Angriffe

Phishing-Angriffe auf Chrome-Entwickler

Zunächst fragt man sich natürlich, warum wohl seit zwei Monaten subtile Phishing-Angriffe speziell auf Entwickler von Erweiterungen zum Google-Browser Chrome laufen. Davon gibt es doch wohl kaum so viele, dass sich Angriffe auf diese Zielgruppe lohnen. Betrug in zwei Schritten Allerdings sind die Entwickler auch nicht wirklich das Endziel der aktuellen Durch-die-Brust-ins-Auge-Angriffe: Ziel der Phishing-Emails sind nämlich die Zugangsdaten der Google-Entwickler-Accounts. In diesen Emails steht dann, dass die Entwickler ihre Chrome-Erweiterung aktualisieren sollen. Wenn nun ein Entwickler seine Login-Daten auf einer gut nachgemachten Phishing-Webseite eingibt, übernehmen die Betrüger sofort die Kontrolle über den Account und alle damit verknüpften Chrome-Erweiterungen. Monetarisierung im letzten Akt Abschließend infiltrieren die Kriminellen die so erbeuteten Chrome-Erweiterungen mit Schadcode, der zum Beispiel beim Surfen von Millionen Nutzern der verseuchten Erweiterungen dann unerwünschte Werbung einblendet, für die sich die Phisher bezahlen lassen. Inzwischen blockiert Google den Aufruf der bekannten Phishing-Webseiten. Übernahmen dieser Art haben inzwischen schon mindestens zweimal funktioniert. Die Chrome-Erweiterungen Copyfish und Web Developer waren schon eine Zeit lang unter der Kontrolle der Phisher. Screenshot: Bleeper

GSL-Team2017-08-08T11:58:49+02:00August 8th, 2017|Allgemein, Webwerkzeuge|Kommentare deaktiviert

Adobe patcht 25 Flash-Sicherheitslücken

Wie schon angekündigt hat Adobe jetzt ein Sicherheitsupdate für seinen Flash Player herausgegeben. Der Patch stopft insgesamt 25 Sicherheitslücken, die Adobe als kritisch einstuft. Dazu gehört unter anderem auch eine Zero Day-Lücke, die aktuell schon aktiv für Angriffe benutzt wird. Von dem Problem sind alle aktuellen Flash-Versionen inklusive der in den Browsern Chrome, Internet Explorer 11 und Edge eingebundenen Plug-ins betroffen. Laut einem Sicherheitsbulletin können Angreifer durch diese Lücken Schadcode einschleusen und ausführen. So ist es unter Umständen durchaus möglich, die komplette Kontrolle über ein solches System zu übernehmen. Die Benutzer sollten so schnell wie möglich die fehlerbereinigten Versionen 21.0.0.242 oder 18.0.0.352 für Windows und OS X und 11.2.202.621 für Linux installieren, die Adobe über die integrierte Update-Funktion und über das Flash Player Download Center bereitgestellt hat. Die nötigen Patches für die Microsoft-Browser IE 11 und Edge sind schon seit Dienstagabend online. Auch Google hat gestern ein Update für Chrome 50 bereitgestellt, das schon die aktuelle Flash-Player-Version enthält. Im Grunde neigt sich die Zeit des proprietären Flash, das immer wieder neue Sicherheitsprobleme erzeugt, ihrem Ende zu, denn Flash wurde inzwischen weitestgehend vom Internet-Standard HTML 5 abgelöst.

