Comretix Blog

Solarwinds hat die Version 12.8.4 der Web Help Desk-Software veröffentlicht. Darin schließt der Hersteller eine Schwachstelle in der eigentlichen Software – und stopft auch teilweise kritische Sicherheitslücken in mitgelieferten Komponenten von Drittanbietern. IT-Verantwortliche sollten die Aktualisierung zügig anwenden.

Anzeige

In den Release-Notes zur neuen Web Help Desk-Version listet Solarwinds die geschlossenen Sicherheitslecks auf. Die Entwickler haben eine Lücke in Web Help Desk selbst korrigiert, durch die Dateien ausgelesen werden können, sofern die Software unter Linux und zudem in dem nicht standardmäßigen aktivierten Entwicklungs- oder Test-Modus läuft (CVE-2024-45709, CVSS 5.3, Risiko "mittel").

Die mitgelieferten Dritthersteller-Komponenten sind hingegen wesentlich problematischer: In Apache Tomcat klafft eine Sicherheitslücke, durch die Angreifer unter Umständen die Authentifizierung umgehen und so unbefugt Zugriff erhalten können (CVE-2024-52316, CVSS 9.8, kritisch). DOMPurify soll vor Cross-Site-Scripting schützen, ist jedoch selbst etwa für "mutated Cross-Site-Scripting" (mXSS) anfällig (CVE-2024-47875, CVSS 9.8, kritisch), enthält eine Prototype-Pollution-Schwachstelle (CVE-2024-48910, CVSS 9.1, kritisch) und ist für eine weitere hochriskante (CVE-2024-45801, CVSS 7.3, hoch) sowie eine mittelschwere Cross-Site-Scripting-Lücke verwundbar (CVE-2020-26870, CVSS 6.1, mittel).

Die aktualisierte Fassung 12.8.4 steht auf der Solarwinds-Webseite oder im Kundenportal von Solarwinds zum Herunterladen bereit.

Let's Encrypt, mit über 387 Millionen gültigen Zertifikaten die größte Zertifizierungsstelle, trennt sich vom Online Certificate Status Protocol (OCSP). Den konkreten Zeitplan für die Umstellung teilte die CA (Certificate Authority) nun in ihrem Blog mit. Bereits Ende Januar 2025 verweigert Let's Encrypt die Ausstellung bestimmter Zertifikate und spätestens im Mai sind die altbekannten Sperrlisten (CRL, Certificate Revocation List) wieder omnipräsent.

Anzeige

Seine Entwickler hatten OCSP als technisch fortgeschrittener Ersatz für die unhandlichen Sperrlisten entworfen. Der Zweck beider Lösungen ist derselbe: Zertifikate, die etwa wegen Verlust des Schlüsselmaterials, wegen mißbräuchlicher oder fehlerhafter Ausstellung von der CA zurückgezogen (revoked) wurden, dürfen von Browsern nicht als gültig akzeptiert werden. OCSP sah vor, dass die Webbrowser bei jedem Aufbau einer verschlüsselten Verbindung bei der CA nach dem Status des vorgezeigten Zertifikats fragten.

Das stellte die Zertifizierungsstellen nicht nur vor Lastprobleme (die OCSP-Responder galten als notorisch überlastet und instabil), sondern warf auch Datenschutzfragen auf. Durch die Auswertung der OCSP-Anfragen konnten Zertifizierungsstellen, darunter auch Behörden und staatliche Organisationen, das Surfverhalten recht genau protokollieren. Ein Protokollzusatz namens "OCSP Stapling" beseitigte diese Schwierigkeit zwar, setzte sich jedoch bei Browserherstellern nicht durch.

Die "Let's Encrypt"-CA war mit OCSP-Unterstützung gestartet und hatte ursprünglich gar nicht vor, CRLs zu unterstützen. Diese Einschätzung revidierten die Betreiber jedoch im Jahr 2022 – nun sind die Sperrlisten bald wieder das einzige Mittel der Wahl zur Statusprüfung.

Malware und Hacker-Angriffe sind längst nicht mehr nur ein Windows-Thema – auch Linux-Server und die darauf laufenden Dienste geraten immer häufiger unter Beschuss. Der fünftägige Intensiv-Workshop Linux-Server härten: Verschlüsselung, Zugriffskontrolle, Integritätschecks beschäftigt sich umfassend mit der Sicherheit von Linux-Servern. Das Themenspektrum reicht von der physischen Sicherheit über Mechanismen der Zugriffskontrolle bis hin zu Logging, Monitoring und Intrusion Detection.

