Comretix Blog

In mehreren Versionen von Veeams Backup & Replication klaffen zwei kritische Sicherheitslücken, die die Backup-Lösung verwundbar für Remote Code Execution (RCE), also Schadcode-Ausführung aus der Ferne, durch authentifizierte Domain User machen. Ein Patch schließt die Lücken CVE-2025-48983 und CVE-2025-48984, die jeweils mit einem CVSS-v3.1-Score von 9.9 bewertet wurden und damit kritisch sind.

Von den RCE-Lücken betroffen sind laut Sicherheitshinweis der Entwickler alle Veeam Backup & Replication-Versionen der 12-er Reihe bis einschließlich 12.3.2.3617. Der am heutigen Dienstag veröffentlichte Patch 12.3.2.4165 bannt die Gefahr (siehe Release-Informationen). Zügiges Handeln ist ratsam.

Des Weiteren haben die Entwickler dem Veeam Agent für Windows ein Sicherheitsupdate spendiert. Von der dabei beseitigten Sicherheitslücke CVE-2025-48982 ging ein hohes Risiko aus (CVSS-Score 7.3); sie hätte unter bestimmten Voraussetzungen zur Rechteausweitung missbraucht werden können.

Die Lücke steckt in allen Versionen bis inklusive 6.3.2.1205 und wurde mit dem Build 6.3.2.1302 behoben. Details und Download-Links sind ebenfalls dem aktuellen Sicherheitshinweis zu entnehmen.

Der Internet Explorer ist noch immer nicht tot. Jedenfalls nicht richtig. Angreifer nutzen seit August 2025 aktiv Zero-Day-Schwachstellen in der veralteten Chakra-JavaScript-Engine aus. Jetzt hat Microsoft reagiert und den IE-Kompatibilitätsmodus in Edge grundlegend umgebaut. Wie das Edge-Sicherheitsteam mitteilt, kombinierten die Angreifer Social Engineering mit einer Exploit-Kette, um vollständige Kontrolle über Zielsysteme zu erlangen.

Der IE-Modus ermöglicht es Edge-Nutzern, Webseiten in der alten Internet-Explorer-Umgebung zu laden – gedacht für Legacy-Anwendungen, die auf veraltete Technologien wie ActiveX oder Flash angewiesen sind. Obwohl der Internet Explorer am 15. Juni 2022 offiziell sein Lebensende erreichte, bleibt der Kompatibilitätsmodus für Unternehmensanwendungen und Behördenportale verfügbar. Es ist nicht das erste Mal, dass Überreste des als Sicherheitsrisiko verrufenen Microsoft-Browsers zum Sicherheitsproblem werden.

Die aktuelle Angriffskette begann mit gefälschten Webseiten, die legitime Dienste imitierten. Über ein Flyout-Element forderten die Angreifer ihre Opfer auf, die Seite im IE-Modus neu zu laden. Dort nutzten sie zunächst eine ungepatchte Schwachstelle in der Chakra-Engine für das Einschleusen und Ausführen von Schadcode (Remote Code Execution). Ein zweiter Exploit ermöglichte anschließend den Ausbruch aus dem Browser heraus, um das gesamte System zu kompromittieren (Privilege Escalation).

Microsoft hat dazu weder CVE-Nummern veröffentlicht noch einen expliziten Patch für die Chakra-Lücke bereitgestellt. Stattdessen entfernte das Unternehmen als Antwort auf die Angriffe kurzerhand alle einfachen Zugangswege zum IE-Modus: Die dedizierte Toolbar-Schaltfläche, der Kontextmenü-Eintrag und die Option im sogenannten Hamburger-Menü sind verschwunden. Ob das im September veröffentlichte Kumulative Update für IE die Sicherheitslücken selbst beseitigt, ist somit weiterhin unklar.

Wer den IE-Modus künftig nutzen möchte, muss ihn explizit in den Edge-Einstellungen unter edge://settings/defaultBrowser aktivieren und jede einzelne URL manuell zu einer Allowlist hinzufügen. Erst nach einem Browser-Neustart können die gelisteten Seiten im IE-Modus geladen werden. Microsoft setzt darauf, dass dieser umständliche Prozess Nutzern mehr Zeit gibt, gefälschte URLs zu erkennen und die Entscheidung bewusster zu treffen.

