Comretix Blog

Nach dem Ende des Geschäftsbetriebs in den USA wickelt Kaspersky nun auch das Geschäft im Vereinigten Königreich ab. Medienberichten zufolge müssen die "weniger als 50 Mitarbeiter" des Londoner Büros gehen.

Anzeige

Gegenüber heise online bestätigte Kaspersky den Schritt. "Kaspersky wird den Betrieb der britischen Niederlassung abwickeln", erklärt das Unternehmen. Der Geschäftsbetrieb in dem Land soll sich auf den Partnerkanal umorientieren. "Dieser Schritt ermöglicht unserem Unternehmen, vorhandene Geschäftsmöglichkeiten im britischen Markt effizienter zu nutzen und den geschäftlichen Wohlstand zu stärken", führt Kaspersky aus.

Wie das Unternehmen weiter erklärt, erhalten Kunden und Partner im Vereinigten Königreich vollen Zugang zum europäischen Team von Kaspersky und dessen Partnernetzwerk. "Dadurch werden wir weiterhin Kasperskys Cyber-Security-Produkte und -Dienste anbieten."

Demnach bleibe die europäische Region ein Schlüsselmarkt. Die aktuellen Änderungen spiegelten Kasperskys Konzentration auf geschäftlichen Erfolg und Profitabilität wider. Das sei die Schlüsselstrategie des Unternehmens für die künftige Geschäftsentwicklung.

Apple hat in der Nacht zum 4. Oktober mit macOS 15.0.1 einen schwerwiegenden Bug behoben, der zu Netzwerkunterbrechungen führen konnte, wenn auf dem Rechner bestimmte Arten von Sicherheitswerkzeugen installiert waren. Inzwischen ist klarer geworden, woran es lag. Außerdem wurde bekannt, dass es schon vor dem Golden-Master-Release von macOS 15 einen entsprechenden Bugreport gegeben haben soll – auf den hin Apple zunächst nichts unternahm.

Anzeige

Im Beipackzettel von macOS 15.0.1 heißt es nur treuherzig, das Update verbessere "die Kompatibilität mit Sicherheitssoftware Dritter". Dass diese Kompatibilität vor Sequoia gegeben war, steht da nicht. Bis zum Fix hatte es zuvor gut drei Wochen gedauert. Der Sicherheitsexperte Patrick Wardle fand heraus, dass der Fehler offenbar schon Wochen vorher bei Apple angelandet war. "Jeder Apple-Apologet, der Drittanbieter beschuldigt, verdient es, mit einer großen Forelle geschlagen zu werden, da dies ein Apple-Bug war, der vor GM gemeldet wurde", schreibt er auf X.

Wie es zu dieser Ignoranz kam, bleibt unklar. In der Praxis bedeutete der Bug, dass bestimmte Verbindungstypen bei aktiven Netzwerkfiltern (über Apples Network-Extension-Framework, das die Sicherheitswerkzeuge nutzen) zu Abbrüchen auf TCP-Ebene kam – womöglich, weil diese abstürzen. Das galt sogar für ssh via Terminal, aber auch für andere Routinen. Bei ssh wurden etwa Fehlermeldungen wie "Connection corrupted" oder "Wrong Key Size" ausgespuckt. Ohne Netzwerkfilter arbeiteten die Verbindungen. Betroffen waren zahlreiche Sicherheits-Apps, die besonders im Geschäftsumfeld eingesetzt werden – jene von SentinelOne, Microsoft, ESET und CrowdStrike etwa. Auch Little Snitch hatte Schwierigkeiten.

Mit macOS 15.0.1 scheint es Apple nun gelungen zu sein, die Netzwerkfilter via Network Extensions (wieder) stabiler zu machen, sodass Verbindungsabbrüche nicht mehr auftreten. Ein weiteres Problem mit der App-Firewall wird in Apples Beipackzettel nicht erwähnt. Dabei wurden einlaufende UDP-Pakete rückstandsfrei entsorgt, was zu DNS-Fehlern führte.

Im Webbrowser Firefox klafft eine Sicherheitslücke, die bereits aktiv in freier Wildbahn angegriffen wird. Aktualisierte Browser-Versionen stopfen das Sicherheitsleck.

