[Sammelthread] Artikel rund um sicherheitsrelevante Themen und Aspekte

[Helios]

DROWN Attack — More than 11 Million OpenSSL HTTPS Websites at Risk

A new deadly security vulnerability has been discovered in OpenSSL that affects more than 11 Million modern websites and e-mail services protected by an ancient, long deprecated transport layer security protocol, Secure Sockets Layer (SSLv2).

Dubbed DROWN, the highly critical security hole in OpenSSL was disclosed today as a low-cost attack that could decrypt your sensitive, secure HTTPS communications, including passwords and credit card details…
​

​

...and that too in a matter of hours or in some cases almost immediately, a team of 15 security researchers from various universities and the infosec community warned Tuesday.​

Kompletter Artikel: The Hacker News - DROWN Attack — More than 11 Million OpenSSL HTTPS Websites at Risk

​

http://www.bleepingcomputer.com/new...ly-encrypts-your-data-but-also-speaks-to-you/

 

[Helios]

New Hack: How to Bypass iPhone Passcode to Access Photos and Messages

Setting a passcode on your iPhone is the first line of defense to help prevent other people from accessing your personal details.

However, it's pretty much easy for anyone with access to your iPhone to bypass the passcode protection (doesn't matter if you configured Touch ID or not) and access your personal photos and messages.

A new critical security flaw discovered in iOS 8 and newer, including 10.2 beta 3, allows anyone to bypass iPhone's passcode and gain access to personal information using the benevolent nature of Apple's personal assistant Siri.

Kompletter Artikel: The Hacker News - New Hack: How to Bypass iPhone Passcode to Access Photos and Messages

- - - Beitrag zusammengeführt - - -

Pre-installed Backdoor On 700 Million Android Phones Sending Users' Data To China

Do you own an Android smartphone? You could be one of those 700 Million users whose phone is secretly sending text messages to China every 72 hours.

You heard that right. Over 700 Million Android smartphones contain a secret 'backdoor' that surreptitiously sends all your text messages, call log, contact list, location history, and app data to China every 72 hours.

Security researchers from Kryptowire discovered the alleged backdoor hidden in the firmware of many budget Android smartphones sold in the United States, which covertly gathers data on phone owners and sends it to a Chinese server without users knowing.

Kompletter Artikel: The Hacker News - Pre-installed Backdoor On 700 Million Android Phones Sending Users' Data To China

- - - Beitrag zusammengeführt - - -

This Hack Gives Linux Root Shell Just By Pressing 'ENTER' for 70 Seconds

A hacker with little more than a minute can bypass the authentication procedures on some Linux systems just by holding down the Enter key for around 70 seconds.

The result? The act grants the hacker a shell with root privileges, which allows them to gain complete remote control over encrypted Linux machine.

The security issue relies due to a vulnerability (CVE-2016-4484) in the implementation of the Cryptsetup utility used for encrypting hard drives via Linux Unified Key Setup (LUKS), which is the standard implementation of disk encryption on a Linux-based operating system.

Kompletter Artikel: The Hacker News - This Hack Gives Linux Root Shell Just By Pressing 'ENTER' for 70 Seconds

 

[Bambulator]

Malware kann Kopfhörer als Mikrofon nutzen


Spooky!

Also, wenn die Musik ausgeht, könnte irgendein Schlapphut in der Leitung hängen

 

[Helios]

Update: Microsoft Shares Telemetry Data Collected from Windows 10 Users with 3rd-Party

It's no secret that Windows 10 collects all sorts of usage information on users and sends them back to Microsoft, which then uses this telemetry data to help identify security issues, fix problems and improve the quality of its operating system.
​

This telemetry data includes information on the device running Windows 10, a list of installed apps, crash dumps, and other statistics from devices powered by its latest operating system.

However, this Microsoft's data mining capability also raised some privacy concerns among Windows users.

This newly-signed deal with FireEye is the first time that Microsoft has publicly agreed to share telemetry data of Windows 10 users with a third-party, which is definitely worrying for many users.

At this moment, the official press release says nothing about Microsoft providing FireEye with access to data collected from Windows 10 users.

Microsoft has yet to comment on this matter.​

Kompletter Artikel: The Hacker News - Microsoft Shares Telemetry Data Collected from Windows 10 Users with 3rd-Party


UPDATE:

BleepingComputer - Microsoft Denies Rumors of Sharing Windows 10 Telemetry Data with FireEye

​

 

[Helios]

Hacking Millions with Just an Image — Recipe: Pixels, Ads & Exploit Kit

If you have visited any popular mainstream website over the past two months, your computer may have been infected — Thanks to a new exploit kit discovered by security researchers.

