Comretix Blog

Server-Motherboards und Rechenzentrumshardware von Supermicro sind verwundbar. Nach erfolgreichen Attacken können Angreifer sich dauerhaft über eine Hintertür Zugriff verschaffen. Admins sollten ihre Instanzen zeitnah absichern.

Wie aus einem Beitrag hervorgeht, sind Sicherheitsforscher von Binarly auf zwei Sicherheitslücken (CVE-2025-7937 "hoch", CVE-2025-6198 "hoch") gestoßen. In beiden Fällen können Angreifer Sicherheitsprüfungen des Baseboard Management Controllers (BMC) umgehen und mit Schadcode präparierte Firmwareimages installieren. Im Anschluss sind Systeme dauerhaft vollständig kompromittiert.

Supermicro listet die Schwachstellen, die betroffenen Motherboards und die Sicherheitsupdates in einer Warnmeldung auf. In dem Beitrag versichern sie, dass sie bislang keine Hinweise auf laufende Attacken entdeckt haben.

Die erste Lücke geht auf eine Schwachstelle (CVE-2025-10237 "hoch") von Anfang dieses Jahres zurück. Wie die Sicherheitsforscher eigenen Angaben zufolge herausfanden, war der Sicherheitspatch unvollständig und sie konnten den Schutz umgehen. Die zweite Schwachstelle haben sie neu entdeckt.

Aufgrund von Fehlern bei der Überprüfung von Firmwareimages ist es nach wie vor möglich, Images mit Schadcode zu versehen, ohne dass Sicherheitschecks anschlagen. Den Sicherheitsforschern zufolge stuft der BMC manipulierte Images als korrekt signiert und gültig ein und installiert sie.

Derzeit nutzen unbekannte Angreifer zwei Sicherheitslücken in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software aus. Darüber verschaffen sie sich Zugriff auf eigentlich geschützte Bereiche oder führen sogar Schadcode aus. Sicherheitsupdates sind verfügbar.

In welchem Umfang die Attacken ablaufen, ist zurzeit unklar. Um passende Patches zu finden, müssen Admins in den unterhalb dieses Beitrags verlinkten Warnmeldungen bestimmte Rahmenbedingungen in Formularfelder eingeben, sodass als Ergebnis das jeweils passende Update angezeigt wird.

Die beiden ausgenutzten Schwachstellen (CVE-2025-20333 "kritisch", CVE-2025-20362 "mittel") betreffen die VPN-Web-Server-Komponente von ASA und FTD. In beiden Fällen sind Attacken aus der Ferne möglich, zum Ausnutzen der kritischen Lücke müssen Angreifer aber bereits authentifiziert sein.

Verfügt ein Angreifer über gültige VPN-Zugangsdaten, kann er präparierte HTTP(S)-Anfragen an verwundbare Instanzen schicken. Im Anschluss ist die Ausführung von Schadcode mit Root-Rechten möglich. Das führt in der Regel zu einer vollständigen Kompromittierung von Systemen.

Im Fall der anderen attackierten Lücke ist keine Authentifizierung vonnöten, und Angreifer können über einen identischen Angriffsweg auf eigentlich abgeschottete URL-Endpoints zugreifen.

Der IT-Dienstleister NTT Data will künftig nicht mehr mit dem Hersteller für Security-Appliances Ivanti zusammenarbeiten. Das schreibt das Unternehmen in einer internen E-Mail, die heise security auszugsweise vorliegt. Der Dienstleister geht hart mit seinem Lieferanten ins Gericht und bezeichnet dessen Geräte dank verschiedener Sicherheitslücken als "inakzeptables Risiko".

In der Nachricht, die offenbar NTT-Data-intern versandt wurde, heißt es wörtlich: "Trotz kontinuierlicher Überwachung und Kontaktaufnahme konnten wir keine wesentliche Verbesserung der Sicherheitslage feststellen. Daher stellt die weitere Nutzung ein inakzeptables Risiko für unseren Betrieb, die Datenintegrität und das Vertrauen unserer Kunden dar".

Ivanti fällt immer wieder durch teilweise schwere Sicherheitslücken in seinen Security Appliances auf, zuletzt vor zwei Wochen. Im vergangenen Jahr hatte die US-Cybersicherheitsbehörde CISA gar angeordnet, dass ihr unterstellte Behörden bestimmte Ivanti-Geräte abschalten müssen. Der CEO des Unternehmens hatte dann in einem offenen Brief Besserung gelobt. Die ist jedoch offenbar nur teilweise eingetreten: Zwar hat Ivanti im Vorjahresvergleich etwa zwei Drittel weniger CVE-Nummern für Sicherheitslücken veröffentlicht. Das kann an weniger Fehlern, aber auch weniger Fehlersuche liegen. Doch auch im Jahr 2025 musste die CISA vor einer Schadsoftware warnen, die sich direkt auf den Geräten des Herstellers einnistet – dessen eigenes Sicherheitsteam übersah eine kritische Sicherheitslücke und stufte sie als normalen Programmfehler ein.

