Hoax-Info Service | Weblog

26.09.2023PermaLink
Firefox 118 ist verfügbar

Browser-Update beseitigt mehrere Sicherheitslücken

Mozilla hat heute Firefox 118 und Firefox ESR 115.3 freigegeben. In beiden Browser-Varianten haben die Entwickler mehrere Sicherheitslücken beseitigt: in Firefox 118 mindestens neun, in der ESR-Version wenigstens fünf. Mozilla weist mehrere Schwachstellen als hohes Risiko aus. Angriffe, bei denen eine der Lücken ausgenutzt würde, sind bislang nicht bekannt.
Für einen besseren Schutz der Privatsphäre vor so genanntem Fingerprinting durch Werbenetzwerke können Websites nur noch bestimmte installierte Schriften (Fonts) detektieren. Firefox 118 verfügt über eine integrierte Übersetzungsfunktion für Web-Seiten, die ohne Cloud-Dienste auskommt, also rein lokal arbeitet. Die Geschwindigkeit, mit der Firefox Javascript-basierte Web-Anwendungen abarbeitet, soll erheblich höher sein als bisher.
Um Firefox zu aktualisieren, nutzen Sie die integrierte Update-Funktion (Hilfe > Über Firefox).

↗Release Notes für Firefox ESR 118 | ↗Sicherheitsbericht für Firefox 118
→neueste Sicherheits-Updates | →Software-Downloads

13.09.2023PermaLink
0-Day-Lücke betrifft alle Browser

Wichtige Sicherheits-Updates für Firefox, Chrome & Co.

Eine gravierende Sicherheitlücke (CVE-2023-4863) betrifft alle Browser – sowohl Firefox als auch Chromium-basierte Browser wie Chrome, Edge, Brave, Opera oder Vivaldi. Sicherheitsforscher von Apple und des Citizen Lab der Universität Toronto haben eine Schwachstelle im Umgang mit Bilddateien im von Google entwickelten WebP-Format entdeckt. Sie steckt in der quelloffenen Programmbibliothek libwebp. Ein Angreifer kann mit einer speziell präparierten WebP-Bilddatei (die etwa in eine beliebige Web-Seite oder in eine E-Mail eingebettet sein kann) Code einschleusen und ausführen. Es gibt Berichte, wonach diese Lücke bereits für gezielte Angriffe ausgenutzt wird.

Die Browser-Hersteller haben bereits Sicherheits-Updates bereitgestellt, um die Schwachstelle zu beseitigen. Auch für Mozillas Mail-Programm Thunderbird, das in Teilen auf Firefox-Code basiert, gibt es entsprechende Updates. Tor Browser hat ebenfalls ein Update erhalten – er basiert auf Firefox ESR.

Eine möglicherweise verwandte Schwachstelle (CVE-2023-41064, „BLASTPASS“) war erst kürzlich in Apples Betriebssystemen macOS und iOS / iPadOS durch das Citizen Lab aufgedeckt worden. Diese wird Berichten zufolge ausgenutzt, um die kommerziell vertriebene Spyware „Pegasus“ der NSO Group einzuschleusen. Auch hier geht es um manipulierte Bilddateien. Ob es zwischen beiden Schwachstellen und den jeweiligen Angriffen einen direkten Zusammenhang gibt, ist derzeit noch unklar.

↗Citizen Lab: BLASTPASS || →neueste Sicherheits-Updates | →Software Downloads

12.09.2023PermaLink
Microsoft schließt 0-Day-Lücke in Word

Patch Day September mit Updates gegen 59 Sicherheitslücken

Beim heutigen Update-Dienstag hat Microsoft Sicherheits-Updates bereitgestellt, die 59 Schwachstellen beseitigen sollen. Darunter sind fünf Sicherheitslücken, die Microsoft als kritisch einstuft. Sie betreffen Windows, Azure und Visual Studio. Eine Word-Lücke (CVE-2023-36761) wird bereits für Angriffe ausgenutzt (0-Day). Die übrigen Sicherheitslücken weist Microsoft bis auf eine als hohes Risiko („important / wichtig“) aus. Die einzige als kritisch eingestufte Windows-Lücke (von insgesamt 21) ist CVE-2023-38148 und betrifft die gemeinsame Nutzung der Internetverbindung (ICS). Ein Angreifer im selben Netzwerksegment könnte mit einem speziell präparierten Netzwerkpaket Code einschleusen und ausführen, sofern ICS aktiviert ist. Drei von fünf RCE-Lücken in Visual Studio stuft Microsoft als kritisch ein. Sechs von sieben Schwachstellen in der App 3D Builder sind RCE-Lücken.

In seinen Office-Produkten schließt Microsoft acht Sicherheitslücken, darunter mit CVE-2023-36762 eine RCE-Lücke in Word. Die 0-Day-Lücke CVE-2023-36761 ist als Datenleck ausgewiesen. Sie kann zur Offenlegung von NTLM-Hashes führen. Sie kann auch wirksam werden, wenn eine Word-Datei in der Outlook-Vorschau angezeigt wird. Unter den fünf in diesem Monat behandelten Exchange-Schwachstellen sind drei RCE-Lücken.

Adobe hat heute wichtige Sicherheits-Updates für Acrobat und Acrobat Reader bereitgestellt. Sie schließen eine 0-Day-Lücke (CVE-2023-26369) in den PDF-Werkzeugen.

↗ Microsoft Leitfaden für Sicherheitsupdates / |  ↗ZDI Blog | ↗Adobe Security Bulletins
→Microsoft Download- und Info-Links | →neueste Sicherheits-Updates

24.08.2023PermaLink
WinRAR: 0-Day-Lücken in Archiv-Software beseitigt

Schwachstellen werden bereits ausgenutzt

08.08.2023PermaLink
Microsoft schließt endlich 0-Day-Lücke aus dem Juli

Patch Day im August mit Updates gegen 74 Sicherheitslücken