Sie sind hier: Home » Aktuelle Meldungen

Charta und Abonnement

  • Das RUS-CERT veröffentlicht Ticker-Meldungen nach bestimmten Grundsätzen.
  • Sie können den RUS-CERT-Ticker regelmäßig per E-Mail oder RSS-Feed beziehen.

Suche in Meldungen

Hinweise zur Suche in RUS-CERT-Meldungen, insbesondere nach CVE-Namen

Aktuelle Meldungen

  • [Generic/UniNow] Aktuelle Version der App UniNow verspricht Verbesserungen beim Authentisierungsverfahren (2016-10-28)
    Nachdem das RUS-CERT am 2016-08-10 eine Warnung vor der Nutzung der App UniNow veröffentlich hat, da in deren Rahmen Zugangsdaten zu Konten der Universität Stuttgart an Server der UniNow GmbH übermittelt wurden (Verstoß gegen den § 3 Abs. 2 f der Benutzungsordnung für die digitale Informationsverarbeitung und Kommunikationstechnik (IuK) an der Universität Stuttgart) hat diese nun reagiert und eine neue Version ihrer App veröffentlicht, die Abhilfe verspricht.
    In der Pressemitteilung des Herstellers wird mitgeteilt, dass die Zugangsdaten zu Konten der Hochschulen nunmehr nur auf dem Endgerät des Benutzers gespeichert blieben und nicht mehr an dritte Systeme weitergegeben würden. Das derart geänderte Verfahren verstößt nicht gegen die Benutzungsordnung, da Zugangsdaten nicht über die App an Dritte weitergegeben werden.
    Benutzer, die diese App verwenden oder verwendet haben, werden daher aufgefordert, ihre Installation auf die neue Version der App zu aktualisieren und ihre Zugangsdaten zu ändern.
  • [Generic/UniNow] Nutzung der App UniNow verstößt gegen die Benutzungsordnung (2016-08-10)
    Die Verwendung der App UniNow verstößt gegen den § 3 Abs. 2 f der Benutzungsordnung für die digitale Informationsverarbeitung und Kommunikationstechnik (IuK) an der Universität Stuttgart. Dies ergibt sich aus der Tatsache, dass der Anbieter dieser App Zugangsdaten zu Diensten der Universität Stuttgart auf seinen Servern im Klartext verarbeitet und für den Abruf von Daten von den Servern der Universität Stuttgart (sog. Webscraping) nutzt. Die Weitergabe von Zugangsdaten an Dritte, ist jedoch durch die Benutzungsordnung explizit verboten. Benutzer, die diese App verwenden oder verwendet haben, werden daher aufgefordert, ihre Zugangsdaten umgehend zu ändern, und von der Verwendung der App abzusehen. Grundsätzlich kann die unerlaubte Weitergabe von Zugangsdaten für IuK-Systeme der Universität Stuttgart zum Ausschluss von ihrer Nutzung führen.
  • [Generic/http] Probleme mit Proxy-Header bei CGI-Applikationen (2016-07-19)
    Der 'Proxy'-Header wird bei den meisten Webapplikationskonfigurationen ohne weitere Prüfungen in die Umgebungsvariablen von CGI-Applikationen übernommen. Das unmittelbare Deaktivieren des Headers wird empfohlen, Details siehe URL.
  • Sicherheitslücke im SAM/LSAD-Protokoll bei Samba und Microsoft Windows (Badlock) (2016-04-11)
    Am Dienstag, den 12. April 2016 haben Microsoft und das Samba-Team gegen 19 Uhr Informationen und Patches zur Badlock genannten Sicherheitslücke veröffentlicht, die Man-In-The-Middle-Angriffe auf das SAM- und LSAD-Protokolle ermöglicht. Sicherheitsupdates sollten umgehend eingespielt werden.
  • [Generic/TLS] Schwachstelle in SSL 2.0 und OpenSSL (DROWN) (2016-03-02)
    Die DROWN genannte Schwachstelle (CVE 2016-0800) in der TLS/SSL-Protokollversion SSL 2.0 bzw. in der entsprechenden Implementierung von OpenSSL (CVE-2015-3197, CVE-2016-0703) ermöglicht einem nicht authentifizierten Angreifer über eine Netzwerkverbindung das Ausspähen von verschlüsselt übertragener Information. Betroffen sind alle Serversysteme, welche TLS/SSL in der Version SSL 2.0 unterstützen, insbesondere Webserver und Mailserver. Betroffene Administratoren sollten umgehend SSL 2.0 deaktivieren und, falls OpenSSL eingesetzt wird, auf die Versionen 1.0.1s bzw. 1.0.2g aktualisieren.