Researchers from antivirus provider ESET released a report on Tuesday stating that they have discovered an exploit kit, dubbed Stegano, hiding malicious code in the pixels of banner advertisements that are currently in rotation on several high profile news websites.

Kompletter Artikel: The Hacker News - Hacking Millions with Just an Image — Recipe: Pixels, Ads & Exploit Kit

- - - Beitrag zusammengeführt - - -

5-Year-Old Linux Kernel Local Privilege Escalation Flaw Discovered

A 5-year-old serious privilege-escalation vulnerability has been discovered in Linux kernel that affects almost every distro of the Linux operating system, including Redhat, and Ubuntu.

Over a month back, a nine-year-old privilege-escalation vulnerability, dubbed "Dirty COW," was discovered in the Linux kernel that affected every distro of the open-source operating system, including Red Hat, Debian, and Ubuntu.
​

Now, another Linux kernel vulnerability (CVE-2016-8655) that dates back to 2011 disclosed today could allow an unprivileged local user to gain root privileges by exploiting a race condition in the af_packet implementation in the Linux kernel.​

Kompletter Artikel: The Hacker News - 5-Year-Old Linux Kernel Local Privilege Escalation Flaw Discovered
​

- - - Beitrag zusammengeführt - - -

Hundreds of Thousands of Unpatchable IP Cameras Affected by Two Zero-Days

Hundreds of thousands of IP cameras from several vendors are affected by two zero-day vulnerabilities that allow an attacker to hijack the device, use it as a pivot point for other attacks, or spy on the camera's owner.

The zero-days affect the web server built into the firmware of many of these devices, which allows users to connect to the IP camera, configure it, or view a live feed.

Two zero-days found in the camera's built-in web server

CyberReason researchers Amit Serper and Yoav Orot found that this web server ran a version released way back in 2012. Despite being extremely old and outdated, the two also discovered two zero-day vulnerabilities in the server's code that allowed an attacker to take over the device.

The first was a combination of an authentication bypass and an information disclosure that allowed them to access a sensitive server file that contained the device's password.

The second zero-day was a command injection flaw that allowed an attacker to execute code on the server's behalf. Since the server ran as the "root" user, the commands were executed on the underlying Linux-based operating system with all admin privileges.

Kompletter Artikel: BleepingComputer - Hundreds of Thousands of Unpatchable IP Cameras Affected by Two Zero-Days

 

[Helios]

CERT Warns Users to Stop Using Two Netgear Router Models Due to Security Flaw

The United States Computer Emergency Readiness Team (US-CERT), an organization within the Department of Homeland Security (DHS), has published a security alert yesterday, warning owners of Netgear R6400 and R7000 models against using their routers for the time being, because of a severe security flaw.

The organization decided to issue this extreme advice after a user nicknamed "Acew0rm" had published online for the two models.

"Exploiting this vulnerability is trivial," CERT said. "Users who have the option of doing so should strongly consider discontinuing use of affected devices until a fix is made available."

"The CERT/CC is currently unaware of a practical solution to this problem and recommends the following workaround," the organization added.

Kompletter Artikel: BleepingComputer - CERT Warns Users to Stop Using Two Netgear Router Models Due to Security Flaw

- - - Beitrag zusammengeführt - - -

Five-Year-Old Bait-and-Switch Linux Security Flaw Patched

Maintainers of the Linux Kernel project have fixed three security flaws this week, among which there was a serious bug that lingered in the kernel for the past five years and allowed attackers to bypass some OS security systems and open a root shell.

The bugs have been addressed over the last weekend, and this week, downstream Linux distros have slowly pushed patches to their users.

The three fixed issues are CVE-2016-6480, CVE-2016-6828, and CVE-2016-8655. The first two are categorized as "medium" severity, while the third is considered "high."

Kompletter Artikel: BleepingComputer - Five-Year-Old Bait-and-Switch Linux Security Flaw Patched

 

[tp_x61]

Schwere Sicherheitslücke Netgear Router R7000 und R6400

Hier alle näheren Informationen.

https://www.kb.cert.org/vuls/id/582384

 

[Aviator]

Immer diese hingerotzten Links *kopfschüttel*

 

[Helios]

https://thinkpad-forum.de/threads/196385-Sammelthread-Artikel-rund-um-sicherheitsrelevante-Themen-und-Aspekte?p=2054161&viewfull=1#post2054161

 

[Aviator]

:thumbsup:

 

[tp_x61]

Immer diese hingerotzten Links *kopfschüttel*

Ich denke in dem verlinkten Artikel ist das Problem sehr gut beschrieben. Alles nochmal in anderen Worten zu verfassen macht keinen Sinn. Ich wollte einfach kurz und knapp darauf aufmerksam machen. Und da finde ich deinen Einzeiler weit unpassender als ein geposteter Link.

