Comretix Blog

Ivanti hat für mehrere Produkte Sicherheitsupdates veröffentlicht, die teils kritische Schwachstellen ausbessern. Aktualisierungen stehen für Ivantis Software-Verwaltungs-Software Application Control Engine, Avalanche und den Endpoint Manager (EPM) bereit.

Anzeige

Allein in Ivantis Endpoint Manager klaffen 16 Sicherheitslücken, davon vier als kritisches Risiko eingestufte. Laut der Sicherheitsmitteilung von Ivanti sind die kritischen Schwachstellen (CVE-2024-10811, CVE-2024-13161, CVE-2024-13160, CVE-2024-13159; CVSS 9.8) allesamt vom Typ Path-Traversal und ermöglichen nicht authentifizierten Angreifern, unbefugt sensible Informationen auszuleiten. Die zwölf weiteren Sicherheitslücken stufen Ivantis Entwickler als hohes Risiko ein. Die Versionen Ivanti EPM 2024 January-2025 Security Update und EPM 2022 SU6 January-2025 Security Update schließen die Sicherheitslecks. Offenbar gibt es nach dem Anwenden der Updates jedoch Probleme mit "Windows Action" in der Softwareverteilung, wodurch die Aktionen nicht sichtbar sind und daher keine neuen erstellbar oder bestehende veränderbar sind. Bestehende Pakete funktionieren jedoch weiter.

In Ivanti Avalanche bessert das Unternehmen der Sicherheitswarnung zufolge drei hochriskante Schwachstellen aus. Auch diese sind von Typ Path-Traversal. Zwei ermöglichen bösartigen Akteuren die Umgehung der Authentifizierung (CVE-2024-13181, CVE-2024-13179, beide CVSS 7.3, hoch). Eine weitere ermöglicht nicht authentifizierten Angreifern aus dem Netz, auf sensible Informationen zuzugreifen (CVE-2024-13180, CVSS 7.5, hoch). Ivanti Avalanche Version 6.4.7 oder neuer schließen die Lücken. Die aktualisierte Software ist im Download-Portal von Ivanti erhältlich.

Zuletzt warnt Ivanti noch vor einem Sicherheitsleck in der Application Control Engine. Angemeldete Angreifer können eine Race-Condition missbrauchen, um die App-Blockade-Funktion auszuhebeln (CVE-2024-10630, CVSS 7.8, hoch). Den Fehler korrigieren Ivanti Application Control 2024.3 HF1, 2024.1 HF2 und 2023.3 HF3. Ivanti Security Controls werden zwar noch bis zum 31. Dezember 2025 unterstützt, erhalten aber kein Update mehr, da ein Release ohne signifikanten Einfluss auf die Performance nicht möglich sei. Ivanti nennt in der Warnung manuelle Gegenmaßnahmen, empfiehlt jedoch den Umstieg auf Ivanti Application Control (UWM AC) oder Ivanti Neurons for App Control. Letzteres ist eine Cloud-Software, die Ivanti bereits am 12. Dezember mit Patches ausgestattet hat. Wer sich Ivanti Application Control in EPM installiert hat, sollte die aktuelle Version 10.14.4.0 besorgen und mit dem Privilege-Management-Plug-in importieren.

Die Windows-Updates, die Microsoft am Januar-Patchday veröffentlicht hat, lassen sich auf Systemen mit bestimmter Citrix-Software nicht installieren. Es gibt jedoch Abhilfe für Betroffene, diese müssen dafür aktiv werden.

Anzeige

Microsoft räumt das Problem in der Release-Ankündigung für das Windows Update für Windows 10 22H2 ein. "Geräte, die bestimmte CItrix-Komponenten installiert haben, könnten nicht in der Lage sein, die Installation des Januar-2025-Sicherheitsupdates abzuschließen", schreibt Microsoft.