Anzeige

Sie lernen, wie Sie Daten verschlüsseln und Netzwerkdienste absichern, fortgeschrittene Methoden der Zugriffskontrolle wie Zwei-Faktor-Authentifizierung einrichten und die bekannten Sicherheitsframeworks SELinux und AppArmor einsetzen. Florian Winkler erklärt, wie man Logfiles mit sicherheitsrelevanten Vorfällen analysiert und geht auch auf das Thema Einbruchserkennung ein. Darüber hinaus erhalten Sie eine theoretische Einführung in das Penetration Testing und erfahren, wie Sie Sicherheitslücken in der eigenen IT gezielt aufspüren.

Der nächste iX-Workshop findet vom 13. bis 17. Januar 2025 per Videokonferenz in einem Remote Classroom statt. Trainer Florian Winkler ist seit 2014 als Berater und Trainer beim Linux-Systemhaus B1 Systems tätig. Seine Themenschwerpunkte liegen in den Bereichen Konfigurationsmanagement, DevOps, Deployment, Security und Automatisierung.

Damit Sie in diesem Workshop das Gelernte direkt ausprobieren und selbst Hand anlegen können, erhalten Sie einen ssh-Zugang zu einer Trainingsumgebung mit bereitgestellten Linux-Systemen. Der Workshop ist interaktiv: Sie haben jederzeit die Möglichkeit, dem Referenten Fragen zu stellen und sich mit den anderen Teilnehmenden auszutauschen. Damit dies gut funktioniert, ist die Gruppengröße auf maximal 12 Personen begrenzt.

Adobe schützt Acrobat, Animate, Connect, Experience Manager, InDesign, Illustrator, Media Encoder, Substance 3D Modeler, Substance 3D Painter und Substance 3D Sampler vor möglichen Attacken. Insgesamt hat der Softwarehersteller mehr als 160 Schwachstellen mit Updates für die Produkte geschlossen.

Anzeige

Der Großteil der Lücken findet sich in Experience Manager. Aufgrund von unzureichenden Prüfungen von Eingaben können Angreifer Schadcode ausführen (CVE-2024-43711, Risiko "hoch"). Die verbleibenden Schwachstellen sind mit dem Bedrohungsgrad "mittel" eingestuft, Angreifer können Stored-XXS-Attacken dadurch ausführen.

Davon sollen alle Plattformen bedroht sein, die die Software unterstützt. Die Entwickler geben an, die Sicherheitsprobleme in den Ausgaben Cloud Service Release 2024.11 und 6.5.22 gelöst zu haben.

Durch mehrere Lücken (zum Beispiel CVE-2024-49530, "hoch") in Acrobat und Reader können bösartige Akteure ebenfalls Schadcode auf Systeme verfrachten. Das betrifft die PDF-Programme für macOS und Windows. Das Gleiche gilt auch für Animate.

Aufgrund von laufenden Attacken auf aktuelle Windows-Desktop- und Windows-Server-Versionen sollten Admins sicherstellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind. Weiterhin haben die Entwickler noch mehrere Lücken geschlossen, über die Schadcode auf Systeme gelangen kann.

Anzeige

Die derzeit ausgenutzte Schwachstelle (CVE-2024-49138, Risiko "hoch") betrifft einer Warnmeldung zufolge verschiedene Windows-10- und Windows-11-Ausgaben. Windows Server ist in mehreren Versionen wie 2008 und 2022 bedroht. Sind Attacken erfolgreich, verschaffen sich Angreifer höhere Nutzerrechte.

In diesem Fall sind das Microsoft zufolge System-Rechte. In so einer Position können Angreifer in der Regel weitreichenden Schaden anrichten. Oft werden solche Attacken mit weiteren Lücken kombiniert, um dann etwa Schadcode auszuführen. Microsoft gibt derzeit nicht an, wie die Attacken ablaufen. Unklar bleibt auch, im welchem Umfang die Angriffe stattfinden.

Eine "kritische" Schadcode-Lücke (CVE-2024-49112) betrifft aktuelle Windows- und Windows-Server-Ausgaben. Sie steckt im Lightweight Directory Access Protocol (LDAP). Weiterführende Informationen zum Ablauf von Angriffen oder wie Admins bereits attackierte Computer erkennen können, sind bislang nicht verfügbar. Können Admins dieses Sicherheitsupdate nicht umgehend installieren, empfiehlt Microsoft, Domain Controller vom Internet zu trennen.

Ivanti hat Sicherheitsupdates für mehrere Produkte veröffentlicht. Die damit geschlossenen Schwachstellen stellen teils ein kritisches Risiko dar. Admins sollten die verfügbaren Aktualisierungen daher rasch anwenden.

