Comretix Blog

Eine Schwachstelle in der Netzwerk-Monitoring-Software Checkmk kann dazu führen, dass Angreifer Javascript-Code einschleusen – oder sogar unbefugt Befehle ins Betriebssystem durchreichen. Es handelt sich um eine Cross-Site-Scripting-Lücke, die die Entdecker als kritisch einordnen.

Die Sicherheitslücke beschreibt SBA-Research konkret als Stored-Cross-Site-Scripting-Schwachstelle. Sie kann auftreten, wenn Checkmk in einem verteilten Monitoring-Setup betrieben wird. In dem Fall kann jede verbundene Remote-Site Javascript-Code in das Userinterface der zentralen Site injizieren (CVE-2025-39663, CVSS 9.1, Risiko "kritisch"). Angreifer, die Kontrolle über eine verbundene Remote-Site haben, können demzufolge durch Ansicht des Status der Hosts oder Dienste der Remote-Site die Kontrolle über Web-Sessions übernehmen. Attackieren bösartige Akteure eine Admin-Session, ermöglicht das die Ausführung von Code aus dem Netz (RCE) in der zentralen Site.

Die IT-Forscher zeigen in der Schwachstellenbeschreibung auch einen Proof-of-Concept (PoC), der die Lücke ausnutzt. Sie führen weiter vor, wie es bei attackierten Admin-Sitzungen dadurch zur Ausführung von Befehlen im Betriebssystem kommen kann.

Die vor Kurzem veröffentlichten Versionen 2.4.0p14 sowie 2.3.0p39 von Checkmk schließen die Sicherheitslücke. In der Sicherheitsmitteilung empfehlen die Autoren, zügig auf diese Versionen zu aktualisieren. Admins sollten die Aktualisierungen auch deshalb rasch anwenden, da Angreifer mit dem verfügbaren PoC die Schwachstelle leicht missbrauchen können. Die IT-Forscher von SBA-Research empfehlen zudem, die Option "Trust this site completely" für alle Remote-Sites zu deaktivieren.

Erst vor kurzem hatte Checkmk aktualisierte Software herausgegeben, die eine Rechteausweitungslücke im Windows-Agent schloss. Mit einem CVSS-Wert von 8.8 galt sie als hochriskant und schrammte nur knapp am kritschen Status vorbei.

Dem chinesischen Hersteller TP-Link droht in den USA ein Verkaufsverbot seiner Router. Als Grund wird eine von den Geräten ausgehende Sicherheitsgefahr genannt. Momentan ist aber unklar, ob das Weiße Haus angesichts der laut Aussage von US-Präsident Donald Trump positiv verlaufenen Handelsgespräche mit China mit einem Verbot eine neue Auseinandersetzung riskieren möchte.

Mehr als ein halbes Dutzend US-Bundesbehörden unterstützen einen Vorschlag zum Verkaufsverbot der meistverkauften Heimrouter in den Vereinigten Staaten. Wie die Washington Post berichtet, begründen die Behörden dies mit Sicherheitsrisiken durch die Verbindungen des chinesischen Herstellers TP-Link nach Festlandchina. Das US-Handelsministerium (Commerce Department) nahm eine behördenübergreifende Risikobewertung vor. Diese kam zu dem Schluss, dass ein Verbot aus Gründen der nationalen Sicherheit gerechtfertigt sei.

TP-Link dominiert den US-Markt für Router in Privathaushalten und kleinen Unternehmen mit einem geschätzten Marktanteil von 50 Prozent. Das Unternehmen selbst bezifferte seinen Marktanteil im Frühjahr nur mit einem Drittel.

Die Sicherheitsbedenken erstrecken sich über mehrere Bereiche: TP-Link hat seinen Hauptsitz in Shenzhen, China. Damit unterliegt das Unternehmen chinesischen Gesetzen zur nationalen Sicherheit, die Unternehmen zur Zusammenarbeit mit Geheimdiensten verpflichten können. Zudem wurden in der Vergangenheit wiederholt Sicherheitslücken in TP-Link-Produkten entdeckt. Das Unternehmen wird beschuldigt, nicht ausreichend auf gemeldete Schwachstellen zu reagieren.

Besonders problematisch sehen US-Sicherheitsbehörden, dass TP-Link-Router häufig in kritischer Infrastruktur eingesetzt werden. Die Geräte finden sich nicht nur in Millionen Privathaushalten, sondern auch in kleinen Unternehmen, Regierungsbüros und anderen sensiblen Bereichen. Ein koordinierter Angriff über kompromittierte Router könnte erheblichen Schaden anrichten.