 

[deeptrancer]

also eine grobe Beschreibung wäre grundsätzlich schon nett, da hat Aviator absolut Recht! Einfach einen Link reinhauen, ohne vorher mal zu schauen, ob das Thema vielleicht schon wo steht (z. B. in Helios Sammelthread) ist nunmal nicht besonders schön...

Ob man es jetzt so deutlich wie Aviator ausdrücken muss sei mal dahingestellt, aber inhaltlich hat er auf jeden Fall Recht.

 

[einposter]

In einem anderen Forum hatte das "Hinrotzen" einen solchen Umfang angenommen mit den nackten links, so daß die Admins sich gezwungen sahen, dieses Statement oben anzupinnen:

Links bitte mit kurzer Erklärung zum verlinkten Inhalt versehen, andernfalls werden diese entfernt.

Danach war dann Ruhe

 

[Pferdle]

In einem deutschen Forum, ob nur Link oder zitiert, hat auch alles, was nicht in Deutsch geschrieben nichts zu suchen. Demnächst kommen noch Artikel in arabisch...
Aufgrund der vielen Fachbegriffe bringt da auch keine Übersetzung was.
So nett, wie der zB der Thread zu sicherheitsrelevanten Themen gemeint...gehört fast alles in ein englisches Forum. Da kann man sich ausländische Erklärung zu den Links auch sparen.

 

[Helios]

News, Papers etc. werden nun mal stets zuerst in englischer Sprache veröffentlicht. Ohne Englisch findet man sich heutzutage in der IT-Branche nicht mehr zurecht. Ist eine Grundvoraussetzung für diesen Arbeitsmarkt.

 

[einposter]

nicht nur in der IT, Uwe!

 

[Helios]

Stimmt. Grundsätzlich in allen technisch, wissenschaftlichen Richtungen.

LG Uwe

 

[Pferdle]

Das hier ist aber weder die IT-Branche noch "dieser" Arbeitsmarkt, sondern ein öffentliches Forum für Anwender.
Von mir aus kann man "in der Branche" sich japanisch unterhalten, mit dem Kunden wird man es sicherlich in seiner Sprache machen.

 

[cuco]

Ich denke in dem verlinkten Artikel ist das Problem sehr gut beschrieben. Alles nochmal in anderen Worten zu verfassen macht keinen Sinn. Ich wollte einfach kurz und knapp darauf aufmerksam machen. Und da finde ich deinen Einzeiler weit unpassender als ein geposteter Link.

Ja, aber warum muss ich erst den Link öffnen & den Artikel lesen, um rauszufinden, ob mich das Thema grundsätzlich überhaupt interessiert. Gerade wenn man mobil unterwegs ist (und der Anteil der Mobilnutzer wird immer mehr) heißt das oft auch, dass ein weiteres Programm geöffnet werden muss (was auf langsamen Handys etwas dauert), dass eine weitere Seite geladen werden muss (vllt. gerade nur EDGE Empfang oder im Zug/im Tunnel und daher nur alle paar Minuten sporadisch Empfang) und dass es aufs Datenvolumen geht (nicht jeder ist mit DSL-Flatrates online).

Ich bin z.B. häufig auch mobil hier im Forum unterwegs und ich habe tatsächlich ein nicht mehr ganz modernes Handy und sehr wenig Datenvolumen frei. Da kostet das Öffnen eines Links oft mehrere Minuten und einiges vom wertvollen Datenvolumen - einen Link ganz ohne Beschreibung öffne ich dann in der Regel aus Prinzip schon nicht.

 

[Helios]

Das hier ist aber weder die IT-Branche noch "dieser" Arbeitsmarkt, sondern ein öffentliches Forum für Anwender.
Von mir aus kann man "in der Branche" sich japanisch unterhalten, mit dem Kunden wird man es sicherlich in seiner Sprache machen.

Schon klar. Ist ein deutsches, technisches Forum. Wer dennoch auf dem aktuellen Stand bleiben will, und ich hoffe, dass das auch ein Anreiz für jeden technisch versierten Menschen hier ist, muss nun mal zumindest Englisch lesen können. Da führt absolut kein Weg vorbei.

 

[einposter]

...muss nun mal zumindest Englisch lesen können. Da führt absolut kein Weg vorbei.

So ist es nunmal im 21. Jht - ob das gut oder schlecht ist, sei mal dahingestellt.

Gut, als Naturwissenschaftler muß ich des Englischen schon sehr mächtig sein und deshalb ist das für mich (!) kein Problem, es gibt aber genügend Mitmenschen, denen das schon sehr schwer fällt. Oder die des Englischen gar nicht mächtig sind, weil sie hinter dem eisernen Vorhang groß geworden sind (dafür kann ich kein Russisch ) . So - genug OT.