Anzeige

Am schlimmsten hat es Ivantis Cloud Services Application (CSA) getroffen. Angreifer aus dem Netz können ohne vorherige Anmeldung die Authentifizierung an der Admin-Web-Console umgehen und so administrativen Zugang erhalten (CVE-2024-11639, CVSS 10.0, Risiko "kritisch"). Angemeldete Nutzer aus dem Netz können zudem beliebigen Code aufgrund einer Befehlsschmuggel-Lücke einschleusen (CVE-2024-11772, CVSS 9.1, kritisch) oder beliebige SQL-Befehle aufgrund einer SQL-Injection-Schwachstelle absetzen (CVE-2024-11773, CVSS 9.1, kritisch). Ivanti CSA 5.0.3 korrigiert diese Fehler.

Auch in Ivanti Connect Secure (ICS) und Ivanti Policy Secure (IPS) klaffen kritische Sicherheitslücken. Angemeldete Nutzer aus dem Netz können Argumente in ICS und in der Folge beliebigen Code einschleusen (CVE-2024-11633, CVSS 9.1, kritisch) oder selbiges aufgrund einer Befehlsschmuggel-Schwachstelle erreichen (CVE-2024-11634, CVSS 9.1, kritisch). Die Updates auf ICS 22.7R2.4 und IPS 22.7R1.2 schließen diese und drei weitere, als hochriskant eingestufte Schwachstellen. Teils sind auch die Versionszweige 9.1Rx von den Lücken betroffen – hierfür stellt Ivanti jedoch keine Patches bereit, da der Support dafür zum 31. Dezember ausläuft.

Nur knapp an der Risikoeinstufung "kritisch" schrammt eine Lücke in Ivanti Sentry vorbei. Aufgrund unsicherer Rechtevergabe können lokale authentifizierte Nutzer "sensible App-Komponenten" verändern (CVE-2024-8540, CVSS 8.8, hoch). Die Versionen 10.1.0, 10.0.2 und 9.20.2 beheben die sicherheitsrelevanten Fehler. Weiterhin bessert Ivanti Desktop and Server Management (DSM) 2024.3.5740 eine Schwachstelle aus, die Angreifern das Löschen beliebiger Dateien erlaubt (CVE-2024-7572, CVSS 7.1, hoch). Eine gleichartige Sicherheitslücke im Ivanti Patch SDK (CVE-2024-10256, CVSS 7.1, hoch) stopfen die Versionen

Die zwanzigste Folge des heise-security-Podcasts steht an – wie schnell die Zeit vergeht. Doch mit Sentimentalitäten halten die Hosts sich nicht auf, denn es gilt, ein spannendes Thema zu bearbeiten. In der aktuellen Folge verschlägt es Sylvester und Christopher zwischen die Fronten des Cyberkriegs zwischen dem Sicherheitsunternehmen Sophos und mutmaßlich chinesischen Exploit-Entwicklern.

Anzeige

Sophos glaubte nach einer jahrelangen Recherche- und Verteidigungsaktion nämlich, APT-Akteure aus dem Reich der Mitte dingfest gemacht zu haben. Der Vorwurf: Die Angreifer nutzten die Security-Appliances des britischen Herstellers zur Entwicklung von Malware, darunter tückische Schadsoftware für die Firmware der Geräte. Und nach jahrelanger Nachforschung gingen die Briten zum Gegenangriff über: Sie verwanzten kurzerhand die eigenen Geräte und beobachteten so die Programmierer bei der Arbeit.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung vor vermehrt auftretenden Brute-Force-Angriffen auf Citrix Netscaler Gateways veröffentlicht. Die IT-Sicherheitsbehörde hat demnach verstärkt Meldungen "aus verschiedenen KRITIS-Sektoren sowie von internationalen Partnern" erhalten.

Anzeige

Die Warnung des BSI datiert auf den Dienstag dieser Woche. Darin konkretisiert die Behörde: "Die aktuellen Angriffe heben sich aktuell lediglich in ihrer berichteten Menge von üblichen Angriffen dieser Art heraus." Bei den Brute-Force-Angriffen versuchen die Täter, sich mit schwachen, erratenen oder aus Sammlungen im Netz stammenden Zugangsdaten an den Diensten anzumelden. Nach erfolgreichen Angriffen verstetigen die bösartigen Akteure in der Regel den Zugriff etwa durch Einrichtung von Backdoors und versuchen, von dort aus weitere interne Systeme zu kompromittieren.

Zwar seien den aktuellen Berichten zufolge Citrix-Gateways Ziel der Angriffe. "Jedoch ist diese Cyber-Sicherheitswarnung für alle exponierten Systeme, insbesondere VPN-Gateways, relevant", ergänzt das BSI.

