Am Freitag dem 10. Dezember 21 wurde unter dem Namen Log4Shell (CVE-2021-44228) eine kritische Sicherheitslücke (Zero-Day Vulnerability) in Apache Log4j veröffentlicht; sie kann remote ausgenutzt werden und erlaubt einem Angreifer eigenen Code auszuführen (RCE). Erfolgreich angegriffen wurden unter anderem Amazon, Apple, Tesla, Twitter, Steam, etc… Wegen der einfachen Ausnutzung und der möglichen schweren Folgen hat das BSI bereits am Samstag dem 11. Dezember die höchste Warnstufe „Rot“ vergeben. Sind Sie betroffen? Um zu prüfen, ob ihre Server verwundbar sind, können Sie gerne folgendes Script nutzen: https://www.softscheck.com/poc/log4shell/log4shell_check.py Betroffen ist Log4j vor Version 2.15.0 (6. Dezember 2021). Ebenfalls verwundbar sind einige Produkte, die Log4j einbinden. Eine ständig aktualisierte Liste hierzu findet sich unter: https://github.com/NCSC-NL/log4shell/tree/main/software Was sollten Sie sofort tun,...

Die Hackerangriffe zu Weinachten werden dieses Jahr weiter zunehmen, davon ist sicherheitsexperte und Ethical Hacker Ralf Schmitz überzeugt. Nach der Cyber-Attacke auf die MediaMarktSaturn Retail Group wird das Gefahrenpotential von Cyberkriminalität deutlich. Am Montag wurden die Landesgesellschaften des Unternehmens mit über 3000 Rechnern lahmgelegt. Geschenkgutscheine konnten nicht eingelöst, Garantiefälle nicht mehr abgewickelt werden. Aber auch Aktienplattformen wie Robinhood werden angegriffen. Hackerangriffe zu Weinachten nehmen zu! Alle sind Opfer von Hackern, die Lösegeld erpressen wollen. Ein Ende der Welle ist nicht in Sicht weiß Hacker Ralf Schmitz zu berichten. Im Darknet kursieren Listen von geklauten Kundendaten teils sogar mit Kreditkartennummern und Pin. Daraus lassen sich gefährliche Phishing-Mails generieren, um bei den Kunden Passwörter und andere sensible Informationen abzugreifen, sollten diese noch nicht...

Sicherheits-Patches für Meltdown und Spectre bergen erhebliche potenzielle Performance Risiken für Windows User Experience Der Softwareentwickler Login VSI ( www.loginvsi.com ) verkündet heute (17. Januar 2018) die Freigabe einer freien temporären Login VSI Lizenz. Der Industrieführer für VDI und DaaS Performance Testing bietet ab sofort seine Software zum freien Download für alle Endkunden mit einer Citrix XenApp & XenDesktop, VMware Horizon oder Microsoft RDS Umgebung an. Diese kostenlose Emergency-Edition ist für Endkunden erhältlich, die den Performance-Einfluss aller Meltdown und Spectre Sicherheits-Patches testen und validieren möchten. Die Emergency-Edition ist zeitlich begrenzt, bis zum 31. März 2018 gültig. Diese Emergency-Lizenz ermöglicht das Testen mit unbegrenzten Nutzern, beliebigen Standorten und beinhaltet alle Standard-Workloads. Unter www.loginvsi.com oder bei einem der ausgewählten Partner lässt sich diese kostenfreie...

Elcomsoft Phone Breaker und Phone Viewer unterstützen nun iOS 10 ElcomSoft hat eine große Sicherheitslücke in iOS 10-Backups entdeckt und ein Tool entwickelt, das die Ermittlung von komplexen Passwörtern erheblich beschleunigt. Elcomsoft Phone Breaker (EPB), die mobile Erfassungs-Software des Unternehmens, erhält ein Update und kann ab sofort Passwörter von iOS 10-Backups signifikant schneller knacken als Passwörter von iOS 9. Dabei ist die Ermittlung in höchster Geschwindigkeit mit einer einzigen CPU möglich. Auch Elcomsoft Phone Viewer (EPV), ein forensisches Tool zum Durchsuchen und Filtern von mobilen Backups, wird aktualisiert...

