Comretix Blog

Der Windows-Installer von Docker Desktop lässt sich falsche DLLs unterschieben. Die Entwickler steuern mit einer aktualisierten Software-Version gegen.

Die Schwachstelle verpasst nur knapp die Einstufung als kritisches Risiko. "Docker Desktop Installer.exe ist aufgrund einer unsicheren DLL-Suchreihenfolge für eine DLL-Injektion anfällig", steht in der Schwachstellenbeschreibung. "Der Installer sucht nach benötigten DLLs im Download-Ordner der Nutzer, bevor er Systemverzeichnisse prüft, was lokale Rechteausweitung durch das Platzieren bösartiger DLLs ermöglicht" (CVE-2025-9164 / EUVD-2025-36191, CVSS 8.8, Risiko "hoch").

Docker schließt die Lücke mit Version 4.49.0. Die Release-Notes zur neuen Version weisen auf die Sicherheitslücke hin. Weitere Neuerungen umfassen etwa, dass "Docker Debug" nun kostenlos für alle User nutzbar ist. Natürlich darf KI nicht fehlen, nun macht Docker cagent in Docker Desktop verfügbar, womit sich KI-Agenten erstellen, verwalten und teilen lassen sollen; cagent gilt jedoch noch als experimentell.

Das aktualisierte Installationspaket enthält zudem aufgefrischte Komponenten: Docker Engine ist in Version 28.5.1 an Bord, Docker Compose in Fassung 2.40.2. Das Nvidia Container Toolkit ist auf Stand 1.17.9. Docker Debug lässt sich in Version 0.0.45 einsetzen.

Zu den Fehlerkorrekturen gehört, dass Docker Desktop jetzt keine abgelaufenen Proxy-Passwörter mehr nutzt, während es auf die Eingabe eines neuen Passworts wartet. Eine Fehlermeldung zu "chown" beim Start von Docker Debug ist nun ebenfalls passé. Unter macOS konnte der Start von Kubernetes hängen bleiben, wenn andere Kubernetes-Kontexte bereits aktiv waren. Sofern eine Rosetta-Installation abgebrochen wird oder fehlschlägt, deaktiviert Docker Desktop Rosetta nun.

Angreifer können unter anderem an einer Schwachstelle in Dell Storage Manager ansetzen, um Sicherheitsbeschränkungen zu umgehen. Eine dagegen abgesicherte Ausgabe steht zum Download bereit.

Wie aus einer Warnmeldung hervorgeht, gilt eine Sicherheitslücke (CVE-2025-43995) als "kritisch". Daran sollen entfernte Angreifer mit Fernzugriff ohne Authentifizierung ansetzen können. Klappt eine Attacke, sind unberechtigte Zugriffe möglich. Wie ein solcher Angriff im Detail ablaufen könnten, führen die Entwickler derzeit nicht aus.

Auch bei der zweiten Schwachstelle (CVE-2025-43994 "hoch") kommt es während der Authentifizierung zu Fehlern, und Angreifer können auf einem nicht näher beschriebenen Weg auf eigentlich abgeschottete Informationen zugreifen. Die dritte Lücke (CVE-2025-46425 "mittel") beschreibt abermals Authentifizierungsprobleme.

Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Um Systeme vor den geschilderten Attacken zu schützen, müssen Admins Dell Storage Manager Version 2020 R1.22 installieren. Alle vorigen Ausgaben sind den Entwicklern zufolge verwundbar.

Zuletzt haben die Entwickler Sicherheitslücken in der Backuplösung PowerProtect Data Domain geschlossen.

In der Zutrittssteuerungslösung Ubiquiti UniFi Access warnt der Hersteller vor einer kritischen Sicherheitslücke mit Höchstwertung. Sie ermöglicht Angreifern offenbar Zugriff auf eine Verwaltungs-Programmierschnittstelle (API) – ohne Authentifizierung. Aktualisierte Software zum Schließen des Sicherheitslecks steht bereit.

Ubiquiti hat eine Sicherheitsmitteilung zu dem Problem veröffentlicht (die Seite ist möglicherweise erst aufrufbar nach vorherigem Zugang über die Ubiquiti-Community-Release-Hauptseite). Die Umschreibung der Schwachstelle bleibt etwas nebulös: "Bösartige Akteure mit Zugriff auf das Verwaltungsnetzwerk können eine Fehlkonfiguration in UniFis Door-Access-Anwendung UniFi Access missbrauchen, die eine API ohne ordentliche Authentifizierung freilegt" (CVE-2025-52665, CVSS 10, Risiko "kritisch").

Welche Auswirkungen das genau hat und wie Angriffe aussehen könnten, erklärt Ubiquiti nicht. Vermutlich können sich Angreifer mit Netzwerkzugang dadurch unbefugt physischen Zutritt zu mit Ubiquiti-UniFi-Access-gesicherten Räumlichkeiten verschaffen. Die Risikoeinstufung legt eine leichte Ausnutzbarkeit nahe.