Die Entwickler führen weiter aus: "Das Problem wurde auf Geräten mit Citrix Session Recording Agent in Version 2411 beobachtet. Die Version 2411 wurde im Dezember 2024 veröffentlicht". Betroffene Geräte können initial das Januar-2025-Windows-Sicherheitsupdate korrekt herunterladen und anwenden, etwa durch das Windows-Update in den Systemeinstellungen. "Beim Neustart des Geräts zum Vervollständigen der Update-Installation erscheint dann eine Fehlermeldung mit der Nachricht gleichlautend zu 'Etwas funktionierte nicht, wie erwartet. Keine Sorge, Änderungen werden zurückgenommen' – und das Gerät kehrt zu den zuvor installierten Windows-Updates auf dem Gerät zurück".

Da die Version 2411 des Citrix Session Recording Agent eine neue Version ist, schätzt Microsoft nur wenige Organisationen als betroffen ein. Heimanwender seien zudem den Erwartungen nach nicht betroffen.

Out of the box sind Windows-Netze mit Active Directory unsicher und leichte Beute für Angreifer jeglicher Art. Doch das kann man mit recht einfachen Maßnahmen deutlich verbessern: Ebenen und speziell gesicherte Admin-Arbeitsplätze haben sich bewährt. Doch der Teufel steckt im Detail. Wir zeigen nicht nur, warum jeder diese Konzepte umsetzen sollte, sondern auch, wie man das praktisch realisiert. Und für Mitglieder von heise security PRO gibt es obendrauf noch weitere Unterstützung bei der Umsetzung.

Anzeige

Unser erfahrener Referent Frank Ully liefert dazu ganz praktische Leitlinien, wie man etwa die Ebenen konkret einteilt, wie viele man davon abhängig von der Unternehmensgröße wirklich braucht und wie man das etwa mit Cloud-Ressourcen kombiniert. Auch für Probleme beim Einrichten und Einsetzen von Privileged Access Workstations (PAWs) etwa im Homeoffice präsentiert Ully pragmatische Lösungsansätze.

Dieses praxisorientierte heise security Webinar am 11. März um 10:00 richtet sich an alle, die ein Active Directory betreuen und für dessen Sicherheit verantwortlich sind. In dem etwa zweistündigen Live-Event ist viel Zeit für Ihre Fragen vorgesehen. Die Teilnahme kostet für Nicht-Mitglieder 175 Euro; aktuell kann man noch zum Frühbucherpreis von 155 Euro buchen. Weitere Informationen zum Inhalt und die Möglichkeit sich anzumelden, gibt es auf der Webseite zu:

Für Mitglieder von heise security PRO ist diesmal nicht nur die Teilnahme kostenlos. Darüber hinaus bieten wir im Nachgang Hilfe bei der Umsetzung der hier vermittelten Konzepte exklusiv für Mitglieder von heise security PRO. Der Referent beantwortet im Nachgang vier Wochen lang in unserem PRO-Forum Fragen zu Inhalten des Webinars, die sich eventuell erst aus der konkreten Umsetzung ergeben. Überdies können sich alle die PRO-Mitglieder auch untereinander im Active-Directory-Themenforum zu ihren Erfahrungen mit Tiering und PAWs austauschen. Mehr Informationen zu den weiteren Vorteilen von heise Security PRO gibt es hier:

Die EU-Kommission will die IT-Sicherheit von Krankenhäusern und Gesundheitsdienstleistern stärken. Dazu hat sie am Mittwoch einen Aktionsplan vorgelegt. Attacken haben teils fatale Folgen. Die Kommission schlägt nun vor, dass die Enisa (Agentur der Europäischen Union für Cybersicherheit) ein gesamteuropäisches Zentrum zur Unterstützung der IT-Sicherheit für den Gesundheitssektor einrichtet. Dieses soll Betreibern "maßgeschneiderte Leitlinien, Instrumente, Dienste und Schulungen zur Verfügung" stellen.

