Comretix Blog

Einen riesigen Katalog an Maßnahmen für IT-Sicherheit verordnet US-Präsident Joe Biden seinen US-Bundesbehörden. Die Bandbreite der Maßnahmen ist gewaltig, sodass kaum ein behördliches IKT-System unberührt bleiben wird. Es muss Jahre gedauert haben, den am Donnerstag veröffentlichen Präsidentenerlass vorzubereiten. Es ist sich gerade noch ausgegangen, vier Tage vor dem Ende der Amtszeit Bidens.

Anzeige

Enthalten sind nicht nur Vorgaben für die interne Gebarung von Bundesbehörden, sondern auch für deren Lieferanten und Dienstleister, sonst hätte das Unterfangen ja wenig Sinn. Unterstützt die eingekaufte Software DNS-Verschlüsselung nicht, nutzt der schönste Resolver nichts. Verarbeitet der BGP-Router des Netzbetreibers die Origin-Schlüssel nicht, läuft die Absicherung der Datenübertragung ins Leere. Ist die Hardware schon vor Einbau kompromittiert, hat die Abwehr schweren Stand.

Doch stehen die Vorgaben im Gegensatz zum Regulierungsabbau, wie ihn Bidens Amtsnachfolger Donald Trump predigt, und zu dessen geplanten radikalen Kürzungen im öffentlichen Dienst. Vielleicht speziell für Trump hebt Bidens Erlass gleich zu Beginn zweimal hervor, wen es abzuwehren gilt: Gegner und Kriminelle, allen voran die Volksrepublik China. Sie sei die "aktivste und hartnäckigste IT-Bedrohung für US-Behörden, den Privatsektor und die Kritische Infrastruktur".

"Es muss mehr getan werden, um die IT-Sicherheit der Nation gegen diese Bedrohungen zu schützen", schreibt der US-Präsident, dessen Erlass frühere Präsidentenerlässe von Barack Obama, Donald Trump und Biden selbst fortschreibt. Er erklärt es zur offiziellen Strategie der Regierung, Anbieter von Software und Cloud-Diensten stärker zur Verantwortung zu ziehen, die Sicherheit behördlicher Kommunikations- und Identitätsmanagementsysteme zu stärken, sowie innovative Entwicklungen und neue Technik (lies: KI) für IT-Sicherheit einzusetzen.

Die US-amerikanische Wettbewerbs- und Verbraucherschutzbehörde FTC (Federal Trade Commission) geht gegen GoDaddy vor, einen der größten Webhosting-Anbieter der Welt. Die unabhängige US-Aufsicht wirft dem Unternehmen mangelnde IT-Sicherheit bei Webhosting-Diensten sowie irreführende Versprechungen zum Datenschutz vor. Cyberangriffe aufgrund schwachen Schutzes könnten GoDaddy-Kunden und deren Website-Besucher schaden. Deshalb verlangt die FTC von GoDaddy etliche Maßnahmen zur Verstärkung der eigenen IT-Sicherheit.

Anzeige

Die US-Behörde verweist auf schwerwiegende Sicherheitsverletzungen in den Jahren von 2019 bis 2022, bei denen Cyberkriminelle unbefugten Zugriff auf Websites von GoDaddy-Kunden erlangen konnten. So konnten im Dezember 2022 etwa Angreifer nach einem Cyber-Einbruch GoDaddy-Webseiten umleiten. Besucher von Kunden-Websites wurden sporadisch und automatisch auf Malware-Seiten weitergeleitet. Ein Jahr zuvor betraf eine GoDaddy-Datenpanne 1,2 Millionen WordPress-Kunden, als sich Cyberangreifer Zugang zu persönlichen Daten dieser GoDaddy-Kunden verschaffen konnten. Insgesamt zählt GoDaddy laut FTC rund 5 Millionen Webhosting-Kunden.