Anzeige

Die Mozilla-Entwickler warnen in einer Sicherheitsmitteilung, dass es sich um eine Schwachstelle in Zeitleisten von Animationen handelt. Durch eine Use-after-free-Lücke haben Angreifer in der Inhaltsverarbeitung (content process) Code einschleusen und ausführen können (CVE-2024-9680, noch kein CVSS-Wert, Einstufung durch Mozilla-Programmierer als "kritisch"). Bei diesem Schwachstellentyp greift der Programmcode auf Ressourcen zu, die bereits freigegeben wurden und deren Inhalte daher undefiniert sind. Das lässt sich häufig für Codeschmuggel missbrauchen.

Wie die Angriffe konkret aussehen und wie sich überprüfen lässt, ob der eigene Webbrowser angegriffen wurde, erörtern die Entwickler jedoch nicht. Betroffen sind laut Mozilla-Stiftung Firefox und Firefox ESR. Die Versionen 131.0.2 von Firefox sowie die ESR-Fassungen 128.3.1 und 115.16.1 stehen bereit, um die Lücken abzudichten. Thunderbird scheint nicht betroffen zu sein, zumindest erwähnt Mozilla das Mailprogramm nicht.

Der Versionsdialog von Firefox findet und installiert die aktualisierte Software. Der findet sich nach Klick auf das Einstellungsmenü, das sich hinter dem Symbol mit den drei horizontalen Strichen rechts von der Adressleiste verbirgt, und den weiteren Weg über "Hilfe" unter "Über Firefox".

Ohne Passwort einfach per Geräte-PIN, Fingerabdruck oder Gesichtsscan bei Webdiensten einloggen: Was vor zwei Jahren, als Apple das Konzept auf der Entwicklerkonferenz WWDC erstmals unter dem Namen Passkeys vorstellte, noch wie Zukunftsmusik klang, ist mittlerweile Realität. Passkeys, der FIDO2-basierte Anmeldestandard, der das Passwort als Default-Anmeldemethode im Internet mittelfristig ablösen soll, kommt in der Anwenderrealität an. Große Webdienste wie Google, PayPal oder Amazon bieten das sichere Anmeldeverfahren an, die großen Browser unterstützen es und sogar die Zahlungsdienstleister Visa und Mastercard machen mit und schützen Onlinezahlungen per Passkey.

Anzeige

"Apple Passwörter" ist seit iOS 18 und macOS 15 eine eigene App. Die höhere Sichtbarkeit des betriebssystemeigenen Passwortmanagers könnte der Verbreitung von Passkeys zugutekommen.

Trotzdem wird das passwortlose, Phishing-resistente Anmeldeverfahren noch lange nicht von der breiten Masse der Internetnutzer verwendet. Zum einen liegt das laut einer vom Bundesamt für Sicherheit in der Informationstechnik (BSI) durchgeführten Umfrage an der fehlenden Bekanntheit des Verfahrens. Zwar kannten 38 Prozent der Befragten den Begriff Passkeys, nur 18 Prozent gaben jedoch an, sie auch zu nutzen. Unter der Mehrheit der befragten Passkey-Nutzer, 72 Prozent, genießt das Verfahren immerhin ein hohes oder sehr hohes Vertrauen. Sie werten unter anderem die hohe Nutzungsfreundlichkeit positiv.

Das Internet Archive hat es sich zur Aufgabe gemacht, flüchtige Daten für die Nachwelt aufzubewahren: Webseiten, Bücher, aber auch historische Software, Apps und Filme. Die nach US-Recht gemeinnützige Organisation hat einen gewaltigen Datenschatz angesammelt. Nun wurde bekannt, dass Teile dieses Schatzes, nämlich die Zugangsdaten der Archive-Nutzer, in unbefugte Hände gerieten. Außerdem litt das Internet Archive in den vergangenen Tagen unter einem dDoS und einer Defacement-Attacke.

Anzeige

Bereits im September diesen Jahres haben Angreifer sich Zugriff auf interne Systeme des Archives verschafft und die Mitgliederdatenbank kopiert. Neben Benutzername und E-Mail-Adresse erbeuteten die Cyberkriminellen auch die mittels "bcrypt" gehashten Passwörter der archive.org-Konten. Obgleich die meisten Inhalte des Internet-Archivs auch ohne Zugang abrufbar sind, wird für die virtuelle Ausleihe von Medien, etwa E-Books oder Filmen, und für weitere Funktionen ein Konto benötigt.

