Die Datenbankverwaltung phpMyAdmin hat ein sicherheitsrelevantes Update spendiert bekommen. Die neuen Versionen sind 2.11.9.6 und 3.2.2.1. Laut einem Advisory der Entwickler enthalten die Vorgängerversionen zwei Programmierfehler, die Cross Site Scripting (XSS) sowie das Injizieren beliebiger SQL-Befehle erlauben.
quelle : heise.de, Hier klicken um den vollen Artikel zu lesen.
Microsoft hat für seinen Oktober-Patchday am kommenden Dienstag 13 Sicherheitsupdates angekündigt. Acht davon stuft der Softwareanbieter als kritisch ein. Insgesamt sollen sie 34 Sicherheitslücken schließen, drei mehr als beim Rekord-Patchday im Juni.
Einer Vorankündigung des Microsoft Security Response Center (MSRC) zufolge stopft das Unternehmen in diesem Monat die schon bekannten Löcher im Server-Message-Block-2-Treiber und im FTP-Dienst der Internet Information Services. Darüber hinaus beseitigen die geplanten Updates Schwachstellen in Windows, Internet Explorer, Office, Silverlight, Forefront, Developer Tools und SQL Server. Die meisten Patches erfordern nach der Installation einen Neustart.Das neue Windows 7 ist bloß von einem kritischen Problem betroffen.
Zuletzt hatte Microsoft im Februar 2007 und im Oktober 2008 zwölf Security Bulletins angekündigt. Die jetzt angekündigten 13 Sicherheitsupdates stellen somit einen neuen Rekord dar. Detailierte Informationen zu den Sicherheitslücken wird es erst am Patch-Day geben.
Wie jeden Monat wird auch das Tool zum Entfernen bösartiger Software aktualisiert und mit dem patchay bereitgestellt.
Adobe warnt vor einer Sicherheitslücke in Adobe Reader und Acrobat 9.1.3 für Windows, Macs und Linux. Einmal mehr wird die Lücke bereits ausgenutzt, bevor ein Update des Herstellers bereitsteht, um sie zu schließen. Die aktuellen Angriffe mit diesem Zero-Day-Exploit beschränken sich laut Adobe auf Windows-Systeme.
Adobe will zum ohnehin anstehenden Patchday am Dienstag den 13. Oktober aktualisierte Versionen des Readers für alle Plattformen bereitstellen. Bis dahin helfe es, JavaScript zu deaktivieren, weil dies die aktuellen Exploits verhindere.
quelle : heise.de, hier klicken um den vollen Artikel zu lesen.
Die Entwickler des VLC media player haben die Version 1.0.2 im Quellcode veröffentlicht, die mehrere kritische Sicherheitslücken schließt. So lassen sich in den Demuxer-Plug-ins für MP4, ABVI und ASF mit präparierten Mediadateien Buffer Overflows provozieren und darüber Code einschleusen und starten. Neben dem Update stehen auch Patches im Repository bereit. Alternativ schlagen die Entwickler als Workaround vor, die betroffenen Plug-ins libmp4_plugin.*, libavi_plugin.* und libasf_plugin.* manuell im Installationsverzeichnis zu löschen – ohne das AVI-Plug-in dürfte jedoch bei den meisten Anwendern kaum Freude aufkommen.
Darüber hinaus hat der Sicherheitsdienstleister Secunia auf mehrere Schwachstellen in FFmpeg, einer freien Tool- und Bibliothekssammlung zum Verarbeiten digitaler Video- und Audiodaten hingewiesen.
quelle : heise.de, Hier klicken um den vollen Artikel zu lesen.
Patch-Day: Verwirrung um Update für Windows XP Nachdem Microsoft am Dienstag insgesamt fünf Security Bulletins im Rahmen des Patch-Days veröffentlicht hat, gab es einige Unklarheiten. So hat Microsoft nachträglich eine Ergänzung am Security Bulletin MS09-048 vorgenommen.