In der offiziellen Beschwerde listet die FTC zu den "unangemessenen Sicherheitspraktiken" unter anderem, dass GoDaddy versäumt hat, Vermögenswerte und Software-Updates zu inventarisieren und zu verwalten, Risiken für seine Shared-Hosting-Dienste nicht abgeschätzt hat, sicherheitsrelevante Ereignisse in der Hosting-Umgebung nicht ausreichend protokolliert und überwacht hat, sowie das Shared Hosting von weniger sicheren Umgebungen nicht getrennt hat. Dazu gehört auch, dass GoDaddy keine Multifaktor-Authentifizierung nutzt und keine Software einsetzt, um Logdateien auf mögliche Bedrohungen zu prüfen.

Zudem wirft die FTC GoDaddy vor, Kunden durch irreführende Angaben auf der eigenen Website, in E-Mails oder bei Werbung in sozialen Netzwerken getäuscht zu haben. Der Webhoster verweist dabei auf "angemessene Sicherheit" seiner Angebote und dass sich GoDaddy an Datenschutz-Rahmenvereinbarungen der USA mit der EU und der Schweiz hält. Diese verlangen von Unternehmen "angemessene und geeignete Maßnahmen zum Schutz personenbezogener Daten". Die Angaben GoDaddys sind nach Einschätzung der FTC nicht zutreffend.

Eine aktuelle Ransomware-Kampagne zielt auf Datenhalden in Amazon-S3-Buckets. Die Angreifer nutzen die "Server-Side Encryption with Customer Provided Keys" (SSE-C), also serverseitige Verschlüsselung mit von Kunden angegebenen Schlüsseln, von Amazons AWS.

Anzeige

Zur Entschlüsselung der mit AES-256-Keys verschlüsselten Daten verlangen die Cyberkriminellen Lösegeld, schreibt Halcyon in einer Analyse. Besonders auffällig: Die Angreifer missbrauchen keine Schwachstellen in AWS, sondern nutzen reguläre Amazon-AWS-Zugangsdaten. Die Taktik stelle den IT-Forschern zufolge eine signifikante Evolution der Ransomware-Fähigkeiten dar, da es keine bekannte Methode zur Wiederherstellung der Daten gebe außer der Zahlung des Lösegelds.

Sie heben außerdem hervor, dass die Täter native Ressourcen für ihren Angriff missbrauchen. Mit kompromittierten AWS-Keys verschlüsseln sie S3-Buckets mittels SSE-C, was die Wiederherstellung ohne den erstellten Schlüssel unmöglich mache. Der Datenverlust sei irreversibel, da AWS Cloudtrail lediglich eine HMAC der Verschlüsselungskeys protokolliere, was für eine Wiederherstellung oder forensische Analyse nicht ausreiche. Zudem bauen die Cybergangster Druck auf, indem die Dateien zur Löschung innerhalb von sieben Tagen markiert werden. In den Erpressernotizen mit den Zahlungsdetails warnen die Täter außerdem davor, die Zugangsberechtigungen zu ändern.

Kaspersky hat im Rahmen dieser Ransomware-Kampagne im Darknet gewühlt und stieß dabei seit Jahresbeginn auf mehr als 100 einzigartige, kompromittierte Kontoinformationen für Amazon AWS. Insgesamt seien im Darknet große Mengen an unterschiedlichen Zugängen zu Amazons AWS-Cloud zu finden, teilt der russische Antivirenhersteller mit: mehr als 18.000 Konten seien mit der URL "console.aws.amazon.com" verknüpft, über 126.000 mit "portal.aws.amazon.com" und mehr als 245.000, die zu "signin.aws.amazon.com" gehören sollen. Die Virenforscher ergänzen, dass diese Informationen oft von Infostealern oder Datastealern stammen würden, die solche Daten sammeln. Am häufigsten seien dies der Lumma-Stealer und Redline.

Angreifer können Netzwerke mit Controllern und Gateways von HPE Aruba attackieren. Sind Attacken erfolgreich, kann Schadode auf Systeme gelangen.

Anzeige

Wie aus einer Warnmeldung hervorgeht, sind davon konkret die Produkte Mobility Conductor, Mobility Controllers und WLAN und SD-WAN Gateways mit den Softwareversionen bis jeweils inklusive AOS 8.10.0.14, 8.12.0.2 und 10.4.1.4 bedroht.