Da "Zugriffsversuche auf exponierte Systeme" ständig erfolgten, sie somit "ein normales "Hintergrundrauschen" im Internet" seien, gehöre der Schutz vor Brute-Force-Angriffen eine der notwendigsten Basis-Maßnahmen, erklärt das BSI im PDF-Dokument. Die Behörde beobachte jedoch, dass dieser Schutz in der Praxis teils vernachlässigt werde. "CERT-Bund erhält regelmäßig Kenntnis von Vollkompromittierungen, die in dieser Art des Angriffs Ihren Ursprung haben. Erfolgreiche Brute-Force-Angriffe sind für Angreifer ein typisches Einfallstor in interne Netze", erklärt die IT-Sicherheitsbehörde.

Die Open Source Security Foundation (OpenSSF) hat ihren Jahresbericht für 2024 veröffentlicht. Schwerpunkte in der Arbeit der Stiftung lagen in der Weiterentwicklung von Sicherheitstools, in der Ausbildung von Entwicklern und in der Lobbyarbeit, insbesondere in den USA und Europa.

Anzeige

Die OpenSSF verfügt nun über 126 Mitglieder aus 15 Ländern, darunter AWS, Google, Intel, Microsoft und Red Hat. 2239 Contributors aus der Community halfen in den Arbeitsgruppen oder beim Entwickeln der Sicherheits-Tools. 62.618 Projekte nutzen das Tool Sigstore, 12.000 Teilnehmer besuchten Kurse der Foundation und 7.500 Projekte, beispielsweise Kubernetes, Linux Kernel und node.js, befolgen die von OpenSSF herausgegebenen Best Practices.

Der Jahresreport der Open Source Security Foundation

(Bild: OpenSSF)

Firefox mottet als erster großer Browser die Datenschutzoption "Do Not Track" (DNT) ein, weil die meisten Internetseiten sie ignorieren und ihre Aktivierung den Datenschutz sogar reduzieren kann. Das geht aus einer vor wenigen Tagen aktualisierten Hilfeseite des Browsers hervor. Ab Firefox Version 135 soll man die Option nicht mehr auswählen können, in den ersten Vorabversionen ist sie bereits verschwunden. Nutzern und Nutzerinnen, die Wert auf den Schutz ihrer Privatsphäre legen, empfehlen die Verantwortlichen von Firefox stattdessen einen Haken bei "Websites anweisen, meine Daten nicht zu verkaufen oder weiterzugeben" – in der aktuellen Version direkt über DNT.

Anzeige

"Do Not Track" gibt es seit mehr als zehn Jahren, seit der Firefox-Version 4 kann man Internetseiten damit mitteilen, dass man die Weiterverfolgung im Netz nicht wünscht. Auch in den anderen Browsern gibt es diese Option. Nachdem das anfangs mehrere Prozent der Nutzer und Nutzerinnen gemacht haben, ist die Rate in der Folge gesunken. Laut Firefox respektieren "viele Internetseiten" die Bitte nicht, durchgesetzt wird das auch nicht. Inwiefern die Aktivierung der Option aber die Privatsphäre reduzieren kann, wie auf der Hilfeseite ausgeführt, erklärt Firefox nicht.

Der teils widersprüchliche Umgang mit "Do Not Track" wurde erst vor einem Jahr vom Landgericht Berlin illustriert. Das hat dem sozialen Netzwerk LinkedIn zwar untersagt, zu erklären, dass eine vom Browser übermittelte Aufforderung zur Nichtverfolgung rechtlich nicht wirksam sei und nicht respektiert wird. Gleichzeitig hat das Gericht die Plattform aber nicht verpflichtet, dem DNT-Signal auch tatsächlich Folge zu leisten. Der Verbraucherzentrale Bundesverband (vzbv), der das Verfahren angestoßen hatte, hat das Urteil begrüßt und als klare Botschaft gelobt. Der Wunsch, beim Surfen nicht ausgespäht zu werden, müsste respektiert werden. Weil das bei zu vielen Internetseiten anders gesehen wird, wird Firefox nun aktiv.

Die alternative Datenschutzoption für die Firefox jetzt wirbt, wird unter der Ägide der "Global Privacy Control" vorangetrieben. Die Industrieallianz will mit dazu entwickelten Spezifikationen eine Art reduziertes "Do Not Track" verbreiten. Wer den entsprechenden Haken setzt, signalisiert Internetseiten damit, dass Informationen über einen Besuch nicht weitergegeben oder verkauft werden dürfen. Das Signal werde von einer wachsenden Zahl an Websites respektiert und in einigen Rechtsgebieten auch juristisch durchgesetzt. Teilweise bedeute es auch einen Widerspruch gegen gezielte, personalisierte Werbung. Auf Deutsch läuft die Option in Firefox unter der Bezeichnung "Websites anweisen, meine Daten nicht zu verkaufen oder weiterzugeben".

