Comretix Blog

Wir bieten aktuelle Informationen über uns und aus der IT Welt.

Patchstatus unklar: Angreifer attackieren Fertigungsmanagementtool DELMIA Apriso

Durch eine "kritische" Sicherheitslücke in DELMIA Apriso kann Schadcode schlüpfen und Computer schädigen.

DELMIA Apriso ist eine Manufacturing-Operations-Management-Software (MOM) und ein Manufacturing Execution System (MES), das auch hierzulande unter anderem im Automobilbereich genutzt wird. Darüber werden etwa globale Produktionsabläufe gesteuert. Es ist davon auszugehen, dass eine erfolgreiche Attacke für Firmen weitreichende Folgen haben kann.

Der Anbieter der Software, Dassault Systèmes, erwähnte die Sicherheitslücke (CVE-2025-5086 "kritisch") bereits im Juni dieses Jahres in einer äußerst knapp formulierten Warnmeldung. Daraus geht hervor, dass entfernte Angreifer Schadcode in diversen Releases aus den Jahren 2020 bis einschließlich 2025 ausführen können. Aufgrund der kritischen Einstufung ist davon auszugehen, dass Angreifer nicht authentifiziert sein müssen, um Attacken einzuleiten

Anfang September warnte nun ein Sicherheitsforscher des SANS-Institut Internet Strom Center in einem Beitrag vor Exploitversuchen. Ihm zufolge versenden Angreifer SOAP-Requests mit Schadcode an verwundbare Instanzen. Was Angreifer konkret nach erfolgreichen Attacken anstellen, ist zurzeit unklar.

Mittlerweile warnt auch die US-Sicherheitsbehörde CISA vor Angriffen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. Unklar bleibt auch, ob es einen Sicherheitspatch gibt. Das geht weder aus der offiziellen Warnmeldung, noch aus den Warnungen des Sicherheitsforschers und der CISA hervor. heise security steht in Kontakt mit dem Softwareanbieter und wartet derzeit auf ein Feedback zum Sicherheitspatch. Wir aktualisieren die Meldung, wenn uns konkrete Informationen vorliegen.

Weiterlesen
  157 Aufrufe

Low-Coding-Tool: Kritische Sicherheitslücke mit Höchstwertung gefährdet Flowise

Die Entwickler der Low-Coding-Plattform Flowise haben insgesamt sieben Sicherheitslücken geschlossen. Fünf Schwachstellen gelten als "kritisch". Im schlimmsten Fall kann Schadcode auf Systeme gelangen. Eine gepatchte Version schafft Abhilfe.

Am Ende dieses Beitrags finden Interessierte die Warnmeldungen der Entwickler mit weiterführenden Informationen zu den Sicherheitslücken. Am gefährlichsten gilt eine "kritische" Schadcode-Schwachstelle mit Höchstwertung (CVSS v3 10/10), für die offensichtlich noch keine CVE-Nummer vergeben wurde. Weil im Kontext einer Verbindung zu einem Model-Context-Protocol-Server (MCP) JavaScript-Code offensichtlich nicht validiert wird, können entfernte Angreifer eigenen Code ausführen. Im Anschluss führt so etwas in der Regel dazu, dass sie die volle Kontrolle über Computer erlangen.

Durch das Ausnutzen der weiteren kritischen Lücken können Angreifer unter anderem Passwörter zurücksetzen, um sich unbefugt Zugriff zu verschaffen (CVE-2025-58434). Außerdem können Angreifer auf eigentlich abgeschottete Dateien zugreifen. Auch für diese Schwachstelle wurde offensichtlich noch keine CVE-Nummer vergeben.

Durch das erfolgreiche Ausnutzen einer weiteren Lücke (noch keine CVE-Nummer, Bedrohungsgrad "hoch") können Angreifer aufgrund einer unsicheren Standardkonfiguration aus der Sandbox ausbrechen und Systemkommandos ausführen. Das führe den Entwicklern zufolge dazu, dass Angreifer Schadcode aus der Ferne ausführen und Systeme über diesen Weg vollständig kompromittieren können.

Die Entwickler geben an, die Softwareschwachstellen in der Flowise-Version 3.0.6 aus der Welt geschafft zu haben. Ob es bereits Attacken gibt, ist derzeit nicht bekannt.

Weiterlesen
  156 Aufrufe

"Darknet Diaries Deutsch": Die Abschussliste

Dies ist das Transkript der ersten Folge des neuen Podcasts "Darknet Diaries auf Deutsch". Im Englischen Original von Jack Rhysider trägt diese Episode den Namen "Kill List".

Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint ab sofort alle zwei Wochen auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.

JACK: Ich habe früher in Las Vegas gelebt und gearbeitet. Was für eine Stadt das ist! Ich bin so froh, dass ich da weg bin. Es kam mir vor, als hätte ich so ne Art magisches Loch in der Tasche - unflickbar quasi. Wie auch immer, ich habe eines Tages Craps gespielt. Das ist so'n eigentlich recht einfaches Glücksspiel mit zwei Würfeln an nem großen Tisch. Ein gebrechlicher, alter Mann kam dazu und spielte mit, und seine Einsätze waren hoch. Er warf mit seinem Geld nur so um sich, und hatte, würde ich sagen, ne gute Zeit. Ich hab die Würfel geworfen, und er hat mit meinen Würfen Geld verdient. Er mochte mich also, und wir kamen ins Gespräch. Aber da war dieser Typ hinter ihm, ein großer Kerl, kein Muskelprotz, aber einer, der wahrscheinlich Cheeseburger liebt, wenn ihr versteht, was ich meine. Und ich fragte ihn: „Na, willst du nicht mitmachen? Ich habe gerade ne Glückssträhne.“ Er sagte nichts.