Der Hersteller gibt an, den sicherheitsrelevanten Fehler in Version 3.3.22 von UniFi Access eingeführt zu haben, betroffen ist einschließlich Version 3.4.31. Nun stehen Version 4.0.21 oder neuer zur Verfügung, die die Schwachstelle ausbessern. Admins sollten die Aktualisierung umgehend vornehmen. Ubiquiti gibt diese Version als Migrationspfad an. Sie steht offenbar seit Mitte Oktober zur Installation bereit, das Changelog weist jedoch auf keine damit geschlossene Sicherheitslücke hin – deshalb könnten sie einige womöglich ausgelassen haben.

Vor nicht einmal zwei Wochen musste Ubiquiti sich um eine als hochriskant eingestufte Schwachstelle in UniFi Talk Touch kümmern. Die Debugging-Funktion der IP-Telefonie-Lösungen wurde offenbar nicht wie eigentlich vorgesehen ab Werk deaktiviert, sodass Angreifer mit Zugriff auf das UniFi-Talk-Management-Netzwerk über die APIs darauf hätten zugreifen können.

Der Cyberangriff, der Ende September den Flugverkehr an mehreren europäischen Flughäfen beeinträchtigte, zeichnet sich durch eine höhere Komplexität aus als zunächst angenommen. Während der Betreiber Collins Aerospace offiziell einen Ransomware-Angriff meldete, behauptet die Hackergruppe Everest, lediglich Daten über einen unsicheren FTP-Server abgezogen zu haben.

Die ursprüngliche Meldung Ende September 2025 schien eindeutig: Ein Cyberangriff auf das Passagierabfertigungssystem "MUSE" von Collins Aerospace hatte den Betrieb an Flughäfen wie Berlin (BER) oder Brüssel beeinträchtigt. Die offizielle Erklärung lautete Ransomware, was eine Notabschaltung der Systeme zur Folge hatte. Doch eine abweichende Darstellung der Hackergruppe Everest lenkt den Fokus nun auf einen weiteren, nicht minder gravierenden Vorfall.

Laut eigenen Angaben verschaffte sich Everest bereits am 10. September Zugang zu einem FTP-Server (ftp.arinc.com) von Collins Aerospace. Die dafür genutzten Zugangsdaten waren auffallend simpel: Der Benutzername lautete aiscustomer, das Passwort muse-insecure. Besonders brisant: Die Analyse der Sicherheitsfirma Hudson Rock führt die kompromittierten Credentials auf eine Infostealer-Infektion von einem Mitarbeiter-PC aus dem Jahr 2022 zurück. Dass dieses Einfallstor offenbar über Jahre offenstand und simple Standardpasswörter nicht geändert wurden, wirft ein schlechtes Licht auf die Sicherheitskultur des Unternehmens.

Über diesen Zugang will die Gruppe mehr als 50 Gigabyte an Daten abgezogen haben. Auffällig ist der Zeitverzug: Obwohl die Daten bereits am 10. September kopiert wurden, scheint eine ernsthafte Reaktion seitens RTX/Collins Aerospace erst über eine Woche später erfolgt zu sein. Everest legt dar, dass Verhandlungen mit einem Unterhändler von Collins Aerospace begannen, aber zwischen dem 18. und 24. September abbrachen – genau in dem Zeitfenster, in dem Collins die Systeme komplett herunterfuhr.

Laut Everest gab es bereits vor dem Shutdown der Boardingsysteme auf den Flughäfen Kontakt zu einem vermeintlichen RTX-Mitarbeiter.

Microsoft hat am Freitagmorgen dieser Woche Notfallpatches außer der Reihe veröffentlicht, die eine kritische Sicherheitslücke in den WSUS-Diensten schließt. IT-Sicherheitsforscher haben erste Angriffe auf die Schwachstelle beobachtet. IT-Verantwortliche sollten spätestens jetzt die Aktualisierung anwenden.

Der IT-Sicherheitsforscher Kevin Beaumont hat mit der Schwachstelle "herumgespielt" und kommt zu dem Ergebnis, dass die sich sehr einfach missbrauchen lässt. Es war ofenbar leicht, SChadcode über die Lücke einzuschleusen. Dazu lasse sich zudem auf bereits existierende Forschung aufsetzen, um bösartig manipulierte Update-Pakete mit Schadcode über den kompromittierten WSUS im Netzwerk zu verteilen, schreibt er auf Mastodon.

Die IT-Forscher von Huntress haben derweil bereits Angriffe auf die WSUS-Sicherheitslücke im Internet beobachtet. Die attackierten WSUS-Dienste haben die TCP-Ports 5830 und 5831 offen im Internet zugänglich gemacht. "Die Angreifer nutzten exponierte WSUS-Endpunkte, um speziell präparierte Anfragen (mehrere POST-Aufrufe an WSUS-Webdienste) zu senden, die eine Deserialisierung-RCE [Remote Code Execution] gegen den Update-Dienst auslösten", schreiben sie in ihrer Analyse.

Sie erörtern weiter, dass ein Base64-kodiertes Skript in PowerShell dekodiert und ausgeführt wurde. Das Skript durchsucht Server nach sensiblen Netzwerk- und Benutzerinformationen auf und überträgt die Ergebnisse in einen Remote-Webhook. Die Angreifer setzten zudem auf Proxy-Netze, um ihre Angriffe auszuführen und verschleiern, erklären die Huntress-Forscher.