Ein Team europäischer Sicherheitsexperten zeigen einen vergleichsweise simplen Hack, der superkomplizierte Funktionen zur RAM-Verschlüsselung moderner Server aushebelt. Die Forscher manipulieren dazu den Konfigurationschip vom Speichermodulen, das sogenannte SPD-EEPROM – eine seit rund 30 Jahren gängige Technik, die aber wie in der PC-Branche leider üblich oft schlampig und unsicher umgesetzt wird.

Anzeige

Ebenfalls typisch: Die extrem komplexen, nachträglich aufgepfropften und mehrfach nachgebesserten Funktionen zur Einrichtung von Trusted Execution Environments (TEEs) für Confidential Computing berücksichtigen den historischen Unterbau unzureichend, sodass er sich als Seitenkanal für Angriffe missbrauchen lässt.

BadRAM greift AMD Secure Encrypted Virtualization - Secure Nested Paging (SEV-SNP) an sowie Intels Software Guard Extensions (SGX) beziehungsweise Trusted Domain Extensions (TDX). BadRAM betrifft vor allem AMD-Epyc-Prozessoren, wie AMD im Security Bulletin AMD-SB-3015 berichtet, und trägt CVE-2024-21944.

Bei SGX/TDX ermöglicht BadRAM nur, Metadaten von Schreibzugriffen abzugreifen, also etwa Zugriffsmuster – aber nicht die Daten selbst. Bei AMD SEV-SNP ermöglicht BadRAM hingegen Replay-Attacken mit verschlüsselten Daten sowie die Manipulation von Remote Attestation und somit beliebige Änderungen an einer vermeintlich sicheren Virtuellen Maschine (VM).

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich passend zur Jahreszeit smarte Heizungsthermostate genauer angesehen. Dabei ging es darum, die IT-Sicherheit der Systeme zu untersuchen.

Anzeige

Das Testfeld des BSI umfasst zehn unterschiedliche Thermostate.

(Bild: BSI)

Vorneweg erörtert das BSI in der Analyse, dass Smart-Home-Geräte wie Heizkörperthermostate kurze Entwicklungszyklen aufweisen, "bei denen die IT-Sicherheit häufig eine geringere Priorität als andere Produkteigenschaften einnimmt. Dies geht mit fehlenden oder unzureichenden Security-by-Design-Ansätzen einher", so die Behörde. Viele Produkte böten daher "keinen wirksamen Schutz gegen Hackerangriffe".

Ein öfter beobachteter Angriffsvektor, mit dem Kriminelle sich weiteren Zugang zu Netzwerken verschaffen, sind Umleitungen von Microsofts Netzwerkprotokoll NTLM, sogenanntes NTLM-Relaying. Über NTLM werden Zugangsdaten zur Authentifizierung übertragen, die Angreifer abgreifen und missbrauchen können. Microsoft will solche Angriffe nun standardmäßig signifikant erschweren.

Anzeige

Wie Microsoft in einem Blog-Beitrag schreibt, setzt der Hersteller nun auf "Extended Protection for Authentication" (kurz: EPA) zum besseren Schutz der Zugangsdaten. Das kommt standardmäßig seit diesem Februar auf Exchange-Servern zum Einsatz, nachdem Cyberkriminelle die Schwachstelle CVE-2024-21410, mit einem CVSS-Wert von 9.8 als kritisches Risiko eingestuft, aktiv missbraucht hatten, um ihre Rechte auszuweiten. Microsoft nannte den EPA-Schutz dort auch NTLM Credentials Relay Protection.

Auch der Anfang vergangenen Monats veröffentlichte Windows Server 2025 hat einen solchen Schutz erhalten, insbesondere für die "Azure Directory Certificate Services" (AD CS). LDAP Channel Binding ist aus demselben Grund im Server 2025 per Default aktiv. Zusammen sollen diese Erweiterungen das Risiko von NTLM-Relay-Angriffen standardmäßig für die drei On-Premises-Dienste Exchange, AD CS und LDAP signifikant reduzieren.

NTLM-Relay-Angriffe laufen typischerweise zweistufig ab. Zunächst bringen Angreifer Opfer dazu, sich an beliebigen Endpunkten anzumelden. Anschließend leiten sie die Authentifizierung auf ein verwundbares Ziel um. Durch die Umleitung können Angreifer sich als ihr Opfer ausgeben und in deren Namen Aktionen ausführen. Damit haben sie einen Fuß in der Tür für eine weitere Kompromittierung des Netzwerks. Microsofts Ansatz ist nun, die Anmeldung an beliebige Endpunkte einzuschränken. Mit EPA und Channel Binding können sich Clients nur an bestimmten Servern anmelden. Sie spielen damit eine wichtige Rolle in der Abwehr von NTLM-Relay-Angriffen. Mit Blick in die Zukunft erklärt Microsoft, dass NTLM als veraltetes Protokoll gilt, und empfiehlt dementsprechend, dass sich Nutzer auf die Deaktivierung in kommenden Windows-Versionen vorbereiten sollen. Modernere Authentifizierungsprotokolle wie Kerberos sollen zum Einsatz kommen. In der Zwischenzeit versucht Microsoft mit unterschiedlichen Strategien, NTLM zumindest zu härten.