Angreifer können an einer Sicherheitslücke in MOVEit Transfer ansetzen, um Dateiübertragungen zu stören. Ein Update steht zum Download bereit.

Die Entwickler weisen in einem Beitrag auf die Schwachstelle (CVE-2025-10932 "hoch") hin. Sie raten zu einem zügigen Update. Bislang gibt es keine Berichte, dass Angreifer die Lücke bereits ausnutzen. Das Sicherheitsproblem betrifft konkret das AS2-Modul. Die Beschreibung der Lücke liest sich so, als können Angreifer Schadcode hochladen und so dafür sorgen, dass die Dateiübertragungssoftware nicht mehr nutzbar ist.

Davon sind die Versionen bis jeweils einschließlich 2023.0, 2023.1.15 (15.1.15), 2024.0, 2024.1.6 (16.1.6) und 2025.0.2 (17.0.2) bedroht. Die Entwickler versichern, die Lücke in den folgenden Ausgaben geschlossen zu haben:

Weil der Support für 2023.0 und 2024.0 ausgelaufen ist und es keine Sicherheitsupdates mehr gibt, müssen Admins auf eine noch unterstützte Version upgraden. Alternativ gibt es eine Übergangslösung: Um Systeme abzusichern, müssen Admins unter C:\MOVEitTransfer\wwwroot die Dateien AS2Rec2.ashx und AS2Receiver.aspx löschen.

Nach der Installation des Sicherheitsupdates ist noch Arbeit vonnöten: Weil der Patch den Zugriff durch eine Liste mit erlaubten IP-Adressen einschränkt, müssen Admins die jeweiligen Adressen manuell in den Einstellungen (Settings->Security Policies->Remote Access->Default Rules) eintragen. Im Onlinedienst MOVEit Cloud soll bereits eine abgesicherte Ausgabe laufen.

Künstliche Intelligenz entwickelt sich zum wichtigsten Werkzeug in der Cyberabwehr deutscher Unternehmen. Laut der aktuellen IT-Sicherheitsumfrage des eco, des Verbands der Internetwirtschaft, bewerten 88 Prozent der befragten IT-Sicherheitsfachleute die Bedrohungslage als hoch oder sehr hoch. Rund 40 Prozent der Unternehmen setzen bereits aktiv KI-gestützte Systeme ein – etwa zur automatisierten Anomalieerkennung, Analyse von Logdaten oder für Incident-Response-Prozesse.

Ransomware bleibt die häufigste Angriffsform, dicht gefolgt von CEO Fraud, der im Vergleich zum Vorjahr deutlich zugelegt hat. Besonders kritisch sind sogenannte Double-Extortion-Angriffe, bei denen Kriminelle Daten nicht nur verschlüsseln, sondern sie zusätzlich stehlen und zur Erpressung nutzen. Jedes sechste Unternehmen war im vergangenen Jahr von mindestens einem gravierenden Sicherheitsvorfall betroffen.

Positiv bewerten die Studienautoren, dass kein befragtes Unternehmen angab, Lösegeld gezahlt zu haben. Dies deute auf eine wachsende Professionalität im Umgang mit Vorfällen hin, so der eco. Zudem verfügen inzwischen 60 Prozent der Unternehmen über definierte Notfallpläne und führen regelmäßige Mitarbeiterschulungen durch. Fast die Hälfte plant, ihre Sicherheitsbudgets im kommenden Jahr zu erhöhen.

"KI ist ein entscheidender Hebel für mehr Cybersicherheit", erklärte Professor Norbert Pohlmann, eco-Vorstand für IT-Sicherheit. Allerdings erwarten über 90 Prozent der Befragten, dass auch Angreifer zunehmend auf KI zurückgreifen – für täuschend echte Phishing-Mails, Deepfakes oder automatisierte Schwachstellenscans. Der Verband warnt vor überbordender KI-Regulierung, die Unternehmen daran hindern könnte, sich mit denselben Technologien gegen Angriffe zu wappnen.

Alle Ergebnisse der Umfrage finden sich beim eco. Einen Überblick zum aktuellen Stand der IT-Sicherheit bietet außerdem ein aktueller iX-Artikel – von Malware, über SOC-Architekturen bis hin zur KI.

Das kürzlich veröffentlichte Update auf GIMP 3.0.6 bringt nicht nur Verbesserung der Nutzbarkeit, sondern schließt auch handfeste Sicherheitslücken. Jetzt sind die Schwachstellenbeschreibungen verfügbar: GIMP kann bei der Verarbeitung einiger manipulierter Bildformate untergejubelten Schadcode ausführen.

