Sie sind hier: Home » Aktuelle Meldungen

Charta und Abonnement

  • Das RUS-CERT veröffentlicht Ticker-Meldungen nach bestimmten Grundsätzen.
  • Sie können den RUS-CERT-Ticker regelmäßig per E-Mail oder RSS-Feed beziehen.

Suche in Meldungen

Hinweise zur Suche in RUS-CERT-Meldungen, insbesondere nach CVE-Namen

Aktuelle Meldungen

  • [DV-Recht] EuGH kippt Vorratsdatenspeicherung (2014-04-08)
    Der Europäische Gerichtshof (EuGH) hat die EU-Richtlinie 2006/24/EG für rechtswidrig erklärt. Nach Ansicht des Gerichtes verstößt sie gegen die Grundrechtecharta der EU, sie "beinhaltet einen Eingriff von großem Ausmaß und besonderer Schwere in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten, der sich nicht auf das absolut Notwendige beschränkt". Die Richtlinie sah vor, dass die Mitgliedsstaaten jeweils ein nationales Gesetz verabschieden müssen, das Provider zur sechsmonatigen Speicherung aller Verbindungsdaten, die in ihrer Infrastruktur angefallen sind, verpflichtet. Diese Vorgabe ist nun Geschichte.
  • [Generic/OpenSSL] Ernste Schwachstelle in OpenSSL (2014-04-08)
    Eine Schwachstelle in der TLS heartbeat extension kann von einem Angreifer durch das Senden eines speziell formulierten Paketes dazu ausgenutzt werden, bis zu 64 kbytes des Speichers eines TLS-Servers oder Clients auszulesen (sog. Heartbleed Bug). Dies kann u.U. dazu führen, dass der Angreifer in den Besitz des privaten Schlüssel des Servers oder Clients kommt. TLS-Verbindungen mit OpenSSL-Installationen der betroffenen Versionen müssen daher als unsicher angesehen werden. Auch zwischegespeichte Passwörter oder andere sensitive Daten können unter Ausnutzung dieser Schwachstelle aus dem Speicher eines betroffenen Systems ausgelesen werden. Das OpenSSL-Team hat eine neue Version herausgegeben, die die Schwachstelle behebt. Es wird dringend zur unverzüglichen Aktualisierung betroffener Systeme und dem Austausch des jeweiligen Schlüsselpaars geraten. Ebenfalls sollten alle Passwörter, die über eine betroffene TLS-Verbindung ausgetauscht wurden, vorsorglich geändert werden.
  • [Identitätsdiebstahl] Erneut rund 18 Millionen Zugangsdatensätze gestohlen (2014-04-07)
    Das Bundesamt für Sicherheit in der Informationstechnik hat erneut im Rahmen von laufenden Ermittlungen der Staatsanwaltschaft Verden eine Liste von rund 18 Millionen Identäten erhalten, die gestohlen wurden. Die Liste enthält E-Mail-Adressen, die zur Identifikation dienen sowie das zugehörige Passwort. Sie können und werden für kriminelle Aktivitäten verwendet. Da es weitverbreitete Praxis ist, diese Daten auch für andere Dienste (etwa Online-Auktionshäuser, soziale Netzwerke oder gar Onlinebankingkonten) zu verwenden, sind ggf. auch diese Konten als kompromittiert anzusehen.