Am 30. September wurde die Nutzerdatenbank Troy Hunt, dem Betreiber des Dienstes "Have I been pwned" (HIBP) zugespielt, der jedoch auf Reisen war und erst knapp eine Woche später das Internet Archive darüber in Kenntnis setzte. Er spielte die Daten in seine Datenbank "geownter" Nutzerkonten ein, mit dem Ziel, seine Abonnenten innerhalb von 72 Stunden zu informieren.

Das geschah nun in der Nacht zum Donnerstag. HIBP informierte Betroffene per E-Mail über den Datenklau. Obgleich die Zugangspasswörter im "bcrypt"-Verfahren gehasht sind und dieses relativ sicher gegen Cracking und Brute-Force-Angriffe ist, sollten Nutzer des Internet Archive ihr Kennwort vorsichtshalber ändern.

Sie arbeiten in einem kleinen bis mittelgroßen Unternehmen (KMU) und möchten Ihre Sicherheit verbessern? In unserem iX-Workshop Effiziente IT-Sicherheit für kleine und mittlere Unternehmen erhalten Sie an zwei Vormittagen sinnvolle Ansätze für einen kosteneffizienten Schutz und lernen praxisnahe Lösungen und Strategien kennen – speziell auf die Bedürfnisse von KMUs zugeschnitten.

Anzeige

Ausgehend von der aktuellen Bedrohungslage im Bereich der Informationstechnologie erläutern Ihnen unsere Sicherheitsexperten, welche konkreten Schritte Sie unternehmen können, um Ihr Unternehmen abzusichern. Sie erfahren, wie Sie auch mit begrenzten Ressourcen effiziente Maßnahmen ergreifen können, um Ihre IT-Sicherheit zu verbessern und Risiken zu minimieren. Neben grundlegenden Tätigkeiten, Best Practices und typischen Fallstricken werden auch praktische Meilensteine für Ihre Projektplanung vorgestellt.

Dieser Einführungsworkshop legt den Fokus auf einen allgemeinen Überblick über die relevanten Themen und Technologien. Diskussionen dienen der Veranschaulichung der Inhalte und Sie haben die Möglichkeit, sich aktiv einzubringen und Fragen zu stellen. Trainer dieses Kurses sind Sicherheitsexperten der secuvera GmbH: Ann-Kathrin Udvary - leitende Cybersicherheitsberaterin und Viktor Rechel - leitender Cybersicherheitsberater.

Der Workshop richtet sich an Unternehmen mit 10 bis 1.000 Mitarbeitenden, die über kein oder nur ein rudimentäres Informationssicherheits-Managementsystem (ISMS) verfügen. Dabei spielt es keine Rolle, ob Sie Ihre IT-Administration selbst durchführen oder an einen IT-Dienstleister ausgelagert haben. Er dient als Einführung in das Thema Cyber- und IT-Sicherheit und richtet sich daher vorrangig an diejenigen, die in ihrer Firma für Geschäftsrisiken, Strategie und/oder Administration zuständig sind.

Ein Großteil der US-amerikanischen Gesundheitsorganisationen (92 Prozent) war in den vergangenen 12 Monaten eigenen Angaben zufolge mindestens von einem Cyberangriff betroffen. 69 Prozent davon gaben an, dass auch die Patientenversorgung beeinträchtigt war. Das zeigt eine Umfrage des Ponemon Institute und von Proofpoint Inc., bei der 647 IT-Fachkräfte aus US-Gesundheitsorganisationen befragt wurden. Demnach haben Gesundheitsorganisationen weiterhin Schwierigkeiten, die Auswirkungen solcher Angriffe zu verringern.

Anzeige

Laut der Umfrage beeinflussen Angriffe auf die Lieferkette am ehesten die Patientenversorgung. 82 Prozent der Befragten, deren Organisationen von Lieferkettenangriffen betroffen waren, berichteten von Störungen in der Patientenversorgung.