In der Release-Ankündigung schreiben die GIMP-Entwickler nur knapp, dass sie Berichte der Zero-Day-Initiative (ZDI) über potenzielle Sicherheitslücken in einigen der Datei-Import-Plug-ins erhalten haben. "Während diese Probleme sehr unwahrscheinlich mit echten Dateien auftreten", haben die Entwickler "proaktiv die Sicherheit" für diese Import-Komponenten verbessert.

In mehreren Import-Routinen für Bildformate hat die ZDI Sicherheitslücken gemeldet. Und anders als die GIMP-Entwickler sehen die IT-Forscher ein hohes Risiko darin.

Im Parser für XWD-Dateien können manipulierte Dateien demnach einen Heap-basierten Pufferüberlauf provozieren und dadurch Code einschleusen und ausführen (CVE-2025-10934 / EUVD-2025-36722, CVSS 7.8, Risiko "hoch"). Bei ILBM-Dateien kann ein Stack-basierter Pufferüberlauf mit denselben Folgen auftreten (CVE-2025-10925 / EUVD-2025-36713, CVSS 7.8, Risiko "hoch"), FF-Dateien können einen Integer-Überlauf auslösen (CVE-2025-10924 / EUVD-2025-36714, CVSS 7.8, Risiko "hoch").

Ein weiterer Integer-Überlauf befindet sich im WBMP-Parser (CVE-2025-10923 / EUVD-2025-36715, CVSS 7.8, Risiko "hoch"), manipulierte DCM-Dateien können hingegen einen Heap-basierten Puffer überlaufen lassen (CVE-2025-10922 / EUVD-2025-36716, CVSS 7.8, Risiko "hoch") – ebenso HDR-Dateien (CVE-2025-10921 / EUVD-2025-36717, CVSS 7.8, Risiko "hoch"). Schließlich können präparierte ICNS-Dateien zu Schreibzugriffen außerhalb der vorgesehenen Grenzen und in der Folge zur Ausführung eingeschmuggelten Codes führen (CVE-2025-10920 / EUVD-2025-36718, CVSS 7.8, Risiko "hoch").

Im JavaScript-Paketmanager npm waren seit Anfang Juli Pakete mit gut verstecktem Schadcode verfügbar. Das auf Software-Supply-Chain-Security spezialisierte Unternehmen Socket hat zehn Pakete gefunden, die zusammen auf 9900 Downloads kommen. Laut dem Socket-Blog waren sie am 28. Oktober noch auf npm verfügbar, sind dort inzwischen aber nicht mehr zu finden.

Die Pakete laden einen für das Betriebssystem passenden Infostealer nach, der unter Windows, macOS und Linux Zugangsdaten abgreift. Der Angriff ist mehrfach verschleiert.

Die Angreifer setzen bei der Verteilung des Schadcodes auf Typosquatting: Die npm-Pakete tragen ähnliche Namen wie legitime Packages, darunter typescriptjs statt TypeScript und dizcordjs statt discord.js. Socket hat folgende Pakete mit Schadcode gefunden: typescriptjs, deezcord.js, dizcordjs ,dezcord.js, etherdjs, ethesjs, ethetsjs, nodemonjs, react-router-dom.js und zustand.js.

Die Installationsroutine, die sich im "postinstall" der Konfiguration in package.json befindet, öffnet betriebssystemabhängig ein neues Terminalfenster, in dem sie dann mittels Node die Anwendung app.js startet. Auf die Weise bleibt die Ausführung im Hauptfenster verborgen.

Die Datei app.js verschleiert den Schadcode mit unterschiedlichen Methoden, darunter URL-Encoding und Switch-Anweisungen mit hexadezimalen und oktale Berechnungen:

Der Internationale Strafgerichtshof (IStGH) will sich von Technologie aus den USA unabhängig machen – aus Furcht vor Repressalien Donald Trumps, hat das Handelsblatt erfahren. Die Institution in Den Haag will die bislang auf den Arbeitsplätzen genutzte Microsoft-Software durch OpenDesk ersetzen.

Laut Handelsblatt ist die Entscheidung vor dem Hintergrund von Sanktionen durch die derzeitige US-Regierung unter Präsident Donald Trump gegen Mitarbeiter wie dem Chefankläger Karim Khan zu sehen. Microsoft hatte seinen E-Mail-Zugang einfach gesperrt. Er musste daher zum Schweizer E-Mail-Dienst Proton wechseln. Da der IStGH in hohem Maße auf Dienstleister wie Microsoft angewiesen sei, werde er in seiner Arbeit geradezu gelähmt, hieß es im Mai.