Erst kürzlich wurden Ransomware-Erpressungsversuche publik, die sich gegen Nutzer von Oracles E-Business-Suite richteten. Das Einfallstor der Angreifer: die als kritisch bewertete Zero-Day-Sicherheitslücke CVE-2025-61882 (CVSS-Score 9.8), über die eine Codeausführung aus der Ferne (Remote Code Execution) möglich war. Oracle veröffentlichte daraufhin ein Notfall-Update, das die verwundbaren E-Business-Versionen abdichtete.

Jetzt hat das Unternehmen eine weitere Schwachstelle gefunden und erneut einen Sicherheits-Patch außer der Reihe bereitgestellt. Der Lücke CVE-2025-61884 wurde ein CVSS-Score von "High" (CVSS-Score 7.5) zugewiesen.

Verwundbar sind, wie schon im Falle der "Vorgängerin", die E-Business-Suite-Versionen 12.2.3 bis einschließlich 12.2.14. Details und Links zum Update liefert Oracles Sicherheitshinweis zu CVE-2025-61884. Nutzer der verwundbaren Versionen sollten auch diesen (unabhängigen) Patch nach Oracles Empfehlung so zeitnah wie möglich anwenden.

Die im Vergleich zu CVE-2025-61882 niedrigere Risikoeinstufung sowie die Tatsache, dass via CVE-2025-61884 wohl keine direkte Codeausführung möglich ist, sollte Anwender keinesfalls dazu bringen, sich in falscher Sicherheit zu wiegen. Denn immerhin kann die Lücke laut Oracle unter bestimmten Voraussetzungen von entfernten, nicht authentifizierten Angreifern missbraucht werden, um auf sensible Daten zuzugreifen. Das könnte sie für erpresserische Angreifer, die gern auch mehrere Schwachstellen miteinander kombinieren, durchaus interessant machen.

Zu aktiven Angriffen oder Exploit-Code, wie er für CVE-2025-61882 in freier Wildbahn kursiert, ist bezüglich CVE-2025-61884 noch nichts bekannt.

Zum allmonatlichen Patchday hat SAP wie gewohnt eine Reihe von Updates nebst zugehörigen Sicherheitshinweisen veröffentlicht. Zwei der frisch beseitigten Schwachstellen wurden als kritisch und zwei weitere mit der Einstufung "High" bewertet.

IT-Sicherheitsverantwortliche sollten die verfügbaren, auf SAPs Übersichtsseite aufgelisteten Aktualisierungen zeitnah anwenden. Überdies lohnt sich auch ein Blick auf die Ergänzungen, die das Unternehmen an einigen älteren Sicherheitshinweisen vorgenommen hat.

Von kritischen Schwachstellen betroffen sind SAPs Print Service (CVE-2025-42937, CVSS-Score 9.8) und Supplier Relationship Management (CVE-2025-42910, 9.0). Erstere Schwachstelle könnte für Verzeichnis- und Dateizugriffe missbraucht werden (Directory Traversal), um etwa Systemdateien zu überschreiben. Letztere basiert auf fehlenden Beschränkungsmechanismen beim Datei-Upload (Unrestricted File Upload Vulnerability). Angreifer könnten sie ausnutzen, um beliebige schädliche Dateien (z. B. Schadcode) hochzuladen.

Eine Aktualisierung erhielt SAPs Sicherheitsnotiz zur Sicherheitslücke CVE-2025-42944 in NetWeaver AS Java mit dem höchstmöglichen CVSS-Score 10.0. Das auf unsicherer Deserialisierung basierende Einfallstor war zuvor schon mit den September-Updates angegangen worden; dass es nun nochmals thematisiert wird, weist auf die Dringlichkeit der zugehörigen Fixes und Informationen hin. Die Lücke kann zum Einschleusen beliebigen Codes verwendet werden.