Das Unternehmen Cleo stellt Datentransfer-Software her, in der es kürzlich eine Sicherheitslücke ausgebessert hat – vermeintlich. Der Patch reicht nicht aus, die Schwachstelle wird in freier Wildbahn aktiv angegriffen. Bis zur Verfügbarkeit eines wirksamen Updates sollten IT-Verantwortliche Cleo-Server hinter eine Firewall bringen und sie damit schützen.

Anzeige

Die IT-Sicherheitsforscher von Huntress erläutern ihre Beobachtungen in einem aktuellen Blog-Beitrag. Demnach geht es um eine Sicherheitslücke, durch die unbegrenzt Dateien in Cleo Harmony, VLTrader und Lexicom vor den Versionen 5.8.0.21 zur Ausführung von Schadcode aus dem Netz missbraucht werden kann (CVE-2024-50623). In einer eigenen Sicherheitsmitteilung, die am heutigen Dienstagmorgen aktualisiert wurde, schreiben Cleos Entwickler, dass die Installation des jüngsten veröffentlichten Patches weitere Angriffsvektoren für die Schwachstelle abdichten.

In etwa zum gleichen Zeitpunkt hat Huntress die eigene Analyse auf Reddit veröffentlicht. Demnach sind auch die gepatchten Versionen 5.8.0.21 noch anfällig. Ein Indiz für eine Kompromittierung (Indicator of Compromise, IOC) sei etwa im "hosts"-Unterverzeichnis zu finden. Die Dateien "main.xml" oder "60282967-dc91-40ef-a34c-38e992509c2c.xml" (der Dateiname tauchte bei mehreren Infektionen auf) mit einem eingebetteten Powershell-kodierten Befehl seien eindeutige Hinweise.

Im Blog-Beitrag aktualisiert Huntress weiterhin die IOCs und fügt weitere hinzu. Ein deutlicher Anstieg an kompromittierten Servern sei seit dem 8. Dezember zu beobachten. Mit einem Proof-of-Concept-Exploit haben die IT-Forscher die Angriffe nachgestellt und fanden dabei heraus, dass die aktuellen Patches unzureichend sind. In Rücksprache mit Cleo kündigte der Hersteller an, so schnell wie möglich neue Patches bereitzustellen.

Aufgrund einer "kritischen" Sicherheitslücke in einem Node.js-Modul können Angreifer Systeme, auf denen IBM App Connect Enterprise Certified Container läuft, mit Schadcode attackieren. Aufgrund der Einstufung der Lücke ist davon auszugehen, dass Computer anschließend vollständig kompromittiert sind. Sicherheitspatches stehen zum Download.

Anzeige

In einer Warnmeldung listen die Entwickler die betroffenen Versionen auf. Gegen mögliche Attacken auf die Schwachstelle (CVE-2024-21534) sind die Ausgaben 5.0.22, 12.0.6 und 12.6.0 abgesichert. Bislang gibt es noch keine Berichte über laufende Angriffe. Unklar bleibt auch, woran Admins bereits kompromittierte PCs erkennen können.

Die Entwickler geben an, dass das jsonpath-plus-Modul zum Verarbeiten von JSON-Konfigurationen Eingaben nicht ausreichend prüft, sodass Schadcode auf Systeme gelangen kann.

Eine "kritische" Sicherheitslücke im SysUpgrade-Server von OpenWrt gefährdete die Integrität von manchen Firmwareimages. Ein Sicherheitsforscher stieß auf Schwachstellen im Buildprozess. Nun haben die OpenWrt-Entwickler die Lücke geschlossen.

Anzeige

OpenWrt ist eine alternative Firmware auf Linuxbasis für unter anderem bestimmte Routermodelle. In einer Warnmeldung schreiben die Entwickler, dass ein Sicherheitsforscher von Flat Security auf die Schwachstelle (CVE-2024-54143) gestoßen ist. Der Fehler findet sich im SysUpgrade-Feature. Darüber können Nutzer mit vergleichsweise wenig Aufwand und in überschaubarer Zeit neue Firmwareimages erstellen, die vorab installierte Pakete und Einstellungen übernehmen.