Zudem prüfe die US-Regierung in Washington weitere Maßnahmen gegen den Internationalen Strafgerichtshof, erörtert das Handelsblatt weiter. Auch das könnte die Arbeitsfähigkeit der Einrichtung erheblich einschränken.

Die OpenDesk-Software wird vom Zentrum für Digitale Souveränität (Zendis) entwickelt, einer Firma des Bundes. Ihre Aufgabe ist es, beim Auflösen kritischer Abhängigkeiten von einzelnen Technologieanbietern zu helfen.

Beim Internationalen Strafgerichtshof geht es zwar "nur" um 1800 Arbeitsplätze, die aus der US-Abhängigkeit gelöst werden sollen. Das Handelsblatt sieht das jedoch als Hinweis darauf, dass Geopolitik sich zunehmend um Technologie dreht. Wirtschaft und Politik erkennen die Abhängigkeit von US-amerikanischen Digitalkonzernen als Problem, insbesondere mit Hinblick darauf, dass die USA die Technologie als Druckmittel einsetzen.

Bei Collins Aerospace ist ein weiteres schwerwiegendes IT-Sicherheitsproblem aufgetreten. Ende September kam es bei dem Dienstleister für diverse Flughäfen weltweit zu einem Datenabzug, bei dem das Unternehmen von Ransomware sprach, die Boarding- und Check-in-Systeme offline nahm und in der Folge der Flugbetrieb an den Flughäfen Berlin oder Brüssel beeinträchtigt wurde. Nun hat der Chaos Computer Club (CCC) herausgefunden, dass auch weitere Systeme schlecht gesichert waren und es etwa möglich war, Nachrichten in Flugzeug-Cockpits zu senden.

Das kürzliche Datenleck ging auf Zugangsdaten aus dem Jahr 2022 zurück, die seitdem nicht geändert wurden und aufgrund eines Infostealers ins Internet gelangten. Etwas mehr Kopfschütteln verursacht der nun vom CCC gefundene, mit trivialen Zugangsdaten "geschützte" Zugang. Collins Aerospace betreibt das ARINC Opcenter, mit dem Nachrichten von und zu Flugzeugen verteilt und aufbereitet werden, etwa von Betriebsdaten. Dazu gehören auch ACARS-Nachrichten (Aircraft Communications Addressing and Reporting System), die technische Zustandsdaten, Flugpläne oder auch Verspätungen umfassen.

Der CCC konnte sich mit Benutzername "test" – und IT-Experten vermuten es bestimmt schon – Passwort "test" in das ARINC OpCenter einloggen und dort in den Message Browser gelangen. Ein Eintrag in der Wayback-Machine (PDF) zeigt die Benutzeroberfläche und die Abfrage von Nachrichten zu einem bestimmten Flugzeug. Der Zugang wies die IT-Forscher als "US Navy Fleet Logistics Support Wing" aus.

Mit dem Zugang ließen sich versendete Nachrichten einsehen. Das Portal ermöglicht auch das Senden von Nachrichten ins Flugzeug-Cockpit – was der CCC jedoch ausdrücklich nicht ausprobiert hat.

Die CCC-Analysten haben sowohl die Muttergesellschaft RTX Corporation von Collins Aerospace, als auch das Department of Defense Cyber Crime Center der USA kontaktiert und über die Schwachstelle informiert. Rückmeldungen gab es keine. Jedoch wurde der Zugang inzwischen deaktiviert.

Angreifer attackieren DELMIA Apriso von Dassault Systèmes und führen im schlimmsten Fall Schadcode aus. Aufgrund der derzeit laufenden Attacken sollten Admins zügig handeln.

DELMIA Apriso fungiert als Manufacturing-Operations-Management-Software (MOM) und Manufacturing-Execution-System (MES). Damit werden unter anderem globale Produktionsabläufe, hierzulande etwa im Automobilbereich, gesteuert.

Vor den Attacken warnt die US-Sicherheitsbehörde Cybersecurity & Infrastructure Security Agency (CISA) in einem Beitrag. In welchem Umfang die Attacken ablaufen, ist derzeit unklar. Die Entwickler haben im August dieses Jahres Warnmeldungen zu zwei Schwachstellen (CVE-2025-6204 "hoch", CVE-2025-6205 "kritisch") veröffentlicht.

Davon sind ihnen zufolge verschiedene Versionen der Releases 2020 bis 2025 betroffen. Leider geht die Versionsnummer der gepatchten Ausgabe nicht aus den Warnmeldungen hervor. Sie ist in einem nur für Kunden einsehbaren Bereich sichtbar.