Lücken mit "High"-Wertung stecken in der SAP Commerce Cloud (Denial-of-Service; CVE-2025-5115, 7.5) sowie in der Data Hub Integration Suite (Security Misconfiguration; CVE-2025-48913, 7.1).

Heute endet der Herstellersupport für Microsoft Office 2016 und 2019 – und stellt damit viele kleine Unternehmen in Deutschland vor ein Sicherheitsrisiko. Laut der aktuellen KMU-Studie des Groupware- und Security-Anbieters Intra2net erhalten nun 77 Prozent dieser Betriebe keine Sicherheitsupdates mehr für ihr Office-Paket.

Grund dafür ist die schleppende Migration auf aktuelle Versionen: Office 2016 und 2019 sind mit einer Installationsquote von 65 Prozent weiterhin die dominierenden On-Premises-Pakete, folglich stehen Nutzer jetzt unter unmittelbarem Handlungsdruck. Auffällig ist, dass der Marktanteil von Office 2016 im vergangenen Jahr stabil geblieben ist, während weitere 12 Prozent der Unternehmen sogar noch ältere Versionen wie Office 2010 oder 2013 einsetzen, die seit Jahren ohne Support laufen. Ihr Anteil ging seit einem Jahr ebenfalls nur knapp zurück.

(Bild: Intra2net AG)

Die Studie zeigt, dass bei einem Wechsel zumeist direkt auf Office 2024 migriert wird. Das neueste On-Premises-Paket kommt derzeit auf einen Marktanteil von 8 Prozent, hauptsächlich durch Umsteiger aus Office 2019. Office 2021 spielt hingegen bei aktuellen Migrationen kaum noch eine Rolle, die Suite konnte sich nicht etablieren.

Intra2net-Vorstand Steffen Jarosch sieht dringenden Handlungsbedarf: "Die Ergebnisse sind alarmierend, aber keine Überraschung. Viele kleine Unternehmen haben die letzten zwölf Monate nicht genutzt, um ihr Office-Paket rechtzeitig zu aktualisieren. Zusammen mit dem Supportende von Windows 10 entsteht ein massiver Migrationsdruck – zumal Microsoft für Office keine kostenpflichtige Übergangslösung mit erweiterten Sicherheitsupdates anbietet."

Ende März dieses Jahres hatte die Bundesagentur für Arbeit (BA) unberechtigte Zugriffe auf rund 1000 Benutzerkonten ihres Online-Portals festgestellt. Ziel der Angreifer war es, sich durch das Ändern von Bankverbindungen Leistungen zu erschleichen.

Die Zentralstelle Cybercrime Bayern (ZCB) hat nun gemeinsam mit dem Fachkommissariat "Ermittlungen Cybercrime" (ECC) der Kriminalpolizei Nürnberg acht Tatverdächtige ermittelt. Zwei der Verdächtigen seien in Untersuchungshaft genommen worden, allerdings wegen mutmaßlichen Drogenhandels und nicht wegen des Hacks. Der entstandene finanzielle Schaden fiel verhältnismäßig gering aus.

Laut einer Pressemitteilung der Generalstaatsanwaltschaft Bamberg vom heutigen Montag stehen die Tatverdächtigen in dringendem Verdacht, "zwischen dem 30.01.2025 und dem 19.03.2025 versucht zu haben, sich widerrechtlich in über 20.000 Benutzerkonten bei der Bundesagentur für Arbeit einzuloggen". In rund 1000 Fällen sei ihnen dies gelungen und in mehr als 150 Fällen sollen sie Kontoverbindungen geändert haben.

Schlimmstenfalls wären die Tatverdächtigen durch ihre Manipulationen demnach "in der Lage gewesen, sich monatlich einen fünfstelligen Betrag auszahlen zu lassen". Das Eingreifen der BA habe den tatsächlichen Schaden allerdings auf knapp 1000 Euro begrenzt.

