Dieser Beitrag aus unserer Reihe zur OWASP Top 10, den zehn häufigsten Sicherheitslücken in Webapplikationen, beschäftigt sich mit dem Thema der unsicheren Deserialisierung. In der Informatik wird unter Deserialisierung die Umwandlung einer persistierbaren Byte-Folge (Zusammenstellung von Nullen und Einsen) in den ursprünglichen Zustand eines programmierbaren Objektes im Arbeitsspeicher verstanden. Persistierbare Daten sind Daten in einem […]
Sicherheitslücke
Sicherheitslücke in Videosoftware für bayerische Schulen
Ein Großteil der 1,6 Millionen Schüler in Bayern hat währen der Corona-Pandemie häufiger das digitale Klassenzimmer in Microsoft Teams besucht als das Klassenzimmer in der Schule. Doch wegen der zunehmenden Kritik am Einsatz eines Systems eines US-amerikanischen Unternehmens hat das bayerische Kultusministerium die Microsoft Lizenzen nicht verlängert und stellt den bayerischen Schulen seit April nunmehr […]
Schwerwiegende Sicherheitsprobleme bei Chrome!
Jetzt den Browser auf Version 86.0.4240.111 updaten. Wenn Sie den Google-Chrome-Browser auf Ihrem Windows, Mac oder Linux System nutzen, sollten Sie ihn umgehend auf die neueste, am 21.10.2020 veröffentlichte Version, updaten. Die Aktualisierung wurde notwendig, da schwerwiegende Sicherheitsprobleme, darunter eine Zero-Day-Schwachstelle behoben werden mussten. Die neue, stabile Version 86.0.4240.111 behebt fünf Sicherheitslücken, die ein hohes […]
Lücke in Citrix wird massenweise ausgenutzt
Mitte Dezember 2019 wurde eine Sicherheitslücke in den Produkten “Citrix Application Delivery Controller” (ADC, früher “NetScaler ADC” genannt) und “Citrix Gateway” (früher “Netscaler Gateway” genannt) entdeckt. Die Lücke betrifft alle noch unterstützten Versionen dieser Produkte. Die verwundbaren Produkte werden als Load Balancer zur Verteilung von Netzwerkpaketen resp. als zentrale Anmeldeplattform für eine Vielzahl von Diensten […]
BSI findet Sicherheitslücke im Code von VeraCrypt und verschweigt sie 10 Jahre
Diese Woche veröffentliche die Plattform Golem.de – IT News für Profis einen Artikel, in dem sie berichtete, dass das BSI in 2010 eine umfangreiche Analyse der Verschlüsselungssoftware TrueCrypt durchgeführt hat. Die dabei gefundenen Ergebnisse zu verschiedenen Sicherheitslücken und Schwachstellen wurden nie veröffentlicht. Bis jetzt. Nur durch Zufall wurde jetzt über eine allgemeine Anfrage über das […]
20-Jährige Sicherheitslücke in Windows entdeckt
Der IT-Sicherheitsforscher Tavis Ormandy hat in seiner jüngsten Publikation eine schwerwiegende Sicherheitslücke in dem Text Services Framework (TSF) von Windows ermittelt. Diese Sicherheitslücke betrifft ausnahmslos alle Windows Versionen, seit Windows XP und ermöglicht eine systemweite Entfaltung der eigenen Nutzerrechte (privilege escalation) und bietet potenziellen Angreifern eine Vielzahl von Möglichkeiten, auf die wir im späteren Verlauf […]
Sicherheitslücke bei Firefox bis Version 58.0.0
Wer den Firefox von Mozilla für Desktop-Computer nutzt, sollte dringend das außerplanmäßige Sicherheits-Update 58.0.1 installieren. Der Grund für die Veröffentlichung dieses Updates ist eine Sicherheitslücke, die entsprechend eingerichteten Webseiten erlaubt, beliebigen Code auf dem Anwendercomputer auszuführen. [1] Das Risiko dieser Schwachstelle ist als sehr hoch einzustufen. Die Auswirkung der Lücke besteht darin, dass ein Angreifer […]
