bk99.de entertain the web since 1997

bk99.de
g · SicherheitKuratiert

Google veröffentlicht Windows-Sicherheitslücke

Zusammenfassung

Google veröffentlichte Anfang 2015 eine Lücke in Windows 8.1, nachdem Microsoft sie nicht innerhalb von 90 Tagen geschlossen hatte. Über NtApphelpCacheControl konnte ein Benutzer mit eingeschränkten Rechten Administratorrechte erlangen. Googles Experten hatten die Schwachstelle Ende September 2014 gefunden und Microsoft informiert.

Ideen

  • Eine feste Frist zwingt Hersteller, Lücken rechtzeitig zu schließen.
  • Nach Ablauf wird die Lücke unabhängig vom Patchstand veröffentlicht.
  • Die Lücke erlaubte lokale Rechteausweitung.

Einsichten

  • Offenlegungsfristen verschieben Macht von Herstellern zu Forschern und Nutzern.
  • Starre Fristen können Nutzer auch gefährden, wenn der Patch knapp danach kommt.

Fakten

  • Die Lücke betraf NtApphelpCacheControl in Windows 8.1.
  • Entdeckt wurde sie Ende September 2014.
  • Google gründete Project Zero im Juli 2014.
  • Microsoft reagierte zunächst nur mit einem Kommentar und verwies darauf, dass ein Nutzerkonto nötig sei.

Referenzen

Kritik

  • Die Meldung diskutiert nicht, ob die starre 90-Tage-Frist in diesem Fall Nutzer gefährdet hat.

Bemerkungen

  • Googles Project Zero hält bis heute an der 90-Tage-Frist fest, ergänzt um eine kurze Nachfrist.

Empfehlungen

  • Plane Patchprozesse so, dass Updates innerhalb weniger Tage nach Veröffentlichung eingespielt werden.
  • Beobachte Veröffentlichungen von Project Zero und ähnlichen Teams für eingesetzte Produkte.

Originalartikel lesen →

Im Webarchiv suchen

g · 2020

Die Tricks mit der Google-Sicherheitslücke

Trend Micro fand Anfang 2020 Schad-Apps im Google Play Store, die eine Android-Lücke ausnutzten, die zuvor bereits von Kunden des Spyware-Herstellers NSO verwendet worden war. Google hatte die Lücke rund anderthalb Jahre vorher selbst entdeckt. Die Apps Camero und Filecrypt Manager dienten als Dropper und installierten unbemerkt die Spionage-App Callcam.

g · 2023

Sicherheitslücke in SugarCRM-Servern wird aktiv ausgenutzt

Angreifer nutzten Anfang 2023 eine kritische Lücke in SugarCRM (CVE-2023-22952), um Server zu übernehmen und Schadsoftware zu installieren. Über den Pfad /index.php/ ließ sich die Authentifizierung umgehen, danach lud ein POST-Request eine PNG-Datei mit PHP-Code hoch, die bei späterem Abruf ausgeführt wurde. Censys fand bis zum 11. Januar 354 kompromittierte Server, knapp zwölf Prozent aller 3059 erreichbaren Instanzen.

g · 2017

BSI warnt vor Sicherheitslücke in 60 Netgear-Modellen

Das BSI warnte im Januar 2017 vor einer Lücke in rund 60 Netgear-Routermodellen, über die Angreifer das Passwort der Weboberfläche auslesen konnten. Ausnutzbar war sie, wenn die Passwortwiederherstellung deaktiviert war und der Angreifer im selben Netz saß oder die Fernverwaltung aktiv war. Das BSI stufte das Risiko mit Stufe 5 ein, ohne klar zu erklären, was das bedeutet.