Zuerst aufgefallen seien die Vorgänge einer Jobcenter-Mitarbeiterin in Nordrhein-Westfalen: Sie bemerkte Unstimmigkeiten auf dem Konto eines bereits verstorbenen Kunden. Die BA habe anschließend eine umfassende Überprüfung durchgeführt, die unberechtigten Logins bemerkt und Anzeige bei der ZCB in Bamberg gestellt. In der Konsequenz waren zahlreiche Online-Funktionen der BA wie Anträge auf Geldleistungen oder das Ändern von IBAN-Kontonummern Ende März vorübergehend nicht verfügbar.

Eine fehlerhafte Software hat in den USA Autos der Marke Jeep lahmgelegt. Der Autohersteller warnt inzwischen davor, das Update der Software uConnect zu installieren. Das Update, das per Funk ("Over The Air", OTA) verteilt wurde, hat zu einem Ausfall der Fahrzeuge geführt. Betroffen waren die Hybridmodelle von Jeep mit der Bezeichnung Jeep 4xE. Über die Ausfälle berichteten betroffene Fahrzeugbesitzer unter anderem den US-Onlinemedien The Stack und The Autopian sowie in Internetforen. Ein Wrangler-Fahrer sagte, sein Jeep sei zum Glück innerorts bei geringer Geschwindigkeit ausgefallen. Andere berichteten jedoch gar, dass sich ihre Fahrzeuge auf dem Highway bei einer Geschwindigkeit von rund 100 km/h abgeschaltet hätten.

Ein Mitglied des Jeep-Kundendienstes namens Kori bestätigte in einem Forum der 4Xe-Community den Fehler. "Wir warten auf weitere Informationen von unseren Software-Entwicklern, die den Fehler untersuchen." Wer das Update bereits installiert habe, solle sehr vorsichtig fahren, riet Kori. Fahrer, die das Update angeboten bekämen, sollten die Installation auf jeden Fall ablehnen.

In einem anderen Post schrieb Kori, das Update sei für das Telematikmodul gedacht – was den Ausfall des Antriebs erklären könnte. uConnect ist eigentlich das Infotainmentsystem des Autokonzerns Stellantis, zu dem auch die US-Marke Jeep gehört. Als mögliche Behelfslösung empfahl Kori, die Fahrzeuge ausschließlich im Verbrennerbetrieb zu fahren und nicht im Elektro- oder Hybridmodus.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Sie haben heise+ bereits abonniert? Hier anmelden.

Sowohl für Mozillas Firefox und Thunderbird als auch für Googles Chrome-Browser gibt es Aktualisierungen. Kritische Schwachstellen wurden nicht geschlossen – wohl aber einige Lücken mit "High"-Einstufung, die Cybergangster ausnutzen könnten.

Bislang wurde derlei bei den aktuellen Lücken noch nicht beobachtet; dennoch ist baldiges Updaten ratsamer, als es darauf ankommen zu lassen. Bei aktivierter Updatefunktion passiert das in der Regel automatisch. Die neue Firefox-Version 144 steht zudem auch auf der zugehörigen Ankündigungsseite zum Download bereit.

Die neuen Stable-Channel-Versionen 141.0.7390.107/.108 für Windows und macOS sowie 141.0.7390.107 für Linux beheben eine Chrome-Sicherheitslücke, von der laut Google ein hohes Risiko ausgeht. Auch die Chrome-Fassung für Android war vor der neuen, abgesicherten Fassung 141.0.7390.111 von der Lücke betroffen.

Die betreffende Lücke CVE-2025-11756 ("High") steckt im Safe-Browsing-Feature. Es handelt sich um eine Use-after-free-Schwachstelle, bei der freigegebener Speicher unzulässigerweise weitergenutzt wird. Weitere Details verrät Googles Ankündigung zum Stable Channel Update aber nicht.

Wer tiefer in technische Interna einsteigen möchte, kann das Changelog der Chromium-Codebasis studieren.

Der Netzwerkanbieter F5 sieht sich mit einem Datenleck konfrontiert, das offenbar lange Zeit bestand und bei dem Quellcode und bisher unveröffentlichte Sicherheitslücken abhandenkamen. Dutzende Flicken für seine BIG-IP-Appliance und andere Produkte müssen Admins nun dringend einspielen, sonst drohen weitere Einbrüche. Das veranlasst auch die US-Cybersicherheitsbehörde CISA und ihr britisches Gegenstück zu einer dringenden Warnung.