I see what you did there – Wenn der Angreifer dem Tinder-Nutzer über die Schulter schaut
Die Sicherheitsfirma Checkmarx aus Tel Aviv hat am Dienstag eine Sicherheitslücke der Dating-Plattform Tinder veröffentlicht. Demnach können alle angesehenen Fotos eines Nutzers mit wenig Aufwand ausspioniert werden. Der Angreifer muss sich lediglich im selben WLAN-Netzwerk wie der Tinder-Nutzer befinden und schon kann nachverfolgt werden, welche Dame oder Herr ein Links- bzw. Rechts-Swipe abbekommt. Darüber hinaus […]
Schwerwiegende Sicherheitslücke in Prozessoren
Aktuelle Prozessoren enthalten eine hardwarebasierte Sicherheitslücke, die nur durch Sicherheits-Updates des Betriebssystems behoben werden kann. Die Schwachstelle erlaubt das Auslesen von sensiblen Daten aus dem Arbeitsspeicher des Computers. Hintergrund Eine Grundlage der Sicherheit von Computersystemen und Software ist die Trennung von Speicherbereichen. Programm A darf nicht auf den Speicherbereich von Programm B zugreifen, Programme dürfen […]
Sicherheitslücke in Standardbibliothek glibc
Unabhängig voneinander haben Sicherheitsexperten von Red Hat und Google eine Schwachstelle in der Standardbibliothek glibc gefunden, die das Ausführen von Schadcode ermöglichen kann. „glibc“ steht für die „Gnu C Library“ und ist die im Unix-Bereich am weitesten verbreitete Standardbibliothek für die Programmiersprache C. So enthält glibc häufig verwendete Funktionen für Ein- und Ausgabe, Speichermanagement, mathematische […]
Hey there, I’m using WhatsSpy!
Datenschutz und WhatsApp, das sind Dinge, die sich immer wieder aneinander reiben. Bereits im Oktober 2014 berichteten wir über eine Datenschutzlücke bei WhatsApp. Forschern aus Ulm und Pittsburgh war der Nachweis gelungen, dass der Online-Status beliebiger Handynummern direkt beim WhatsApp-Server abgegriffen werden konnte. Dies funktionierte sogar dann, wenn der Nutzer in seinen Datenschutzeinstellungen den Zeitstempel […]
“Who you gonna call? Ghostbusters!”
Es gibt eine neue, potentiell schwerwiegende Schwachstelle auf Linux-basierten Serversystemen. Die Schwachstelle mit der Kennung CVE-2015-0235 wurde von den Entdeckern GHOST getauft und ist so kritisch, dass Sie Ihre Systeme unbedingt sofort prüfen und ggf. patchen sollten. Andernfalls könnte es möglich sein, dass Angreifer Ihre Server dazu nutzen, um eigenen Programmcode auszuführen. Kommen wir zu den Details: […]
Google und die Sicherheitslücke
In den letzten Tagen machte Google mit der Sicherheitslücke von Microsoft Schlagzeilen. Nun steht Google selbst wegen einer Sicherheitslücke in der Kritik. Kürzlich wurde ein Exploit für Android 4.3 Jelly Bean entdeckt, den Google nicht patchen will. Genauer geht es um die Komponete WebView, die für die Darstellung von Web-Inhalten zuständig ist. Google äußert sich […]
Datenschutzlücken bei WhatsApp
Forscher aus Ulm und Pittsburgh konnten nachweisen, dass der Online-Status beliebiger Handynummern direkt beim WhatsApp-Server abgegriffen werden kann. Dies klappt sogar dann, wenn der Nutzer in seinen Datenschutzeinstellungen den Zeitstempel „zuletzt online“ deaktiviert hat. In ihrer Untersuchung konnten die Forscher weitreichende Rückschlüsse auf den Tagesablauf der Probanden machen. „Metadaten verraten oft mehr über Nutzer, als […]