kommentare deaktiviert für Datenbank MongoDB 5.0 veröffentlicht
Weiterlesen

Blender 2.91 kommt mit vielen Detailverbesserungen

Eine bunte Neuigkeit im grauen November: Das zweite Release der 2.9er Serie des freien 3D-Grafikprogramms Blender ist gestern veröffentlicht worden. Das ist das vierte Release der beliebten Software in diesem Jahr – eines davon hat auch Long-Term-Support. Neues in Blender 2.91 Blender 2.91 kommt mit vielen Detailverbesserungen im Werkzeugkasten von der Gestaltung von Kleidern, der Konversion Mesh zu Volume und umgekehrt, mit durchsuchbare UI-Panels und noch manchem mehr. Hinzu kommen auch noch hunderte von Bugfixes – Blender 2.91 kommt stark aufpoliert und vor allem stabiler denn je daher. Eine komplette Liste aller Updates in Blender 2.91 finden Sie unter https://www.blender.org/download/releases/2-91/. Die neue Version des Programms basiert auf einer großen Community von Entwicklern und Kontributoren auf blender.org, die Demos dazu erstellt, Bug Reports eingeandt und anderweitig zu Blender beigetragen haben. Und last not least auch auf der Unterstützung des Entwicklungs-Fonds durch mehr als 5.000 Spender.

2020-11-26T11:42:30+02:00November 26th, 2020|Bildbearbeitung, Webwerkzeuge|Kommentare deaktiviert für Blender 2.91 kommt mit vielen Detailverbesserungen
Weiterlesen
Nach oben