Der alte Mann dreht sich zu mir und sagt: „Ach, beachte ihn nicht. Er ist mein Bodyguard.“ Ich: „Ach, wirklich? Das ist dein Bodyguard?“ Dann erzählte er mir was, das mich überraschte, er sagte: „Ja, aber ich bezahle ihn eigentlich nicht dafür, mich zu beschützen, sollte es wirklich zu ner Schlägerei kommen.“ Und ich sagte: „Was? Du bezahlst ihn nicht, um dich aus irgendwelchen Schwierigkeiten zu befreien?“ „Nein, nein. Ich kann mir so einen Bodyguard nicht leisten. Dieser Typ steht einfach nur neben mir. Und wenn etwas passiert, weiß er, dass er nicht eingreifen muss.“ Ich sagte: „Wow, warte mal. Warum bezahlst du jemanden dafür, neben dir zu stehen?“ Er sagte: „Um mein Bodyguard zu sein.“ Ich sagte: „Nein, aber er beschützt dich doch gar nicht.“ Der alte Mann sagte: „Ja, aber das weiß ja niemand. Jeder sieht ihn neben mir, und niemand legt sich mit mir an, weil er da ist.“ Ich fragte: „Funktioniert das?“ Er: „Ja. Ich bin noch nicht ausgeraubt worden.“

JACK: Ich glaube, es war – Mann, ist jetzt bestimmt jetzt schon sieben Jahre her, dass mir gesagt wurde, ich müsse Chris Monteiro in die Sendung holen und davon erzählen, was er rausgefunden hat. Ich bin ihm dann natürlich in seine DMs gerutscht, hab mich cool verhalten und so getan, als ob ich eigentlich nichts weiß: „Hey Chris, hab ich geschrieben, ich habe gehört, du steckst tief im Web.“ Er zurück: „Ich kann nicht darüber reden. Ist gerade zu heikel.“ [Musik] Ich also: „Okay.“ N' paar Jahr später hab ich nachgehakt, aber auch da wollte er nicht reden. Er sagte: „Nein, ich bin damit durch. Ich habe das hinter mir gelassen.“ Dann, vielleicht zwei Jahre später, habe ich nochmals nachgefragt. Diesmal sagte er: „Die Polizei ermittelt. Wir müssen warten.“ Später sagte er mir bei einem weiteren Versuch, dass er bedroht würde und sich bedeckt halten muss. Es ist einfach eine dieser Geschichten, bei denen ich mit der Zeit immer neugieriger werde, und ich habe wirklich gehofft, dass ich eines Tages mit ihm reden könnte. Jetzt, nach sieben Jahren des Wartens, ist Chris Monteiro bereit zu reden, und ich kann's kaum erwarten, endlich zu hören, was er im tiefen, dunklen Web gefunden hat.

Weiterlesen
  150 Aufrufe

iOS 26 & Co.: Apple schließt viele Lücken – auch in alten Versionen

Mit den gestern Abend veröffentlichten Updates auf iOS 26, iPadOS 26 macOS 26 Tahoe, watchOS 26, visionOS 26 und tvOS 26 hat Apple auch jede Menge sicherheitsrelevante Fehler behoben. Zudem wurden Aktualisierungen für ältere Versionen der Betriebssysteme ausgespielt, die ebenfalls Security-Fixes enthalten. Nutzer sollten ihre Systeme also so schnell wie möglich auf einen aktuellen Stand bringen. In iOS 26 und iPadOS 26 werden insgesamt 26 näher ausgeführte Löcher gestopft – hinzu kommen über 40 (!) "Credit only"-Hinweise auf Lücken, zu denen Apple bislang nur die Bereiche nennt, in denen sie stecken, aber keine weiteren Informationen mitteilt.

Die von Apple ausgeführten iOS- und iPad-Probleme befinden sich in fast allen Systembereichen – von der Neural Engine über den Kernel oder IOKit bis hin zur Browser-Engine WebKit. Bereits ausgenutzte Lücken gibt Apple keine an. Viele der Bugs erlauben Abstürze, abfließende Daten (darunter auch Tastaturanschläge via LaunchServices) und andere Angriffsformen. Da Apple wie erwähnt viele der Lücken nicht näher beschreibt, bleiben in Sachen Gesamtgefährdung viele Unbekannte.

Für Nutzer, die nicht sofort auf iOS 26 und iPadOS 26 aktualisieren wollen, liefert Apple iOS 18.7 und iPadOS 18.7 aus. Sie stopfen leider nur einen Bruchteil der Lücken, die in iOS 26 und iPadOS 26 behoben wurden. Apple nennt hier nur elf Bereiche mit näheren Angaben plus fünf "Credit only"-Bugs. Unschön: Apple legt mit iOS 16.7.12 und iPadOS 16.7.12 sowie iOS 15.8.5 und iPadOS 15.8.5 erst jetzt Updates für diese sehr alten Systeme vor, die eine seit längerem bekannte Lücke schließen, die bereits ausgenutzt wird.

macOS 26 alias Tahoe kommt mit über 70 (!) von Apple näher ausgeführten sicherheitsrelevanten Bugfixes. Hinzu kommen über 40 "Credit only"-Lücken ohne weitere Details. Angaben über bereits ausgenutzte Bugs macht Apple nicht, auch hier ist das System in voller Breite betroffen. Lücken betreffen unter anderem Kernel, Open-Source-Bestandteile diverser Art, MediaLibrary, MigrationKit, Music, Notification Center und vieles mehr. Abstürze, Denial-of-Service-Angriffe, Datenabflüsse und mehr sind möglich. Auch hier weiß man nicht, welche möglicherweise (noch) schwerwiegenderen Probleme sich in den besagten "Credit only"-Bugs befinden.

