Quick-News 188
- Google Chrome in Version 14 erschienen – @golem.de
- Aldi-Bot für 10 Euro zu haben – @heise.de
- Schwachstelle in Skype-App für IOS erlaubt Adressbuchzugriff – @heise.de
- Sparkassen-Phishing auf ganz schlecht gemacht – @bitblokes.de
Mehrere, teils hoch kritische Sicherheitslücken in WordPress-Plugins
Auf Secunia ist mir heute aufgefallen, das eine recht hohe Anzahl von WordPress-Plugins Sicherheitslücken beinhalten.
Alleine von den heute (21.09.) gemeldeten 15 Plugins sind lediglich für 6 Plugins Vendor-Patches verfügbar.
WordPress Nutzer sollten überprüfen, ob Ihre Plugins von diesen Sicherheitslücken betroffen sind.
Notfall-Patch für Flash-Player erwartet
Am heutigen Abend wird nach dieser Ankündigung von Adobe ein Notfall-Patch für den Flash Player erwartet.
Die zu erwartende Version schließt kritische Sicherheitslücken, welche von Angreifern bereits aktiv ausgenutzt werden.
In diesem Zuge hat Google bereits seinen Browser Chrome auf die Version 14.0.835.186 aktualisiert und beinhaltet damit die fehlerbereinigte Flash Version.
Die Sicherheitslücken betrifft die Version 10.3.183.5 des Flash Players, welcher zuletzt im August aktualisiert wurde.
Aktuell steht schon die Version 10.3.183.10 zum Download bereit.
Vermutlich handelt es sich bereits um die fehlerbereinigte Version.
Passwortklau bei Mac OS X Lion
Heise.de beschreibt in diesem Artikel eine Vorgehensweise, mit denen Angreifer ein Benutzerpasswort beim lokalen Zugriff auf die entsprechende Hardware knacken könnten.
Beide Methoden im Heise Artikel würden erfordern, dass der Angreifer einen eingeschalteten, ungesperrten Mac vorfindet.
Es geht allerdings etwas einfacher.
Ein Freund hatte mich kürzlich auf diesen Artikel aufmerksam gemacht.
Also Rechner einschalten, Befehlstaste (cmd) und R gedrückt halten und man befindet sich auf der Recovery Konsole, mit der man das Passwort für einen bestimmten resetten kann.
Handelt es sich um eine Mc OS X Version vor Lion, dann kann man mittels einer Wiederherstellungs-DVD auf diese Funktion zugreifen.
Wie verhindert man einen derartigen Zugriff?
EFI Firmware Passwort setzen. Dieses sollte man aber nicht vergessen, sonst ist ein Besuch beim Mac-Händler fällig.
Ob eine vollständige Verschlüsselung (Truecrypt) der Benutzerpartition(en) einen Erfolg verspricht wird noch von meinem Freund getestet.
Petition gegen Vorratsdatenspeicherung – Es wird knapp ist geschafft – Update 2
25605 Bürger haben die Petition bereits mit gezeichnet (Stand jetzt).
Die Herausforderung:
Zahl der Mitzeichner
Hinweis: Laut Petitionsausschusssekretariat des Bundestags hört der Petitionsausschuss Petenten in der Regel dann persönlich an, wenn innerhalb von drei Wochen ab Veröffentlichung einer ePetition 50.000 Personen mitzeichnen (siehe auch Nrn. 8.2.1 und 8.4 der Verfahrensgrundsätze des Petitionsausschusses). Unsere Petition wurde am 24. August 2011 veröffentlicht, so dass die Dreiwochenfrist noch bis zum 14. September 2011 läuft.
Quelle: http://www.vorratsdatenspeicherung.de/content/view/478/185/lang,de/
Somit fehlen noch 24395 Mitzeichnungen.
Video-Quelle: http://www.vorratsdatenspeicherung.de/content/view/478/185/lang,de/
Update 1:
Petition gegen Vorratsdatenspeicherung sprengt 50.000er Marke
Weitere Mitzeichnungen sind natürlich erwünscht und gewollt 
Update 2:
Wer die Petition mit gezeichnet hat, der ist ein Mensch der ein falsch verstandenes Freiheitsbild hat (Hans-Peter Uhl CSU).
DivX Plus Web Player von hoch kritischer Sicherheitslücke betroffen
Secunia meldet hier, dass der DivX Plus Web Player von einer hoch kritischen Sicherheitslücke betroffen ist, welche Angreifer für einen Stack-basierten Pufferüberlauf ausnutzen können und damit das System eines Opfers kompromittieren können.
Betroffen ist die Version 2.1.2.265 des DivX Plus Web Players, frühere Versionen können ebenfalls betroffen sein.