Anzeige

Vier Bereiche stehen im Fokus des Plans. Dazu gehören die verstärkte Prävention sowie die bessere Identifizierung von Bedrohungen sowie Reaktion auf Angriffe, um deren Auswirkungen zu minimieren. Auch das Thema Abschreckung steht auf der Agenda: "Cyberbedrohungsakteure" sollen etwa per Diplomatie und dem Hinweis auf Sanktionen davon abgehalten werden, europäische Gesundheitssysteme anzugreifen.

Das Gesundheitswesen wird zu Prävention angehalten. Mitgliedstaaten könnten dafür auch Gutscheine einführen, um kleinen und mittleren Einrichtungen finanziell unter die Arme zu greifen. Das bei der Enisa geplante Zentrum soll bis 2026 einen EU-weiten Frühwarndienst entwickeln, der nahezu in Echtzeit Hinweise auf potenzielle Bedrohungen liefert. Die Initiative sieht einen Krisenreaktionsdienst für den Gesundheitssektor im Rahmen der EU-Cybersicherheitsreserve vor. Übungen sollen Gesundheitsorganisationen auf Angriffe, etwa mit Ransomware, vorbereiten. Erhalten einschlägige Einrichtungen Lösegeldforderungen, müssten sie dies melden und Strafverfolgungsbehörden einbeziehen.

Spezifische Maßnahmen sollen 2025 und 2026 schrittweise sowie Hand in Hand mit Gesundheitsdienstleistern, den EU-Ländern und der IT-Sicherheits-Community eingeführt werden. Zur Vorbereitung möchte die Kommission eine öffentliche Konsultation durchführen, deren Ergebnisse in weitere Empfehlungen münden sollen. "Patienten müssen sich darauf verlassen können, dass ihre sensibelsten Informationen sicher sind", betonte Gesundheitskommissar Oliver Várhelyi. Die Digitalisierung im Gesundheitssystem mit ihren "beispiellosen Möglichkeiten" etwa für Präzisionsmedizin sei nur so stark wie das Vertrauen, das dieses widerstandsfähig gegen IT-Angriffe bleibe.

Das unter Linux beliebte rsync-Tool zur Datei-Synchronisierung wies mehrere Sicherheitslücken auf. Die schlimmste davon findet sich im rsync-Server und erlaubt das Einschleusen und Ausführen von fremdem Code. Der Angreifer benötigt dazu lediglich einen anonymen, lesenden Zugriff.

Anzeige

Offenbar hat sich ein Team von Sicherheitsforschern bei Google die Open-Source-Software systematisch angesehen. Dem schreiben jedenfalls die Entwickler die Entdeckung von fünf der sechs Sicherheitslücken zu, die das aktuelle Release rsync 3.4.0 schließt. Darunter findet sich auch der kritische Pufferüberlauf auf dem Heap des Servers, den Angreifer gezielt herbeiführen und ausnutzen können (RCE, CVSS 9.8, CVE-2024-12084). Aleksei Gorban "loqpa" steuert noch eine Race Condition bei der Behandlung von symbolischen Links bei, die Angreifer dazu nutzen können, sich erhöhte Privilegien zu erschleichen (CVSS 5.6, CVE-2024-12747).

Insgesamt listet die Ankündigung der Version rsync 3.4.0 sechs Lücken auf:

Die Lücken betreffen Versionen vor rsync 3.4.0 etwa in Red Hat und Suse Linux; verschiedene BSD-Distributionen scheinen zumindest gemäß der Übersicht des CERT der CMU nicht betroffen zu sein. Nutzer von rsync sollten die aktualisierten Versionen baldmöglichst installieren – bevor etwa die Ransomware-Bande Cl0p sie gezielt für eine seiner Datenklau-Kampagnen mit anschließender Erpressung ausnutzt.

VPN-Zugangsdaten und komplette Konfigurationsdateien tausender FortiNet-Appliances sind im Darknet aufgetaucht, wo eine bislang unbekannte Angreifergruppe sie verschenkt. Die Daten hängen offenbar nicht mit kürzlich veröffentlichten Sicherheitslücken im Appliance-Betriebssystem FortiOS zusammen. heise security hat eine erste Analyse versucht.