Zu den vier häufigsten Angriffsarten gehören Angriffe auf Cloud-Dienste- oder Accounts, Angriffe auf die Lieferkette, danach folgen mit Abstand Ransomware-Angriffe und "Business Email Compromise" oder Spoofing. Diese führten bei 56 Prozent der betroffenen Organisationen zu einer Beeinträchtigung der Patientenversorgung, etwa aufgrund von Verzögerungen bei Tests oder Operationen, was für Krankenhäuser in der Regel mit hohen Kosten verbunden ist.

Messaging- und E-Mail-Dienste werden am meisten attackiert.

Microsoft plant, die Passkey-Verwaltungsfunktionen in Windows 11 zu überarbeiten. Die Bedienoberfläche zum Speichern und Verwalten der privaten Schlüssel, Windows Hello, bekommt ein Redesign. Eine neue Schnittstelle in Windows 11 soll das direkte Zusammenspiel des Betriebssystems mit Drittanbieter-Passwortmanagern zur Passkey-Verwaltung ermöglichen. Außerdem sollen mit Windows Hello erstellte Passkeys künftig über den Microsoft-Account zwischen Windows-Rechnern synchronisierbar werden.

Anzeige

Mit Windows Hello erstellte Passkeys sollen künftig nicht mehr nur lokal auf dem jeweiligen Rechner, sondern im Microsoft-Account des jeweiligen Nutzers gesichert werden und zwischen dessen etwaigen Zweit- oder Dritt-Rechnern synchronisiert werden können.

Eine neue API soll es Windows-Nutzern künftig ermöglichen, in Drittanbieter-Apps wie 1Password oder Bitwarden auf dem Smartphone oder Tablet gesicherte Passkeys nahtlos in Windows 11 zu nutzen. Zu diesem Zweck wurden auch gleich die Benutzerführung und Bedienoberfläche in Windows Hello überarbeitet. Beim Erstellen eines Passkeys am Rechner mit Windows Hello wird es laut Blogpost künftig die Möglichkeit geben, zu wählen, ob dieser in einem Drittanbieter-Passwortmanager oder im Microsoft Account gesichert werden soll.

Damit weicht Microsoft von seiner bisherigen Linie ab. Mit Windows Hello erstellte Passkeys werden bisher lediglich lokal auf dem Gerät gesichert, mit der Neuerung wandern sie wahlweise in die Microsoft- oder in die Cloud eines Passwortmanagers.

HP warnt vor einer Sicherheitslücke in der HP Hotkey-Support-Software, die die Funktionen für die Schnellzugriffstasten wie Lautstärkeregelung auf der Tastatur bereitstellt, von zahlreichen Business-Notebooks. Angreifer können dadurch ihre Rechte im System ausweiten. Es gibt jedoch Software-Aktualisierungen, um das Problem zu beheben.

Anzeige

Eine Schwachstelle sei in der HP Hotkey Support-Software entdeckt worden, erörtert Hewlett Packard in einer Sicherheitsmitteilung. Sie erlaube es Angreifern, ihre Rechte auszuweiten (CVE-2024-27458, CVSS 8.8, Risiko "hoch"). Die Lücke verpasst damit gerade so eben eine Einordnung als kritisches Risiko. Genauere Details, wie die Lücke ausgenutzt werden kann oder wie sich erfolgreiche Angriffe abwehren lassen, nennt HP jedoch nicht.

Die Sicherheitsmitteilung listet die betroffenen Geräte auf. Es handelt sich vorrangig um HP Business-Notebooks der Baureihen Elite, Elitebook, Pro, Probook sowie ZBook. Dabei sind jeweils unterschiedliche Fassungen, etwa bei den ZBooks jeweils Varianten der Serien Firefly, Fury und Studio betroffen. Zudem ergänzt HP, dass auch die Point-of-Sale-Systeme HP Engage Go 10 sowie 13.5 anfällig sind.

Die Auflistung verlinkt für die einzelnen betroffenen Geräte ein Softpaq, das die aktualisierte Hotkey-Support-Software enthält: SP154474. Wer HP-Business-Notebooks einsetzt, sollte daher die Liste prüfen, ob die eigenen Geräte darin auftauchen, und auf anfälligen Notebooks die aktualisierte Software herunterladen und installieren.