Die Analyse listet noch einige Indizien für Angriffe (Indicators of Compromise, IOCs) auf, anhand derer Admins prüfen können, ob auch die von ihnen betreuten Systeme bereits im Visier von Cyberkriminellen sind. Dazu zählen einige auffällige Einträge in den Weblogs und WSUS-Protokollen zur Softwareverteilung.

Der Ausfall von Amazons AWS-Cloud-Diensten am Montag dieser Woche bereitete nicht nur IT-Experten schlaflose Nächte, sondern etwa auch Besitzern von vernetzten Matratzen. Nun haben Amazons Techniker eine vollständige Analyse der Vorfälle veröffentlicht, die erklärt, wie es zu so weitreichenden Störungen kommen konnte.

Bereits der Titel der Amazon-Analyse weist auf einen Single-Point-of-Failure: "Zusammenfassung der Amazon DynamoDB-Dienst-Störung in der Region Nord Virginia (US-EAST-1)". Der dort aufgetretene Fehler sorgte nicht nur für Ausfälle von Amazon-Diensten wie Streaming mit Prime oder Amazon Music, sondern legte etwa den Messenger Signal über Stunden lahm. Umso spannender ist, wie es dazu kommen konnte.

Während die Techniker bei Wiederherstellung des Normalbetriebs, den Amazon gegen kurz nach Mitternacht zum Dienstag, 21. Oktober, verkündete, bereits eine erste knappe Zusammenfassung des Vorfalls bereitgestellt haben, geht die jetzige Analyse deutlich in die Tiefe. Aus Amazons Sicht hat sich die Fehlerkaskade in drei Etappen abgespielt. Zwischen 8:48 Uhr mitteleuropäischer Sommerzeit am 20. Oktober 2025 und 11:40 Uhr lieferte Amazons DynamoDB erhöhte Fehlerraten bei API-Zugriffen in der Region Nord Virginia (US-EAST-1). Das war laut Amazon die erste Phase der Störung.

Die zweite Phase folgte zwischen 14:30 Uhr und 23:09 Uhr, während der der Network Load Balancer (NLB) erhöhte Verbindungsfehler bei einigen Load Balancern in Nord Virginia aufwies. Dies ging auf Health-Check-Fehler in der NLB-Flotte zurück, die zu diesen erhöhten Verbindungsfehlern führten. Zudem kam die dritte Phase von 11:25 Uhr bis 19:36 Uhr, in der das Starten neuer EC2-Instanzen nicht klappte. Bei einigen der EC2-Instanzen, die ab 19:37 Uhr anliefen, kam es jedoch zu Verbindungsproblemen, die ihrerseits bis 22:50 Uhr andauerten.

Die Probleme mit der DynamoDB erklärt Amazon mit "einem latenten Defekt" im automatischen DNS-Management, wodurch die Namensauflösung der Endpunkte für die DynamoDB fehlschlug. "Viele der größten AWS-Dienste stützen sich in hohem Ausmaß auf DNS, um nahtlose Skalierbarkeit, Fehlerisolierung und -behebung, geringe Latenz und Lokalität zu gewährleisten. Dienste wie DynamoDB verwalten Hunderttausende von DNS-Einträgen, um eine sehr große heterogene Flotte von Load Balancern in jeder Region zu betreiben", schreiben die Techniker. Automatisierung ist nötig, um zusätzliche Kapazitäten hinzuzufügen, sofern sie verfügbar sind, und um etwa korrekt mit Hardwarefehlern umzugehen. Zwar sei das System auf Resilienz ausgelegt, jedoch war die Ursache für die Probleme eine latente Race-Condition im DynamoDB-DNS-Management-System, die in einen leeren Eintrag für den regionalen Endpunkt "dynamodb.us-east-1.amazonaws.com" mündete. Interessierte erhalten in der Analyse dazu einen tiefen Einblick in die DNS-Management-Struktur.

Admins von Atlassian-Software sollten zeitnah Confluence Data Center und Jira Data Center auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer an zwei Sicherheitslücken ansetzen, um Systeme zu attackieren.

Eine Schwachstelle (CVE-2025-22167 "hoch") betrifft Jira Software Data Center und Jira Software Server. An dieser Stelle können Angreifer im Zuge einer Path-Traversal-Attacke unrechtmäßig auf Daten zugreifen. In einer Warnmeldung versichern die Entwickler, dass sie die Lücke in den Versionen 9.12.28, 10.3.12 und 11.1.0 geschlossen haben.

Die Schwachstelle (CVE-2025-22166 "hoch") in Confluence Data Center dient einem Beitrag zufolge als Ansatzpunkt für DoS-Attacken. An dieser Stelle schaffen die Ausgaben 8.5.25, 9.2.7 und 10.0.2 Abhilfe.

Auch wenn es noch keine Berichte zu laufenden Angriffen gibt, sollten Admins mit der Installation der Sicherheitsupdates nicht zu lange warten.