Die Sicherheitsprobleme bei Ivanti sind also bereits seit Jahren bekannt, dennoch ist die nun angeblich erfolgende Auslistung bei NTT Data ein ungewöhnlicher Schritt. Das Unternehmen will künftig, so die interne Mitteilung weiter, auf alle Ivanti-Produkte verzichten. Das gelte nicht nur für die eigenen Systeme, sondern insbesondere auch für den Weiterverkauf an Dritte. Auch Verlängerungen für bestehende Verträge sollen unterbleiben und interne Security-Spezialisten würden bei der Umstellung unterstützen, so das Memo. Die japanische NTT Data ist mit ihrer Tochterfirma in Deutschland an mehreren Standorten aktiv und bietet unter anderem Security-Dienstleistungen wie "Managed SOC" an.

Eine offizielle Bestätigung des Unternehmens steht noch aus. Auf die E-Mail angesprochen, versprach eine Sprecherin des Unternehmens am gestrigen Mittwoch interne Klärung – sowie diese erfolgt ist, werden wir diese Meldung aktualisieren. Ivanti war kurzfristig nicht für eine Stellungnahme zu erreichen.

Für Windows-10-Nutzer ist es eine gute Nachricht: Der Konzern macht die "Extended Security Updates" (ESU) ein Jahr lang für Privatnutzer im Europäischen Wirtschaftsraum (EU-Staaten und Island, Norwegen und Liechtenstein) bis zum 14. Oktober 2026 kostenfrei verfügbar. Das geht aus einem Schriftwechsel zwischen einer Verbraucherorganisation und Microsoft hervor. Microsoft hat das inzwischen gegenüber Windows Central bestätigt.

Anders als etwa in den USA, wo das Update-Jahr 30 US-Dollar kosten soll, können Verbraucher in Europa die Sicherheitsupdates kostenfrei erhalten. Das sicherte Microsoft dem Verband Euroconsumers zu. Nur einen Haken wird es weiterhin geben: Die Sicherheitsupdates bekommen nur Privatnutzer, die ihre Windows-10-Installation mit einem Microsoft-Konto verknüpft haben. Trotzdem sei das ein Fortschritt, findet Els Bruggemann von der Verbraucherorganisation Euroconsumers, die Microsoft dazu gedrängt hatte.

Denn Euroconsumers sah in den Bedingungen, die die Firma zum Zugang für einen längeren Sicherheitsupdate-Support bislang aufstellte, gleich mehrere Verstöße gegen EU-Gesetze. Microsoft habe den Zugang zu Updates von weiteren Daten abhängig gemacht. Angesichts der Marktmacht des US-Konzerns unter dem Digital Markets Act (DMA) und unter der kaum bekannten "Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digitaler Inhalte und digitaler Dienstleistungen" sei das nicht möglich, so die Organisation. Die Richtlinie formuliert Anforderungen für digitale Inhalte und Dienstleistungen. Euroconsumers wirft Microsoft aber weiterhin vor, durch willkürliche Hardwareanforderungen für Windows 11 gegen das Recht zu verstoßen und unnötige Obsoleszenz herbeizuführen.

Mit dem nun eingeschlagenen Weg, dass Privatnutzer für die Sicherheitsupdates auf ein Microsoft-Konto angewiesen sind, zeigte sich Euroconsumers etwas besänftigt: Zumindest rechtlich sei das, anders als etwa die Verknüpfung mit der Teilnahme am Reward-Programm oder mit Microsofts OneDrive kein Verstoß gegen die Regeln des Digital Markets Act, erklärt Bruggeman gegenüber heise online. Für Unternehmen und andere kommerzielle Nutzer gilt allerdings weiterhin: Die Teilnahme am ESU-Programm bleibt für sie kostenpflichtig.

Mit dem Zugeständnis an die Verbraucherschützer bevorteilt Microsoft bei ihrem ersten Verbraucher-ESU-Programm die Nutzer in der EU und dem verbundenen Wirtschaftsraum deutlich – was für weitere Diskussionen auch in anderen Regionen sorgen könnte. Dass das EU-Recht hier offenbar eine Besserstellung der Nutzer gegenüber anderen Rechtsordnungen bietet, dürfte die zuständigen Politiker in Brüssel mit einiger Freude sehen.