Der Konzern setzte Windows XP am Mittwoch auf die Liste der betroffenen Software, stellt allerdings keinen Patch für das Betriebssystem zur Verfügung. Der Grund dafür ist die Tatsache, dass Microsoft das Gefahrenpotential für Windows XP lediglich als “niedrig” einstuft.
In dem Bulletin wird auf mehrere Sicherheitslücken im Zusammenhang mit dem TCP/IP-Protokoll hingewiesen.
quelle : winfuture.de, Hier klicken um den vollen Artikel zu lesen.
Auf der Konferenz “Hacking at Random”, die kürzlich in den Niederlanden abgehalten wurde, hat Karsten Nohl die Pläne zum Knacken der Verschlüsselung des GSM-Standards genauer erläutert. Schon bald wird es ohne Probleme möglich sein, jedes Handy-Telefonat abzuhören.
GSM steht für Global System for Mobile communications und ist der am weitesten verbreitete Handy-Standard der Welt. Er wird unter anderem in Europa, Afrika, Asien, Neuseeland, Australien, Amerika und Kanada eingesetzt. Die jetzt entdeckte Sicherheitslücke ist kritisch und würde nicht nur Unternehmen, sondern auch Privatpersonen bedrohen.
quelle: winfuture.de, Hier klicken um den vollen Artikel zu lesen.
Der Software-Konzern Microsoft wird am kommenden Dienstag (11.08.2009) im Rahmen seines Patch-Days insgesamt neun Updates ausliefern. Diese sollen vernehmlich Sicherheits-Probleme in Windows und Office beheben.
Drei Patches beheben kritische Lücken unter Windows. Drei weitere sollen ebenfalls verschiedene Fehler in dem Betriebssystem beheben, die aber keine so hohe Gefahrenstufe haben. Das siebente Update richtet sich neben Windows auch an das .Net-Framework.
Der Office-Patch soll eine kritische Sicherheitslücke schließen, die nicht nur in der Büro-Software selbst, sondern auch in den Produkten Microsoft Visual Studio, Microsoft ISA Server und Microsoft BizTalk Server für Angriffe ausgenutzt werden kann.
An jedem zweiten Dienstag des Monats ist Patch-Day, an dem Sicherheitsupdates für verschiedene Microsoft-Produkte erscheinen. Nun wurde Version 2.12 des “Windows-Tools zum Entfernen bösartiger Software” freigegeben.
Dieses Tool überprüft den Computer auf Infektionen mit bestimmter, weit verbreiteter bösartiger Software (Würmer und Trojaner) und unterstützt Sie gegebenenfalls beim Entfernen dieser Schädlinge.
Um die neuen Sicherheits-Updates zu beziehen, empfehlen wir die Nutzung der Microsoft Update Website. Andernfalls besteht die Möglichkeit, sich die Update-Dateien direkt aus dem Microsoft Download-Center bzw. den im Artikel verlinkten Security Bulletins zu laden.
Folgende Sicherheits-Updates wurden heute veröffentlicht:
MS09-028 – Sicherheitslücke in Microsoft DirectShow
Dieses Sicherheitsupdate behebt eine öffentlich gemeldete Sicherheitsanfälligkeit und zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft DirectShow. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete QuickTime-Mediendatei öffnet. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Betroffen sind DirectX 7, 8.1 und 9. Microsoft stuft das Problem als kritisch ein.
Security Bulletin: MS09-028
Knowledge Base: KB971633
 |
MS09-029 – Sicherheitsanfälligkeiten im Embedded OpenType-Schriftartmodul
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in der Microsoft Windows-Komponente des Embedded OpenType (EOT)-Schriftartmoduls. Die Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen. Ein Angreifer, dem es gelingt, eine dieser Sicherheitsanfälligkeiten auszunutzen, kann von einem Remotestandort aus vollständige Kontrolle über das betroffene System erlangen. Alle aktuellen Windows-Versionen sind betroffen. Microsoft stuft das Problem als kritisch ein.
