Open Source im professionellen Einsatz

Neueste Beiträge aller Blogs auf Linux-Magazin Online

Übersicht der vorhandenen Blogs

CUPS: Lokaler Angreifer kann Dateien mit Root-Rechten lesen

(20.08.2014 13:15)
Eine Sicherheitslücke in dem CUPS-Dienst hat zur Folge, dass ein lokaler Angreifer höhere Rechte auf dem System erlangen kann. Ursache ist eine Symlink-Attacke, die jeder lokale Benutzer der lp-Gruppe ausnutzen kann.  Dadurch kann der Angreifer einen symbolischen Link von einer kritischen Systemdate auf eine Datei in dem /var/cache/cups/rss-Verzeichnis anlegen. Anschliessend kan...

Wordpress

(12.08.2014 19:30)
In der Wordpress Applikation wurden mehrere Sicherheitslücken entdeckt und kürzlich korrigiert. Ein Problem tritt beim Verarbeiten von Widgets auf. Hierdurch ist ein entfernter Angreifer in der Lage Befehle auf dem System auszuführen. Widgets sind in der Standard-Konfiguration von Wordpress nicht aktiviert, so dass die Attacke in diesem Fall nicht möglich ist. Ein weitere...

Es ist Sommer - auch für Geeks!

(04.08.2014 14:49)
Vor einigen Wochen haben mich Kollegen der englischen Presse zum Podcast eingeladen. Im Herzen Münchens saßen wir in einem kleinen Café, ausgerüstet mit Notebooks, Mikrofonen, Tablets und Handys, und haben eine gute dreiviertel Stunde Material aufgenommen. In der Sendung wurde die ein oder andere Neuigkeit aus dem Open-Source-Bereich besprochen, nette Anekdoten aus der Linux-Welt get...

Samba-Schwachstelle: Angreifer kann Befehle mit Root-Rechten ausführen

(04.08.2014 7:33)
Eine Sicherheitslücke in dem Samba-Dienst hat zur Folge, dass ein entfernter Angreifer Befehle mit Root-Rechten auf dem System ausführen kann. Die Attacke ist durch das Senden spezieller Netzwerk-Daten möglich. Ursache der Schwachstelle ist ein Heap-Overflow-Fehler in dem NetBIOS-Namens-Dienst nmbd.Betroffen sind die Versionen 4.0.0 bis 4.1.10.

vBulletin: SQL-Attacke möglich

(28.07.2014 8:00)
Eine <a href="http://www.securitytracker.com/id/1030647">Sicherheitslücke</a> in der vBulletin-Applikation hat zur Folge, dass ein entfernter Angreifer SQL-Injection-Attacken gegen die zugrundeliegende Datenbank ausführen kann. Ursache ist ein Programmierfehler in dem ajax/render/memberlist_items-Skript. Dieses verarbeitet bestimmte Benutzereingaben nicht korrek...

CUPS: Lokaler Angreifer kann mit Root-Rechten mitlesen

(21.07.2014 10:03)
Eine Sicherheitslücke in dem CUPS-Dienst hat zur Folge, dass ein lokaler Angreifer höhere Rechte auf dem System erlangen kann. Ursache ist eine Symlink-Attacke, die jeder lokaler Benutzer der lp-Gruppe ausnutzen kann.  Dadurch kann der Angreifen einen symbolischen Link von einer kritischen Systemdate auf eine Datei in dem /var/cache/cups/rss/-Verzeichnis anlegen. Anschliessend k...

CSRF-Schwäche im Adobe Flash Player

(15.07.2014 8:49)
Adobe hat im Flashplayer kürzlich eine Sicherheitslücke korrigiert. Sie ermöglichte einem entfernten Angreifer, Cross-Site-Request-Forgery-Attacken (CSRF) durchzuführen. Dadurch war er in der Lage, Sicherheitsprüfungen zu umgehen und Befehle mit den Rechten des Anwenders auszuführen. Das Problem tritt beim Verarbeiten speziell konstruierter SWF-Dateien auf, wenn diese mit...