    Das BSI stellt ein Werkzeug zur Verfügung, mit dem überprüft werden kann, ob die eigene E-Mail-Adresse auf dieser Liste enthalten ist. Benutzern wird dringend empfohlen, diese Überprüfung erneut durchzuführen und vorsorglich Passwörter zu ändern, insbesondere dann, wenn bekannt ist, dass Zugangsdaten auf einem kompromittierten Rechnersystem eingegeben wurden. Weiterhin wird dringend empfohlen, Passwörter nicht mehrfach zu verwenden. Es sollte die Maßgabe "Jede Identität und jeder Zugang hat sein eigenes Passwort!" gelten.
    ACHTUNG! Die aktuelle Liste ist von der am 2014-01-22 bekannt gewordenen Liste (siehe RUS-CERT-1718) verschieden! Identitäten, die nicht auf der damals bekannt gewordenen Liste enthalten waren, können auf der aktuellen Liste enthalten sein und damals enthaltene, nun geänderte Identitäten können wieder enthalten sein! Daher ist der Test unbedingt erneut durchzuführen!
  • [Microsoft/Winows XP] Wartung für Windows XP läuft im April 2014 aus (2014-03-06)
    Am 8. April 2014 endet die Unterstützung von Microsoft für Windows XP. Dies bedeutet, dass ab dann keine Aktualisierungen und vor allem keine Patches für Sicherheitslücken mehr veröffentlicht werden. Der Betrieb von Rechnersystemen unter Windows XP muss ab diesem Zeitpunkt als unsicher angesehen werden und entspricht nicht mehr dem Stand der Technik. Bei Sicherheitsvorfällen, an denen solche Systeme beteiligt sind, kann dies zu haftungsrechtlichen Implikationen führen. Betreiber von Rechnersystemen unter Windows XP sind daher aufgefordert, diese Systeme bis zum o.g. Zeitpunkt auf ein neueres Windows- oder anderes, gewartetes Betriebssystem zu migrieren.
    (Wiederveröffentlichung der Meldung vom 2013-07-25)
  • [Identitätsdiebstahl] Rund 16 Millionen Zugangsdatensätze gestohlen (2014-01-22)
    Das Bundesamt für Sicherheit in der Informationstechnik hat im Rahmen von laufenden Ermittlungen eine Liste von rund 16 Millionen Identäten erhalten, die mittels eines Botnetzes gestohlen wurden. Die Liste enthält E-Mail-Adressen, die zur Identifikation dienen sowie das zugehörige Passwort. Sie können und werden für kriminelle Aktivitäten verwendet. Da es weitverbreitete Praxis ist, diese Daten auch für andere Dienste (etwa Online-Auktionshäuser, soziale Netzwerke oder gar Onlinebankingkonten) zu verwenden, sind ggf. auch diese Konten als kompromittiert anzusehen.
    Das BSI stellt ein Werkzeug zur Verfügung, mit dem überprüft werden kann, ob die eigene E-Mail-Adresse auf dieser Liste enthalten ist. Benutzern wird dringend empfohlen, diese Überprüfung durchzuführen und vorsorglich Passwörter zu ändern, insbesondere dann, wenn bekannt ist, dass Zugangsdaten auf einem kompromittierten Rechnersystem eingegeben wurden. Weiterhin wird dringend empfohlen, Passwörter nicht mehrfach zu verwenden. Es sollte die Maßgabe "Jede Identität und jeder Zugang hat sein eigenes Passwort!" gelten.