Anzeige

In Darknet-Foren gibt es bisweilen kleine Geschenke: So ist es üblich, dass Untergrundhändler Kostproben ihrer Ware kostenlos herausgeben, um deren Qualität zu beweisen – ein Vorgehen, das womöglich von der legalen Datenhandelsbranche abgeschaut ist. Doch komplette Leaks tausender Konfigurations- und Passwortdateien – das ist nicht alltäglich. Eine neue Gruppe namens "Belsen Group" verschenkte nun über 15.000 Datensätze, die offenbar über eine Sicherheitslücke von Fortinet-Firewalls abgezogen wurden.

heise security hat sich den Datensatz besorgt und zunächst oberflächlich analysiert. Es handelt sich um eine ZIP-Datei mit insgesamt 145 Unterverzeichnissen, eines für jedes Land mit betroffenen Geräten. Die meisten, nämlich 1603 FortiNet-Konfigurationen, haben die Angreifer in Mexiko erbeutet, 679 in den USA und 208 in Deutschland. Überwiegend befinden sich diese IP-Adressen im Netz der Deutschen Telekom und von Vodafone, aber auch andere bekannte Internetprovider und Hoster sind darunter.

Gratisleck: Ein neuer Akteur im illegalen Datenmarkt verschenkt massenhaft sensible Daten von FortiNet-Firewalls.

Googles OAuth-Login gefährdet offenbar persönliche Daten der Ex-Mitarbeiter gescheiterter Start-ups, die Google Workspace nutzten. Das beschreibt der Mitgründer der IT-Sicherheitsfirma Truffle in einem Blogpost: Wer die Domain eines solchen Unternehmens kauft, kann mit Googles OAuth auf alte Mitarbeiter-Accounts bei im Google Workspace eingebundenen Diensten wie Slack, ChatGPT, Notion, Zoom oder Human-Resources-Plattformen zugreifen. Gerade bei HR-Plattformen sind oft sensible Daten hinterlegt. Dafür muss man offenbar nur den E-Mail-Account eines Ex-Mitarbeiters auf der Domain neu erstellen.

Anzeige

Der Zugriff auf die Plattformen über Googles OAuth-Login funktioniert, weil der betreffende Dienst, beispielsweise Slack, beim Anmeldeversuch anhand spezifischer Identifikatoren entscheidet, ob die Anmeldung durchgeführt wird oder nicht.

Es könnte also zum Beispiel die Regel gelten "Alle Accounts auf @gescheitertesStartup.de-können auf das Slack des gescheiterten Start-ups zugreifen". Ist das die einzige Regel, anhand der Slack den Login bestätigt oder ablehnt, kann ein neuer Domain-Inhaber mit der neu erstellten E-Mailadresse eines Ex-Mitarbeiters einfach auf alle Slack-Channels zugreifen, auf die der Mitarbeiter Zugriff hatte.

Das Problem ließe sich laut dem Blogpost lösen, wenn Google zwei unveränderliche, eindeutige Identifikatoren in die OpenID-Connect-Attribute seiner OAuth-Implementierung aufnähme: Eine einzigartige Nutzer-ID, die sich nie ändert und eine einzigartige, an die Domain gebundene Workspace-ID.

Die kriminelle Online-Bande Cl0p hat angeblich erneut zugeschlagen: Durch eine Sicherheitslücke in der Datentransfer-Software Cleo seien die Täter bei vielen Unternehmen eingebrochen und hätten sensible Daten kopiert. Sie drohen mit der Veröffentlichung.

Anzeige

Auszug der Liste der Firmen, denen Cl0p angeblich Daten gestohlen hat.