Für eine kritische Sicherheitslücke in Adobes Shop-Systemen Commerce und Magento stehen seit September Updates zum Schließen bereit. Die sollten Admins zügig installieren – Attacken auf die Schwachstellen laufen inzwischen.

Adobe hat die Sicherheitsmitteilung zur Schwachstelle inzwischen angepasst und ergänzt, dass das Unternehmen von Angriffen im Internet auf die Lücke weiß. Richtig konkret wird das Unternehmen bei der Schwachstellenbeschreibung nicht, sondern zieht sich abstrakt auf "Common Weakness Enumeration"-Einordnung der Probleme zurück. Demnach handelt es sich um eine unzureichende Eingabeprüfung (Improper Input Validation, CWE-20), die zur Umgehung von Sicherheitsfunktionen führt (CVE-2025-54236, CVSS 9.1, Risiko "kritisch"). Im zugehörigen CVE-Eintrag findet sich der konkretere Hinweis, dass "erfolgreiche Angreifer das missbrauchen können, um Sessions zu übernehmen". Nutzerinteraktion ist zum Missbrauch nicht nötig.

Eine technisch tiefergehende Analyse findet sich bei NullSecurityX. Es handelt sich um eine Deserialisierungs-Schwachstelle, die die IT-Forscher "SessionReaper" genannt haben. "Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, REST-, GraphQL- oder SOAP-API-Endpunkte auszunutzen, was zu einer Übernahme der Sitzung oder unter bestimmten Bedingungen (etwa dateibasierter Session-Speicher) zur Ausführung von Code aus dem Netz (RCE) führen kann", erörtern sie dort.

Die IT-Analysten von Sansec haben nun seit Mittwoch aktive Angriffe auf die Sicherheitslücke "SessionReaper" beobachtet. Den Autoren des Sicherheitsberichts zufolge haben derzeit lediglich 38 Prozent der Adobe-Commerce und -Magento-Stores die Sicherheitsupdates installiert – mehr als 60 Prozent der Shops sind damit noch verwundbar. IT-Sicherheitsforscher von Assetnote haben eine Analyse des Patches vorgelegt und die Deserialisierungslücke darin vorgeführt.

Erste Angriffe haben die IT-Forscher bereits beobachtet, Proof-of-Concept-Exploits sind öffentlich verfügbar. Daher rechnen die Analysten damit, dass nun massive Angriffe bevorstehen. Cyberkriminelle nehmen den Exploit-Code in ihre Werkzeugkästen auf und scannen das Netz automatisiert nach verwundbaren Instanzen. IT-Verantwortliche sollten die von ihnen betreuten Magento- und Commerce-Shops umgehend mit den bereitstehenden Aktualisierungen versorgen.

Microsoft hat am frühen Freitagmorgen ein Update außer der Reihe für die Windows Server Update Services (WSUS) veröffentlicht. Es schließt laut Microsoft eine kritische Sicherheitslücke korrekt, durch die Angreifer Schadocde einschleusen und ausführen können. Ein Proof-of-Concept-Exploit ist den Redmondern zufolge inzwischen aufgetaucht. Admins sollten daher zügig handeln und den neuen Patch anwenden.

Darauf weist ein Eintrag in Windows-Release-Health-Message-Center von 4 Uhr mitteleuropäischer Sommerzeit am Freitagmorgen hin. "Microsoft hat eine Remote-Code-Execution-Schwachstelle (RCE) im Berichtswebdienst der Windows Server Update Services (WSUS) entdeckt", schreiben die Entwickler dort. "Ein Update-außer-der Reihe (Out-of-band, OOB) wurde am 23. Oktober veröffentlicht, um das Problem anzugehen" – durch die Zeitverschiebung ist es zum Meldungszeitpunkt an der Pazifikküste der USA noch Donnerstag. Microsoft führt weiter aus: "Es handelt sich um ein kumulatives Update. [..] Sofern Sie die Windows-Sicherheitsupdates aus dem Oktober noch nicht installiert haben, empfehlen wir, das Update-außer-der-Reihe stattdessen zu anzuwenden." Nach der Aktualisierung ist ein Neustart erforderlich.

Microsoft hat zum Oktober-Patchday bereits einen Softwareflicken zum Schließen der Lücke veröffentlicht. Die Beschreibung der Schwachstelle lautet: "Die Deserialisierung nicht vertrauenswürdiger Daten im Windows Server Update Service ermöglicht es einem nicht autorisierten Angreifer, Code über ein Netzwerk auszuführen" (CVE-2025-59287, CVSS 9.8, Risiko "kritisch").

Die Entwickler schreiben dort im Widerspruch zum Eintrag im Message Center, dass zum vollständigen Korrigieren der Schwachstelle Kunden mit Windows-Servern das Update-außer-der-Reihe anwenden sollen. Sie nennen auch einen Workaround, der unbedingt bis zur Installation der Updates angewendet werden sollte: Entweder deaktivieren Admins den WSUS, oder sie blockieren den Zugriff auf dessen Ports 8530 und 8531 auf der Host-Firewall und machen ihn so unerreichbar.