Der Sicherheitsforscher gibt in einem Bericht an, dass der sysupgrade.openwrt.org-Service in einer Containerumgebung läuft. Aufgrund von unzureichenden Überprüfungen können Angreifer an dieser Stelle über das "make"-Kommando eigenen Code in Images einfügen. Außerdem stellte er fest, dass der Service einen auf zwölf Stellen verkürzten SHA256-Hash zum Zwischenspeichern verwendet. Weil der Hash dadurch auf 48 Bits begrenzt ist, können Angreifer durch Brute-Force-Attacken eine Hash-Kollison erzeugen.

Durch die Kombination dieser beiden Faktoren konnte der Sicherheitsforscher eigenen Angaben zufolge ein legitim anmutendes, aber manipuliertes Firmwareimage erstellen. Wird damit ein offizielles Image im Kontext des sysupgrade.openwrt.org-Services ersetzt, bekommen Nutzer davon nichts mit und nach der Installation sind ihre Geräte kompromittiert.

SAP hat zum Dezember-Patchday neun neue Sicherheitsmitteilungen herausgegeben. Zudem aktualisieren die Walldorfer vier ältere Schwachstellenmeldungen. Eine Lücke stellt ein kritisches Sicherheitsrisiko dar – IT-Verantwortliche sollten die bereitstehenden Aktualisierungen zügig anwenden.

Anzeige

In der Patchday-Übersicht listet SAP die Sicherheitslücken auf, die die Entwickler im Dezember mit Updates ausbessern. Die schwerwiegendste Schwachstelle betrifft SAP NetWeaver AS for Java – oder genauer, es finden sich gleich drei Lücken in den Adobe Document Services. Angreifer mit Admin-Rechten können etwa manipulierte Anfragen durch verwundbare Web-Apps senden und dadurch fälschlicherweise auf Systeme hinter Firewalls zugreifen. Durch Ausnutzen dieser Server-Side Request Forgery können sie beliebige Dateien lesen oder verändern sowie das ganze System lahmlegen (CVE-2024-47578, CVSS 9.1, Risiko "kritisch"). Die beiden weiteren Lücken erreichen mit jeweils einem CVSS-Wert von 6.8 hingegen eine Einstufung als mittleres Risiko.

Durch einen entfernten Funktionsaufruf (Remote Function Call) in SAP NetWeaver Application Server ABAP können angemeldete Angreifer unbefugt auf Informationen zugreifen – etwa Zugangsdaten für Remote-Dienste. Damit können sie diese Dienste vollständig kompromittieren (CVE-2024-54198, CVSS 8.5, hoch). Zudem ermöglicht eine Schwachstelle in SAP NetWeaver Administrator (System Overview) ebenfalls eine Server-Side Request Forgery (CVE-2024-54197, CVSS 7.2, hoch).

Die weiteren Schwachstellen haben die Entwickler als mittleren oder niedrigen Bedrohungsgrad eingestuft. Dennoch sollten IT-Verantwortliche die Sicherheitslücken zeitnah durch Installieren der bereitstehenden Updates schließen. Die vollständige Liste der am Dezember-Patchday behandelten Sicherheitslecks:

Im Wordpress-Plug-in WPForms haben IT-Sicherheitsforscher eine Sicherheitslücke entdeckt, durch die Angreifer etwa Zahlungen erstatten oder Abonnements auflösen können. Aktualisierte Software steht bereit, die die Schwachstelle ausbessert.

Anzeige

In einem Blog-Beitrag schreibt das Unternehmen Wordfence, dass angemeldete Nutzer mit Subscriber-Zugriff oder höheren Rechten Zahlungen rückerstatten und Abonnements abbrechen können. Das liegt an einer fehlenden Prüfung der Fähigkeiten in der wpforms_is_admin_page-Funktion, wodurch nicht autorisierte Änderungen an Daten möglich werden (CVE-2024-11205, CVSS 8.5, Risiko "hoch").

Das Wordpress-Plug-in WPForms ist eine der populärsten Erweiterungen, sie kommt auf mehr als sechs Millionen Wordpress-Seiten zum Einsatz. WPForms dient zum Erstellen von Formularen wie Kontaktformulare, Feedback-Formulare, Abo-Formulare und so weiter. Nutzerinnen und Nutzer können damit solche Formulare einfach mit Drag-and-Drop zusammenstellen. Verwundbar sind die Versionen 1.8.4 bis 1.9.2.1 einschließlich, WPForms 1.9.2.2 und neuere Fassungen bessern die Schwachstelle aus. Das Update ist seit dem 18. November verfügbar.

Wordpress-Admins sollten sicherstellen, dass die jüngste Version von WPForms in ihrer Wordpress-Instanz installiert ist, empfiehlt Wordfence. Die IT-Forscher erörtern im Blog-Beitrag zudem den Fehler im Quelltext detaillierter.