Berlin, 02. Juni 2015 – Durch einen neuen Angriff (genannt Logjam) auf den Diffie-Hellman-Schlüsselaustausch sind aktuell unzählige Mail-, Web-, SSH- und VPN-Server unsicher. Verfahren mit Internet Key Exchange (IKE), welche den Diffie-Hellman-Schlüsselaustausch verwenden, werden sehr häufig zur Verschlüsselung (z. B. bei SSL/TLS) eingesetzt. Bei der ViPNet Technologie von Infotecs sind Man-in-the-Middle-Angriffe grundsätzlich nicht möglich. Der Schlüsselaustausch (IKE) kann bei ViPNet nicht ausgenutzt werden, da kein öffentlicher Schlüsselaustausch über das Internet notwendig ist, um eine sichere Kommunikation zu gewährleisten. Am...

Wie die Internetseite von tutsi.de berichtet, wurde eine Sicherheitslücke bei dem weit verbreiteten Router Telekom Speedport W 921V entdeckt. Nutzer sollten umgehend ihr WLAN deaktivieren oder den Router gleich vom Strom trennen, denn es können sich selbst ungeübte Zeitgenossen über den sogenannten WPS Pin in wenigen Sekunden Zugriff auf das komplette Netzwerk verschaffen. Beim Router Speedport W 921V der Telekom lässt sich die unsichere PIN Funktion von WPS nicht deaktivieren. Der Fehler beim Speedport W 921V ist der Telekom übrigens schon seit Jannuar 2012 bekannt. Warum die Telekom beim Speedport W 921V Router diese...

FLIP4NEW; Friedrichsdorf, 27.03.2012, (www.flip4new.de)FLIP4NEW Wie Heise Security berichtet, war die Suchfunktion der Website https://www.paypal.com nicht ausreichend abgesichert. Über eine sogenannte Cross-Site-Scripting-Attacke (XSS) hätten Angreifer Nutzerdaten und Passwörter abfangen können. Demnach seien Benutzereingaben nicht richtig gefiltert worden, wodurch speziell präparierter Code zum Abfangen von Informationen in die Website eingeschleust werden konnte. Das Problem habe auf den gesicherten Seiten bestanden, wo sich Kunden einwählen und Bezahlvorgänge abwickeln. Bei Paypal lag ein Cross-Site-Scripting-Problem vor,...

HTML 5 Bulletproof machen? Das geht, man muss nur die Sicherheitslücken identifizieren, verstehen und zu verhindern wissen. Zu diesem Thema veranstaltet die antwerpes ag ein IT-Webinar und lädt Entwickler, Projektmanager und Interessierte herzlich dazu ein, live dabei zu sein, um zuerst in die Tiefen der HTML 5-Geschichte einzutauchen und sich dann den sicherheits-technischen Aspekten sowie neuen Spezifikationsdrafts zu widmen. Die Teilnehmer erfahren, wie Angreifer die neuen Features von HTML 5 als Angriffsfläche nutzen und lernen, HTML 5-Websites dementsprechend professionell zu schützen. Webinar „HTML 5 Security – Fallstricke...

- Zugriff auf tausende Rechnungen inklusive Adressdaten im PostOffice-Shop möglich - Datenschutz-Lücke nach Hinweis von onlinekosten.de umgehend behoben Hürth bei Köln, 11. November 2009 – Eine Datenschutz-Lücke hat bis zum 9. November 2009 den Zugriff auf tausende Rechnungen und Adressdaten von Kunden des PostOffice-Shops im Internet ermöglicht. Nach einem Hinweis von onlinekosten.de wurde der Fehler durch die Deutsche Post AG als zuständiger Betreiber innerhalb von 24 Stunden behoben. Der PostOffice-Shop bietet neben Porto für den Brief- sowie Paketversand hauptsächlich Büromaterial und Computerzubehör für Geschäftskunden....

Die von der Kreditkartenindustrie (PCI) geforderten Security Scans sind auch für Firmen, die keine Kreditkartendaten verarbeiten, ein effizientes Hilfsmittel für das Schwachstellen Management. Hattersheim, 9.10.2008 Die Dunkel GmbH, ein auf Netzwerksicherheit und -verfügbarkeit spezialisierter Lösungsanbieter aus dem Rhein-Main-Gebiet, macht die Vorteile des PCI Security Scans ab sofort auch Unternehmen ohne Zertifizierungspflicht verfügbar. Der PCI Security Scan ist ein standardisiertes Verfahren zur Überprüfung von Server, Netzwerkkomponenten und Applikationen auf bekannte Schwachstellen und Sicherheitslücken. Das Besondere...