Das Wordpress-Plug-in Litespeed Cache ist äußerst populär. Es kommt auf mehr als sechs Millionen aktive Installationen und dient der Website-Beschleunigung und -Optimierung. Aufgrund einer gravierenden Schwachstelle in dem Plug-in – die Dritte innerhalb kurzer Zeit – sind die damit ausgestatteten Webseiten gefährdet.

Anzeige

Ein Beitrag beim IT-Sicherheitsunternehmen Patchstack erörtert die Sicherheitslücke. Demnach handelt es sich um eine sogenannte Stored Cross Site Scripting-Lücke, durch die nicht authentifizierte Angreifer sensible Informationen abgreifen und ihre Rechte auf der Wordpress-Website ausweiten können – mit einer einzigen HTTP-Anfrage. In der Schwachstellenzusammenfassung schreiben die IT-Forscher, dass Angreifer dadurch bösartige Skripte wie Redirectors, Werbung und anderen HTML-Code einschleusen können, die beim Besuch von Gästen auf der Seite ausgeführt werden (CVE-2024-47374, CVSS 7.1, Risiko "hoch").

Die Schwachstelle betrifft Litespeed Cache bis einschließlich Version 6.5.0.2. Seit einer Woche ist die aktualisierte Fassung Litespeed Cache 6.5.1 verfügbar, die die Sicherheitslücke abdichtet. Diese oder neuere Versionen sollten Admins von Wordpress-Instanzen mit dem verwundbaren Plug-in umgehend installieren. Die IT-Analysten von Patchstack halten es für sehr wahrscheinlich, dass die Lücke in Kürze in freier Wildbahn missbraucht wird.

Das ist seit Ende August bereits die dritte riskante Sicherheitslücke in Litespeed Cache, die die zahlreichen damit ausgestatteten Wordpress-Instanzen in Gefahr bringt. Im August erlaubte eine als kritisch eingestufte Lücke Angreifern aus dem Netz, ohne vorherige Authentifizierung einen administrativen Nutzer zu registrieren und die Wordpress-Instanz dann vollständig zu übernehmen (CVE-2024-28000, CVSS 9.8, Risiko kritisch). Im September entdeckten Patchstack-Forscher, dass das Debug-Feature alle HTTP-Anfragen mit den Session-Cookies protokolliert. Angreifer konnten hier ansetzen, um sich Admin-Rechte zu verschaffen (CVE-2024-44000).

Ivanti warnt erneut vor angegriffenen Sicherheitslücken in der Cloud Services Appliance (CSA). Kriminelle nutzen eine ältere Lücke in Kombination mit neuen Schwachstellen, um CSA-Systeme zu kompromittieren. In mehreren weiteren Produkten schließt Ivanti zudem Schwachstellen, die teils als kritisches Risiko eingestuft werden.

Anzeige

Ein Blog-Beitrag von Ivanti fasst die Oktober-Updates zusammen. Demnach greifen bösartige Akteure Sicherheitslücken in Ivantis CSA 4.6 an, das im September die letzten Sicherheitsupdates erhalten hat und am End-of-Life angekommen ist. Es handelt sich um eine Befehlsschmuggel-Lücke (CVE-2024-9380, CVSS 7.2, Risiko "hoch"), eine Path-Traversal-Schwachstelle (CVE-2024-9381, CVSS 7.2, hoch) und schließlich eine SQL-Injection-Lücke (CVE-2024-9379, CVSS 6.5, mittel), die von den Kriminellen in Kombination mit der alten Schwachstelle CVE-2024-8963 (Risiko "kritisch") für die Attacken genutzt werde.

Die Schwachstellen finden sich zwar bis in die CSA-Version 5.0.1, allerdings seien bislang lediglich Angriffe auf die nicht mehr unterstützte CSA-Version 4.6 beobachtet worden. Laut Sicherheitsmitteilung schließt CSA 5.0.2 die Lücken.

Eine kritische Sicherheitslücke findet sich in der VPN- und Network-Access-Control-Software Ivanti Connect Secure und Policy Secure. Angemeldete Nutzer können darin aus der Ferne Code einschleusen und ausführen (CVE-2024-37404, CVSS 9.1, kritisch). Die Versionen Ivanti Policy Secure 22.7R1.1 sowie Ivanti Connect Secure 9.1R18.9 (erscheint am 15.10.), 22.7R2.1 und 22.7R2.2 bügeln die Fehler aus.