(Bild: Screenshot / dmk)

Im Darknet-Auftritt listet Cl0p 59 Firmen-Domains auf, bei denen sie angeblich durch eine Sicherheitslücke in Cleo Daten abgegriffen hat. Die Kriminellen drohen mit der Veröffentlichung, sollten die Unternehmen nicht bis Samstag, den 18. Januar, reagieren und in Verhandlung mit Cl0p treten. Außerdem kündigen sie an, einen neuen Teil der Firmenliste am 21. Januar zu veröffentlichen.

Angreifer können an mehreren Schwachstellen unter anderem in FortiManager, FortiSIEM und FortiVoice ansetzen, um Systeme zu attackieren. Aktuelle Sicherheitspatches sollen das verhindern.

Anzeige

Um möglichen Attacken vorzubeugen, sollten Netzwerkadmins im Sicherheitsbereich der Fortinet-Website die sie betreffenden Produkte ausfindig machen und die Patches zeitnah installieren. Eine Auflistung aller Sicherheitsupdates sprengt den Rahmen dieser Meldung. Bislang gibt es noch keine Hinweise auf laufende Attacken.

Einige Lücken sind mit dem Bedrohungsgrad "kritisch" eingestuft. Dabei können sich Angreifer mit präparierten Anfragen an das Node.js-Websocket-Modul Super-Admin-Rechte in FortiOS verschaffen (CVE-2024-55591). Außerdem kann mittels spezieller HTTP-Anfragen Schadcode auf Systeme mit FortiOS und FortiProxy gelangen (CVE-2024-21762). Attacken sollen ohne Authentifizierung aus der Ferne möglich sein. Aufgrund eines hartcodierten kryptografischen Schlüssels sind unbefugte Zugriffe auf FortiSwitch vorstellbar (CVE-2023-37936).

Viele weitere Schwachstellen sind mit dem Bedrohungsgrad "hoch" eingestuft. An diesen Stellen können Angreifer unter anderem eigene Befehle oder sogar Schadcode ausführen. Obendrein sind eigentlich abgeschottete Daten einsehbar. In einigen Fällen ist die Authentifizierung umgehbar und Angreifer können sich über Brute-Force-Attacken Zugriff verschaffen. DoS-Attacken sind ebenfalls möglich, sodass Angreifer Services crashen lassen können. Wie Attacken konkret ablaufen könnten, ist bislang nicht bekannt.

Netzpolitik.org hat zusammen mit dem BR und weiteren Redaktionen einen Datensatz eines Datenbrokers erhalten und diesen untersucht: Ein Schnappschuss mit 380 Millionen Standortdaten aus 137 Ländern, die rund 40.000 unterschiedliche Apps beim Datenhändler abgeliefert haben. Der Datensatz sollte als Werbung für ein monatliches Abo mit täglich aktualisierten Daten dienen.

Anzeige

In der vergangenen Woche wurde durch das Datenleck beim US-amerikanischen Datenbroker Gravy Analytics bekannt, dass mindestens 15.000 Apps teils präzise Positionsdaten sammeln und an die Server des Unternehmens schicken. Die sind durch den mittlerweile eingeräumten Einbruch sogar als öffentlich zu betrachten.

In dem Datenfundus des Rechercheverbunds finden sich Apps sowohl für Android als auch für iOS. Diese liefern offensichtlich Werbe-IDs, Standortdaten und die Verbindung zu den jeweiligen Apps. Der fraglichen US-Datenhändler nannte sich bis vor Kurzem Datastream Group, inzwischen ist der Datenhehler unter dem Namen Datasys aktiv.

Die Kategorien der datenliefernden Apps sind recht umfassend: Spiele, Dating und Shopping bis hin zu Nachrichten und Bildung, erklärt Netzpolitik in der Analyse. "Darunter sind einige der beliebtesten Apps der Welt, teils millionenfach heruntergeladen."

Im Content-Management-System Typo3 haben die Entwickler zehn Sicherheitslücken gemeldet. Aktualisierte Versionen von Typo3 stehen bereit, die die teils hochriskanten Schwachstellen ausbessern.