Wie die Angreifer ins F5-Netzwerk eingedrungen sind, lässt der Hersteller im Unklaren, doch haben die Nachforschungen einen Datenabfluss bestätigt. So sei Quellcode für BIG-IP in unbefugte Hände gelangt, gemeinsam mit Informationen über bekannte, aber zum Zeitpunkt des Angriffs noch nicht behobene Sicherheitslücken niedrigen, mittleren und hohen Schweregrads. Die sind für Exploit-Entwickler ein gefundenes Fressen – sie dürften sich unmittelbar an die Arbeit gemacht und Malware auf die Lücken maßgeschneidert haben. Ebenso fatal: Für einige F5-Kunden waren in den angegriffenen Systemen spezifische Konfigurations- und Implementierungshinweise hinterlegt, die dann für gezielte Attacken missbraucht werden können.

F5 legt Wert auf die Feststellung, dass weder Sicherheitslücken kritischen Schweregrads noch solche mit Möglichkeiten zur Codeausführung (RCE) in die Hände der Angreifer gelangt seien. Ein schwacher Trost, denn: Mit dem erbeuteten Quellcode könnten diese gezielt nach solchen Lücken suchen. Immerhin: Der oder die Angreifer hatten offenbar keinen Zugriff auf die Entwicklungs-Infrastruktur für den Webserver NGINX, der seit sechs Jahren zu F5 gehört. Und Kunden-, Finanz- oder Supportdatenbanken blieben nach Erkenntnissen des Herstellers ebenfalls verschont.

Die Software-Supply-Chain und der Buildprozess seien hingegen nicht betroffen, hätte eine Untersuchung gemeinsam mit den Sicherheitsspezialisten der NCC Group und IOActive ergeben. Die Aussage passt jedoch nicht so recht zu einem weiteren Beutestück. Denn offenbar gerieten die zur Software- und Image-Signatur verwendeten Schlüssel ebenfalls in die Hände der Angreifer, denn der Hersteller hat die privaten Schlüssel und Zertifikate ausgetauscht.

Wie F5 in einem Support-Artikel erklärt, sind dadurch ältere Versionen nicht mehr in der Lage, die mit den neueren Schlüsseln signierten Versionen zu verifizieren, was sich auf Installationen, Updates und das Ausrollen virtueller Maschinen auswirken könnte.

SMS-Nachrichten abfangen und so WhatsApp-Konten übernehmen? Genaue Bewegungsprofile beliebiger Ziele im In- und Ausland? Anrufe abhören und Daten umleiten? All das ermöglichte das Unternehmen "First Wap International" wohl seinen Kunden, wie eine gemeinsame Recherche von zahlreichen Medien – darunter der Spiegel und das ZDF – unter Federführung des Recherchekollektivs Lighthouse Reports ergab. Das Produkt mit dem mystischen Namen "Altamides" nutzte das SS7-Protokoll (Signalling System 7), um sich in Mobilfunknetze einzuklinken. Alles nur ein Missverständnis, wiegelt das indonesisch-österreichische Unternehmen ab, doch die Fallzahlen gehen in die Tausende.

Auf der Spionage- und Sicherheitsmesse "ISS World" präsentierte sich das Unternehmen – Eigenschreibweise "1stWAP" – mit einem eigenen Stand. Der offensichtlich KI-generierte Standhintergrund stilisiert eine Hand, die nach Daten greift – davor führt der österreichische Vertriebsdirektor Günther R. ein offenes Gespräch mit einem Interessenten. Der direkte Zugriff auf Mobilgeräte, den der angeblich im Auftrag eines westafrikanischen Bergbauunternehmers Anfragende im Sinn hat, sei zu teuer, koste oft Zehntausende. Er sollte seine Vorgehensweise überdenken.