Die Sicherheitslücke beruht auf einem Begrenzungsfehler innerhalb der Datei DivXPlaybackModule.dll bei der Verarbeitung von überlangen “file: //” URLs.
Da es aktuell noch kein Update für diese Sicherheitslücke gibt, sollte man entweder bis zu einem Patch den DivX Plus Web Player deinstallieren, bzw. den DivX Plus Web Player nur auf vertrauenswürdigen Webseiten verwenden.
Angreifer hatten µTorrent Client gegen Scareware ausgetauscht
Im Bittorrent-Blog ist zu lesen, das am Freitag den 13. September gegen 13:20 Uhr (Zeiten in deutscher Ortszeit) der Server von µTorrent kompromittiert wurde und Angreifer den Download des µTorrent Client gegen eine Scareware ausgetauscht wurde.
Um 15:00 Uhr wurde die Manipulation bemerkt und der Download-Server vom Netz genommen und bereinigt.
Wer sich am vergangenen Freitag zwischen 13:20 Uhr und 15:00 Uhr den µTorrent Client heruntergeladen hat, kämpft vermutlich jetzt noch mit dieser Scareware.
Eine Anleitung zum Entfernen der Scareware findet man im obigen Blog Artikel.
Quick-News 187
- Byte-Range-Fehler in Apache wird nach gebessert – @heise.de
- Google führt Widerspruch gegen Erfassung von WLAN-Access-Points ein – @golem.de
- Keine Patches mehr für Macs mit PowerPC – @zdnet.de
- BSI veröffentlicht IT-Grundschutz-Überblickspapier zur Smartphone-Sicherheit – @bsi.bund.de
- Urheberrecht und Bildlizenzen – Überblick und Hinweise – @tecchannel.de
MS-Patchday im September
Microsoft hat gestern mit seinem monatlichen Patchday mit 5 Bulletins Sicherheitslücken in den Betriebssystemen Windows und in MS-Office geschlossen.
Vom Schweregrad stufte Microsoft alle Patches als “Hoch” ein.
| Windows | Bulletins gesamt | davon Critical | davon Important | davon Moderate | davon Low |
| XP | 1 | - | 1 | - | - |
| Server 2003 | 2 | - | 2 | - | - |
| Vista | 1 | - | 1 | - | - |
| Server 2008 | 2 | - | 2 | - | - |
| 7 | 1 | - | 1 | - | - |
| Server 2008 R2 | 2 | - | 2 | - | - |
| MS-Office | Bulletins gesamt | davon Critical | davon Important | davon Moderate | davon Low |
| Microsoft Office 2003 SP3 | 2 | - | 2 | - | - |
| Microsoft Office 2007 SP2 | 2 | - | 2 | - | - |
| Office 2010 SP1 | 2 | - | 2 | - | - |
| Microsoft Office 2004 für Mac | 1 | - | 1 | - | - |
| Microsoft Office 2008 für Mac | 1 | - | 1 | - | - |
| Microsoft Office für Mac 2011 | 1 | - | 1 | - | - |
| Open XML-Dateiformatkonverter für Mac | 1 | - | 1 | - | - |
| Microsoft Office Groove 2007 SP2 | 1 | - | 1 | - | - |
| Microsoft SharePoint Workspace 2010 SP1 | 1 | - | 1 | - | - |
| Microsoft Excel Viewer SP2 | 1 | - | 1 | - | - |
| Microsoft Office Compatibility Pack SP 2 | 1 | - | 1 | - | - |
Eine Übersicht aller verfügbarer Patches findet man im Microsoft Security Bulletin Summary für September 2011
Adobe stellt Updates für Adobe Reader and Acrobat bereit
Adobe schreibt in diesem Security Bulletin, mehrere kritische Sicherheitslücken in folgenden Produkten behoben zu haben:
- Adobe Reader X (10.1) und frühere 10.x Versionen für Windows und Macintosh
- Adobe Reader 9.4.5 und frühere 9.x Versionen für Windows, Macintosh und UNIX
- Adobe Reader 8.3 und frühere 8.x Versionen für Windows und Macintosh
- Adobe Acrobat X (10.1) und frühere 10.x Versionen für Windows und Macintosh
- Adobe Acrobat 9.4.5 und frühere 9.x Versionen für Windows und Macintosh
- Adobe Acrobat 8.3 und frühere 8.x Versionen für Windows und Macintosh
Somit sind folgende Versionen die Fehlerbereinigten:
- Adobe Reader X (10.1.1) für Windows und Macintosh
- Adobe Reader 9.4.6 und Adobe Reader 8.3.1 für Windows und Macintosh
Der Adobe Reader 9.4.6 für Unix ist noch nicht verfügbar, soll aber am 7. November 2011 bereit gestellt werden.
Wer die betroffenen Adobe Produkte verwendet, sollte zeitnah auf die aktualisierte Version updaten.
