Steven J. Vaughan-Nichols schreibt in »FFmpeg to Google: Fund Us or Stop Sending Bugs« für thenewstack.io

Lorenc added, in an e-mail to me, that “Creating and publishing software under an open source license is an act of contribution to the digital commons. Finding and publishing information about security issues in that software is also an act of contribution to the same commons.

Mit dem Cyber Resilience Act (CRA) werden SBOMs als eine Grundlage für die Behandlung von Schwachstellen in Produkten mit digitalen Elementen auf dem europäischen Markt verpflichtend vorgeschrieben. Um den Umgang mit SBOMs bereits heute einfacher zu gestalten, hat das BSI die Technische Richtlinie TR-03183-2 mit formellen und fachlichen Vorgaben zu SBOM als Handreichung veröffentlicht. In der TR-03183-2 werden zum Beispiel notwendige Datenfelder, der Umfang und die möglichen Formate definiert.

Die Eclipse Foundation hat den Start des OCCTET-Projekts bekannt gegeben: Hinter dem Namen “Open Source Compliance: Comprehensive Techniques and Essential Tools” verbirgt sich eine von der Europäischen Kommission finanzierte Initiative zum Thema Cyber Resilience Act (CRA). Sie bringt ein Konsortium aus Industriegrößen, Cybersecurity-Experten und Open-Source-Vertretern zusammen – mit dem Ziel, kleinen und mittleren Unternehmen (KMU) sowie Entwicklerinnen und Entwicklern die Compliance ihrer Open-Source-Software (OSS) mit dem CRA zu vereinfachen. Dazu stellt sie ein Toolkit an Ressourcen zur Verfügung.

What’s also alarming, researchers said, is that the hackers have gained access to keys that may allow them to regain entry even after a system is patched.

Mal wieder wurde eine Sicherheitslücke in Microsofts Software ausgenutzt. Und natürlich gilt: Kein System ist völlig sicher. Aber wenn fast alle dieselbe Software verwenden, wird aus einem Fehler ein flächendeckendes Risiko. Genau das ist bei Microsoft Office, Sharepoint oder Windows der Fall.

Dass eine so dominante Software ein Sicherheitsproblem darstellt, ist kein Zufall, sondern eine direkte Folge der Marktkonzentration. Ein Monokultur-System ist effizient, aber fragil. Microsofts Stellung auf dem Markt ist nicht Ergebnis überlegener Technik, sondern jahrzehntelanger Abhängigkeiten.

Digitale Souveränität beginnt mit Vielfalt. Wer ernsthaft über Sicherheit spricht, muss auch über Alternativen sprechen und sie einsetzen. Denn nur ein diverser Markt erschwert Angriffe wirklich.

Zwar seien die formulierten Sicherheitsanforderungen relativ gut und ausgewogen, räumt die Abgeordnete ein. „Das Problem ist ein Wirrwarr von Ausnahmeregeln und Intransparenz, insbesondere was den Staat selbst betrifft“. So dürften die meisten Bundesbehörden auf das Risikomanagement verzichten und seien anders als andere Akteure von Bußgeldern befreit. IT-Dienstleister der öffentlichen Hand seien zudem weitgehend ausgenommen, wodurch die IT-Sicherheit insgesamt unterwandert werde. Dass die Verwaltung von Bußgeldern befreit ist, ist üblich. Auch für Datenschutzverstöße müssen Behörden nicht zahlen.

Ach, das war mir wirklich nicht so bewusst. Klar, ich habe auch noch nie davon gehört, dass eine Verwaltung wegen Verstößen tatsächlich bestraft wurde, aber ich bin immer davon ausgegangen, dass es eher so ist, dass man sich untereinander nicht wirklich etwas tut, so nach dem Motto „eine Krähe hackt der anderen kein Auge aus“.

Die Installation gestaltet sich sehr einfach und auch die Ausführung ist unkompliziert.