Anzeige

Die meisten Sicherheitslecks sind vom Typ Cross-Site-Scripting. Angreifer können Opfern dadurch Links unterschieben, die bösartigen Code in deren Benutzerkontext einschleusen und ausführen. Laut Beschreibung der schwerwiegendsten Lücke im Scheduler-Modul reicht dafür das Besuchen einer kompromittierten oder manipulierten Webseite bereits aus.

IT-Verantwortliche sollten aufgrund des Schweregrads einiger der Lücken die aktualisierten Software-Versionen zügig installieren. Die sicherheitsrelevanten Fehler korrigieren die Typo3-Versionen 9.5.49 ELTS, 10.4.48 ELTS,11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS. Sie sind auf der Typo3-Downloadseite erhältlich. Insbesondere die Aktualisierungen für die 10er- und 11er-Entwicklungszweige erhalten in der kostenlosen Fassung jedoch keine Unterstützung mehr, hier müssen Nutzerinnen und Nutzer auf die 12er- oder 13er-Version umsteigen. Wo Betroffene das Update auf Typo3 9.5.49 ELTS erhalten können, erklären die Sicherheitsmitteilungen jedoch nicht.

Die Sicherheitslücken im Einzelnen:

Die Sicherheitskriterien für kryptografische Schlüssel ändern sich bisweilen. So etwa bei DKIM-Schlüsseln zur Signatur von Mailheadern: Eine Studie testete die DKIM-Informationen von mehr als 400.000 der populärsten Domains und stellte dabei fest, dass viele dieser Domains unsichere Schlüsselgrößen verwenden. Mit einem geknackten DKIM-Schlüssel schleusten die Forscher dann gefälschte Mails ein.

Anzeige

DKIM (DomainKeys Identified Mail) ist eine Technik, die beim Versand die Header, also Meta-Informationen von E-Mails, digital signiert. Der Mailserver des Senders signiert die Header mithilfe eines privaten Schlüssels, sein Gegenstück beim Empfänger prüft mittels des dazugehörigen öffentlichen Schlüssels die Signaturen. Öffentliche Schlüssel eines Mailservers sind im DNS (Domain Name System) hinterlegt und somit einfach abrufbar. Richtig implementiert, hilft DKIM bei der Erkennung von E-Mail-Fälschungen, wie sie bei Phishing-Angriffen vorkommen.

Das klappt jedoch nur, wenn Angreifer den privaten Schlüssel einer Domain nicht erraten können. Könnten sie das, wären sie in der Lage, eine DKIM-Signatur für jede beliebige, also auch eine gefälschte E-Mail, auszustellen. Die Ergebnisse des Tests zeigen: Falsch gewählte Schlüssel können die DKIM-Sicherheit aushebeln.

Die Sicherheitsforscher überprüften Mitte 2024 eine Million der beliebtesten Domains im Internet auf ihre Mailsicherheit. Bei immerhin gut 475.000 Domains konnten sie einen DKIM-Eintrag ermitteln; fast alle Schlüssel waren RSA-Schlüssel. Fast die Hälfte der untersuchten DKIM-Schlüssel hatte eine Größe von 1024 Bit oder weniger, wie das Team um Andreas Wulf herausfand.

Zoom hat mehrere Sicherheitslücken in den Webkonferenz-Tools geschlossen. Eine davon gilt als hochriskant. Zudem ist das Jenkins-Plug-in für App-Entwickler von einer Schwachstelle betroffen.

Anzeige

Am gravierendsten stuft Zoom eine Schwachstelle in der Zoom Workplace App für Linux ein. Die ist vom Typ "Type Confusion", bei der übergebene Datentypen nicht mit den vom Programmcode erwarteten übereinstimmen, was oftmals zur Ausführung von untergeschobenem Code führen kann. In diesem Fall können angemeldete Nutzer ihre Rechte mit Netzwerkzugriff ausweiten – wie genau der Angriff auf die Lücke aussehen würde, erläutert Zoom jedoch nicht (CVE-2025-0147, CVSS 8.8, Risiko "hoch").