Security Bulletin: MS09-029
Knowledge Base: KB961371
|
MS09-030 – Sicherheitslücke in Microsoft Office Publisher
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Office Publisher, die Remotecodeausführung ermöglichen kann, wenn ein Benutzer eine speziell gestaltete Publisher-Datei öffnet. Nutzt ein Angreifer diese Sicherheitsanfälligkeit erfolgreich aus, kann er die vollständige Kontrolle über ein betroffenes System erlangen. Microsoft stuft das Problem aber dennoch als “hoch” ein. Betroffen ist Office 2007 mit Service Pack 1, mit dem SP2 wurde die Lücke bereits beseitigt.
Security Bulletin: MS09-030
Knowledge Base: KB970483
|
MS09-031 – Sicherheitsanfälligkeit im Microsoft ISA Server 2006
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Internet Security and Acceleration (ISA) Server 2006. Die Sicherheitsanfälligkeit kann die Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer erfolgreich ein Benutzerkonto mit Administratorberechtigungen für einen ISA Server nachahmt, das für Radius-Einmalkennwort-Authentifizierung und Authentifizierungsdelegierung mit eingeschränkter Kerberos-Delegierung konfiguriert ist. Microsoft stuft das Problem als “hoch” ein.
Security Bulletin: MS09-031
Knowledge Base: KB970953
|
MS09-032 – Kumulatives Sicherheitsupdate von ActiveX-Kill Bits
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit, die derzeit ausgenutzt wird. Die Sicherheitsanfälligkeit in Microsoft Video-ActiveX-Steuerelement kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt und das ActiveX-Steuerelement instanziiert. Dieses Steuerelement sollte nie in Internet Explorer instanziiert werden. Microsoft stuft das Problem, von dem alle Windows-Versionen betroffen sind, als kritisch ein.
Security Bulletin: MS09-032
Knowledge Base: KB973346
|
MS09-033 – Sicherheitsanfälligkeit in Virtual PC und Virtual Server
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Virtual PC und Microsoft Virtual Server. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann beliebigen Code ausführen und vollständige Kontrolle über ein betroffenes Gastsystem erlangen. Alle derzeit erhältlichen Versionen von Virtual PC bzw. Virtual Server sind betroffen. Microsoft stuft das Problem als “hoch” ein.
quelle : winfuture, Hier klicken um den vollen Artikel zu lesen.
Sie tritt unter Windows XP und Windows Server 2003 auf. Die Schwachstelle beruht auf einem Fehler in einer Programmbibliothek des Video-ActiveX-Control. Microsoft hat einen Workaround bereitgestellt.
Microsoft hat die gestern gemeldete Sicherheitslücke im Internet Explorer 6 und 7 unter Windows XP und Windows Server 2003 bestätigt. Einem Support-Artikel zufolge sind Windows 2000, Vista und Server 2008 nicht betroffen.
Gestern hatten Finjan und McAfee vor der Zero-Day-Lücke gewarnt. Sie wird vor allem durch in China gehostete Websites aktiv ausgenutzt.
quelle : zdnet.de, HIER klicken um den vollen Artikel zu lesen.
Auslöser ist eine Sicherheitslücke in Twitpic. Twitter-Nutzer können über den Dienst Bilder auf dem Mikroblog veröffentlichen. Die Schwachstelle wurde inzwischen geschlossen.
Hacker haben eine Lücke in Twitpic ausgenutzt, um die Kontrolle über Twitter-Konten von Prominenten zu übernehmen. Wie Mashable berichtet, haben sie die Schwachstelle genutzt, um falsche Todesmeldungen von Britney Spears, Ellen DeGeneres, Jeff Goldblum und P. Diddy auf Twitter zu veröffentlichen.
Twitpic ist ein Dienst eines Drittanbieters, mit dem Twitter-Nutzer Bilder austauschen und auf dem Mikroblogging-Dienst veröffentlichen können. Dafür müssen sie eine E-Mail mit einem Foto unter Angabe einer vierstelligen PIN verschicken.
Das Unternehmen hat die Schwachstelle nach eigenen Angaben am Montag geschlossen.
quelle : zdnet.de, HIER klicken um den vollen Artikel zu lesen.