Dann kommt "Altamides" ins Spiel. Das Produkt des Unternehmens – der Name stammt nicht aus dem griechischen Pantheon, sondern steht für "Advanced Location Tracking and Deception System" – könne etwa selektiv Nachrichten wie OTP-Codes ausleiten und so die Übernahme beliebiger Messengerkonten erleichtern. Möglich sei das über Zugriff auf das sogenannte SS7-Netzwerk, mit dem sich Telefonnetzbetreiber weltweit miteinander verbinden. Man sei vermutlich das einzige Unternehmen, das mithilfe dieser Technologie das Vorhaben des Interessenten umsetzen könne. Der wollte nämlich im Auftrag eines unter internationalen Sanktionen stehenden Minenunternehmers Umweltschützer überwachen lassen, erklärte er den First-Wap-Vertrieblern.

Doch das war nur eine Legende, erdacht von einem internationalen Team investigativer Journalisten. Das war First Wap durch eine Sammlung von mehr als einer Million Überwachungsdatensätzen auf die Spur gekommen, mit mehr als 14.000 Betroffenen weltweit. Die meisten Überwachungsvorgänge datierten in die Frühzeit der Smartphone-Ära zwischen 2007 und 2014, doch First Wap ist noch immer aktiv. Auch interne E-Mails und Dokumente des Unternehmens fielen den Reportern in die Hände und zeigten: First Wap arbeitete offenbar mit autoritären Staaten und Auftraggebern aus der Industrie zusammen. Das widerspricht dem allgemeinen Narrativ der verschwiegenen Branche, das lautet: Nur zur Bekämpfung schwerer Kriminalität und ausschließlich für Regierungen stünden die Überwachungswerkzeuge zur Verfügung, in der Vergangenheit ans Licht gekommener Missbrauch sei eine unrühmliche Ausnahme.

Doch "Abdou", der Auftraggeber aus dem westafrikanischen Niger, ist von den Technologie-Exportbeschränkungen gegen das Land betroffen, daher schlug der umtriebige Vertriebsdirektor den Undercover-Journalisten einen Kunstgriff vor. Bei derlei Geschäften, so der Österreicher, müsse er Vorsicht walten lassen, um nicht im Gefängnis zu landen. Daher könne man den Deal über die indonesische Hauptstelle abwickeln, der aus Indien stammende Geschäftsführer unterliege nicht denselben Beschränkungen und könne alles abzeichnen.

Mit mehr als 170 geschlossenen Sicherheitslücken ist Microsofts Patchday diesen Monat überdurchschnittlich umfangreich ausgefallen. Gleich 17 Fixes für kritische Lücken stehen unter anderem für Azure, Copilot, Office sowie den Windows Server Update Service (WSUS) bereit. Überdies machen drei aktiv angegriffene Schwachstellen mit "Important"-Einstufung das (bestenfalls automatische) Einspielen der verfügbaren Updates besonders dringlich.

Aktive Exploits zielen laut Microsofts zugehörigen Advisories auf den Windows Remote Access Connection Manager (CVE-2025-59230, CVSS-Score 7.8) einen alten Agere-Modemtreiber (CVE-2025-24990, 7.8) sowie das Linux-basierte, auf Windows-Systemen nutzbare IGEL OS (CVE-2025-47827, 4.6).

Den Remote Access Connection Manager sichert ein Patch künftig gegen lokale Angreifer ab, die über die Lücke ihre Zugriffsrechte hätten ausweiten können. Der Agere-Treiber (ltmdm64.sys) wurde laut Sicherheitshinweis komplett entfernt – und mit ihm eine weitere Möglichkeit lokal zugreifender Bösewichte, schlimmstenfalls Admin-Rechte zu erlangen.

Der physischen Zugriff voraussetzende und deshalb auch lediglich mit "Medium" bewertete Angriffsweg über IGEL OS wurde durch ein zum Patchday mitgeliefertes Update des Linux-Betriebssystems versperrt. Die Exploit-Möglichkeit dürfte aber auch im Vorfeld eher wenige, speziell konfigurierte Systeme betroffen haben.

Folgende frisch gepatchte Lücken stuft Microsoft als kritisch ein: