backup & security – Page 28

Dirty Pipe: Samsung und Google bieten bereits einen Fix gegen die Sicherheitslücke an

Wir berichteten bereits davon, dass die Sicherheitslücke „Dirty Pipe“ auch für Android-Nutzer zum Problem werden kann und damit sogar als die aktuell schwerste Sicherheitslücke in ungepatchten Linux-Systemen und -Derivaten zu betrachten sein dürfte. Dirty Pipe wird unter CVE-2022-0847 gelistet. Hierbei sind durch einen Angreifer mehrere Dinge möglich, darunter das Erstellen eines Nutzers ohne Privilegien, der dann aber über ein Bash-Script es jedem erlauben könnte, Daten in beliebigen schreibgeschützten Dateien zu überschreiben.

Wie die XDA-Developers nun berichten, müssen nicht alle Android-Gerätebesitzer zwingend bis Mai dieses Jahres warten, bis auch auf ihrem Smartphone ein entsprechender Fix eingerichtet wurde. So gebe es unter anderem für das Pixel 6 und das 6 Pro ein paar wenige angepasste Kernel, die mit einem entsprechenden Patch versorgt sind. Und auch die aktuelle QPR3-Beta 2 für beide Geräte enthalte bereits eine gepatchte Kernel-Version, bei der das Problem behoben ist. Bei Samsung war man noch schneller unterwegs, hier sei der Patch bereits Teil des April-2022-Updates für die Galaxy-Gerätefamilie. Der Rest der Hersteller wird wohl also entweder noch bis zum Mai-Patch mit einem Fix gegen Dirty Pipe warten, vielleicht besinnt sich ja aber der eine oder andere auch noch auf ein früheres Update.

In diesem Artikel sind Partner-Links enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Danke für eure Unterstützung!

OpenSSL-Schwachstelle: Auch QNAP betroffen

QNAP hat eine Warnmeldung veröffentlicht. Hierbei geht es um eine Schwachstelle, die mit dem Schweregrad „Mittel“ bewertet wird. Gelistet ist sie unter CVE-2022-0778. Betroffen ist ein ganzer Schwung von NAS-Geräten. Eine Endlosschleifen-Schwachstelle in OpenSSL wurde gemeldet, die bestimmte QNAP-NAS-Modelle betrifft. Wenn diese Schwachstelle ausgenutzt wird, können Angreifer Denial-of-Service-Angriffe durchführen. Das ist immerhin „weniger schlimm“ als die Dirty-Pipe-Lücke, die derzeit noch untersucht wird. QNAP untersucht laut eigener Aussagen den Fall gründlich – derzeit gibt es keine Abhilfe für diese Sicherheitslücke. Betroffen sind Geräte mit folgenden Versionen:

QTS 5.0.x und höher

QTS 4.5.4 und höher

QTS 4.3.6 und höher

QTS 4.3.4 und höher

QTS 4.3.3 und höher

QTS 4.2.6 und höher

QuTS hero h5.0.x und höher

QuTS hero h4.5.4 undhöher

QuTScloud c5.0.x

Die Schwachstelle ist übrigens schon ein paar Tage älter und betrifft zahlreiche Geräte, die die betroffene OpenSSL-Version einsetzen. QNAP ist bekanntlich recht transparent mit dem Kommunizieren. Neben QNAP hat auch Synology keine Lösung für das Problem in DSM 7.0 und davor.

Selbstbau-AirTag umgeht Stalking-Schutz

Direkt zur Veröffentlichung der AirTags von Apple gab es die ersten Meldungen, dass die kleinen, durchaus nützlichen Dinger leider auch zweckentfremdet werden und damit unter anderem Menschen ohne ihr Wissen gestalkt wurden. Apple hat sich seinerzeit zum Stalking-Schutz geäußert, leider ist dieser wohl aber nicht ausreichend durchdacht worden. Denn wie unser Leser, der Sicherheitsforscher Fabian Bräunlein in einem sehr umfangreichen Beitrag mitteilt, werden inoffizielle Tracker, die sich klammheimlich im „Wo ist?“-Netzwerk von Apple anmelden, bislang nicht von Apples Erkennung berücksichtigt.

