(jp) – Laut einem Bericht von Secunia wurde die Schwachstelle in Version 38k4 von SurgeMail nachgewiesen. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch einen Begrenzungsfehler bei der Verarbeitung von „Host“ HTTP Kopfzeilen. Durch gezielte Manipulation solcher Kopfzeilen können Angreifer einen Stack-basierten Pufferüberlauf in SurgeMail auslösen, der sich für einen Denial-of-Service Angriff missbrauchen lässt. Da bislang kein Patch existiert, wird empfohlen, die Zugriffe auf SurgeMail per Firewall einzuschränken.

Quelle: TECChannel

(jp) – Laut einer Meldung von Secunia wurde die Sicherheitslücke in der aktuellen Version 2.0.19 von RaidenHTTPD nachgewiesen. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch die mangelhafte Bereinigung von Eingaben an den Parameter „ulang“ in der Datei „raidenhttpd-admin/workspace.php“.

Durch gezielte Manipulation dieser Eingaben können Angreifer beliebige Dateien betroffener Systeme einsehen. Um den Fehler auszunutzen, muss die WebAdmin Funktionalität in RaidenHTTPD aktiviert sein. Bisher existiert kein Patch gegen die Sicherheitslücke.

Quelle: TECChannel

(jp) – Nach einem Bericht der Sicherheitsexperten von Secunia tritt die Schwachstelle in verschiedenen Versionen des Google Web Toolkit vor 1.4.61 auf. Der Fehler entsteht durch die mangelhafte Bereinigung von Eingaben, die an das Benchmark Report System des Google Web Toolkit übergeben werden.

Durch gezielte Manipulation können Angreifer beliebigen HTML- und Scriptcode in die Sitzung eines anderen Benutzers einspeisen. Die Sicherheitslücke wird mit der neuesten Version 1.4.61 geschlossen.

Quelle: TECChannel

(jp) – Apple hat seinen Anwendern ein vorweihnachtliches Präsent beschert und diverse Patches veröffentlicht. Betroffen sind von den Verbesserungen die Betriebssysteme Mac OS X 10.4 Tiger and 10.5 Leopard und der Apple-Browser Safari.

Für seine Betriebssysteme hat Apple insgesamt 31 Updates und Patches veröffentlicht. Die Mac OS X-Flicken beheben unter anderem Probleme beim Adressbuch und bei der Chat-Software.

Außerdem werden zahlreiche Probleme unter der Haube beseitigt, beispielsweise bei ColorSync und den Komponenten für die Skriptsprachen Perl, Python and Ruby. Einige dieser Schwachstellen waren zumindest theoretisch Einfallstore für Angreifer.

Außerdem stellte Apple einen Patch für den Browser Safari 3 Beta bereit. Damit soll eine Cross-Site-Scripting-Sicherheitslücke geschlossen werden.

Apple stellt auf seiner Website ausführliche Informationen zu den Patches bereit.

Quelle: PCWelt

(jp) – Rund 3,5 Millionen Amerikaner haben seit August 2006 Geld durch Phishing-Attacken verloren. Laut Gartner ist die Zahl durch Online-Datendiebstahl geschädigter US-Bürger im Vorjahresvergleich um 57 Prozent gestiegen.

Nach einer Untersuchung, die das Marktforschungsinstitut Gartner über zwölf Monate (Ende: August 2007) vorgenommen hat, ist das Phänomen Phishing offenbar alles andere als Geschichte.

Selbst mit dem Grundprinzip des Online-Datenklaus vertraute Verbraucher (laut Gartner nach wie vor eine Minderheit) seien vor den aktuellen Betrugsmaschen nicht gefeit, warnt Gartner-Analystin Avivah Litan.

Weiterlesen

(jp) – Das von Microsoft am letzten Dienstag im Rahmen des Patch Day bereit gestellte Sicherheits-Update für den Internet Explorer verursacht bei einer Reihe von Anwendern offenbar mehr Probleme als es löst.

Bereits kurz nach dem Patch Day am letzten Dienstag sind am 12.12. die ersten Anwender auf Probleme mit dem neuen kumulativen Sicherheits-Update für den Internet Explorer gestoßen. Die Installation des im Security Bulletin MS07-069 behandelten Updates 942615 sorgt in einigen Fällen dafür, dass eine Reihe von Websites nicht mehr erreichbar sind.

Es kommt auch vor, dass der Internet Explorer gleich nach dem Start mit einer unspezifischen Fehlermeldung wieder beendet wird.

Weiterlesen

(jp) – Nach einem Bericht von Secunia wurde die Sicherheitslücke in der aktuellen Version 4.6 von scponly nachgewiesen. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle besteht in der Tatsache, dass eine Reihe von Programmen von scpcopy auf unsichere Art und Weise aufgerufen wird.

Durch die gezielte Übergabe entsprechender Kommandozeilenparameter können Angreifer beliebige Programme ausführen. Die Sicherheitslücke wurde im Entwicklungsserver (CVS Repository) von scpcopy bereits geschlossen.

Quelle: TECChannel

(jp) – Nach einem Bericht von Secunia wurde die Schwachstelle in Version 1.4.2 von Hammer of Thyrion nachgewiesen. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht durch einen Begrenzungsfehler bei der Verarbeitung von Huffman kodierten Daten in der Funktion „HuffDecode()“, die in den Dateien „hw_utils/hwrcon/huffman.c“ und „hexenworld/Client/huffman.c“ verwendet wird.

Durch gezielte Manipulation von Huffman Datenpaketen können die Angreifer einen Pufferüberlauf auslösen, mit dessen Hilfe sich unter Umständen beliebiger Code in betroffene Systeme einspeisen lässt. Die Sicherheitslücke wurde in der neusten Beta Version 1.4.3-cvs vom 15. Dezember 2007 beseitigt.

Quelle: TECChannel