Dank neuer Funktionen und Tools in Kali Linux 2025.3 kann man IT-Sicherheitsprobleme nun noch effektiver aufspüren und eingrenzen. Die aktuelle Version ist ab sofort verfügbar.

In einem Beitrag listen die Entwickler die Neuerungen auf. Dank der neu implementierten HashiCorp-Tools Packer und Vagrant soll der Umgang mit virtuellen Maschinen jetzt noch besser von der Hand gehen. Außerdem ist Nexmon zum Untersuchen von Netzwerkverkehr wieder nutzbar. Dafür eignet sich unter anderem ein Raspberry Pi 5.

Um Sicherheitsprobleme noch effektiver aufzuspüren, haben die Entwickler zehn neue Tools eingebaut. Darunter sind etwa Detect It Easy (DiE) zum Untersuchen von Dateien und Gemini CLI, um den Open-Source-KI-Agenten über das Terminal nutzen zu können.

Zusätzlich haben die Entwickler den Funktionsumfang von CARsenal zum Abklopfen der IT-Sicherheit von Autos erweitert. Dazu gehören unter anderem neue Funktionen und Anpassungen beim Nutzerinterface.

Siehe auch:

Ciscos Netzwerkbetriebssysteme IOS und IOS XE sind verwundbar. Die Entwickler haben nun mehrere Sicherheitslücken geschlossen. Eine Schwachstelle nutzen Angreifer bereits aus. In welchem Umfang die Attacken ablaufen, ist derzeit unklar. Sicherheitspatches stehen zum Download bereit.

Weiterführende Informationen zu den Schwachstellen, betroffenen Geräten und Updates finden Admins in den unterhalb dieses Beitrags verlinkten Warnmeldungen.

Die zurzeit ausgenutzte Lücke (CVE-2025-20352 "hoch") betrifft Geräte wie Router und Switches mit IOS und IOS XE. Ansatzpunkt für Angreifer ist ein Fehler im Network Management Protocol (SNMP). An dieser Stelle können sie mit präparierten SNMP-Paketen ansetzen, die sie über Ipv4- oder Ipv6-Netzwerke verschicken. Sind Attacken erfolgreich, führt das zu einem DoS-Zustand und daraus resultierenden Abstürzen. Im schlimmsten Fall führen Angreifer sogar als Root Schadcode aus, was zu einer vollständigen Kompromittierung von Systemen führt. In beiden Fällen müssen Angreifer aber bereits authentifiziert sein.

Am gefährlichsten ist eine Schwachstelle (CVE-2025-20334 "hoch") im Subsystem HTTP API von ISO XE eingestuft. Bringen Angreifer ohne Authentifizierung Opfer dazu, auf einen manipulierten Link zu klicken, können sie im Anschluss Befehle mit Root-Rechten ausführen.

Durch das erfolgreiche Ausnutzen der verbleibenden Sicherheitslücken können Angreifer vorwiegend DoS-Zustände erzeugen oder die Authentifizierung oder Sicherheitsmaßnahmen umgehen. Admins sollten zeitnah sicherstellen, dass die Sicherheitsupdates installiert sind.

Die Supportticket-Management-Software Web Help Desk (WHD) von SolarWinds ist trotz mehrer Sicherheitspatches seit rund einem Jahr verwundbar. Nun gibt es abermals ein Update. Ob es zwischenzeitlich Attacken gegeben hat, ist bislang nicht bekannt.

In den Versionshinweisen von WHD 12.8.7 hotfix 1 versichern die Entwickler, eine "kritische" Schwachstelle (CVE-2025-26399) geschlossen zu haben. Sie betrifft der Beschreibung zufolge die AjaxProxy-Komponente. An dieser Stelle können Angreifer ohne Authentifizierung für Schadcode-Attacken ansetzen, um Hostsysteme zu kompromittieren.

Die Entwickler führen aus, dass der aktuelle Sicherheitspatch die Lücke jetzt endgültig schließen soll. Die Schwachstelle ist nämlich schon seit rund einem Jahr bekannt (CVE-2024-28986, CVE-2024-28988). Die vorigen Sicherheitspatches ließen sich den Entwicklern zufolge umgehen.