Die diesjährige Samsung-Entwicklerkonferenz SDC24 brachte im Bereich Smartphones zwar wenig Neuigkeiten, überraschte dafür jedoch mit einer erfreulichen Ankündigung aus dem Bereich IT-Sicherheit. Offenbar will Samsung neue Geräte aus seiner Smarthome-Riege mit Passkey-Unterstützung ausstatten.

Anzeige

Samsungs betriebssystemeigene Schlüsselverwaltung Pass auf den Smartphones des Herstellers kann schon seit einiger Zeit Passkeys speichern und zwischen Geräten synchronisieren. Jetzt soll die Funktion auch auf die neuen Smart-TVs und Smarthome-Geräte des Herstellers kommen. Samsung schreibt in der Pressemitteilung zum Event, dass Passkeys nun auch Einzug in das Smart-TV-Betriebssystem Tizen halten werden. Außerdem sollen smarte Kühlschränke mit AI Family Hub sowie andere smarte Haushaltsgeräte mit AI Home Passkey-Unterstützung bekommen. Zu erwarten ist die Neuerung bei Modellen, die im nächsten Jahr auf den Markt kommen sollen.

Passkeys sind eine Initiative der Fido-Alliance, ein Branchenverband, dem neben großen Tech-Unternehmen wie Apple, Google oder Microsoft unter anderem auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) angehören. Das passwortlose Anmeldeverfahren verbindet sichere Public-Key-Kryptografie mit einem biometrischen Faktor, etwa einem Gesichts- oder Fingerabdruckscan, der anstelle eines Passworts zum Einloggen bei einem Internetdienst verwendet wird. Alternativ kann zum Einloggen auch eine Geräte-PIN oder ein Gerätepasswort zum Einsatz kommen.

Passkeys über Smartphones, Tablets und Rechner hinaus auf vernetzten Geräten nutzbar zu machen, ist ein sinnvoller nächster Schritt. Das passwortlose Anmeldeverfahren ist nicht nur Phishing-sicher, sondern auch deutlich bequemer als das Einloggen per Passwort. Trotzdem haben laut einer Umfrage des BSI längst nicht alle Internetnutzer begonnen, ihre Logins auf Passkeys umzustellen. Die Behörde hat jüngst eine Empfehlung ausgesprochen, das Verfahren zu nutzen, soweit bereits verfügbar. Eine Community-geführte Liste aller Webdienste, die die passwortlose Anmeldung bereits anbieten, findet sich unter passkeys.directory.

Adobe hat zum Oktober-Patchday Sicherheitsmitteilungen zu neun verwundbaren Produkten mit Schwachstellen veröffentlicht. Die gravierendsten Sicherheitslücken finden sich in Adobe Commerce, die Entwickler stufen sie als kritisch ein.

Anzeige

Auf der Übersichtsseite der Sicherheitsmeldungen von Adobe listen die Entwickler die neun neuen Security Advisories auf. Demnach haben die Programmierer Sicherheitsupdates für Lightroom, InDesign, FrameMaker, Commerce (damit auch Magento), Animate, Substance 3D Stager, Substance 3D Painter, Dimension und InCopy herausgegeben.

Am schwerwiegendsten ist eine Lücke in der B2B-Version von Adobe Commerce, die Angreifern das Ausweiten der Rechte ermöglicht (CVE-2024-45115, CVSS 9.8, Risiko "kritisch"). Dazu ist weder eine vorherige Authentifizierung nötig, noch müssen bösartige Akteure zuvor Admin-Rechte innehaben. Die weiteren Lücken, auch die in den anderen Produkten, stuft Adobe größtenteils als hohes Risiko ein. IT-Verantwortliche sollten daher prüfen, ob die verwundbaren Produkte in ihren Umgebungen zum Einsatz kommen und die Aktualisierungen rasch anwenden.

Die Sicherheitsmitteilungen im Einzelnen, nach Schweregrad sortiert:

Microsoft hat zum Oktober-Patchday Fehlerkorrekturen zu 117 CVE-Schwachstelleneinträgen herausgegeben. Zwei der Lücken werden bereits in freier Wildbahn angegriffen. "Missbrauch entdeckt", fasst Microsoft das zusammen, betroffen sind die Microsoft Management Console und die Windows MSHTML-Plattform.