Anderswo

Aktuelle Links zu externen Quellen:

  • [DV-Recht] US-Gericht erlaubt Microsoft die massenhafte Übernahme von Domains anderer Provider (2014-07-01)
    Das Bundesbezirksgericht im US-Bundesstaat Nevada hat nach einer Klage Microsofts gegen Personen, die Malware, die Windows-Installationen angreift, verbreitet haben sollen, entschieden. alle .com, .net, .org, .biz und .info Domains des DynDNS-Anbieters NoIP an Microsoft zu übertragen. Dies sollte Microsoft in die Lage versetzen, die Domains zu filtern, über die die Malware nach Angaben Microsofts verbreitet worden sein sollen. Es erscheint sehr fraglich, ob die Übernahme von Domainnamen eines DynDNS-Anbieters einen wesentlichen Effekt auf die Verbreitung von Malware haben wird.
    Heute übernahm Microsoft, offenbar ohne vorher den Besitzer NoIP zu informieren (siehe deren Stellungnahme dazu) sämtliche Domains. Dies führte zu massiven Ausfällen bei den Kunden des DynDNS-Anbieters. weil Microsoft offenbar sehr schlecht vorbereitet und nicht in der Lage war, den Nameservice für die Kunden aufrecht zu erhalten.
    Neben diesem offensichtlichen Unvermögen, der NoIP potentiell großen Schaden zufügen kann und dem zu erwartenden eher sehr geringen Effekt bei der Malwarebekämpfung, ist es höchst bemerkenswert, dass es in den USA offenbar möglich ist, dass Microsoft einer anderen Firma mit Hilfe eines Gerichts die Geschäftsgrundlage entziehen kann, um seine bereits verkauften und durch andere betriebenen Produkte zu schützen. Maßnahmen und Methoden, wie das Übernehmen oder Abschalten von Internet-Infrastruktur, um mögliche ungesetzliche Handlungen zu verhindern (hier die angebliche Verbreitung von Malware), sind normalerweise Exekutivorganen eines Staates vorbehalten und werden nicht (möglicherweise konkurrierenden) Privatfirmen übertragen.
  • [DV-Recht] Microsoft durchsucht E-Mail-Konto eines Kunden (2014-03-21)
    Microsoft hat das E-Mail-Konto eines Kunden seines Dienstes Hotmail auf der Grundlage seiner Geschäftsbedingungen ausgewertet. Microsoft war auf der Suche nach einem Informationsleck, weil Teile des Codes des Betriebssystems Windows 8 auf dem Blog des Kunden aufgetaucht waren und der Konzern nun herausfinden wollte, woher diese als Geschäftsgeheimnis eingestufte Information gekommen war. Die Juristen Microsofts hatten entschieden, dass die Firma aufgrund der durch die Nutzer akzeptierten Geschäftsbedingungen auch private Daten des betreffenden Nutzers auswerten dürfe und dazu keine Legitimation durch einen Gerichtsbeschluss nötig sei.
    Dies ist in sofern sehr bemerkenswert, als dass es plausibel erscheint, dass mit dieser Begründung auch die Daten von Kunden anderer Dienste, wie etwa Office 365, unter diese Regelung fallen und jederzeit ausgewertet werden können. Es muss daher davon ausgegangen werden, dass Daten, die bei solchen Diensten gespeichert werden, nicht als vertaulich eingestuft werden können. Daraus ist zu schließen, dass Daten, die einer Geheimhaltungspflicht unterliegen, etwa Daten eines Projektes mit entsprechender Vereinbarung, nicht auf diesen Diensten verarbeitet werden können, ohne die Vereinbarung zu brechen. Gleiches gilt für schutzwürdige personenbezogene Daten. (s.a. heise)
  • [Generic/PPTP] "Der Todesstoß für PPTP" (2012-10-10)
    Der IT-Sicherheitsexperte Moxie Marlinspike mit seinem Projekt CloudCracker einen Dienst anbietet, der verspricht, "jeden PPTP-Zugang innerhalb eines Tages zu knacken". Die Heise-Redaktion hat den Dienst ausprobiert, mit höchst erschreckendem Ergebnis: Zwar hat das Knacken des PPTP-Zugangs zum Heise-LAN runde 36 Stunden gedauert, also etwas länger als versprochen, dennoch konnte der Redakteur danach problemlos den geknackten Zugang verwenden. Die Tauglichkeit des Protokolls für die Absicherung von VPN-Verbindungen muss daher als nicht mehr gegeben angesehen werden. (heise)
  • [Windows/Skype] Schwachstelle im Skype-Client (2011-08-04)
    Eine Schwachstelle im Skype Client 5.5 ermöglicht es einem Angreifer, das Skype-Konto eines betroffenen Benutzers unter seine Kontrolle zu bringen. Durch einen Entwurfsfehler werden bei der Benutzung der Facebook-Pinnwand- oder Kommentarfunktion die Sitzungsdaten für Dritte sichtbar, so dass das Konto des Benutzers übernommen werden kann. Die Schwachstelle wurde durch die neue Version, die diese Facebook-Funktionen erstmals anbietet, neu eingeführt. (Secalert.net)
  • [Google/Android] Schwachstelle im Smartphonebetriebsystem Android (2011-05-18)
    Verschiedene Applikationen für das Smartphonebetriebssystem Android senden Authentifizierungsdaten (AutheToken), die das Telefon bei der Anmeldung beim Google-Server erhalten hat, in un- oder nicht individuell verschlüsselten (alle Teilnehmer verwenden denselben Schlüssel) im Klartext. Dies erlaubt Dritten das Token abzufangen und mit seiner Hilfe auf alle persönlichen Daten, die über die Google-API verfügbar sind zugreifen. Siehe hierzu auch Catching AuthTokens in the Wild The Insecurity of Google's ClientLogin Protocol des Instituts für Medieninformatik der Universität Ulm. (heise)