In einer Warnmeldung beschreiben sie, wie Admins ihre Instanzen aktualisieren können

Die Podcast-Hosts haben kurzfristig, aber wohlüberlegt umdisponiert und reden in dieser Folge noch nicht wie angekündigt über Phrack. Stattdessen arbeitet der Podcast weiter aktuelle Entwicklungen auf, angefangen bei Plänen der US-amerikanischen IT-Sicherheitsbehörde CISA. Die möchte vermeiden, dass sich eine Situation wie im Mai 2025 wiederholt, als das CVE-System und insbesondere die zentrale Datenbank für diese Schwachstellen-IDs kurz vor dem Aus stand, weil die Finanzierung auslief. Das hat global viel Aufregung verursacht und Vertrauen zerstört – auch weil der Vertrag einstweilen nur für ein Jahr verlängert wurde. Nun hat die CISA veröffentlicht, wie sie sich die Zukunft des CVE-Systems vorstellt. Christopher und Sylvester sehen sich das Positionspapier an und diskutieren, ob das gute Pläne oder gar hinterlistige Taktiken sind.

GitHub hat einen umfassenden Plan zur Verbesserung der npm-Sicherheit (Node Package Manager) vorgestellt. Die Maßnahmen sind eine direkte Reaktion auf den npm-Großangriff von Mitte September, bei dem eine selbst-replizierende Malware über kompromittierte Maintainer-Accounts Dutzende JavaScript-Pakete infizierte.

Wie GitHub in einem Blogbeitrag mitteilte, werden künftig nur noch drei Authentifizierungsmethoden für das Veröffentlichen von Paketen unterstützt: lokales Publishing mit verpflichtender Zwei-Faktor-Authentifizierung, zeitlich begrenzte Granular-Token mit maximal sieben Tagen Gültigkeit sowie Trusted Publishing.

Die geplanten Sicherheitsverbesserungen gehen weit über bisherige Maßnahmen hinaus. GitHub will klassische Legacy-Token vollständig abschaffen und zeitbasierte Einmalpasswörter (TOTP) für die Zwei-Faktor-Authentifizierung durch FIDO-basierte Verfahren ersetzen. Granular-Token mit Publishing-Berechtigung erhalten eine deutlich verkürzte Gültigkeitsdauer.

Besonders einschneidend: Publishing-Zugriff wird standardmäßig Token-basierte Authentifizierung verbieten. Entwickler sollen stattdessen auf Trusted Publishing oder lokales Publishing mit 2FA-Pflicht umsteigen. Die Option, die Zwei-Faktor-Authentifizierung beim lokalen Paket-Publishing zu umgehen, entfällt komplett.

GitHub setzt verstärkt auf Trusted Publishing, eine von einer Arbeitsgruppe der Open Source Security Foundation empfohlene Sicherheitstechnologie. Das Verfahren eliminiert die Notwendigkeit, API-Token in Build-Systemen zu verwalten, und wurde bereits von PyPI, RubyGems, crates.io und NuGet implementiert.

Wer Wert auf Anonymität und Privatsphäre legt, kommt um die Linux-Distribution Tails nicht herum. Das anonymisierende Betriebssystem ist nun in der neuen Version 7.0 erschienen. In der aktuellen Ausgabe haben die Entwickler unter anderem die Linux-Basis und viele Tools aktualisiert.

Tails startet als Livesystem direkt von einem USB-Stick. Mit dabei sind viele Open-Source-Anwendungen wie der Tor Browser und Thunderbird. Das System ist voll auf Anonymität und Privatsphäre ausgelegt, sodass etwa beim Surfen keine Profile erstellt werden können. Aus Sicherheitsgründen setzt sich das System nach jedem Neustart in den Werkzustand zurück. Auf einer persistenten Partition kann man Daten dauerhaft speichern.

Der Datenverkehr wird verschlüsselt und geschützt über das Tor-Netzwerk abgewickelt. In einigen Ländern ist das für etwa Journalisten der einzige Weg, ins Internet zu kommen.

Wie aus einer Ankündigung zur aktuellen Version hervorgeht, basiert Tails 7.0 auf Debian 13 und GNOME 48. Weil die Entwickler den Kompressionsalgorithmus von xz zu zstd geändert haben, ist das Image zwar rund 10 Prozent größer, aber das System soll bis zu 15 Sekunden schneller starten. Dafür sind dem Team zufolge aber schnelle USB-Sticks von Markenherstellern nötig. Auf langsamen Fake-Sticks kann der Start jetzt sogar länger dauern.

Die Mindestanforderungen für den Betrieb sind von 2 GB RAM auf 3 GB RAM gestiegen. Ein Upgrade ist nur von 7.0 rc1 und 7.0 rc2 möglich. In anderen Fällen ist eine manuelle Installation vonnöten.