Anzeige

Die Release-Note zum Oktober-Patchday von Microsoft listet alle Sicherheitslücken auf, die das Unternehmen angegangen ist. Es sind wieder Produkte aus allen Bereichen von Sicherheitslecks betroffen, von der lokalen Windows-Installation bis zur Azure-Cloudsoftware.

In Microsofts Management Console können Angreifer Schadcode einschleusen und ausführen. Aus Microsofts Erläuterung, wie das Update wirkt, lässt sich herleiten, dass manipulierte "nicht vertrauenswürdige Microsoft Saved Console (MSC)-Dateien" den Fehler auslösen konnten. Diese lassen sich nach dem Update nicht mehr laden (CVE-2024-43572, CVSS 7.8, Risiko "hoch"). In der Windows MSHTML Plattform haben Angreifer eine Cross-Site-Scripting-Lücke zum Fälschen von Anzeigen missbraucht (CVE-2024-43573, CVSS 6.5, mittel). Microsoft schreibt in den Sicherheitsmitteilungen nicht, wie Angriffe sich erkennen lassen, das Unternehmen nennt auch keine temporären Gegenmaßnahmen.

Microsoft hat zudem Schwachstellen als kritisches Risiko eingestuft. Einmal eine Codeschmuggel-Lücke in Microsoft Configuration Manager (CVE-2024-43468, CVSS 9.8, kritisch) und dann eine Rechteausweitungslücke in Windows Netlogon (CVE-2024-38124, CVSS 9.0, kritisch). Rund ein Dutzend Meldungen streifen mit einer CVSS-Einstufung von 8.8 an der höchsten Risikostufe nur knapp vorbei.

Wissenschaftler haben zwei Schwachstellen in Intels neuester Sicherheitstechnologie, den Trusted Domain Extensions (TDX), identifiziert. TDX sollen die Datenverarbeitung in der Cloud schützen, indem sie Programme vom Betriebssystem isolieren. Die Forscher aus dem Institut für IT-Sicherheit der Universität zu Lübeck, darunter Luca Wilke, Florian Sieck und Prof. Thomas Eisenbarth, veröffentlichten ihre Ergebnisse unter dem Titel "TDXdown".

Anzeige

Die Schwachstellen ermöglichen sogenannte Seitenkanal-Angriffe. Ein Angreifer könnte durch Manipulation der CPU-Frequenz die TDX-Sicherheitsmechanismen überlisten. Denkbar ist es, die Ausführung der TEE zu beobachten "und Rückschlüsse über die verarbeiteten Daten zu schließen", erklärt Eisenbarth.

Intel hat bereits eine der Schwachstellen behoben und empfiehlt, die TDX-Modulversion 1.5.06 oder höher zu installieren, um das Risiko zu verringern. Die zweite Schwachstelle erfordert jedoch Maßnahmen auf der Anwendungsebene, um die Verwundbarkeit auszunutzen.

Single-Stepping-Angriffe stellen eine große Bedrohung für Trusted Environment Executions (kurz TEE) dar. Dadurch können Angreifer TEE-Befehle nacheinander ausführen, "wodurch zahlreiche kontrollierte und auf Seitenkanälen basierende Sicherheitsprobleme entstehen", heißt es in dem Paper.

In vielen Modellen der Vigor-Serie klaffen Sicherheitslücken, die unter Umständen die komplette Übernahme der Geräte durch Angreifer erlauben, warnt der Dienstleister Forescout. Experten des Unternehmens hatten die Firmware der Geräte analysiert und waren dabei auf teils kritische Fehler gestoßen.

Anzeige

In ihrem Report gehen die Forscher mit Vigor hart ins Gericht. So sei die hohe Defektdichte an wenigen Stellen der Firmware auffällig – ausgerechnet bei CGI-Skripten (Common Gateway Interface), die über die Web-Schnittstelle der Router häufig sogar aus dem Internet aufgerufen werden könnten. Das Betriebssystem DrayOS läuft entweder direkt auf dem Router oder wird mittels QEMU emuliert – etwa auf Draytek-Routern der 391x-Serie.