Das Update steht für diverse Server zur Verfügung:

Das Landeskriminalamt Niedersachsen warnt vor einer aktuellen Häufung einer Betrugsmasche, bei der die Kriminellen Guthabenkarten von den Opfern ergaunern wollen. Die Masche ist perfide, da die Täter mit Namen von Bekannten der potenziellen Opfer arbeiten, was die Mails glaubwürdiger erscheinen lässt.

Die initiale Mail der Betrüger nutzt eine persönliche Anrede und verlangt die Kontaktaufnahme über eine Mail-Antwort.

(Bild: polizei-praevention.de)

Die Kriminalbeamten warnen auf dem Portal Polizei Prävention davor, dass es in jüngster Zeit vermehrt zu Fragen zu dieser Masche kommt, die Betrüger sie also häufiger einsetzen. Die Täter nutzen die Namen von Bekannten der Opfer und richten sich sogar darauf lautende E-Mail-Adressen ein. Diese sind laut LKA jedoch gefälscht.

Antworten potenzielle Opfer, reagieren die Betrüger mit einer Forderung nach Guthabenkarten.

Um GitLab-Instanzen gegen mögliche Angriffe zu schützen, sollten Admins die verfügbaren Sicherheitspatches zeitnah installieren. Geschieht das nicht, können Angreifer an sieben Sicherheitslücken ansetzen.

In einer Warnmeldung versichern die Entwickler, dass sie die Schwachstellen in den Versionen 18.3.5, 18.4.3 und 18.5.1 von GitLab Community Edition (CE) und Enterprise Edition (EE) geschlossen haben. Auf GitLab.com sollen bereits die abgesicherten Ausgaben laufen. Auch wenn es bislang keine Berichte zu Attacken gibt, raten die Entwickler dringend, die Patches so schnell wie möglich zu installieren.

Drei Lücken (CVE-2025-11702, CVE-2025-10497, CVE-2025-11447) sind mit dem Bedrohungsgrad "hoch" eingestuft. Setzen authentifizierte Angreifer mit bestimmten Rechten an der ersten Schwachstelle erfolgreich an, können sie die Kontrolle über Project Runner erhalten. Dabei handelt es sich um ein Helferlein, das im Kontext von Softwareprojekten CI-Jobs ausführt. In den beiden anderen Fällen sind ohne Authentifizierung DoS-Attacken möglich, was in der Regel zu Abstürzen führt. Diese drei Lücken wurden über das Bug-Bounty-Programm HackerOne gemeldet.

In den verbleibenden Fällen können Angreifer unter anderem unrechtmäßig auf bestimmte Bereiche zugreifen und so etwa Softwareprojekte einsehen. Diese Lücken sind mit dem Bedrohungsgrad "mittel" und "niedrig" versehen.

Neben dem Lösen von Sicherheitsproblemen haben die Entwickler in den aktuellen Ausgaben eigenen Angaben zufolge noch verschiedene Bugs aus der Welt geschafft.

Im quelloffenen Linux-Betriebssystem OpenWRT haben die Entwickler zwei Sicherheitslücken geschlossen. Sie ermöglichen unter Umständen das Einschleusen und Ausführen von Schadcode sowie die Ausweitung von Rechten. Die Schwachstellen gelten als hochriskant. Wer OpenWRT einsetzt, sollte daher die aktualisierten Images installieren.

Eine der Sicherheitslücken betrifft den ubusd (Microbus-Daemon). Darüber kommunizieren in OpenWRT Clients – etwa Daemons oder Anwendungen – mit Diensten. Es handelt sich um ein System zur Interprozesskommunikation. Im Code zur Verarbeitung von Event-Registrierungen können Angreifer einen Heap-basierten Pufferüberlauf auslösen und dadurch möglicherweise Schadcode im Kontext des ubus-Daemons ausführen. Da der Code vor Zugriffsberechtigungsprüfungen ausgeführt wird, können alle ubus-Clients derartige manipulierte Nachrichten senden und die Schwachstelle missbrauchen, erörtern die OpenWRT-Entwickler in ihrer Sicherheitsmitteilung (CVE-2025-62526, CVSS 7.9, Risiko "hoch"). Nähere Erläuterungen, wie Angriffe aussehen könnten, die ubus-Clients zum Senden solcher manipulierter Nachrichten bringen, macht das Projekt nicht.

Die andere Schwachstelle ermöglicht die Ausweitung der Rechte von lokalen Usern. Die können beliebigen Kernel-Speicher durch die IOCTLs des ltq-ptm-Treibers lesen und beschreiben, der für den Datenpfad des DSL-Modems bedient, schreibt OpenWRT in der Sicherheitsmeldung (CVE-2025-62525, CVSS 7.9, Risiko "hoch"). OpenwRT laufe standardmäßig als Single-User-System, jedoch befinden sich einige Dienste in einer Sandbox. Die Schwachstelle ermöglicht Angreifern, aus einer ujail-Sandbox oder anderen Beschränkungen auszubrechen. Davon betroffen sind lediglich die Lantiq-Build-Targets mit Unterstützung für xrx200-, Danube- und Amazon-SoCs (System-on-Chip) von Lantiq, Intel und MaxLinear. Dazu müsse DSL im PTM-Modus genutzt werden, was zumeist bei VDSL-Anbindungen der Fall sei, während ADSL-Anbindungen in der Regel den ATM-Modus nutzen, erklären die Programmierer. Sie fördern zudem, dass der VRX518-DSL-Treiber nicht verwundbar sei.