Als mittleres Risiko eingestufte Sicherheitslücken hat Zoom zudem in den Workplace-Apps für Linux und Windows geschlossen. Denselben Bedrohungsgrad teilt die Schwachstelle im Jenkins-Plug-in von Zoom.

Die Fehler haben die Entwickler in den Versionen

Adobe hat mehrere Sicherheitslücken in Animate, Illustrator on iPad, Photoshop Substance 3D Designer und Substance 3D Stager geschlossen. In vielen Fällen können Angreifer Schadcode auf Systeme schieben und ausführen.

Anzeige

In allen Fällen sind auf nicht näher beschriebenen Wegen ausgelöste Speicherfehler der Ansatzpunkt für Schadcode-Attacken. Bislang gibt es keine Berichte zu laufenden Angriffen. Admins sollten die gegen die Attacken geschützten Versionen dennoch zügig installieren. Von möglichen Attacken sind die SOftware-Fassungen sowohl für macOS als auch für Windows bedroht. Der Großteil der Sicherheitslücken ist mit dem Bedrohungsgrad "hoch" eingestuft.

In einer Warnmeldung geben die Entwickler an, Animate 2023 23.0.10 und Animate 2024 24.0.7 abgesichert zu haben. Für iOS ist Illustrator 3.0.8 mit Sicherheitskorrekturen gerüstet. Photoshop 2024 25.12.1 und Photoshop 2025 26.2 sind mit Sicherheitspatches versehen. In Substance 3D Designer 14.1 haben die Entwickler vier Schadcode-Lücken geschlossen. Von Substance 3D Stager ist die Ausgabe 3.1.0 gepatcht. Alle vorigen Versionen sind verwundbar.

Derzeit attackieren Angreifer verschiedene Windows- und Windows-Server-Versionen. Einfallstore sind drei Schwachstellen in der Virtualisierungstechnik Hyper-V. Weitere Windows-Lücken sind öffentlich bekannt, sodass anstehende Attacken naheliegen. Darüber kann unter anderem Schadcode auf Systeme gelangen. Dementsprechend sollten Admins sicherstellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind.

Anzeige

Die drei ausgenutzten Hyper-V-Lücken (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335) hat Microsoft mit dem Bedrohungsgrad "hoch" eingestuft. Sie betreffen verschiedene Ausgaben von Windows 10 und 11 und außerdem Windows Server 2022 und 2025. Wie Attacken konkret ablaufen, ist bislang nicht bekannt. Microsoft führt aus, dass sich Angreifer über die Schwachstellen System-Rechte verschaffen.

In so einer Position ist davon auszugehen, dass Computer als vollständig kompromittiert gelten. In welchem Umfang die Attacken stattfinden, bleibt unklar. Weitere Lücken in Access (etwa CVE-2025-21186 "hoch"), App Package Installer (CVE-2025-21275 "hoch") und Windows Themes (CVE-2025-21308 "hoch") sind öffentlich bekannt und es könnten Angriffe bevorstehen. An diesen Schwachstellen können Angreifer unter anderem mit präparierten E-Mails ansetzen und Schadcode ausführen.

Mehrere Windows-Lücken sind als "kritisch" eingestuft. Hier können sich Angreifer beispielsweise im Kontext von NTLM V1 höhere Nutzerrechte verschaffen (CVE-2025-21311) oder Outlook kann sich an manipulierten Mails verschlucken, sodass Angreifer Schadcode aus der Ferne ausführen können (CVE-2025-21298).

Der heise-security-Podcast "Passwort" ist zurück vom Chaos Communication Congress und wieder in der alten Besetzung unterwegs. In der neuesten Folge schauen sich Sylvester und Christopher ein mysteriöses Rootkit an, das sich im UEFI von Linux-Systemen einnistet und dafür bekannte Sicherheitslücken ausnutzt.