Apple legt weiterhin macOS 15.7 alias Sequoia für Nutzer vor, die nicht gleich auf Tahoe wechseln wollen. (Teilweise tauchen hier Release-Notes-Angaben aus macOS 15.4 auf – diese stimmen jedoch nicht.) Es sind über 30 behobene sicherheitsrelevante Fehler im Update. Hinzu kommen sechs "Credit only"-Bugs. Wie bei den anderen Systemen gilt: Nur mit dem kompletten Upgrade auf die neueste Version ist man vollständig abgesichert. Apple stellt außerdem macOS 14.8 alias Sonoma bereit, das ebenfalls nur eine Teilmenge der Lücken schließt. Nutzer von macOS 15 und 14 bekommen zusätzlich noch ein Update auf Safari 26 bereitgestellt, das Teil von macOS 26 ist. Hier werden diverse WebKit-Bugs behoben.

Weiterlesen
  130 Aufrufe

Wegen Handyverbots: Schulen schaffen 2-Faktor-Authentifizierung ab

"In den vergangenen Wochen, haben wir eine besorgniserregende Zunahme kompromittierter Schülerkonten gesehen" schreiben die 81 öffentlichen Schulen Portland, Oregons (Portland Public Schools, PPS) an die Eltern, "Angreifer verschaffen sich Zugriff auf diese Konten und nutzen sie, um tausende Phishing- und Betrugs-Emails in alle Welt zu senden." Die ungewöhnliche Lösung für das Problem: "Schüler werden keine Multifaktorauthentifizierung (MFA) für ihre Google-Konten mehr einrichten können."

Kein Scherz. Die PPS haben heise online die Echtheit des Rundschreibens bestätigt, meinen aber: "Wir schaffen MFA nicht vollständig ab. Wir wechseln auf eine andere Plattform." Klingt gut, entpuppt sich aber als potemkinsches Dorf. Die neue "MFA" ist keine, zudem schützt die Maßnahme die Google-Konten nicht.

Anstatt sich wie bisher auf ihren Chromebooks in ihre Google-Konten einzuloggen, was auch den Zugriff auf die Schulumgebung Classlink öffnet, wird das Prozedere umgedreht: Die Kinder sollen sich bei Classlink einloggen, und ihr Konto mit Google verknüpfen, sodass sie über Classlink zu Gmail, Google Drive und Co gelangen können. Theoretisch bietet Classlink Zwei-Faktor-Authentifizierung (2FA, eine Form der MFA) an: mittels Authenticator-App (TOTP), Hardware-Schlüssel (Yubikey) oder der veralternden Methode per SMS zugemittelter Einmalcodes.

Bloß nutzt die Schulverwaltung keine dieser MFA-Methoden. Vielmehr wir den Schülern geraten ("we strongly encourage"), zusätzlich zu Username und Passwort noch eine sechsstellige PIN (bei kleineren Kindern ein Bild) auszuwählen, was beim Login abgefragt wird. Classlink vermarktet das zwar als MFA, es ist aber keine. Denn Multifaktorauthentifizierung stellt darauf ab, dass neben dem Faktor Wissen (Username, Passwort, PIN/Bild, Mädchenname der Base, Geburtsort des Oheims, et cetera) eben noch andere, vom Erinnerungsvermögen unabhängige Faktoren, gegeben sein muss.

Das wäre in aller Regel der Besitz eines Geräts wie zum Beispiel eines Handys (Authenticator App), einer SIM-Karte (SMS) oder eines Hardwareschlüssels; möglich wäre auch die Beschränkung auf bestimmte Orte oder Netzem aber die Kinder sollen sich auch von auswärts einloggen können. Handys sind in Portlands Schulen verboten, und 44.000 Yubikeys für die Schüler (4-18 Jahre) zu beschaffen, war wohl zu teuer. Zudem wäre die Verlustrate der kleinen USB-Dinger unter Schülern wohl nicht unerheblich.

Weiterlesen
  150 Aufrufe

Jetzt patchen! Attacken auf Android-Smartphones von Samsung beobachtet

Derzeit nutzen Angreifer eine Sicherheitslücke in Samsung-Smarthpones mit Android 13, 14, 15 und 16 aus. Darüber kann Schadcode auf Geräte gelangen. Ein Sicherheitspatch ist für ausgewählte Geräte verfügbar.

Wenige Tage nach dem Android-Patchday im September warnt Samsung im Sicherheitsbereich seiner Mobile-Website vor Attacken. Den Angaben zufolge steckt die Lücke (CVE-2025-21043 "hoch") in der Bildverarbeitungsbibliothek libimagecodec.quram.so. Daran können auf einem nicht näher beschriebenen Weg entfernte Angreifer ansetzen, um Schadcode auszuführen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. Die Schwachstelle wurde von Metas WhatsApp-Sicherheitsteam an Samsung gemeldet. In welchem Zusammenhang der WhatsApp-Messenger mit der Sicherheitslücke steht, geht zurzeit nicht aus dem Beitrag hervor.

Um Geräte vor der geschilderten Attacke zu schützen, müssen Besitzer von noch im Support befindlichen Samsung-Geräten die Sicherheitsupdatesammlung SMR Sep-2025 Release 1 installieren.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Weiterlesen
  129 Aufrufe

Lücke in Microsoft Agentic AI und Visual Studio kann Schadcode passieren lassen

Angreifer können an einer Schwachstelle in Microsoft Agentic AI und Visual Studio ansetzen. Klappt eine Attacke, können sie Schadcode ausführen und Systeme mit hoher Wahrscheinlichkeit vollständig kompromittieren. Ein Sicherheitsupdate steht zum Download bereit.

Wie aus einer Warnmeldung hervorgeht, ist die Lücke (CVE-2025-55319) mit dem Bedrohungsgrad "hoch" eingestuft. Der knappen Beschreibung der Schwachstelle zufolge sind Attacken aus der Ferne möglich und Angreifer können über ein Netzwerk Schadcode ausführen. Weitere Details zum Ablauf von Attacken sind derzeit nicht bekannt. In der Warnmeldung steht, dass es derzeit keine Angriffe gibt.