Anderswo

Aktuelle Links zu externen Quellen:

  • [DV-Recht] Microsoft durchsucht E-Mail-Konto eines Kunden (2014-03-21)
    Microsoft hat das E-Mail-Konto eines Kunden seines Dienstes Hotmail auf der Grundlage seiner Geschäftsbedingungen ausgewertet. Microsoft war auf der Suche nach einem Informationsleck, weil Teile des Codes des Betriebssystems Windows 8 auf dem Blog des Kunden aufgetaucht waren und der Konzern nun herausfinden wollte, woher diese als Geschäftsgeheimnis eingestufte Information gekommen war. Die Juristen Microsofts hatten entschieden, dass die Firma aufgrund der durch die Nutzer akzeptierten Geschäftsbedingungen auch private Daten des betreffenden Nutzers auswerten dürfe und dazu keine Legitimation durch einen Gerichtsbeschluss nötig sei.
    Dies ist in sofern sehr bemerkenswert, als dass es plausibel erscheint, dass mit dieser Begründung auch die Daten von Kunden anderer Dienste, wie etwa Office 365, unter diese Regelung fallen und jederzeit ausgewertet werden können. Es muss daher davon ausgegangen werden, dass Daten, die bei solchen Diensten gespeichert werden, nicht als vertaulich eingestuft werden können. Daraus ist zu schließen, dass Daten, die einer Geheimhaltungspflicht unterliegen, etwa Daten eines Projektes mit entsprechender Vereinbarung, nicht auf diesen Diensten verarbeitet werden können, ohne die Vereinbarung zu brechen. Gleiches gilt für schutzwürdige personenbezogene Daten. (s.a. heise)
  • [Generic/PPTP] "Der Todesstoß für PPTP" (2012-10-10)
    Der IT-Sicherheitsexperte Moxie Marlinspike mit seinem Projekt CloudCracker einen Dienst anbietet, der verspricht, "jeden PPTP-Zugang innerhalb eines Tages zu knacken". Die Heise-Redaktion hat den Dienst ausprobiert, mit höchst erschreckendem Ergebnis: Zwar hat das Knacken des PPTP-Zugangs zum Heise-LAN runde 36 Stunden gedauert, also etwas länger als versprochen, dennoch konnte der Redakteur danach problemlos den geknackten Zugang verwenden. Die Tauglichkeit des Protokolls für die Absicherung von VPN-Verbindungen muss daher als nicht mehr gegeben angesehen werden. (heise)
  • [Windows/Skype] Schwachstelle im Skype-Client (2011-08-04)
    Eine Schwachstelle im Skype Client 5.5 ermöglicht es einem Angreifer, das Skype-Konto eines betroffenen Benutzers unter seine Kontrolle zu bringen. Durch einen Entwurfsfehler werden bei der Benutzung der Facebook-Pinnwand- oder Kommentarfunktion die Sitzungsdaten für Dritte sichtbar, so dass das Konto des Benutzers übernommen werden kann. Die Schwachstelle wurde durch die neue Version, die diese Facebook-Funktionen erstmals anbietet, neu eingeführt. (Secalert.net)
  • [Google/Android] Schwachstelle im Smartphonebetriebsystem Android (2011-05-18)
    Verschiedene Applikationen für das Smartphonebetriebssystem Android senden Authentifizierungsdaten (AutheToken), die das Telefon bei der Anmeldung beim Google-Server erhalten hat, in un- oder nicht individuell verschlüsselten (alle Teilnehmer verwenden denselben Schlüssel) im Klartext. Dies erlaubt Dritten das Token abzufangen und mit seiner Hilfe auf alle persönlichen Daten, die über die Google-API verfügbar sind zugreifen. Siehe hierzu auch Catching AuthTokens in the Wild The Insecurity of Google's ClientLogin Protocol des Instituts für Medieninformatik der Universität Ulm. (heise)
  • [Google/Android] Android-Malware bestellt kostenpflichtige Dienste per SMS (2011-05-18)
    Malware auf Mobiltelefonen ist bereits seit einiger Zeit bekannt, die technische Ausgreiftheit und der Trickreichtum bei ihrer Verbreitung wachsen jedoch unaufhörlich. Eine ganze Reihe von Schädlingen verbreitet sich ungeniert über Googles Appstore und zeigt so nebenbei wieder einmal das grundlegende Sicherheitsproblem dieses Marketinginstrumentes. Aktuelle Malware zielt auf Smartphone-Nutzer, die sich in chinesischen Netzen aufhalten. Sie sendet heimlich Nachrichten an Premium-SMS-Dienstleister und schließt dort Abonnements ab. Um die Aktion zu verschleiern überwacht sie anschließend den SMS-Eingang und löscht die Bestätigungsnachricht des Anbieters. Google hat die bekannten Apps aus dem Store gelöscht, allerdings ist unbekannt, wie lange dies gedauert hat. (heise)