Die Forscher analysierten den DrayOS-Kernel und stolperten zunächst über fehlende Sicherheitsmaßnahmen wie Stack-Canaries, ASLR (Address Space Layout Randomization) oder PIE (Position Indepedent Executable). Zudem fehlt den DrayOS-Kernels das NX-Bit, das die Ausführung von Code auf dem Stack oder Heap verhindert. Die Sicherheitslücken auszunutzen, wurde dadurch für die Analysten zu einer bloßen Fingerübung.

Unter den gefundenen Sicherheitslücken stechen CVE-2024-41592 und CVE-2024-41585 hervor. Erstere, ein Buffer Overflow, ermöglicht Dienstverhinderung (DoS) und Codeschmuggel und ist aus der Ferne ausnutzbar – sie erntet damit die CVSS-Höchstwertung 10. Sie teilt sich die kritische Risikoeinstufung mit der zweiten, jedoch etwas ungefährlicheren (CVSS 9,1) Lücke, die nicht nur die Ausführung beliebiger Kommandos ermöglicht, sondern auch den Ausbruch aus der QEMU-VM in der DrayOS läuft.

Im Oktober bekommen SAP-Admins weniger Arbeit als üblich: Lediglich sechs neue Sicherheitslücken stopfen die Walldorfer Entwickler in der Business-Software. Zudem aktualisieren sie die Sicherheitsnotizen zu sechs älteren Schwachstellen.

Anzeige

In der Patchday-Übersicht von SAP listen die Entwickler die betroffenen Produkte auf. Zwei neu entdeckte Sicherheitslücken stufen sie als hohes Risiko ein, vier weitere als mittleres. Die aktualisierten Meldungen umfassen ein Risiko-Spektrum von mittel bis kritisch.

In folgenden Produkten schließt SAP neue Schwachstellen mit aktualisierter Software:

In der SAP-Übersicht verlinken die Programmierer die konkreten Sicherheitsnotizen zu den Schwachstellen. IT-Verantwortliche können nach Anmeldung in ihre SAP-Konten darauf zugreifen.

Bei russischen Staatsmedien und -organisationen ist es seit Montag zu einem größeren IT-Systemausfall gekommen, der womöglich auf einen Cyberangriff zurückgeht. Das melden unter anderem die Agentur Reuters und die russische Gazeta. Das genaue Ausmaß des Ausfalls ist unklar, zur Stunde sind jedoch noch einige Systeme nicht erreichbar. Der Sendebetrieb des Staatsfernsehens ist derzeit unbeeinträchtigt, intern beginnen offenbar die Aufräum- und Untersuchungsarbeiten.

Anzeige

Die russische WGTRK (Всероссийская государственная телевизионная и радиовещательная компания, etwa: Allrussische staatliche Fernseh- und Radiogesellschaft) ist als staatliche Medienholding unter anderem Eigentümerin der Fernsehsender Rossija 1, 2, des sanktionierten Auslandssenders Rossija RTR und mehrerer Radiosender. Sie geriet in der Nacht zum siebten Oktober unter digitalen Beschuss: Wie mehrere Medien übereinstimmend berichten, fielen Websites und -streams der WGTRK-eigenen Medien aus. Auch beim Justizministerium schlossen sich die virtuellen Türen, mehrere Domains des Ministeriums sind bis dato noch vom Netz.

Wie eine Quelle aus dem Umfeld der Medienholding gegenüber dem russischen Nachrichtenportal Gazeta bemerkte, seien alle Daten, einschließlich Backups, von den Servern der Organisation gelöscht, die Wiederherstellung werde daher lange dauern. Reuters-Journalisten berichteten zudem, dass der Stream des Senders Rossija-24 nicht verfügbar sei. Auch interne Dienste wie Internet- und Telefonanschlüsse von WGTRK seien betroffen.

Gegenüber der staatlichen russischen Nachrichtenagentur TASS wiegelte ein WGTRK-Sprecher hingegen ab: Man habe keinen wesentlichen Schaden erlitten und alles funktioniere wie gewohnt. So ist zwar ist der unterbrochene Livestream am Dienstagvormittag wiederhergestellt, die russischsprachige WGTRK-Website ebenso. Die englische Version der Internetpräsenz der Medienholding ist jedoch weiterhin offline – eine Überprüfung durch heise online und Netzwerkexperten ergab, dass sie auch aus Russland heraus nicht aufrufbar ist.