Microsoft stuft den Patch als wichtig ein. Demzufolge sollten Admins zeitnah reagieren. Die Entwickler versichern, die Lücke in Visual Studio Code 1.104.0 geschlossen zu haben. Ihnen zufolge sind vorige Versionen bis einschließlich 1.0.0 verwundbar.

Am Patchday in diesem Monat hat Microsoft zahlreiche weitere Sicherheitslücken in Office, Windows & Co. geschlossen.

Weiterlesen
  135 Aufrufe

Angreifer können IT-Sicherheitslösung IBM QRadar SIEM lahmlegen

Verschiedene Komponenten in IBMs IT-Sicherheitslösung QRadar SIEM sind verwundbar. Nutzen Angreifer die Schwachstellen erfolgreich aus, können sie unter anderem DoS-Zustände erzeugen, sodass Dienste abstürzen. Fällt dadurch der eigentlich durch die Anwendung versprochene Schutz weg, kann das fatale Folgen haben.

Auch wenn es bislang keine Berichte zu Attacken gibt, sollten Admins mit der Installation der Sicherheitsupdates nicht zu lange zögern. In einer Warnmeldung geben die Entwickler an, dass konkret die Versionen 7.5 bis einschließlich 7.5.0 UP13 IF01 angreifbar sind. Sie versichern, die Ausgabe QRadar 7.5.0 UP13 IF02 repariert zu haben.

Den Beschreibungen zufolge ist die Anwendung nicht direkt, sondern über Sicherheitslücken in Komponenten wie dem Linux-Kernel attackierbar. Die geschlossenen Sicherheitslücken sind mit dem Bedrohungsgrad "hoch" eingestuft. Angreifer können primär Speicherfehler erzeugen und so Instanzen abstürzen lassen (etwa CVE2025-49083). Im schlimmsten Fall kann aber auch Schadcode auf Systeme gelangen und diese kompromittieren. Wie solche Attacken im Detail ablaufen könnten, ist derzeit unklar.

Über den Linux-Kernel hinaus sind noch Komponenten wie CPython, Cryptography und Podman verwundbar. Weiterhin haben die Entwickler noch eine Softwareschwachstelle (CVE-2025-0164 "niedrig") in QRadar SIEM direkt geschlossen, erläutern sie in einem Beitrag. Dafür muss ein Angreifer aber schon über bestimmte Rechte verfügen. Ist das gegeben, kann er die Konfiguration verändern.

Erst Ende August dieses Jahres haben die IBM-Entwickler QRadar SIEM gegen mögliche Attacken abgesichert. In diesem Fall konnten sich Angreifer höhere Nutzerrechte verschaffen.

Weiterlesen
  128 Aufrufe

Cyberkriminelle: "Scattered Lapsus$ Hunters" haben keine Lust mehr

Die berüchtigte Cybercrime-Bande "Scattered Lapsus$ Hunters" zieht sich vorerst aus dem kriminellen Geschäft zurück. Das behauptet sie zumindest in einer Stellungnahme, die auf einer der Domains des mittlerweile abgeschalteten Untergrundforums "Breach Forums" veröffentlicht wurde. Szenekundige halten das Statement für authentisch, doch in sozialen Medien brüstet die Gruppe sich weiter mit Angriffen. Ein besonders vergiftetes Abschiedsgeschenk macht sie Strafverfolgern.

"Wie ihr wisst, waren die letzten Wochen hektisch", schreiben die unbekannten Verfasser und listen vermeintliche und tatsächliche Opfer auf. Strafverfolger wie Unternehmen verspotten die Autoren und deuten verschiedene bekannte, aber auch unveröffentlichte Datenlecks an. Sie drücken den Angehörigen der inhaftierten Gruppenmitglieder von Lapsus$, Scattered Spider und ShinyHunters aus und kündigen dann an: "Unsere Ziele sind erfüllt, es ist nun Zeit, sich zu verabschieden". Einige Mitglieder könnten sich jetzt auf den Millionen ausruhen, die durch Erpressung und Sabotage zusammengekommen seien, andere würden weiter forschen.

Tatsächlich erschienen in einem der Social-Media-Kanäle der Gruppe kurz nach der Ankündigung liebevoll mit MS Paint bearbeitete Screenshots offenbar interner Systeme verschiedener US-Behörden. Auch einen Angriff auf die britische National Crime Agency (NCA) deutete das vorerst letzte Posting der Bande an. Offenbar ist ein Teil der Gruppierung noch nicht bereit, den Ruhestand anzutreten.

Ganze Arbeit hat der Designbeauftragte von Scattered Lapsus$ Hunters geleistet: Der sorgfältig redigierte Screenshot zeigt offenbar eine interne Eingabemaske des FBI-Abfragesystems NICS.

(Bild: Telegram)

Weiterlesen
  195 Aufrufe

Docker Image Security – Teil 2: Minimale und sichere Docker Images

Viele Softwareentwicklungsteams verwenden Container-Images aus offiziellen Registries wie Docker Hub. Diese Images enthalten häufig viele Komponenten. Scanner wie Trivy oder Grype finden dann sehr viele CVEs (siehe Teil 1 dieser Serie), ob zu Recht (True Positives) oder als Fehlalarme (False Positives). Obgleich offizielle Images meist kostenlos sind, kann die Prüfung (Triage) aller gemeldeten CVE darin ein Kostentreiber sein – sofern das Team nicht riskieren will, auf die Suche tatsächlich ausnutzbarer CVEs zu verzichten.