Nach der Eingabe eines gültigen Nutzernamens und Passworts werden User darum gebeten, ihre Identität zu bestätigen. Microsoft unterstützt mehrere MFA-Methoden dafür, etwa auch einen Verifikationscode eines Authenticators. In einer Session erlaubte Microsoft bis zu zehn Fehlversuche. Indem die IT-Forscher nun in schneller Folge neue Sessions erstellten und Verifikationscodes durchprobierten, war es rasch möglich, die eine Million Möglichkeiten des sechsstelligen Codes durchzuprobieren. Es ließen sich viele Versuche gleichzeitig starten.

Der Hersteller Yubico hat eine Sicherheitsmitteilung zu der Schwachstelle herausgegeben und ordnet sie darin ein. Der Fehler geht auf eine Lücke in einer Krypto-Bibliothek von Infineon zurück, die Yubico in den alten Firmware-Versionen einsetzt. “Angreifer können das Problem ausnutzen als Teil eines fortschrittlichen und gezielten Angriffs, um private Schlüssel wiederherzustellen”, erklären die Entwickler von Yubico.

In allen gängigen Windows-Versionen klafft eine äußerst gefährliche Sicherheitslücke, die es Angreifern ermöglicht, auf einem anfälligen Zielsystem aus der Ferne und ohne jegliche Nutzerinteraktion Schadcode auszuführen. Die besagte Schwachstelle ist als CVE-2024-38063 registriert und erreicht mit einem CVSS von 9,8 einen kritischen Schweregrad.

Betroffen sind laut Oligo alle Webbrowser, die auf Chromium basieren, sowie Firefox und Safari. Die Sicherheitslücke beschränkt sich jedoch auf Geräte mit Linux und MacOS. Windows-Systeme sind von dem Problem nicht betroffen.

Der Zugriff auf die lokalen Dienste erfolgt dabei über die IP-Adresse 0.0.0.0. Passend dazu, dass es sich aufgrund der aktiven Ausnutzung vor der Verfügbarkeit von Patches um eine Zero-Day-Schwachstelle handelt, bezeichnen die Forscher die Lücke als 0.0.0.0 Day.

Erstaunlicherweise ist Microsoft diesmal nicht betroffen - und das, obwohl die Sicherheitslücke bereits seit 18 Jahren bekannt und ausgenutzt wird.

Auf mehr als 150.000 Installationen kommt das Wordpress-Plug-in Modern Events Calendar laut dem IT-Sicherheitsunternehmen Wordfence vor. Darin haben IT-Sicherheitsforscher eine Sicherheitslücke entdeckt, die Angreifern das Hochladen beliebiger Dateien ermöglicht.

Wer WordPress nutzen möchte, sollte weitgehend auf Plugins und umfangreiche Themes verzichten. Diese stellen häufig Sicherheitsrisiken dar, da sie oft Einfallstore für Schwachstellen bieten.

Zutritt verschafft sich die Software über eine Sicherheitslücke bei veralteten Java-Installationen und schreibt dann alles mit, was ihr so in eure Tastatur hämmert. Außerdem soll die Software andere Apps wie Safari, Chrome oder Skype manipulieren.

Keine Panik, ihr könnt ziemlich leicht herausfinden, ob ihr betroffen seid. Ladet euch einfach den kostenfreien Virenscanner „VirusBarrier Express von Intego“ aus dem Mac App Store runter und lasst eure gesamte Festplatte abscannen.

Als nächstes prüft ihr, ob euer Mac alle Updates bekommen hat, die er so braucht. Klickt dazu einfach auf den Apfel links oben und auf „Softwareaktualisierung…“. Euer Mac sucht nun nach möglichen Updates und will diese im Anschluss ggf. auch installieren. Wenn das alles getan ist, seid ihr auf der sicheren Seite.

UPDATE: Inzwischen gibt es ein kostenfreies Tool, das es ermöglicht herauszufinden, ob man betroffen ist. Laden könnt ihr das Tool hier, der Rest erklärt sich von selbst.