Bräunlein hat gemeinsam mit einem in Szenario involvierten „Opfer“ fünf Tage nachstellen können, dass ein AirTag-Imitat in der Lage war, den Standort der Person nachzuverfolgen, ohne dass das Opfer davon etwas mitbekommt, geschweige denn über sein iPhone darüber informiert wird. Laut Bräunlein will er Apple darauf aufmerksam machen, dass die bisherigen Schutzmaßnahmen neu durchdacht werden müssen, die Schutzfunktionen dürften nicht direkt auf den AirTags selbst stattfinden. Bei seiner Methode sendet der Klon des AirTags ganz einfach regelmäßig neue öffentliche Schlüssel aus, wirkt darum auch jedes Mal wie ein neuer AirTag und erzeugt so keinerlei Tracking-Warnung.

Das Ganze läuft auf einem ESP32. Das ist ein kleiner 32-Bit-Mikrocontroller der chinesischen Firma Espressif, der auch in zahlreichen IoT-Geräten arbeitet. Der läuft mit einer speziellen Firmware. Interessierte können den Quellcode des Projektes hier einsehen.

Bestseller Nr. 2

AngebotBestseller Nr. 3

Neu Apple AirTag 4er Pack

Nur einmal Tippen reicht, um dein AirTag mit deinem iPhone oder iPad zu koppeln

−23,84 EUR

95,16 EUR

KeePass 1.40 veröffentlicht: Kostenloser Passwortmanager

Höre ich in mein Umfeld und werfe einen Blick in die Kommentare, dann hat KeePass in der letzten Zeit viele Nutzer an Bitwarden verloren. Dennoch hat KeePass eine große Fan-Gemeinde. Nutzer der klassischen Ausgabe des Passwortmanagers KeePass finden ab sofort die Version 1.40 zum Download vor. KeePass Version 1 und 2 unterscheiden sich stark in ihren Funktionen, allerdings gibt es eben Nutzer, denen die Version 1 ausreicht. Eine Übersicht der Unterschiede zwischen KeePass 1 und KeePass 2 findet ihr auf dieser Seite. Hier einmal die Übersicht der Änderungen zwischen KeePass 1.39 und 1.40:

Auf den meisten Windows-Systemen ist AES-KDF jetzt etwa dreimal so schnell wie zuvor.

Es wurde ein Dialog zur Information über die Datenbankdatei hinzugefügt, der beim Erstellen einer neuen Datenbank angezeigt wird.

Beim Doppelklick auf die Titelzelle eines Eintrags in der Haupteintragsliste bei gedrückter Umschalttaste wird der Titel nun in die Zwischenablage kopiert.

Verbesserungen:

Verbesserte Standard-Konfigurationsdatei.

Verschiedene Verbesserungen an CHM-Dateien.

Aktualisiert auf Boost-Bibliotheken Version 1.78.0.

Installationsprogramm: Verbessertes Überschreiben von Dateien.

Aktualisiertes Installationsprogramm.

Verschiedene Code-Optimierungen.

Kleinere andere Verbesserungen.

Verwundbarer Exchange: 12.000 Server in Deutschland öffentlich erreichbar

Es gibt neue Warnmeldungen, die Exchange-Admins aufhorchen lassen sollten. Das Notfallteam des Bundesamts für Sicherheit in der Informationstechnik (BSI) informierte über Twitter über den Umstand, dass rund 12.000 (bzw. 30 %) der ihnen bekannten Exchange-Server (2013, 2016 und 2019) mit offenem Outlook Web Access aktuell für mindestens eine kritische Schwachstelle verwundbar sind, da sie mit einem veralteten Cumulative-Update-Stand laufen, für den keine Patches verfügbar sind.

Rund 12.000 bzw. 30% der uns bekannten #Exchange-Server 2013/2016/2019 mit offenem #OWA in Deutschland sind aktuell für mindestens eine kritische #Schwachstelle verwundbar, da sie mit einem veralteten Cumulative-Update-Stand laufen, für den keine Patches verfügbar sind. ?? pic.twitter.com/94Yf7B7E5p

— CERT-Bund (@certbund) November 30, 2021

Hinzu komme eine Dunkelziffer von Systemen, die zwar mit einem aktuellen CU-Stand laufen, auf denen aber nicht alle verfügbaren Patches zur Behebung der kritischen Schwachstellen eingespielt wurden. Angreifer könnten die Schwachstellen ausnutzen, um Schadcode auf den Exchange-Servern auszuführen und darüber ggf. interne Netzwerke inkl. des Active Directory vollständig zu kompromittieren, Daten auszuspähen oder Ransomware zur Verschlüsselung von Daten auszurollen.