Kritische Updates und fiktive Schwachstellen für WordPress, US-Bundesbehörde durch alte Software gehackt, Regierungen spionieren über Push-Benachrichtigungen, Meta Messenger jetzt mit Ende-zu-Ende-Verschlüsselung und massive Sicherheitslücken im Gesundheitswesen.
Klicken Sie auf den unteren Button, um den Inhalt von player.rss.com zu laden.
Wie immer auch auf Youtube und Peertube.
Schwachstellen und Exploits
WordPress Sicherheitsupdate behebt kritische Schwachstelle
Das kürzlich veröffentlichte Update von WordPress, Version 6.4.2, konzentriert sich vor allem auf die Behebung einer kritischen Sicherheitslücke. Das Sicherheitsteam hat eine Remote Code Execution-Schwachstelle identifiziert, die zwar nicht direkt im WordPress-Kern ausnutzbar ist. Dennoch besteht ein erhebliches Risiko, insbesondere in Verbindung mit bestimmten Plugins, vor allem bei Multisite-Installationen.
Die Entwickler empfehlen daher nachdrücklich, dieses Sicherheitsupdate sofort zu installieren. Durch die Aktualisierung auf WordPress 6.4.2 werden potenzielle Angriffspunkte geschlossen und die Sicherheit erhöht.
Die Aktualisierung kann direkt von WordPress.org heruntergeladen oder über das WordPress-Dashboard durchgeführt werden.
Fake-Warnung zu angeblich gefährlichem WordPress Update
Derzeit sind betrügerische E-Mails in Umlauf, die WordPress-Admins vor einer vermeintlichen Schadcode-Lücke warnen. Das berichtet Heise am letzten Donnerstag.
Via E-Mail werden Administratoren von WordPress Seiten auf eine angeblich kritische Schwachstelle mit der fiktiven ID CVE-2023-45124 hingewiesen. Die Mail verweist auf eine Phishing Webseite, die der offiziellen WordPress Plugin Seite verdächtig ähnlich sieht.
Wer Updates über den automatisierten Vorgang im WordPress Admin Panel installiert, ist auf der sicheren Seite. Noch besser ist beraten, wer die Installation von WordPress Updates vollständig automatisiert.
Hacker-Gruppen und Kampagnen
US-Bundesbehörde durch alte Schwachstelle gehackt
Die US-Bundesbehörde CISA warnt vor erfolgreichen Cyberangriffen auf eine Bundesbehörde, bei denen Hacker eine bekannte Schwachstelle in nicht mehr unterstützter Software ausnutzten. Die Angriffe im Juni und Juli richteten sich gegen öffentlich zugängliche Server, die veraltete Versionen von Adobe ColdFusion verwendeten. Die Schwachstelle CVE-2023-26360 war bereits im März bekannt und betraf eine Software im „End-of-Life“-Status ohne weitere Updates.
Die Hacker führten Erkundigungen im Netzwerk durch, aber es gibt keine Anzeichen für Datenexfiltration. Microsoft Defender for Endpoint erkannte die Schwachstelle und blockierte die Hackeraktivitäten. Die CISA betont die Risiken der Verwendung nicht mehr unterstützter Software und die Wichtigkeit von Updates zur Cyberabwehr.
Wirtschaft, Politik und Kultur
Regierungen spionieren über Push-Benachrichtigungen
US-Senator Ron Wyden hat in einem Schreiben (PDF) an den Generalstaatsanwalt Merrick B. Garland das Justizministerium aufgefordert, Apple und Google zu gestatten, ihre Kunden über staatliche Anforderungen bezüglich Benachrichtigungsdaten von Smartphone-Apps zu informieren.
Hintergrund ist ein Hinweis aus dem Frühjahr 2022, wonach ausländische Regierungsbehörden von Google und Apple die Herausgabe von Aufzeichnungen über sogenannte „Push“-Benachrichtigungen fordern. Wydens Büro hat dies im letzten Jahr intensiv untersucht, wobei die Unternehmen mit Verweis auf staatliche Beschränkungen eine Veröffentlichung verweigerten.
Push-Benachrichtigungen, die über digitale Postdienste von Apple und Google laufen, ermöglichen eine effiziente Zustellung von App-Mitteilungen. Da diese Daten von Apple und Google übermittelt werden, könnten sie von Regierungen angefordert werden, was eine heimliche Überwachung ermöglicht.
Wyden betont, dass Apple und Google in der einzigartigen Position sind, diese staatliche Überwachung zu erleichtern, da App-Entwickler kaum Alternativen haben. Er fordert daher, dass die Unternehmen transparent sein dürfen, indem sie bekannt geben, ob sie solche Anfragen erhalten haben, Statistiken veröffentlichen und Kunden informieren dürfen, es sei denn, Gerichte schreiben Stillschweigen vor.
Meta Messenger jetzt mit Ende-zu-Ende-Verschlüsselung
Ab dem 6. Dezember 2023 bietet der Messenger auf Facebook eine verbesserte Sicherheit. Persönliche Chats und Anrufe sind nun standardmäßig Ende-zu-Ende verschlüsselt. Diese Maßnahme gewährleistet, dass Inhalte von Nachrichten und Anrufen nur für Absender und Empfänger sichtbar sind. Zusätzlich werden neue Funktionen wie Nachrichtenbearbeitung, verschwindende Nachrichten nach 24 Stunden und verbesserte Kontrollen für Lesebestätigungen eingeführt. Die globale Implementierung erfolgt schrittweise über mehrere Monate, und Benutzer werden aufgefordert, eine Wiederherstellungsmethode einzurichten. Diese Aktualisierung markiert die größte Verbesserung der Sicherheit des Messenger-Dienstes seit seiner Einführung im Jahr 2011.
Nur 10 Jahre nachdem Signal Ende-zu-Ende Chats salonreif gemacht hat und 9 Jahre nachdem WhatsApp das Protokoll von Signal implementiert hat, zieht nun auch Meta Messenger nach. Der Vorreiter in Sachen Datenschutz geht damit mal wieder mit gutem Beispiel vorran.
Massive Sicherheitslücken im Gesundheitswesen: Patientendaten durch veraltetes Protokoll gefährdet
In einem alarmierenden Bericht von IT-Sicherheitsexperten, wird enthüllt, dass Millionen von Patientendaten einem erheblichen Risiko ausgesetzt sind. Grund hierfür ist die Nutzung des veralteten DICOM-Protokolls in der medizinischen Bildgebung. Die Präsentation verdeutlichte, wie Hacker auf einfache Weise Zugang zu sensiblen medizinischen Informationen erhalten und sogar Daten manipulieren können.
DICOM, ein seit einem Jahrzehnt bestehendes Standardprotokoll, wird in zahlreichen medizinischen Einrichtungen verwendet. Die Experten warnten vor der Leichtfertigkeit, mit der ungeschützte DICOM-Endpunkte im Internet gefunden und ausgenutzt werden können. Die Präsentation enthielt klare Handlungsempfehlungen für medizinische Institutionen, Gesundheitsdienstleister und Ingenieure, um diese Sicherheitslücken zu schließen und die Vertraulichkeit von Patientendaten zu gewährleisten.
Das wars für diese Woche, die Weekly Hacker News gibt es auf unserem Youtube Channel oder als reine Audio Version auf rss.com, sowie diversen Podcast-Plattformen zu Abonnieren. Danke für’s lesen und bis zum nächsten Mal – stay safe!
