Anonymer Sicherheitsforscher veröffentlicht zwei Dutzend Zero-Days

[Mornsgrans]

Interessanter Heise-Artikel:

Exploitarium: Anonymer Sicherheitsforscher veröffentlicht zwei Dutzend Zero-Days

Von PHP bis RustDesk: Der Unbekannte hat mit KI-Unterstützung Sicherheitslücken in allerlei quelloffener Software entdeckt und publik gemacht – als Geschenk.

www.heise.de

Betroffen ist mindestens ein Teil aktuellster Software, wie z.B. FireFox 152.0.2. Nur eines der Pakete hat eine CVE-Kennung.
Auch AnyDesk, RustDesk und wieder einmal 7-Zip sind betroffen:

• 7-Zip 26.01 (Windows)
• AnyDesk 9.7.6 (Windows)
• c-ares
• Docker Engine 29.6.0
• FFmpeg: RASC-Decoder
• Firefox 152.0.2 (Windows)
• Floci 1.5.27 API Gateway
• Flowise 3.1.2 / flowise-components 3.1.2
• Ghidra 12.1.2
• Gitea
• ImageMagick 7.1.2-25 mit Ghostscript 10.07.1 (Windows)
• libssh2 (PoC für CVE-2026-55200 sowie für neue Lücke unter Windows)
• Lunar Client
• MyBB 1.8.40
• nghttp2 1.69.0
• nmap
• objdump
• OpenVPN 3.11.3 sowie OpenVPN Connect für Windows 3.8.0
• PHP 8.5.7
• RustDesk
• SystemInformer 4.0.26162.539 (Windows)
• VLC 3.0.23 (Windows)

Mal sehen, wie lange wir mit den Sicherheitslücken leben müssen.

 

[Ambrosius]

Bisschen unfair ist das schon, dass nur quelloffene Software durchleuchtet werden kann. Das suggeriert der Öffentlichkeit dass diese inherent anfällig und vulnerabel ist. Tragisch-ironisch deswegen aber auch weil das gerade die Stärke ist von Open Source ist. Ich zitier mal Torvalds:

With enough eyes all Bugs are shallow.

 

[zwieblum]

Warum sind die PoC alle für Windows?

 

[Mornsgrans]

Ich finde es gut, ist doch der Sicherheitsaspekt eines der Hauptargumente für Open-Source/Linux. Bugs allgemeiner Art sind hiervon nicht betroffen

Warum sind die alle für Windows?

nur quelloffene Software

Also für Linux und Windows. Die Sicherheitslücken, die NUR Windows betreffen, sind entsprechend gekennzeichnet. - So sehe ich es.

 

[Ambrosius]

Hauptargumente für Open-Source/Linux

Deswegen ja:

Tragisch-ironisch

Bugs allgemeiner Art sind hiervon nicht betroffen

Ja doch. Auch Bugs können potenzielle Angriffsvektoren für Exploits und Zero Days bieten. Im Falle von gewerblich gehandelten Exploits (von Bundestrojanern bis hin zu Firmen die nicht namentlich genannt werden sollen, die an Regierungen mit fragwürdigen Rechtsverständnissen verkaufen) sind dann solche Bugs bekannterweise Features.

 

[Schwartz]

Hoffentlich ist die Schwemme an einfach KI-findbaren Lücken irgendwann over und wir haben was daraus gelernt. Wäre mal interessant wenn man die ganze Liste solcher Sicherheitslücken auf gemeinsame Nenner überprüft.

 

[TheSentinel]

Hoffentlich ist die Schwemme an einfach KI-findbaren Lücken irgendwann over und wir haben was daraus gelernt. Wäre mal interessant wenn man die ganze Liste solcher Sicherheitslücken auf gemeinsame Nenner überprüft.

Hi Schwartz

Was die Eliminierung von Lücken in Softwareprodukten angeht, stimme ich Dir zu. Nur ob danach wirklich allesentdeckt wurde, denke ich eher nicht. Daraus lernen, ja, solange dann der Pool an frei verfügbaren SW Libraries usw. und deren Quellen (z.B. Git Hub) auch sauber ist.
Selbstredend sollten (müssen !) die Betreiber solcher Plattformen Sorge tragen, daß keine schadhaft belastete SW wieder alles zunichte macht.

Gruß
TS