Ab 2025 tritt in Deutschland die gesetzliche Verpflichtung zur strukturierten E-Rechnung im B2B-Bereich in Kraft. Das betrifft insbesondere Softwareentwickler und Hersteller von Faktura- oder ERP-Software, die nun ihre Produkte entsprechend anpassen müssen. Unser Workshop bietet Ihnen eine praxisnahe Anleitung, wie Sie die neuen XML-Formate des europäischen Rechnungsstandards EN16931, wie Cross Industry Invoice (CII), Universal Business Language (UBL), Factur-X und ZUGFeRD, sowie XRechnung im B2G-Bereich, unterstützen, prüfen und umwandeln können.

Anzeige

In unserem Workshop E-Rechnungspflicht: Software richtig implementieren erhalten Sie einen tiefgehenden Einblick in die Umsetzung der neuen gesetzlichen Vorgaben zur E-Rechnungspflicht. Sie beschäftigen sich mit den Rollen, den Darstellungsdetails, der Umwandlung, der Prüfung und Umsetzung der X(ML)-Rechnung. Dazu gehören praktische Übungen, in denen Sie die verschiedenen XML-Formate kennen und anwenden lernen.

Der Workshop findet vom 13. bis 17. Januar 2025 statt und richtet sich an Softwareentwickler und Projektleiter, die Software herstellen, Rechnungen erstellen oder einlesen, sowie an ERP-Softwarehersteller und Data Scientists, die Auswertungen erstellen. An drei Vormittagen (13., 15. und 17. Januar) treffen Sie sich online in der Gruppe mit dem Trainer. Für den zweiten und vierten Tag nehmen Sie Aufgaben mit, die Sie selbstständig lösen können und anschließend in der Gruppe besprechen.

Durch den Workshop führen Andreas Pelekies, technischer Erfinder des ZUGFeRD-Standards und (Co-)Autor verschiedener internationaler Standards, sowie Jochen Stärk, Diplom-Wirtschaftsinformatiker und Backend-Entwickler. Beide verfügen über langjährige Erfahrung in der Softwareentwicklung und haben sich auf Themen rund um die E-Rechnung spezialisiert.

Bundesbehörden sollen IT-Sicherheitslücken unverzüglich dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden, sobald sie ihnen bekannt werden und "soweit andere gesetzliche Regelungen dem nicht entgegenstehen". Zu dieser Regelung haben sich die nach dem Ausscheiden der FDP in der Koalition verbliebenen Verhandler von SPD und Grünen durchgerungen. Festgehalten werden soll das im BSI-Gesetz, Paragraph 43, in einem neuen Absatz 6.

Anzeige

Der Entwurf liegt heise online vor. Die Ampel-Koalition ist mit dem Versprechen im Koalitionsvertrag angetreten, IT-Sicherheit zu stärken. Der Staat soll demnach "keine Sicherheitslücken ankaufen oder offenhalten", sondern sich unter Federführung eines unabhängigeren BSI "immer um die schnellstmögliche Schließung bemühen". Zugleich sollten die Eingriffsschwellen bei Überwachungssoftware wie Staatstrojanern erhöht und die bestehenden Befugnisse für die Polizei eingeschränkt werden.

Eine Arbeitsgruppe aus Innenpolitikern der Koalitionsfraktionen und des Bundesinnenministeriums (BMI) kam allerdings in der Frage des Schwachstellenmanagements monatelang auf keinen gemeinsamen Nenner. Erst im Frühjahr gab es Hoffnung auf eine Übereinkunft. Vor der Sommerpause fanden die drei Fraktionen tatsächlich zueinander, doch wie das BMI den Kompromiss im Anschluss ausformuliert hat, stieß vor allem den Grünen und den Liberalen angesichts zu vieler Hintertüren für Ausnutzung von Schwachstellen durch Sicherheitsbehörden übel auf.

Die Bundesregierung machte dann im Rahmen ihres Entwurfs zur Umsetzung der NIS2 getauften EU-Richtlinie zur Netz- und Informationssicherheit den Vorschlag für einen Paragraf 43 Absatz 5 im BSI-Gesetz. Dieser geht nicht so weit wie der nun zusätzlich von SPD und Grünen vereinbarte Absatz 6. Dem Regierungsansatz zufolge besteht Meldepflicht für Schwachstellen nur, wenn Informationen darüber "für die Erfüllung von Aufgaben oder für die Sicherheit der Kommunikationstechnik des Bundes von Bedeutung sind". Zudem gibt es eine Palette von Ausnahmen, die sich sogar auf "Geheimschutz oder Vereinbarungen mit Dritten" bezieht.