12.06.2018PermaLink
Ein Pflaster für Cortana

Microsoft stopft beim Patch Day 50 Sicherheitslücken

Beim heutigen Update-Dienstag hat Microsoft Sicherheits-Updates bereitgestellt, die insgesamt 50 Schwachstellen beheben sollen. Darunter sind 11 Lücken, die Microsoft als kritisch einstuft. Sie betreffen Windows sowie die Browser Edge und Internet Explorer (IE). Unter den betroffenen Windows-Komponenten ist etwa der HTTP-Protokoll-Stack in Windows 10 und Server 2016. Eine weitere als kritisch eingestufte Lücke steckt in der Multimediaplattform (Media Foundation) aller noch unterstützten Windows-Versionen – von Windows 7 über RT 8.1 bis Server 2016. Die möglicherweise gravierendste Schwachstelle betrifft den DNS-Dienst (DNSAPI.dll) aller Windows-Versionen, einschließlich Server. Ein Angreifer könnte mittels einer präparierten DNS-Antwort Code einschleusen und auf dem Zielsystem mit den Rechten des lokalen Systemkontos ausführen. Diese Lücke könnte Wurm-tauglich sein. Für alle übrigen Sicherheitslücken weist Microsoft die Risikoeinstufung hoch (important) aus. Darunter sind Lücken in Windows (Kernel, GDI, Device Guard, Cortana, Hyper-V u.a.) sowie in Office (Excel, Outlook, Sharepoint).

Microsoft Security Update Guide /
→Microsoft Download- und Info-Links | →neueste Sicherheits-Updates

07.06.2018PermaLink
0-Day-Lücke im Flash Player

Wichtiges Sicherheits-Update auf Flash Player 30

Adobe hat heute ein Sicherheits-Update für den Flash Player bereitgestellt. In der neuen Version 30.0.0.113 haben die Adobe-Entwickler vier Sicherheitslücken geschlossen. Zwei dieser Schwachstellen sind als kritisch eingestuft, darunter eine (CVE-2018-5002), die bereits für Angriffe ausgenutzt wird. Dabei werden gezielt Mails mit angehängten Office-Dokumenten verschickt. In diesen Office-Dokumenten stecken präparierte Flash-Inhalte, die schädlichen Code einschleusen und ausführen sollen.

Adobe Security Bulletin || →neueste Sicherheits-Updates

07.06.2018PermaLink
Sicherheits-Updates für Firefox und Chrome

Mozilla und Google schließen je eine Browser-Lücke

In der neuen Chrome-Version 67.0.3396.79 haben die Browser-Entwickler eine Sicherheitslücke (CVE-2018-6148) beseitigt, die Google als hohes Risiko einstuft. Die Lücke besteht in einem fehlerhaften Umgang mit der so genannten Content Security Policy (CSP). Dadurch können Angriffe wie XSS (Cross-Site-Scripting) ermöglicht werden. Die Schwachstelle wurde durch einen externen Sicherheitsforscher entdeckt und an Google gemeldet.

Mozilla hat Updates auf die neuen Browser-Versionen Firefox 60.0.2, Firefox ESR 60.0.2 und Firefox ESR 52.8.1 bereitgestellt. Darin haben die Firefox-Entwickler eine Sicherheitslücke (CVE-2018-6126) geschlossen, die der Browser-Hersteller als hohes Risiko einstuft. Ein Pufferüberlauf in der Programmbibliothek Skia führt zu einem Absturz, der ausgenutzt werden könnte, um Code einzuschleusen. Um einen solchen Absturz zu provozieren, bedarf es einer präparierten SVG-Datei (Scalable Vector Graphics). Diese Schwachstelle wurde durch einen Sicherheitsforscher aus Googles Project Zero entdeckt.

Chrome Release Blog | Mozilla Security Advisory || →neueste Sicherheits-Updates

10.05.2018PermaLink
Firefox wird 60

Sicherheitslücken in Firefox und Tor Browser geschlossen

08.05.2018PermaLink
0-Day-Lücke in VBScript

Microsoft stopft 68 Lücken in Windows & Co