SQL-Schwäche in Ruby on Rails

(14.07.2014 9:42)
Eine Sicherheitslücke im Framework Ruby on Rails ermöglicht einem entfernten Angreifer, SQL-Injection-Attacken gegen die verwendete Datenbank durchzuführen. Anfällig hierfür sind bestimmte Datenbankanfragen, die "bitstring"- und "range"-Typen enthalten. Der Programmierfehler befindet sich im Code des PostgreSQL-Adapter für Active Record. Betroffener Co...

De-Mail im Tal der Ahnungslosen

(30.06.2014 14:48)
Mit Unterstützung durch die Telekom soll Dresden Vorbild in Sachen sicherer Kommunikation werden, Bürger, Firmen und Behörden sollen davon in ihrem Alltag profitieren. Ein hehres Ziel und ein Grund mehr, die Bewohner des schönen Elb-Florenz aufrichtig zu beneiden. Ach ja, wie will man das nochmal erreichen? Mit De-Mail. Nicht lachen, stimmt wirklich. Genau mit diesem behö...

Schwachstelle in Open AFS

(30.06.2014 10:11)
Open AFS ist eine Open-Source-Implementierung des Netzwerkprotokolls Andrew File System (AFS) für verteilte Netzwerkdateisysteme. Eine Sicherheitslücke in Open AFS (CVE 2014-4044) hat zur Folge, dass ein entfernter Angreifer Befehle mit den Rechten des Fileservers ausführen kann. Der Angreifer muss hierzu in der Lage sein, eine Verbindung zum Open-AFS-Server aufzubauen. I...

Shocker: Sicherheitslücke in Docker

(23.06.2014 8:35)
Unter dem Namen Shocker steht seit Kurzem ein Programm zur Verfügung, das aus Docker-Containern ausbrechen kann. Docker ist ein High-Level API für LXC (Linux Containers) und erweitert teilweise deren Funktionalität. Docker isoliert Prozesse voneinander und macht das Installieren von Software dadurch sehr einfach. Hauptziel von Docker ist es, Software einfach zu verteilen....

Adobe Flash Player: Mehrere Sicherheitslücken korrigiert

(16.06.2014 8:39)
Kürzlich hat Adobe in einem Advisory auf mehrere Schwachstellen im Flash Player hingewiesen. Ein entfernter Angreifer kann dadurch Befehle mit den Rechten des Anwenders ausführen und Cross-Site-Scripting-Attacken starten. Daneben kann er auch auch Sicherheitskontrollen umgehen. Verantwortlich dafür sind verschiedene Programmierfehler. Der Angreifer kann durch speziellen F...

Open SSL: Zahlreiche Security-Fixes

(10.06.2014 8:57)
Das Open-SSL-Projekt hat Anfang Juni mehrere Sicherheitslücken bekannt gegeben und korrigiert. Ein Race-Condition-Fehler in der Funktion "ssl3_read_bytes()" hat zur Folge, dass ein entfernter Angreifer Denial-of-Service-Attacken durchführen kann. Anfällig hierfür sind Multithreaded-Applikationen, die die Option "SSL_MODE_RELEASE_BUFFERS" aktiviert habe...

Fehler in Futex-Implementation des Linux-Kernels

(02.06.2014 9:04)
Eine Sicherheitslücke im Linux-Kernel hat zur Folge, dass ein lokaler Angreifer Denial-of-Service-Attacken durchführen kann. Er kann somit den Absturz des Systems herbeiführen. Ursache hierfür ist ein Programmierfehler im Futex-Code des Kernels. Ähnlich wie ein Mutex dient ein Futex zur Synchronisation von zu einem Prozess gehörenden Threads. In der Futex-Kernel-Implement...

Libxfont: Angreifer kann Befehle ausführen

(26.05.2014 9:09)
Mehrere Sicherheitslücken in der Bibliothek Libxfont haben zur Folge, dass lokale und entfernte Angreifer Befehle mit den Rechten des Anwenders ausführen können. Das erste Problem tritt beim Verarbeiten von "fonts.dir"- und "fonts.alias"-Dateien auf. Hierdurch kann es zu einem Heap-Overflow-Fehler kommen, der dem Angreifer erlaubt, Befehle auszuführen...

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.