Minimale Container-Images – auch als "distroless", "gehärtete" oder "chiseled" bekannt – bieten eine Lösung für dieses Problem. Unter dem Motto "weniger Komponenten bedeuten weniger Schwachstellen" verzichten sie auf alle Komponenten (etwa Shells oder Paketmanager), die zur Laufzeit normalerweise nicht gebraucht werden, um die Angriffsfläche zu reduzieren.

Anhand einer Gegenüberstellung der Vor- und Nachteile sowie einer Liste von kostenlosen und kostenpflichtigen minimalen Images für die Anwendungsfälle Basis-Linux, PHP, Python, Java, C#/.NET und Node.js, soll dieser Artikel DevOps-Teams bei der Auswahl geeigneter Container-Images helfen.

Minimale Images enthalten nur die absolut notwendigen Komponenten, um die eigentlichen Basis-Funktionen auszuführen (beim postgres-Image ist etwa der PostgreSQL-Server die Basis-Komponente). Ziel ist, die Angriffsfläche für Hacker so weit wie möglich zu reduzieren (siehe Abbildung 1) und Komponenten auszuschließen, etwa:

Distro-spezifische Paketmanager, z.B. apt für Debian/Ubuntu, apk für Alpine oder dnf/yum für Red HatVerschiedene Linux-Distro-spezifische Pakete, die normalerweise standardmäßig installiert, aber nicht erforderlich sind, um eine Anwendung auszuführen, z.B. Binärdateien und Bibliotheken für perl, grep oder gzip. Lässt man solche Komponenten weg, hat man ein "distroless" Image ohne Färbung von Distro-Vorlieben.Eine Shell (z.B. /bin/bash oder /bin/sh)Debugging-Werkzeuge, beispielsweise curl zur Diagnose von VerbindungsproblemenWährend Slim Images (z.B. python:3.13-slim) in der Regel kleiner als die regulären Image-Varianten sind (z.B. python:3.13), enthalten sie dennoch eine Shell und einen Paketmanager und erleichtern es daher einem Angreifer, tiefer in ein System einzudringen!

Komponenten-Vergleich: minimale vs. nicht-minimale Images (Abb. 1)

Weiterlesen
  185 Aufrufe

Sicherheitsupdates: Angreifer können Cisco-Router lahmlegen

Angreifer können mehrere Sicherheitslücken in Ciscos System IOS XR ausnutzen. Dieses System dient unter anderem für Router der ASR-9000-Serie als Basis. Bislang gibt es keine Berichte über Attacken.

Die Entwickler versichern, die Lücken in den IOS-XR-Versionen 24.2.21, 24.4.2, 25.1.1, 25.1.2 und 25.2.1 geschlossen zu haben. Cisco gibt an, dass es für die folgenden Ausgaben keine Sicherheitsupdates gibt: 7.10, 7.11, 24.1, 24.3 und 24.4.

Am gefährlichsten gilt eine DoS-Lücke (CVE-2025-20340 "hoch"), die sich in der Implementierung des Address Resolution Protocols (ARP) findet. An dieser Stelle können Angreifer ohne Authentifizierung das Managementinterface mit Anfragen überfluten, sodass Instanzen überlastet und nicht mehr nutzbar sind.

Setzen Angreifer erfolgreich an einer weiteren Schwachstelle (CVE-2025-20248 "mittel") an, können sie .iso-Images manipulieren, die dann installiert werden. Dafür müssen sie aber eine große Hürde überwinden und bereits als Root-Nutzer an verwundbaren Systemen angemeldet sein.

Über die dritte Schwachstelle (CVE-2025-20159 "mittel") können Angreifer Access Control Lists (ACL) umgehen.

Weiterlesen
  160 Aufrufe

Jetzt patchen! Erneut Attacken auf SonicWall-Firewalls beobachtet

Wiederholt ist eine Schwachstelle in bestimmten Firewalls von SonicWall im Visier von Angreifern. Sicherheitsupdates sind bereits seit rund einem Jahr verfügbar, aber offensichtlich weiterhin nicht flächendeckend installiert.

Die "kritische" Sicherheitslücke (CVE-2024-40766) ist seit August vergangenen Jahres bekannt. Bereits im September 2024 kam es zu ersten Attacken. Im Oktober gleichen Jahres nutzten dann die Ransomwarebanden Akira und Fog die Schwachstelle aus.

Im August dieses Jahres sorgten dann erneut Attacken auf SonicWall-Firewalls für Schlagzeilen. Sicherheitsforscher vermuteten erst eine Zero-Day-Lücke als Ansatzpunkt für Angreifer. Es stellte sich aber relativ schnell heraus, dass die Lücke aus 2024 erneut ausgenutzt wurde.

Wie aus der initialen Warnmeldung von SonicWall hervorgeht, sind von der Schwachstelle in der SSLVPN-Komponente bestimmte, in dem Beitrag aufgelistete Firewalls der Gen-5-, Gen-6- und Gen-7-Serie betroffen. Die Lücke ist ab den Versionen 5.9.2.14-13o, 6.5.2.8-2n (für SM9800, NSsp 12400, NSsp 12800), 6.5.4.15.116n (für andere Gen6-Firewall-Appliances) und 7.0.1-5035 geschlossen.

Sind Attacken erfolgreich, können Angreifer Instanzen abstürzen lassen und sich unbefugten Zugriff verschaffen. Neben der Installation der Sicherheitsupdates sollten Admins auch die Zugangsdaten ändern. Außerdem sollte sichergestellt sein, dass die Multi-Faktor-Authentifizierung (MFA) eingeschaltet ist.