Anzeige

Rootkits sind ein recht altes Malware-Konzept, Linux-Varianten der Schadsoftware treiben seit den Neunzigerjahren des vergangenen Jahrhunderts ihr Unwesen. Meist verfügen die Schädlinge über Methoden, sich permanent im System einzunisten – über versteckte Cronjobs, Systemdienste, Kernelmodule oder das UEFI.

Cyberkriminelle behaupten im Darknet-Forum Breach Forums, einen substanziellen Datensatz an Kunden-, Mitarbeiter- und betriebsinternen Daten bei einem Cyberangriff auf den spanischen Telekommunikationsanbieter Telefónica erbeutet zu haben. Der Datensatz soll demnach mehr als 5000 interne Dateien, 236,493 Kundendatensätze und rund eine halbe Million Jira-Tickets beinhalten.

Anzeige

Das Cybersecurity-Unternehmen Hudson Rock sprach offenbar mit den Angreifern. Inititalen Zugriff konnten sich die Angreifer nach eigenen Angaben durch Infostealer-Malware verschaffen, mit der sie die Zugangsdaten von 15 Telefonica-Angestellten stahlen. Kombiniert mit Social Engineering konnten sie sich dann weitere Rechte im System verschaffen und auf das Ticketing-System zugreifen.

Laut Hudson Rock wurden dabei auch 24.000 Mitarbeiter-Datensätze erbeutet, die sich theoretisch für weitere Phishing-Attacken missbrauchen lassen. Auch besteht die Gefahr, dass Cyberkriminelle interne Informationen aus den Jira-Issues nutzen könnten, um Schwachstellen für künftige Angriffe ausfindig zu machen.

Telefónica bestätigte am Freitag, Opfer eines Cyberangriffs geworden zu sein, bei dem die Angreifer sich Zugriff auf das interne Ticketing-System verschafften. Derzeit untersuche man das Ausmaß des Vorfalls. Die notwendigen Schritte, um unautorisierten Zugriff zu blockieren, habe man bereits unternommen, so das Unternehmen in einer E-Mail an das US-amerikanische Nachrichtenportal Bleeping Computer. Die deutsche Tochtergesellschaft Telefónica Deutschland ist vor allem für die Kernmarke O2 bekannt.

Das Have-I-Been-Pwned-Projekt (HIBP) hat bislang lediglich Daten von bekannten Datenlecks und Einbrüchen bei Organisationen in die Datenbank aufgenommen und dazu Interessierten Informationen geliefert. Jetzt kommen auch in großem Stil Daten hinzu, die von Infostealern gesammelt wurden.

Anzeige

In einem Blog-Beitrag erklärt Projekt-Inhaber Troy Hunt, dass das eine bedeutsame Änderung darstellt. Wer seine E-Mail-Adresse auf HIBP sucht, hat bislang Rückmeldungen dazu erhalten, in welchem bekannten Datenleck die Informationen aufgetaucht sind. Schon früher hat Hunt Daten von Infostealern integriert, aber es kam demnach zu Frust bei Betroffenen, die mit der Information "Adresse tauchte in Infostealer-Logs auf" nichts anfangen konnten.

Bei Infostealern handelt es sich um Malware, die etwa die Rechner von Betroffenen befällt. Troy Hunt nennt als Beispiel das Herunterladen und Ausführen vermeintlicher Software-Cracks und Spiele-Cheats, die solche Malware mitbringen.

Die Infostealer protokollieren aber Daten zu allen möglichen Diensten, die auf infizierten Rechnern genutzt werden. Als experimentelle Funktion können Interessierte nun Benachrichtigungen zu ihrer E-Mail-Adresse erhalten. Zudem können Unternehmen, denen die Domains gehören, die Informationen über eine API nach Bestätigung der Inhaberschaft einer Domain erhalten, um etwa die Passwörter zu offenbar kompromittierten Konten zurückzusetzen. Ob umgekehrt auch eine Information von HIBP an Domaininhaber rausgehen kann, damit diese gezielt neu erkannte kompromittierte Konten zurücksetzen können, will Hunt in Zukunft testen.