Die Entwickler warnen, dass davon auch weitere Versionsstränge bedroht sind, die aber nicht mehr im Support sind. Damit ausgestattete Geräte bleiben verwundbar. Um weiterhin Sicherheitsupdates zu bekommen, ist ein Upgrade auf eine aktuelle Ausgabe fällig.

Eine Lücke (CVE-2025-23051 "hoch") betrifft das webbasierte Management-Interface. Hier können Angreifer Systemdaten überschreiben. Die zweite Schwachstelle betrifft das CLI-Interface (CVE-2025-23052 "hoch"). An dieser Stelle können Angreifer eigene Befehle im Betriebssystem ausführen. Wie Attacken ablaufen können und ob es bereits Angriffe gibt, ist derzeit nicht bekannt.

Ivanti hat für mehrere Produkte Sicherheitsupdates veröffentlicht, die teils kritische Schwachstellen ausbessern. Aktualisierungen stehen für Ivantis Software-Verwaltungs-Software Application Control Engine, Avalanche und den Endpoint Manager (EPM) bereit.

Anzeige

Allein in Ivantis Endpoint Manager klaffen 16 Sicherheitslücken, davon vier als kritisches Risiko eingestufte. Laut der Sicherheitsmitteilung von Ivanti sind die kritischen Schwachstellen (CVE-2024-10811, CVE-2024-13161, CVE-2024-13160, CVE-2024-13159; CVSS 9.8) allesamt vom Typ Path-Traversal und ermöglichen nicht authentifizierten Angreifern, unbefugt sensible Informationen auszuleiten. Die zwölf weiteren Sicherheitslücken stufen Ivantis Entwickler als hohes Risiko ein. Die Versionen Ivanti EPM 2024 January-2025 Security Update und EPM 2022 SU6 January-2025 Security Update schließen die Sicherheitslecks. Offenbar gibt es nach dem Anwenden der Updates jedoch Probleme mit "Windows Action" in der Softwareverteilung, wodurch die Aktionen nicht sichtbar sind und daher keine neuen erstellbar oder bestehende veränderbar sind. Bestehende Pakete funktionieren jedoch weiter.

In Ivanti Avalanche bessert das Unternehmen der Sicherheitswarnung zufolge drei hochriskante Schwachstellen aus. Auch diese sind von Typ Path-Traversal. Zwei ermöglichen bösartigen Akteuren die Umgehung der Authentifizierung (CVE-2024-13181, CVE-2024-13179, beide CVSS 7.3, hoch). Eine weitere ermöglicht nicht authentifizierten Angreifern aus dem Netz, auf sensible Informationen zuzugreifen (CVE-2024-13180, CVSS 7.5, hoch). Ivanti Avalanche Version 6.4.7 oder neuer schließen die Lücken. Die aktualisierte Software ist im Download-Portal von Ivanti erhältlich.

Zuletzt warnt Ivanti noch vor einem Sicherheitsleck in der Application Control Engine. Angemeldete Angreifer können eine Race-Condition missbrauchen, um die App-Blockade-Funktion auszuhebeln (CVE-2024-10630, CVSS 7.8, hoch). Den Fehler korrigieren Ivanti Application Control 2024.3 HF1, 2024.1 HF2 und 2023.3 HF3. Ivanti Security Controls werden zwar noch bis zum 31. Dezember 2025 unterstützt, erhalten aber kein Update mehr, da ein Release ohne signifikanten Einfluss auf die Performance nicht möglich sei. Ivanti nennt in der Warnung manuelle Gegenmaßnahmen, empfiehlt jedoch den Umstieg auf Ivanti Application Control (UWM AC) oder Ivanti Neurons for App Control. Letzteres ist eine Cloud-Software, die Ivanti bereits am 12. Dezember mit Patches ausgestattet hat. Wer sich Ivanti Application Control in EPM installiert hat, sollte die aktuelle Version 10.14.4.0 besorgen und mit dem Privilege-Management-Plug-in importieren.

Die Windows-Updates, die Microsoft am Januar-Patchday veröffentlicht hat, lassen sich auf Systemen mit bestimmter Citrix-Software nicht installieren. Es gibt jedoch Abhilfe für Betroffene, diese müssen dafür aktiv werden.

Anzeige

Microsoft räumt das Problem in der Release-Ankündigung für das Windows Update für Windows 10 22H2 ein. "Geräte, die bestimmte CItrix-Komponenten installiert haben, könnten nicht in der Lage sein, die Installation des Januar-2025-Sicherheitsupdates abzuschließen", schreibt Microsoft.

Die Entwickler führen weiter aus: "Das Problem wurde auf Geräten mit Citrix Session Recording Agent in Version 2411 beobachtet. Die Version 2411 wurde im Dezember 2024 veröffentlicht". Betroffene Geräte können initial das Januar-2025-Windows-Sicherheitsupdate korrekt herunterladen und anwenden, etwa durch das Windows-Update in den Systemeinstellungen. "Beim Neustart des Geräts zum Vervollständigen der Update-Installation erscheint dann eine Fehlermeldung mit der Nachricht gleichlautend zu 'Etwas funktionierte nicht, wie erwartet. Keine Sorge, Änderungen werden zurückgenommen' – und das Gerät kehrt zu den zuvor installierten Windows-Updates auf dem Gerät zurück".

Da die Version 2411 des Citrix Session Recording Agent eine neue Version ist, schätzt Microsoft nur wenige Organisationen als betroffen ein. Heimanwender seien zudem den Erwartungen nach nicht betroffen.

Out of the box sind Windows-Netze mit Active Directory unsicher und leichte Beute für Angreifer jeglicher Art. Doch das kann man mit recht einfachen Maßnahmen deutlich verbessern: Ebenen und speziell gesicherte Admin-Arbeitsplätze haben sich bewährt. Doch der Teufel steckt im Detail. Wir zeigen nicht nur, warum jeder diese Konzepte umsetzen sollte, sondern auch, wie man das praktisch realisiert. Und für Mitglieder von heise security PRO gibt es obendrauf noch weitere Unterstützung bei der Umsetzung.

Anzeige

Unser erfahrener Referent Frank Ully liefert dazu ganz praktische Leitlinien, wie man etwa die Ebenen konkret einteilt, wie viele man davon abhängig von der Unternehmensgröße wirklich braucht und wie man das etwa mit Cloud-Ressourcen kombiniert. Auch für Probleme beim Einrichten und Einsetzen von Privileged Access Workstations (PAWs) etwa im Homeoffice präsentiert Ully pragmatische Lösungsansätze.

Dieses praxisorientierte heise security Webinar am 11. März um 10:00 richtet sich an alle, die ein Active Directory betreuen und für dessen Sicherheit verantwortlich sind. In dem etwa zweistündigen Live-Event ist viel Zeit für Ihre Fragen vorgesehen. Die Teilnahme kostet für Nicht-Mitglieder 175 Euro; aktuell kann man noch zum Frühbucherpreis von 155 Euro buchen. Weitere Informationen zum Inhalt und die Möglichkeit sich anzumelden, gibt es auf der Webseite zu:

Für Mitglieder von heise security PRO ist diesmal nicht nur die Teilnahme kostenlos. Darüber hinaus bieten wir im Nachgang Hilfe bei der Umsetzung der hier vermittelten Konzepte exklusiv für Mitglieder von heise security PRO. Der Referent beantwortet im Nachgang vier Wochen lang in unserem PRO-Forum Fragen zu Inhalten des Webinars, die sich eventuell erst aus der konkreten Umsetzung ergeben. Überdies können sich alle die PRO-Mitglieder auch untereinander im Active-Directory-Themenforum zu ihren Erfahrungen mit Tiering und PAWs austauschen. Mehr Informationen zu den weiteren Vorteilen von heise Security PRO gibt es hier:

Die EU-Kommission will die IT-Sicherheit von Krankenhäusern und Gesundheitsdienstleistern stärken. Dazu hat sie am Mittwoch einen Aktionsplan vorgelegt. Attacken haben teils fatale Folgen. Die Kommission schlägt nun vor, dass die Enisa (Agentur der Europäischen Union für Cybersicherheit) ein gesamteuropäisches Zentrum zur Unterstützung der IT-Sicherheit für den Gesundheitssektor einrichtet. Dieses soll Betreibern "maßgeschneiderte Leitlinien, Instrumente, Dienste und Schulungen zur Verfügung" stellen.

Anzeige

Vier Bereiche stehen im Fokus des Plans. Dazu gehören die verstärkte Prävention sowie die bessere Identifizierung von Bedrohungen sowie Reaktion auf Angriffe, um deren Auswirkungen zu minimieren. Auch das Thema Abschreckung steht auf der Agenda: "Cyberbedrohungsakteure" sollen etwa per Diplomatie und dem Hinweis auf Sanktionen davon abgehalten werden, europäische Gesundheitssysteme anzugreifen.

Das Gesundheitswesen wird zu Prävention angehalten. Mitgliedstaaten könnten dafür auch Gutscheine einführen, um kleinen und mittleren Einrichtungen finanziell unter die Arme zu greifen. Das bei der Enisa geplante Zentrum soll bis 2026 einen EU-weiten Frühwarndienst entwickeln, der nahezu in Echtzeit Hinweise auf potenzielle Bedrohungen liefert. Die Initiative sieht einen Krisenreaktionsdienst für den Gesundheitssektor im Rahmen der EU-Cybersicherheitsreserve vor. Übungen sollen Gesundheitsorganisationen auf Angriffe, etwa mit Ransomware, vorbereiten. Erhalten einschlägige Einrichtungen Lösegeldforderungen, müssten sie dies melden und Strafverfolgungsbehörden einbeziehen.

Spezifische Maßnahmen sollen 2025 und 2026 schrittweise sowie Hand in Hand mit Gesundheitsdienstleistern, den EU-Ländern und der IT-Sicherheits-Community eingeführt werden. Zur Vorbereitung möchte die Kommission eine öffentliche Konsultation durchführen, deren Ergebnisse in weitere Empfehlungen münden sollen. "Patienten müssen sich darauf verlassen können, dass ihre sensibelsten Informationen sicher sind", betonte Gesundheitskommissar Oliver Várhelyi. Die Digitalisierung im Gesundheitssystem mit ihren "beispiellosen Möglichkeiten" etwa für Präzisionsmedizin sei nur so stark wie das Vertrauen, das dieses widerstandsfähig gegen IT-Angriffe bleibe.

Das unter Linux beliebte rsync-Tool zur Datei-Synchronisierung wies mehrere Sicherheitslücken auf. Die schlimmste davon findet sich im rsync-Server und erlaubt das Einschleusen und Ausführen von fremdem Code. Der Angreifer benötigt dazu lediglich einen anonymen, lesenden Zugriff.

Anzeige

Offenbar hat sich ein Team von Sicherheitsforschern bei Google die Open-Source-Software systematisch angesehen. Dem schreiben jedenfalls die Entwickler die Entdeckung von fünf der sechs Sicherheitslücken zu, die das aktuelle Release rsync 3.4.0 schließt. Darunter findet sich auch der kritische Pufferüberlauf auf dem Heap des Servers, den Angreifer gezielt herbeiführen und ausnutzen können (RCE, CVSS 9.8, CVE-2024-12084). Aleksei Gorban "loqpa" steuert noch eine Race Condition bei der Behandlung von symbolischen Links bei, die Angreifer dazu nutzen können, sich erhöhte Privilegien zu erschleichen (CVSS 5.6, CVE-2024-12747).

Insgesamt listet die Ankündigung der Version rsync 3.4.0 sechs Lücken auf:

Die Lücken betreffen Versionen vor rsync 3.4.0 etwa in Red Hat und Suse Linux; verschiedene BSD-Distributionen scheinen zumindest gemäß der Übersicht des CERT der CMU nicht betroffen zu sein. Nutzer von rsync sollten die aktualisierten Versionen baldmöglichst installieren – bevor etwa die Ransomware-Bande Cl0p sie gezielt für eine seiner Datenklau-Kampagnen mit anschließender Erpressung ausnutzt.