Weiterlesen
  162 Aufrufe

Großbritannien: Schüler als Gefahr für die Cybersicherheit an Schulen

In Großbritannien stecken Schüler oder Schülerinnen hinter mehr als der Hälfte der von Insidern ausgeführten Cyberattacken auf Schulen. Das hat eine Analyse der britischen Datenschutzbehörde ergeben, die über 200 Vorfälle aus der Zeit zwischen Januar 2022 und August 2024 ausgewertet hat. Bei knapp einem Drittel der Vorfälle waren demnach entwendete Zugangsdaten ursächlich für eine Datenschutzverletzung, und die seien zu 97 Prozent auf Kosten von Kindern oder Jugendlichen gegangen. Das Information Commissioner's Office (ICO) spricht von einem besorgniserregenden Trend und ergänzt, dass Nachlässigkeiten vonseiten der Schulen einen erheblichen Anteil an dem Problem hätten. Die sollten deshalb ihre Cybersicherheit verstärken.

Dabei nennt die Behörde einige Beispiele. So hätten sich drei 11-Jährige unrechtmäßig Zugang zu einem System ihrer weiterführenden Schule verschafft, in dem Daten zu mehr als 1400 Schülern vorgehalten wurden. Im Nachhinein hätten sie erklärt, sich für IT und Cybersicherheit zu interessieren. Sie hätten ihre Fähigkeiten testen wollen und Werkzeuge aus dem Internet benutzt, um Passwörter zu knacken. In einem anderen Fall habe ein Schüler genauso einen Zugang benutzt, Informationen in einer Datenbank zu 9000 Beschäftigten, Bewerbern und Schülern nicht nur einzusehen, sondern zu ergänzen und abzuändern. Der Fall landete demnach bei der Polizei.

Die Behörde fordert Schulen jetzt auf, "Teil der Lösung zu sein" und mehr für Datenschutz und Cybersicherheit zu tun. Aber auch Eltern sollten ihre Rolle wahrnehmen und regelmäßig mit ihren Kindern darüber sprechen, was diese online tun. Was spaßig wirke, könne sich schnell in "illegale und schädliche Aktivität" mit weitreichenden Konsequenzen ausarten. Das kann offenbar auch früher anfangen, als man denken sollte. So habe die britische Kriminalpolizei NCA ermittelt, dass jedes fünfte Kind zwischen 10 und 16 Jahren online illegal aktiv sei. Zu einem Programm, das auf die schiefe Bahn geratenen Menschen mit weitreichenden IT-Kenntnissen helfen soll, sei erst vor einem Jahr sogar ein gerade einmal sieben Jahre altes Kind vermittelt worden.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Weiterlesen
  199 Aufrufe

Sicherheitslücken: Angreifer können GitLab-Instanzen lahmlegen

Angreifer können an sechs Sicherheitslücken in der Softwareentwicklungsplattform GitLab ansetzen und Systeme attackieren. Die Entwickler geben an, die Schwachstellen geschlossen zu haben. Ihren Angaben zufolge laufen auf GitLab.com bereits gepatchte Versionen.

Admins von On-Premise-Instanzen müssen tätig werden und eine der reparierten Ausgaben von GitLab Community Edition (CE) und Enterprise Edition (EE) 18.1.6, 18.2.6, 18.3.2 installieren. Wie aus einer Warnmeldung hervorgeht, sind zwei Schwachstellen (CVE-2025-2256, CVE-2025-6454) mit dem Bedrohungsgrad "hoch" eingestuft. Im ersten Fall können Angreifer im Kontext von SAML-Responses DoS-Zustände auslösen. Im anderen Fall müssen Angreifer bereits authentifiziert sein. Dann können sie der Beschreibung zufolge bestimmte Anfragen im Proxy-Kontext manipulieren.

Durch das erfolgreiche Ausnutzen der verbleibenden Lücken können Angreifer unter anderem unberechtigt auf Informationen zugreifen. Bislang gibt es keine Berichte zu laufenden Attacken.

Mitte August dieses Jahres haben die Entwickler zwölf Sicherheitslücken in GitLab geschlossen.

Weiterlesen
  177 Aufrufe

GitHub Copilot integriert JFrog zu Absicherung von Code und Abhängigkeiten

Der KI-Coding-Assistent GitHub Copilot bekommt Verstärkung durch die Sicherheitstools der DevSecOps-Plattform JFrog. Copilot erkennt über JFrogs MCP-Server (Model Context Protocol) automatisch Schwachstellen sowie korrupte und nicht compliancegerechte Pakete im Code. Bei einem Fund bietet er sofort Korrekturvorschläge an. JFrog hat darüber hinaus einen Dienst zum Verwalten von KI-Modellen und -Ressourcen im Unternehmen vorgestellt sowie als Beta ein agentengesteuertes Repository für die Bereitstellung von Software.

Die Kommunikation vom GitHub Copilot zu JFrog erfolgt über das MCP-Protokoll, das Ressourcen von JFrogs Sicherheitsagent Curation und dem zugehörigen Schwachstellenkatalog bereitstellt. Copilot prüft den Code für Entwicklerinnen und Entwickler in der IDE auf CVE-Schwachstellen und Probleme in abhängigen Open-Source-Paketen, die entweder unsicher sind oder nicht den Complianceregeln des Unternehmens entsprechen. Die Developer erhalten inline Korrekturvorschläge im Kontext des Codes und können weitere Informationen zu den festgestellten Problemen abrufen. Diese Funktionen erfordern die JFrog-Produkte Ultimate oder Unified Security.

Gemeinsam mit GitHub bietet JFrog zudem künftig in Repositories eine Absicherung des kompletten Lebenszyklus einer Softwarekomponente bis über die Auslieferung hinaus. Diese Funktionen lassen sich über den Dienst Artifactory am Anschluss an die gängigen Tests in Actions einbinden.

Neben den Tools in Kooperation mit GitHub hat JFrog weitere Neuerungen veröffentlicht: Für die Verwaltung von KI-Ressourcen innerhalb des Unternehmens gibt es künftig den AI Catalogue. Er dient dem Management und der Bereitstellung aller KI-Modelle und -Ressourcen im Unternehmen. Außerdem schafft er abgesicherte Verbindungen zu externen Modellen wie von OpenAI oder Anthropic, Nvidia Nemotron oder denen auf Hugging Face. Entwicklerinnen und Entwickler können über den Katalog auf sichere und compliancegerechte KI-Ressourcen zugreifen.