Die Schwachstellen haben die Programmierer in Version 24.10.4 und neueren von OpenWRT ausgebessert. Snapshots-Builds seit dem 18. Oktober 2025 enthalten die Korrekturen, der ltq-ptem-Treiber ist seit 15. Oktober korrigiert. Alle älteren OpenWRT-Versionen sind verwundbar, schreibt das Projekt. OpenWRT-Versionen wie 23.05 oder 22.03 sind jedoch am End-of-Life angelangt und erhalten daher keine Sicherheitsupdates mehr.

Ende vergangenen Jahres hatte OpenWRT eine als kritisch eingeordnete Sicherheitslücke in den SysUpgrade-Server geschlossen. Angreifer hätten manipulierte Firmware-Images erstellen und damit versehene OpenWRT-Geräte kompromittieren können.

Wochenlang stand die Produktion von Jaguar Land Rover still. Das hatte nicht nur auf den britischen Autobauer erhebliche Auswirkungen.

Die Einbußen durch den wochenlangen erzwungenen Produktionsstopp belaufen sich demnach auf geschätzte 1,9 Milliarden Pfund (knapp 2,2 Milliarden Euro). Die Schätzung schließe den Schaden für Zulieferer und Händler mit ein, hieß es in einer Mitteilung des Cyber Monitoring Centre, einer unabhängigen Expertengruppe. Demnach waren mehr als 5000 Organisationen von dem Cyberangriff betroffen.

Das zum indischen Tata-Konzern gehörende Unternehmen war Ende August zum Ziel eines Cyberangriffs geworden, der es zum Herunterfahren der IT-Systeme und einem weltweiten Produktionsstopp zwang. Inzwischen wurde die Produktion wieder schrittweise aufgenommen.

Die britische Regierung musste dem Autobauer mit der Garantie für einen Milliardenkredit unter die Arme greifen. Mit bis zu 1,5 Milliarden Pfund (umgerechnet 1,7 Mrd. Euro) solle die Lieferkette des Unternehmens abgesichert werden, hatte die Regierung Ende September mitgeteilt. Der Kredit kam von einer Geschäftsbank.

Wer Windows mit geklonten oder duplizierten Installationen im Netzwerk betreibt, kann seit der Update-Vorschau von Ende August oder den Sicherheitsupdates vom Microsoft-September-Patchday unerwünschtes Verhalten im Netzwerk beobachten. Anmeldungen schlagen fehl, die Kommunikation zwischen Stationen und Servern will nicht mehr.

Das räumt Microsoft nun in einem Support-Artikel ein. Uns liegt auch ein Leserhinweis zu diesen Problemen vor. Die Problembeschreibung lautet konkret, dass es zu Authentifizierungsfehlern mit Kerberos und NTLM auf Geräten kommt, bei denen duplizierte Security Identifier (SIDs) vorliegen. Betroffen sind Windows 11 24H2 und 25H2 sowie Windows Server 2025, nach der Installation der Update-Vorschauen aus August oder der Patches vom September.

Microsoft listet diverse mögliche Symptome auf, die bei Nutzerinnen und Nutzer in solch einer Situation auftreten können: Etwa wiederholte Aufforderungen zur Eingabe der Zugangsdaten oder Zugangsanfragen mit gültigen Zugangsdaten, die zu Fehlermeldungen wie "Anmeldeversuch fehlgeschlagen", "Login fehlgeschlagen/Ihre Zugangsdaten haben nicht funktioniert", "Es gibt eine partielle Nicht-Übereinstimmung der Machine-ID" oder schlicht "Nutzername oder Passwort ist inkorrekt" führen.

Weitere Effekte umfassen, dass der Zugriff auf Netzwerkfreigaben weder mittels IP-Adresse noch Hostnamen gelingt, Remote-Desktop-Sitzungen nicht aufgebaut werden können, "Failover Clustering" mit einer "Zugriff verweigert"-Meldung fehlschlägt oder in den Ereignisprotokollen etwa im Sicherheits-Log die Meldung "SEC_E_NO_CREDENTIALS" oder im System-Log die LSASS-Event-ID 6167 mit der Nachricht "There is a partial mismatch in the machine ID. This indicates that the ticket has either been manipulated or it belongs to a different boot session." auftauchen.

Zur Ursache erörtert Microsoft, dass die Windows-Updates seit Ende August als zusätzliche Schutzmaßnahme erzwungene Überprüfungen der SIDs einführen, die nun Authentifizierungsfehler bei SID-Dubletten auslösen. Die Design-Änderung blockiert Authentifizierung-Handshakes zwischen solchen Geräten.

Verschiedene Gateway-Modelle von Omada TP-Link sind verwundbar. Im schlimmsten Fall können Angreifer als Root auf Systeme zugreifen oder sogar Schadcode ausführen.