VPN-Zugangsdaten und komplette Konfigurationsdateien tausender FortiNet-Appliances sind im Darknet aufgetaucht, wo eine bislang unbekannte Angreifergruppe sie verschenkt. Die Daten hängen offenbar nicht mit kürzlich veröffentlichten Sicherheitslücken im Appliance-Betriebssystem FortiOS zusammen. heise security hat eine erste Analyse versucht.

Anzeige

In Darknet-Foren gibt es bisweilen kleine Geschenke: So ist es üblich, dass Untergrundhändler Kostproben ihrer Ware kostenlos herausgeben, um deren Qualität zu beweisen – ein Vorgehen, das womöglich von der legalen Datenhandelsbranche abgeschaut ist. Doch komplette Leaks tausender Konfigurations- und Passwortdateien – das ist nicht alltäglich. Eine neue Gruppe namens "Belsen Group" verschenkte nun über 15.000 Datensätze, die offenbar über eine Sicherheitslücke von Fortinet-Firewalls abgezogen wurden.

heise security hat sich den Datensatz besorgt und zunächst oberflächlich analysiert. Es handelt sich um eine ZIP-Datei mit insgesamt 145 Unterverzeichnissen, eines für jedes Land mit betroffenen Geräten. Die meisten, nämlich 1603 FortiNet-Konfigurationen, haben die Angreifer in Mexiko erbeutet, 679 in den USA und 208 in Deutschland. Überwiegend befinden sich diese IP-Adressen im Netz der Deutschen Telekom und von Vodafone, aber auch andere bekannte Internetprovider und Hoster sind darunter.

Gratisleck: Ein neuer Akteur im illegalen Datenmarkt verschenkt massenhaft sensible Daten von FortiNet-Firewalls.

Googles OAuth-Login gefährdet offenbar persönliche Daten der Ex-Mitarbeiter gescheiterter Start-ups, die Google Workspace nutzten. Das beschreibt der Mitgründer der IT-Sicherheitsfirma Truffle in einem Blogpost: Wer die Domain eines solchen Unternehmens kauft, kann mit Googles OAuth auf alte Mitarbeiter-Accounts bei im Google Workspace eingebundenen Diensten wie Slack, ChatGPT, Notion, Zoom oder Human-Resources-Plattformen zugreifen. Gerade bei HR-Plattformen sind oft sensible Daten hinterlegt. Dafür muss man offenbar nur den E-Mail-Account eines Ex-Mitarbeiters auf der Domain neu erstellen.

Anzeige

Der Zugriff auf die Plattformen über Googles OAuth-Login funktioniert, weil der betreffende Dienst, beispielsweise Slack, beim Anmeldeversuch anhand spezifischer Identifikatoren entscheidet, ob die Anmeldung durchgeführt wird oder nicht.

Es könnte also zum Beispiel die Regel gelten "Alle Accounts auf @gescheitertesStartup.de-können auf das Slack des gescheiterten Start-ups zugreifen". Ist das die einzige Regel, anhand der Slack den Login bestätigt oder ablehnt, kann ein neuer Domain-Inhaber mit der neu erstellten E-Mailadresse eines Ex-Mitarbeiters einfach auf alle Slack-Channels zugreifen, auf die der Mitarbeiter Zugriff hatte.

Das Problem ließe sich laut dem Blogpost lösen, wenn Google zwei unveränderliche, eindeutige Identifikatoren in die OpenID-Connect-Attribute seiner OAuth-Implementierung aufnähme: Eine einzigartige Nutzer-ID, die sich nie ändert und eine einzigartige, an die Domain gebundene Workspace-ID.

Die kriminelle Online-Bande Cl0p hat angeblich erneut zugeschlagen: Durch eine Sicherheitslücke in der Datentransfer-Software Cleo seien die Täter bei vielen Unternehmen eingebrochen und hätten sensible Daten kopiert. Sie drohen mit der Veröffentlichung.

Anzeige

Auszug der Liste der Firmen, denen Cl0p angeblich Daten gestohlen hat.