"Kein Setup. Keine Skripte. Nur chatten, um zu bauen und bereitzustellen." – Damit wirbt das neue agentengestützte Repository JFrog Fly, das derzeit nur als Closed Beta nutzbar ist. Es soll den gesamten Lebenszyklus einer Software umspannen und per MCP mit anderen Komponenten und Repositories kommunizieren, wie GitHub oder Claude Code.

Weiterlesen
  154 Aufrufe

Kritische Schadcode-Sicherheitslücke bedroht Google Chrome

Googles Chrome ist unter Linux, macOS und Windows angreifbar. Eine reparierte Version steht zum Download bereit.

In einer Warnmeldung listen die Entwickler zwei nun geschlossene Sicherheitslücken (CVE-2025-10200 "kritisch", CVE2025-10201 "hoch") auf. Der knappen Beschreibung zufolge betrifft die kritische Schwachstelle die Serviceworker-Komponente. Hier können Angreifer auf einem nicht näher ausgeführten Weg Speicherfehler (Use after free) auslösen. In solchen Fällen gelangt üblicherweise Schadcode auf Systeme und kompromittiert sie.

Die konkreten Auswirkungen nach erfolgreichen Attacken auf die zweite Lücke sind bislang unklar. Gegen die geschilderten Angriffe sind die Chrome-Ausgaben 140.0.7339.127 (Linux), 140.0.7339.132/.133 (macOS) und 140.0.7339.127/.128 (Windows) gerüstet.

Standardmäßig aktualisiert sich der Webbrowser automatisch. Um die installierte Version zu prüfen und manuell ein Update anzustoßen, muss man unter "Hilfe" den Punkt "Über Google Chrome" aufrufen.

Weiterlesen
  153 Aufrufe

Sicherheitspatches: Unbefugte Zugriffe auf Ivanti-Fernzugriffslösungen möglich

Angreifer können an mehreren Sicherheitslücken in Ivanti Connect Secure, Neurons for Secure Access, Policy Secure und ZTA Gateways ansetzen, um Systeme zu attackieren.

Über die Fernzugriffslösungen regeln Admins etwa den VPN- und Netzwerkzugriff in Unternehmen. Damit keine unberechtigten Zugriffe auf Firmennetzwerke stattfinden, sollten Admins die zum Download stehenden Sicherheitsupdates zeitnah installieren. Bislang gibt es noch keine Berichte über laufende Attacken.

Wie aus einer Warnmeldung hervorgeht, sind mehrere Lücken mit dem Bedrohungsgrad "hoch" eingestuft (CVE-2025-55145, CVE-2025-55147, CVE-2025-55148, CVE-2025-55141, CVE-2025-55142). Sind Attacken erfolgreich, können Angreifer unter anderem eigene Befehle ausführen, die Kontrolle über HTML5-Verbindungen erlangen oder Einstellungen verbiegen. Für Letzteres muss ein Angreifer aber bereits Admin sein.

Wie Attacken konkret ablaufen könnten, ist bislang unklar. Die Entwickler versichern, dass die folgenden Ausgaben gegen die geschilderten Attacken abgesichert sind:

Connect Secure 22.7R2.9 oder 22.8R2Policy Secure 22.7R1.5Neurons for Secure Access Sicherheitsproblem wurde in der Cloud gelöst. Admins müssen an dieser Stelle nichts tun.ZTA Gateways 22.8R2.3-724

Im Mai dieses Jahres kam es zu Attacken auf Ivantis Endpoint Manager Mobile (EPMM).

Weiterlesen
  167 Aufrufe

Patchday Adobe: Lücken in Acrobat & Co. können Schadcode auf PCs lassen

Mehrere Adobe-Anwendungen sind unter macOS und Windows verwundbar. In einigen Fällen sind auch noch andere Plattformen betroffen. Im schlimmsten Fall können Angreifer die volle Kontrolle über Computer erlangen.

Weil die Auflistung der Sicherheitsupdates den Rahmen dieser Meldung sprengt, sind die Warnmeldungen mit den aufgelisteten Versionen am Ende dieses Beitrags verlinkt. Wie üblich, verrät Adobe keinerlei Informationen zu möglichen Angriffsszenarien. Bislang gibt es keine Hinweise, dass Angreifer die Schwachstellen bereits ausnutzen. Admins sollten mit der Installation der Sicherheitsupdates aber nicht zu lange warten.

Über mehrere Lücken in verschiedenen Acrobat-Anwendungen kann Schadcode auf Systeme gelangen (etwa CVE-2025-54257 "hoch"). After Effects leakt nach erfolgreichen Attacken nicht näher beschriebene Inhalte aus dem Speicher (etwa CVE-2025-54239 "mittel"). Angriffe auf ColdFusion 2021, 2023 und 2025 können dazu führen, dass Angreifer schreibend auf das Dateisystem zugreifen können (CVE-2025-54261 "kritisch").

Im Kontext einer Schwachstelle (CVE-2025-54236 "kritisch") in Commerce können Angreifer Sicherheitsmechanismen umgehen. Das ist auch bei Experience Manager der Fall. Dreamweaver ist für eine CSRF-Attacke (CVE-2025-54256 "kritisch") anfällig. Premiere Pro kann Schadcode passieren lassen (CVE-2025-54242 "hoch"). Substance 3D Modeler und Substance 3D Viewer sind ebenfalls für Schadcode-Attacken empfänglich (etwa CVE2025-54243 "hoch").