GSL-Team2016-05-13T09:36:04+02:00Mai 13th, 2016|CSS, HTML|Kommentare deaktiviert

Java 8u91/92 bringt mehr Sicherheit
Java 8u91/92 bringt mehr Sicherheit

Allgemein, Webwerkzeuge

Java 8u91/92 bringt mehr Sicherheit

Gerade werden von Oracle die Updates JDK 8u91 und 8u92 verteilt, die vor allem die Sicherheit verbessern sollen. Dabei geht es diesmal nicht nur wie üblich um kritische Fehler in Java selbst, sondern der Umgang mit unsicheren Signaturen und potenziellen Angriffen durch das Ausnutzen von Fehlern stehen im Fokus. Die JVM (Java Virtual Machine) hat nun zwei neue Optionen, die den Umgang mit Out-of-Memory-Fehlern bestimmen, die die Virtual Machine bisher selbst behandelt hat. Bei Nutzung des Flags ExitOnOutOfMemory stoppt sie jetzt, sobald der Hauptspeicher nicht mehr ausreicht. Wenn ein Nutzer das Flag CrashOnOutOfMemory setzt, führt der Fehler zum Absturz der JVM, der dann entsprechende Einträge in den Log-Dateien erzeugt. Der Message-Digest Algorithm 5 (MD5) gilt schon länger als unsicher, weil das Erzeugen unterschiedlicher Nachrichten mit denselben MD5-Hashes recht einfach möglich ist. Deshalb akzeptiert die JSSE-Implementierung (Java Secure Socket Extension) inzwischen standardmäßig keine MD5withRSA-Signaturen mehr. Wer im Legacy-Bereich weiterhin auf MD5 angewiesen ist, muss sie erst manuell aus der Liste der deaktivierten Algorithmen (jdk.tls.disabledAlgorithms) wieder entfernen. Auch diesmal gibt es wie immer wieder eine große Anzahl von Bugfixes. Alle Neuerungen im JDK 8u91/8u92 finden Sie in den Release Notes. Auf der Download-Seite stehen das JDK und auch die Laufzeitumgebungen (JRE) für Clients und Server in den aktuellen Versionen zum Download bereit.

Support-Team2016-04-20T18:02:42+02:00April 20th, 2016|Allgemein, Webwerkzeuge|Kommentare deaktiviert

Sicherheitsupdates für libpng

Schlechte Nachrichten für Entwickler, die die beliebte freie Programmbibliotheklibpng zur Verarbeitung von PNG-Grafiken nutzen. Die Bibliothek ist verwundbar, denn über die Sicherheitslücke CVE-2015-8126 könnten Angreifer die Versionen bis 1.0.63, 1.2.53, 1.4.16, 1.5.23 und 1.6.18 attackieren und Programme über DoS-Attacken abstürzen lassen. Abgedichtete Versionen sind auf der Projektseite schon verfügbar. Die Angriffe sollen nach Angaben der Entwickler über einen Pufferüberlauf möglich sein. Dabei überprüfe libpng PNG-Dateien mit einer geringeren Bittiefe als acht nicht wirklich korrekt. Der Exploit dazu soll vergleichsweise einfach zu nutzen sein. Über gezielte Angriffe ist derzeit aber noch nichts bekannt.

GSL-Team2015-11-17T12:59:31+02:00November 17th, 2015|Allgemein, Bildbearbeitung|Kommentare deaktiviert

Angriffe über http.sys auf Windows-Server
Angriffe über http.sys auf Windows-Server

Allgemein, Webwerkzeuge

Angriffe über http.sys auf Windows-Server

Eine Sicherheitslücke erlaubt sogar die Remotecodeausführung, wenn ein Angreifer eine spezielle HTTP-Anforderung an ein betroffenes Windows-System sendet. Die Lücke hat in der National Vulnerability Database (NVD) die Kennung CVE-2015-1635. Im seinem Security Bulletin MS15-034 beschreibt Microsoft diese kritische Schwachstelle als Sicherheitsproblem in HTTP.sys, einer im IIS genutzten Komponente. Diverse Honeypot-Fallen zeigen den Sicherheitsexperten, dass die Lücke schon aktiv ausgenutzt wird, allerdings bis jetzt in den meisten Fällen nur für DoS-Angriffe und noch nicht zur Remotecode-Ausführung. Ein von Microsoft schon bereitgestelltes Sicherheitupdate behebt das Problem, indem es die Verarbeitung der Anforderungen durch den HTTP-Stack von Windows modifiziert. Dies Update sollten Sie als Admin von Internetservern unter Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 sowie Windows Server dringend einspielen.

Support-Team2015-04-18T17:03:37+02:00April 18th, 2015|Allgemein, Webwerkzeuge|Kommentare deaktiviert

Mozilla Firefox startet Java-Updates nur auf Nachfrage

Sogar das allerneueste Java-Plugin Java 7 Update 15 blockiert der Firefox-Browser, weil er auf den Click-to-Play-Modus umgeschaltet wurde. So wird die Ausführung von Javascript zwar nicht komplett geblockt, aber mit einer deutlichen Hürde versehen. Jetzt zahlt es sich gerade bei kommerziellen Internetseiten wie Onlineshops aus, wenn der Ersteller der Seiten so gearbeitet hat, dass die Funktionen auch ohne Javascript mit reinem HTML laufen. Die Firmen Oracle, Adobe und Microsoft sehen in diesem Monat nicht besonders gut aus mit ihren vielen Updates. Es hat wohl auch noch nie einen Monat mit mehr Patches, aber auch keinen mit mehr Angriffen auf sie Internetseiten großer Unternehmen über Sicherheitslücken in Java, Flash oder PDF gegeben.

GSL-Team2013-02-28T20:31:43+02:00Februar 28th, 2013|HTML, Javascript|Kommentare deaktiviert