(Bild: Screenshot / dmk)

Im Darknet-Auftritt listet Cl0p 59 Firmen-Domains auf, bei denen sie angeblich durch eine Sicherheitslücke in Cleo Daten abgegriffen hat. Die Kriminellen drohen mit der Veröffentlichung, sollten die Unternehmen nicht bis Samstag, den 18. Januar, reagieren und in Verhandlung mit Cl0p treten. Außerdem kündigen sie an, einen neuen Teil der Firmenliste am 21. Januar zu veröffentlichen.

Angreifer können an mehreren Schwachstellen unter anderem in FortiManager, FortiSIEM und FortiVoice ansetzen, um Systeme zu attackieren. Aktuelle Sicherheitspatches sollen das verhindern.

Anzeige

Um möglichen Attacken vorzubeugen, sollten Netzwerkadmins im Sicherheitsbereich der Fortinet-Website die sie betreffenden Produkte ausfindig machen und die Patches zeitnah installieren. Eine Auflistung aller Sicherheitsupdates sprengt den Rahmen dieser Meldung. Bislang gibt es noch keine Hinweise auf laufende Attacken.

Einige Lücken sind mit dem Bedrohungsgrad "kritisch" eingestuft. Dabei können sich Angreifer mit präparierten Anfragen an das Node.js-Websocket-Modul Super-Admin-Rechte in FortiOS verschaffen (CVE-2024-55591). Außerdem kann mittels spezieller HTTP-Anfragen Schadcode auf Systeme mit FortiOS und FortiProxy gelangen (CVE-2024-21762). Attacken sollen ohne Authentifizierung aus der Ferne möglich sein. Aufgrund eines hartcodierten kryptografischen Schlüssels sind unbefugte Zugriffe auf FortiSwitch vorstellbar (CVE-2023-37936).

Viele weitere Schwachstellen sind mit dem Bedrohungsgrad "hoch" eingestuft. An diesen Stellen können Angreifer unter anderem eigene Befehle oder sogar Schadcode ausführen. Obendrein sind eigentlich abgeschottete Daten einsehbar. In einigen Fällen ist die Authentifizierung umgehbar und Angreifer können sich über Brute-Force-Attacken Zugriff verschaffen. DoS-Attacken sind ebenfalls möglich, sodass Angreifer Services crashen lassen können. Wie Attacken konkret ablaufen könnten, ist bislang nicht bekannt.

Netzpolitik.org hat zusammen mit dem BR und weiteren Redaktionen einen Datensatz eines Datenbrokers erhalten und diesen untersucht: Ein Schnappschuss mit 380 Millionen Standortdaten aus 137 Ländern, die rund 40.000 unterschiedliche Apps beim Datenhändler abgeliefert haben. Der Datensatz sollte als Werbung für ein monatliches Abo mit täglich aktualisierten Daten dienen.

Anzeige

In der vergangenen Woche wurde durch das Datenleck beim US-amerikanischen Datenbroker Gravy Analytics bekannt, dass mindestens 15.000 Apps teils präzise Positionsdaten sammeln und an die Server des Unternehmens schicken. Die sind durch den mittlerweile eingeräumten Einbruch sogar als öffentlich zu betrachten.

In dem Datenfundus des Rechercheverbunds finden sich Apps sowohl für Android als auch für iOS. Diese liefern offensichtlich Werbe-IDs, Standortdaten und die Verbindung zu den jeweiligen Apps. Der fraglichen US-Datenhändler nannte sich bis vor Kurzem Datastream Group, inzwischen ist der Datenhehler unter dem Namen Datasys aktiv.

Die Kategorien der datenliefernden Apps sind recht umfassend: Spiele, Dating und Shopping bis hin zu Nachrichten und Bildung, erklärt Netzpolitik in der Analyse. "Darunter sind einige der beliebtesten Apps der Welt, teils millionenfach heruntergeladen."

Im Content-Management-System Typo3 haben die Entwickler zehn Sicherheitslücken gemeldet. Aktualisierte Versionen von Typo3 stehen bereit, die die teils hochriskanten Schwachstellen ausbessern.

Anzeige

Die meisten Sicherheitslecks sind vom Typ Cross-Site-Scripting. Angreifer können Opfern dadurch Links unterschieben, die bösartigen Code in deren Benutzerkontext einschleusen und ausführen. Laut Beschreibung der schwerwiegendsten Lücke im Scheduler-Modul reicht dafür das Besuchen einer kompromittierten oder manipulierten Webseite bereits aus.