Auflistung der Sicherheitspatches:

Weiterlesen
  152 Aufrufe

"Passwort" Folge 40: Probleme mit Widerrufen, Verbindungsabbrüchen und anderem

Es bleibt spannend in der IT-Sicherheitswelt – und abwechslungsreich, wie Sylvester und Christopher feststellen. Erneut haben sie so viele Themen auf dem Zettel, dass unmöglich alle in eine Folge passen. In der vierzigsten Ausgabe von "Passwort" sprechen sie nicht nur wie üblich ausgiebig über verschiedene Aspekte der WebPKI, sondern schauen sich auch zwei interessante Sicherheitsfehler im Detail an.

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen. Podcasts immer laden

Feedback und Ergänzungen zu vergangenen Folgen kommen zu verschiedenen Themen: Angesichts der schlampig gestalteten und sicherheitstechnisch sehr fragwürdigen Marketing-Mail einer großen CA rauft sich Sylvester am Mikrofon das Haupthaar und bittet die Hörer um Mithilfe: Wer E-Mails von Dienstleistern, Online-Shops oder digitalen Plattformen erhalten hat, die von Phishing nicht zu unterscheiden sind, Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.. Sylvester sammelt für einen Vortrag im Spätherbst und möchte möglichst viele gruselige Beispiele sammeln.

In einem Gutteil der Folge geht es ums Web und die zugehörige PKI: So ergänzen die Podcaster Informationen und Diskussionen um Let's Encrypt und Certificate Transparency und führen erstmals ein kleines Theaterstück auf. Christopher (in seiner Rolle als Microsoft-CA) und Sylvester (das Chrome-Root-Programm verkörpernd) interpretieren einen Disput zwischen den beiden Akteuren, den diese coram publico ausgetragen hatten. Grund des Streits: Microsofts Zögern, über 70 Millionen TLS-Zertifikate wegen eines Schreibfehlers in den Zertifikatsrichtlinien zurückzuziehen.

Nur durch massiven Druck der Konkurrenz aus Mountain View hatte Microsoft sich überzeugen lassen, das für alle Zertifizierungsstellen geltende Regelwerk einzuhalten. Zwar hatte Microsoft erst in der vergangenen Folge reichlich Kritik der Hosts abbekommen, aber auch dem Vorgehen des Softwareriesen im aktuellen Fall können sie wenig Positives abgewinnen. Denn Microsofts merkliche Unlust rührte offenbar auch daher, dass die CA mit den Widerrufen technisch überfordert war – ein böses Omen.

Gewiss, eine derart gewaltige Zertifikatszahl zurückrufen und teilweise neu ausstellen zu müssen, ist kein Pappenstiel. Doch "pacta sunt servanda", musste auch Microsoft einsehen und widerruft nun so schnell langsam, wie es ihr aktuelles Set-up erlaubt. In Zukunft soll das besser werden, nicht nur bei Microsoft, denn wer im Fall eines eher unbedeutenden Dokumentationsfehlers nicht widerrufen kann, kann es auch bei einer massiven Sicherheitslücke nicht. Jetzt muss jede CA bis zum 1. Dezember 2025 einen Plan für Fälle von "Mass Revocation", also massenhaftem Zertifikatswiderruf, erarbeiten und veröffentlichen. So profitiert immerhin das gesamte Ökosystem von dem Vorfall.

Weiterlesen
  158 Aufrufe

Patchday Microsoft: Azure, Office, Windows & Co. sind angreifbar

Angreifer können an mehrere Sicherheitslücken in unter anderem Azure, Defender, Hyper-V, Office, Windows und einem Xbox-Service ansetzen. Im schlimmsten Fall kann Schadcode auf Computer gelangen und Systeme vollständig kompromittieren. Eine Windows-Schwachstelle ist öffentlich bekannt und es können Attacken bevorstehen. Bislang gibt es aber noch keine Berichte zu Angriffen.

Die bekannte Lücke (CVE-2025-55234 "hoch") betrifft die SMB-Komponente von Windows. Daran können Angreifer für eine Relay-Attacke ansetzen. Dabei fangen Angreifer oft Anmeldedaten ab. In diesem Fall können sich Angreifer Microsoft zufolge höhere Nutzerrechte verschaffen. Davon sind unter anderem Windows 10, 11 und verschiedene Windows-Server-Versionen bedroht. Neben der Installation des Sicherheitsupdates empfiehlt Microsoft, Funktionen wie SMB Server signing gegen Relay-Attacken zu aktivieren.

Am gefährlichsten gilt eine Schwachstelle (CVE-2025-55232 "kritisch") in Microsofts Computercluster-Verwaltung High Performance Computer (HPC). Nutzen Angreifer die Lücke erfolgreich aus, können sie über ein Netzwerk Schadcode ausführen.

Microsoft stuft noch weitere Lücken als "kritisch" ein. Darunter unter anderem welche in Hyper-V (CVE-2025-55224 "hoch"), Windows Graphics Component (CVE-2025-55228 "hoch") und Windows NTLM (CVE-2025-54918 "hoch"). In diesen Fällen können sich Angreifer primär höhere Nutzerrechte verschaffen. Über eine Office-Lücke (CVE-2025-54910 "hoch") kann Schadcode auf Systeme gelangen.

Eine Lücke (CVE-2025-55245 "hoch") betrifft die App Xbox Gaming Services. Hier können Angreifer nach erfolgreichen Attacken Dateien auf einem System löschen.

Weiterlesen
  158 Aufrufe

Die Comretix GmbH ist ein IT Systemhaus aus Tuttlingen. Seit über 30 Jahren betreuen wir unsere Kunden in Baden-Württemberg, der Schweiz und im gesamten Bundesgebiet mit Leidenschaft, Fairness und Loyalität. Wir bauen auf eine zuverlässige Partnerschaft mit unseren Lieferanten und Kunden. Unseren Mitarbeitern stehen wir auf Augenhöhe gegenüber.

Comretix GmbH Logo