Die Entwickler geben in den folgenden Warnmeldungen an, insgesamt vier Sicherheitslücken (CVE-2025-6541 "hoch", CVE-2025-6542 "kritisch", CVE-2025-7850 "kritisch", CVE-2025-7851 "hoch") geschlossen zu haben.

Durch das erfolgreiche Ausnutzen der ersten beiden Schwachstellen können entfernte Angreifer ohne Authentifizierung Schadcode ausführen und Systeme so vollständig kompromittieren. Wie solche Attacken im Detail ablaufen könnten, ist bislang nicht bekannt.

Im dritten Fall können Angreifer ebenfalls Schadcode ausführen, dafür muss aber bereits ein Admin authentifiziert sein. Die letzte Schwachstelle ermöglicht Angreifern den Zugriff auf eine Root-Shell. Bislang gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Das kann sich aber schnell ändern und Netzwerkadmins sollten zügig reagieren.

Diese Liste zeigt die konkret bedrohten Modelle und die jeweils abgesicherte Firmware auf. Alle vorigen Versionen sollen verwundbar sein.

Die US-amerikanische IT-Sicherheitsbehörde CISA hat fünf Schwachstellen neu in den "Known-Exploited-Vulnerabilities"-Katalog aufgenommen. Demnach attackieren Angreifer derzeit Schwachstellen in Produkten von Apple, Kentico, Microsoft und Oracle.

Eine der Sicherheitslücken, die die CISA als bekannt attackiert auflistet, stammt bereits aus dem Jahr 2023 und betrifft mehrere Apple-Produkte. Details nennt der CVE-Eintrag nicht, Apple berichtet dort jedoch, dass das Problem durch verbesserte Begrenzungsprüfungen korrigiert wurde – das klingt nach einem potenziellen Pufferüberlauf, den Apple in tvOS 15.6, watchOS 8.7, iOS und iPadOS 15.6, macOS 12.5 sowie Safari 15.6 korrigiert hat (CVE-2022-48503, CVSS 8.8, Risiko "hoch").

In der Kentico-Xperience-Umgebung hat der Hersteller im März dieses Jahres kritische Sicherheitslücken gestopft, die Angreifern die Umgehung der Authentifizierung über den Staging Sync Server ermöglichten (CVE-2025-2746, CVE-2025-2747, CVSS 9.8, Risiko "kritisch"). Auf beide Lücken haben es Angreifer inzwischen abgesehen. Ebenso auf eine Lücke im Windows-SMB, durch die angemeldete Angreifer ihre Rechte über das Netzwerk ausweiten können – und die Microsoft bereits im Juni mit einem Update geschlossen hat (CVE-2025-33073, CVSS 8.8, Risiko "hoch").

Schließlich wurden nun auch Attacken auf die in der vergangenen Woche mit einem Notfall-Update geschlossene Sicherheitslücke in der Oracle E-Business-Suite beobachtet. Es handelt sich um eine CrossServer-Side-Request-Forgery (SSRF), die laut Oracle aus dem Netz ohne vorherige Authentifizierung ausnutzbar ist (CVE-2025-61884. CVSS 7.5, Risiko "hoch"). Sie ermöglicht den Zugriff auf sensible Informationen.

IT-Verantwortliche sollten die bereitstehenden Software-Aktualisierungen zügig herunterladen und installieren, um die Angriffsfläche zu minimieren. Die CISA nennt wie üblich keine Details zu den Angriffen, sodass derzeit keine Indizien für Angriffe (Indicators of Compromise, IOCs) verfügbar sind, mit denen sich diese erkennen ließen.

Die Rust-Library async-tar enthält eine Schwachstelle, die es Angreifern ermöglicht, versteckte Inhalte in tar-Archiven einzuschleusen.

Das auf sichere Laufzeitumgebungen spezialisierte Unternehmen Edera hat den Fehler veröffentlicht und ihm den etwas dramatischen Namen TARmageddon gegeben. Das Unternehmen hatte einen eigenen Fork der Library gepflegt, der inzwischen archiviert ist, aber noch einen Patch erhält.

Die Library async-tar dient dazu, tar-Archive asynchron zu lesen und zu schreiben. Sie ist deutlich performanter als die synchron arbeitende tar-Library für Rust.

Der zugehörige CVE-Eintrag (Common Vulnerabilities and Exposures) CVE-2025-62518 hat den Schweregrad "hoch" mit dem Wert 8,1 von 10.

Auch wenn sich der CVE-Eintrag auf die Library astral-tokio-tar bezieht, betrifft die Schwachstelle die Library async-tar und deren Forks. Der am weitesten verbreitete Fork tokio-tar, mit über 7 Millionen Downloads im Rust-Paketmanager crates.io, wird seit zwei Jahren nicht mehr gepflegt. Damit bleibt er weiter verwundbar.

Die Firewall-Serien ATP, USG FLEX und USG FLEX 50(W)/USG20(W)-VPN sind verwundbar. Angreifer können an zwei Sicherheitslücken ansetzen. Um Instanzen abzusichern, sollten Admins das verfügbare Sicherheitsupdate installieren.