Nutzen Angreifer die Lücken erfolgreich aus, können sie sich höhere Rechte verschaffen oder sogar Schadcode ausführen, um Systeme zu kompromittieren. Wie die derzeit ablaufenden Attacken vonstatten gehen, ist zurzeit unklar.

Bayerischen Strafverfolgern ist ein Schlag gegen zwei pädokriminelle Video-Plattformen im Darknet gelungen. Die Darknetseiten wurden in Rechenzentren in Deutschland betrieben.

Die Zentralstelle Cybercrime Bayern bei der Generalstaatsanwaltschaft Bamberg und das Bayerische Landeskriminalamt (BLKA) berichten nun von der erfolgreichen Abschaltung. Es handelt sich um eine internationale Zusammenarbeit, bei der die pädokriminellen Plattformen "Videos Sebick" sowie "Videos Yad" offline genommen und deren Webseiten durch einen Beschlagnahme-Hinweis ersetzt wurden.

Die Plattformen waren demnach ausschließlich im Darknet erreichbar. Gegen eine monatliche Abo-Gebühr von 0,001 Bitcoin, derzeit knapp 100 Euro, gab es Vollzugriff auf die Angebote. Einige (wenige) Videos ließen sich auch kostenlos abspielen. Sie zeigen teils schweren sexuellen Missbrauch von Kindern und Jugendlichen.

Auf den Plattformen waren mehr als 350.000 User registriert, führen die Strafverfolger aus. Der Großteil habe ausschließlich die kostenlosen Videos konsumiert. Insgesamt hosteten die Plattformen 21.324 Videodateien, deren Spieldauer sich auf 660 Stunden summiert. Sie wurden insgesamt knapp 900.000 Mal abgerufen. Die Server konnten beschlagnahmt, abgeschaltet und die Seiten durch ein Sperrbanner ersetzt werden. Da die Dateien ausschließlich auf den Servern im Rechenzentrum vorgehalten wurden, konnten sie sichergestellt und ihre weitere Verbreitung unterbunden werden.

Während die Darknetseiten von Servern in deutschen Rechenzentren ausgeliefert wurden, fanden die Ermittler als Betreiber bei der Serverauswertung einen peruanischen Staatsbürger, der sich in Brasilien aufhielt. In Zusammenarbeit mit dem BKA und der Brasilianischen Bundespolizei wurde der Verdächtige bereits im September festgenommen. Derzeit befindet er sich in Untersuchungshaft. Ihm droht nach brasilianischem Recht eine mehrjährige Haft.

Eigentlich sollen IBM Concert und QRadar SIEM Systeme vor Attacken schützen. Aufgrund mehrerer Softwareschwachstellen können sie nun aber selbst als Angriffspunkt dienen. Bislang gibt es keine Berichte zu laufenden Attacken. Admins sollten mit der Installation der Sicherheitsupdates jedoch nicht zu lange zögern.

Wie aus zwei Warnmeldungen hervorgeht, ist QRadar SIEM über insgesamt drei Sicherheitslücken (CVE-2025-36007 "hoch", CVE-2025-36170 "mittel", CVE-2025-36138 "mittel") angreifbar. Sind Attacken erfolgreich, können sich Angreifer höhere Nutzerrechte verschaffen oder Schadcode im Web UI verankern, um an Zugangsdaten zu gelangen. Für letzteres müssen sie aber bereits authentifiziert sein.

Die Entwickler geben an, dass davon die Ausgaben 7.5 bis einschließlich 7.5.0 UP13 IF02 bedroht sind. Sie versichern, die Schwachstellen in QRadar 7.5.0 UP14 geschlossen zu haben.

Wie die Entwickler in einer Warnmeldung auflisten, ist IBM Concert über 15 Sicherheitslücken angreifbar. Davon sind drei Stück als "kritisch" eingestuft (CVE-2025-7783, CVE-2025-9288, CVE-2024-33531). Setzen Angreifer daran erfolgreich an, können sie unter anderem Daten manipulieren. Wie Attacken ablaufen könnten, ist derzeit nicht bekannt.

Die verbleibenden Schwachstellen erlauben unter anderem DoS-Zustände. Außerdem können Angreifer unberechtigt auf Daten zugreifen und Sicherheitschecks umgehen. Den Entwicklern zufolge sind davon die Concert-Ausgaben 1.0.0 bis einschließlich 2.0.0 betroffen. IBM Concert Software 2.1.0 ist gegen die geschilderten Attacken abgesichert. Woran Admins bereits attackierte Computer erkennen können, ist zurzeit nicht bekannt.