IT-Verantwortliche sollten aufgrund des Schweregrads einiger der Lücken die aktualisierten Software-Versionen zügig installieren. Die sicherheitsrelevanten Fehler korrigieren die Typo3-Versionen 9.5.49 ELTS, 10.4.48 ELTS,11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS. Sie sind auf der Typo3-Downloadseite erhältlich. Insbesondere die Aktualisierungen für die 10er- und 11er-Entwicklungszweige erhalten in der kostenlosen Fassung jedoch keine Unterstützung mehr, hier müssen Nutzerinnen und Nutzer auf die 12er- oder 13er-Version umsteigen. Wo Betroffene das Update auf Typo3 9.5.49 ELTS erhalten können, erklären die Sicherheitsmitteilungen jedoch nicht.

Die Sicherheitslücken im Einzelnen:

Die Sicherheitskriterien für kryptografische Schlüssel ändern sich bisweilen. So etwa bei DKIM-Schlüsseln zur Signatur von Mailheadern: Eine Studie testete die DKIM-Informationen von mehr als 400.000 der populärsten Domains und stellte dabei fest, dass viele dieser Domains unsichere Schlüsselgrößen verwenden. Mit einem geknackten DKIM-Schlüssel schleusten die Forscher dann gefälschte Mails ein.

Anzeige

DKIM (DomainKeys Identified Mail) ist eine Technik, die beim Versand die Header, also Meta-Informationen von E-Mails, digital signiert. Der Mailserver des Senders signiert die Header mithilfe eines privaten Schlüssels, sein Gegenstück beim Empfänger prüft mittels des dazugehörigen öffentlichen Schlüssels die Signaturen. Öffentliche Schlüssel eines Mailservers sind im DNS (Domain Name System) hinterlegt und somit einfach abrufbar. Richtig implementiert, hilft DKIM bei der Erkennung von E-Mail-Fälschungen, wie sie bei Phishing-Angriffen vorkommen.

Das klappt jedoch nur, wenn Angreifer den privaten Schlüssel einer Domain nicht erraten können. Könnten sie das, wären sie in der Lage, eine DKIM-Signatur für jede beliebige, also auch eine gefälschte E-Mail, auszustellen. Die Ergebnisse des Tests zeigen: Falsch gewählte Schlüssel können die DKIM-Sicherheit aushebeln.

Die Sicherheitsforscher überprüften Mitte 2024 eine Million der beliebtesten Domains im Internet auf ihre Mailsicherheit. Bei immerhin gut 475.000 Domains konnten sie einen DKIM-Eintrag ermitteln; fast alle Schlüssel waren RSA-Schlüssel. Fast die Hälfte der untersuchten DKIM-Schlüssel hatte eine Größe von 1024 Bit oder weniger, wie das Team um Andreas Wulf herausfand.

Zoom hat mehrere Sicherheitslücken in den Webkonferenz-Tools geschlossen. Eine davon gilt als hochriskant. Zudem ist das Jenkins-Plug-in für App-Entwickler von einer Schwachstelle betroffen.

Anzeige

Am gravierendsten stuft Zoom eine Schwachstelle in der Zoom Workplace App für Linux ein. Die ist vom Typ "Type Confusion", bei der übergebene Datentypen nicht mit den vom Programmcode erwarteten übereinstimmen, was oftmals zur Ausführung von untergeschobenem Code führen kann. In diesem Fall können angemeldete Nutzer ihre Rechte mit Netzwerkzugriff ausweiten – wie genau der Angriff auf die Lücke aussehen würde, erläutert Zoom jedoch nicht (CVE-2025-0147, CVSS 8.8, Risiko "hoch").

Als mittleres Risiko eingestufte Sicherheitslücken hat Zoom zudem in den Workplace-Apps für Linux und Windows geschlossen. Denselben Bedrohungsgrad teilt die Schwachstelle im Jenkins-Plug-in von Zoom.

Die Fehler haben die Entwickler in den Versionen