Beide Schwachstellen (CVE-2025-8078, CVE-2025-9133) sind mit dem Bedrohungsgrad "hoch" eingestuft. Im ersten Fall müssen Angreifer bereits über Administratorrechte verfügen, um eigene Befehle auf Systemebene ausführen zu können. In dieser Position steht ihnen aber ohnehin schon Tür und Tor offen.

Im zweiten Fall müssen Angreifer den ersten Abschnitt der Einrichtung zur Zwei-Faktor-Authentifizierung abgeschlossen haben. Ist das gegeben, können sie Systemkonfigurationen einsehen und herunterladen.

Auch wenn es bislang keine Berichte zu Attacken gibt, sollten Admins das Sicherheitsupdate ZDL V5.41 zeitnah installieren. In einer Warnmeldung geben die Entwickler an, dass die ZDL-Ausgaben V4.32 bis einschließlich V5.40 von den Sicherheitslücken betroffen sind.

Zuletzt haben die Entwickler im April dieses Jahres Sicherheitsupdates für Firewalls veröffentlicht.

Das Have-I-Been-Pwned-Projekt (HIBP) ist um 183 Millionen entwendete Zugänge reicher. Betreiber Troy Hunt hat von Infostealern ausgeleitete Zugangsdaten, die von der Firma Synthient gesammelt wurden, zur ohnehin schon riesigen Datensammlung hinzugefügt.

Bei Infostealern handelt es sich um Trojaner, die auf dem Rechner oder Smartphone von Opfern installiert wurden – oftmals landen die dort, weil die Besitzer etwa vermeintlich gecrackte Software installiert haben oder weil durch Sicherheitslücken in der genutzten Software eingeschleuste Malware sich einnisten konnte. Die schneiden dort mit, wenn sich die Opfer in Dienste einloggen, und schicken die Zugangsdaten an ihre Command-and-Control-Server. Oftmals landen die Daten dann in offen zugänglichen Cloudspeichern oder etwa in Telegram-Kanälen, wo sie andere Kriminelle sammeln und neu zusammenstellen sowie mit Daten aus älteren Lecks abgleichen und vermengen.

Solche Daten hat Synthient gesammelt. Have-I-Been-Pwned-Betreiber Troy Hunt hat nun die Synthient-Datensammlung aus dem April dieses Jahres erhalten. Nach dem Aufräumen – "Normalisieren" und Deduplizeren nennt Hunt explizit in der Ankündigung – blieben aus den Milliarden Einträgen noch 183 Millionen einzigartige Zugänge übrig. Die umfassen die Webseite, auf der sie eingegeben wurden, sowie Nutzernamen und Passwort.

Der Datensatz ist nun über die HIBP-Webseite durchsuchbar. Als Suchkriterien sind E-Mail-Adressen, Passwörter, Domains und die Website, auf der Zugangsdaten eingegeben wurden, verfügbar.

Bis Anfang dieses Jahres hatte das HIBP-Projekt lediglich Daten aus bekannten Datenlecks oder Einbrüchen von Organisationen in der Datenbank gesammelt. Seitdem hat Troy Hunt jedoch begonnen, auch die öffentlich aufgetauchten, von Infostealern entwendeten Daten aufzubereiten und zu ergänzen.

Nach der extralangen Folge zu Phrack nähert sich der Podcast wieder seinem Normalzustand an – nicht nur in der Länge, sondern auch inhaltlich: Die Hosts ärgern sich über Oracle, freuen sich über Signal und wundern sich über Geheimdienste. Alles wenig überraschend, aber dahinter stecken dennoch interessante Nachrichten.

Los geht es jedoch mit Leserfeedback und der Chatkontrolle. Die wurde zwar schon ausführlich in Folge 16 behandelt, aber die Politik lässt das Thema nun mal nicht los. Die Hosts iterieren – leicht verstimmt – warum die Chatkontrolle nach wie vor technisch unausgegoren ist, sowie unverhältnismäßig, gefährlich und vermutlich auch ineffektiv wäre.

Danach wird die Laune leider nicht besser, denn Christopher erzählt von Angriffen auf Oracles E-Business-Suite und vor allem von Oracles Verhalten dazu. Das mutet weder professionell noch kundenfreundlich an. Beileibe nicht der problematischste, aber ein sehr illustrativer Aspekt daran ist, dass Oracle dem Angriff – der eine ganze Kaskade von ziemlich peinlichen Sicherheitslücken ausnutzt – nur eine einzelne CVE-Nummer zuordnet. Die Hosts halten nur mit Mühe die Contenance und vermuten weitere Fehler in der Software, die so mit Löchern gespickt scheint. Eine Annahme, die sich schon Stunden nach der Aufzeichnung bewahrheitete.

Nach so viel Frust können sich die Hosts zum Glück einem erfreulichen Thema zuwenden: Sylvester berichtet von Signals neuem Verschlüsselungsprotokoll SPQR, das auch vor zukünftigen Quantencomputern schützen soll. Die Hosts erörtern, welche Probleme Signal damit lösen möchte, warum die Lösung alles andere als trivial ist und welchen Aufwand der Messenger betreibt, damit das neue Protokoll korrekt und fehlerfrei funktioniert.