Ivanti VPN-Geräte von Zero-Day-Angriffen betroffen, Kritische Schwachstelle in Junos OS für SRX und EX Series, GitLab warnt vor kritischer Sicherheitslücke, Framework-Kunden von Phishing-Angriff betroffen, Kryptojacker festgenommen und Streit um EU-KI-Gesetz
Klicken Sie auf den unteren Button, um den Inhalt von player.rss.com zu laden.
Wie immer auch auf Youtube und Peertube.
Schwachstellen und Exploits
Ivanti VPN-Geräte von Zero-Day-Angriffen betroffen
Sicherheitsforscher von Volexity haben aktive Angriffe auf Ivanti Connect Secure VPN-Geräte entdeckt, bei denen zwei Zero-Day-Schwachstellen für nicht authentifizierte Remote-Code-Ausführung ausgenutzt werden. Die entdeckten Schwachstellen sind CVE-2023-46805, eine Authentifizierungs-Umgehung mit einem CVSS-Score von 8.2, sowie CVE-2024-21887, eine Befehlseinschleusung in mehrere Webkomponenten mit einem CVSS-Score von 9.1. Ivanti hat die Schwachstellen bestätigt und empfiehlt Sofortmaßnahmen. Die Angriffe ermöglichten es den Angreifern, Konfigurationsdaten zu stehlen, Dateien zu ändern und eine Vielzahl von Angriffen durchzuführen. Die Forscher vermuten, dass ein chinesischer Staatstrojaner, bekannt als UTA0178, hinter den Angriffen steckt. Organisationen, die Ivanti Connect Secure VPN nutzen, werden dringend aufgefordert, die empfohlenen Maßnahmen zu ergreifen und ihre Systeme auf Anzeichen von Kompromittierung zu überprüfen.
Kritische Schwachstelle in Junos OS für SRX und EX Series
Juniper Networks hat eine Sicherheitswarnung (JSA75729) über eine kritische Schwachstelle in Junos OS für SRX Series und EX Series mit der Bezeichnung CVE-2024-21591 veröffentlicht. Die Schwachstelle wurde mit einem Score von 9.8 bewertet und erlaubt einem nicht authentifizierten Angreifer über die J-Web-Schnittstelle eine Denial-of-Service (DoS)-Attacke oder Remote Code Execution (RCE) mit Root-Privilegien auf betroffenen Geräten aufzuführen.
Die betroffenen Versionen umfassen Junos OS vor 20.4R3-S9 bis 22.4R3. Eine sofortige Lösung ist die Deaktivierung von J-Web oder die Beschränkung des Zugriffs auf vertrauenswürdige Hosts.
Juniper Networks hat aktualisierte Software-Versionen veröffentlicht, um diese Schwachstelle zu beheben. Es gibt bisher keine Hinweise auf bösartige Ausnutzung durch Juniper SIRT.
Die Schwachstelle wurde während externer Sicherheitsforschung entdeckt. Benutzer werden aufgefordert, ihre Systeme umgehend zu aktualisieren und die angegebenen Sicherheitsmaßnahmen zu implementieren.
GitLab warnt vor kritischer Sicherheitslücke: Account-Hijacking möglich
GitLab hat dringende Sicherheitsupdates veröffentlicht, um zwei kritische Schwachstellen zu beheben. Besonders alarmierend ist die Schwachstelle mit der Kennung CVE-2023-7028, die einen Höchstscore von 10 erhalten hat. Diese ermöglicht es Angreifern, Konten zu übernehmen, ohne dass die Nutzer aktiv werden müssen.
Die Sicherheitslücke ermöglicht das Versenden von Passwort-Reset-Anfragen an beliebige, nicht überprüfte E-Mail-Adressen. Selbst wenn die Zwei-Faktor-Authentifizierung aktiviert ist, kann das Passwort zurückgesetzt werden. Allerdings ist für eine erfolgreiche Anmeldung weiterhin der zweite Authentifizierungsfaktor erforderlich. Betroffen sind GitLab-Versionen 16.1 bis 16.7.
Eine weitere kritische Schwachstelle, bekannt als CVE-2023-5356, erhielt einen Score von 9.6. Angreifer können durch diese Lücke Slack/Mattermost-Integrationen missbrauchen, um Befehle als ein anderer Benutzer auszuführen.
Anwender werden nachdrücklich dazu aufgefordert, ihre GitLab-Installationen auf die neuesten Versionen zu aktualisieren, um sich vor möglichen Angriffen zu schützen.
Hacker-Gruppen und Kampagnen
Datenklau durch Social Engineering: Framework-Kunden von Phishing-Angriff betroffen
Framework, ein Unternehmen für personalisierbare Laptops, informierte Kunden über einen Datenverstoß. Am 11. Januar 2024 fiel ein Buchhalter von Keating Consulting, dem externen Buchhaltungspartner von Framework, einem Phishing-Angriff zum Opfer. Dabei wurden Kundendaten, darunter Namen, E-Mail-Adressen und ausstehende Beträge, preisgegeben.
Der Angreifer gab sich als CEO von Framework aus und forderte Informationen zu ausstehenden Zahlungen. Der Buchhalter antwortete unwissentlich und übermittelte eine Liste betroffener Kunden.
Um zukünftige Vorfälle zu verhindern, wird Keating Consulting Schulungen für Phishing- und Social Engineering-Angriffe für Mitarbeiter einführen.
Da ich als Besitzer eines Framework Notebooks persönlich davon betroffen bin, hätte ich Keating Consulting vielleicht mal besser von unserer Awareness Schulung erzählen sollen. Aber Spaß Beiseite, dieses Beispiel zeigt leider nur zu gut, dass auch vertrauenswürdige Partnerunternehmen zum Problem werden können.
Wirtschaft, Politik und Kultur
Kryptojacker hinter 1,8 Mio. Euro Mining-Betrug festgenommen
Laut einem Bericht von Europol wurde in der Ukraine ein 29-jähriger mutmaßlicher Drahtzieher eines ausgeklügelten, mehr als 1,8 Millionen Euro schweren Kryptojacking-Betrugs verhaftet. Die Nationalpolizei der Ukraine, unterstützt von Europol, nahm die Person in Mykolaiv fest, nachdem drei Immobilien durchsucht wurden, um Beweise zu sammeln. Der Verdächtige soll über 2 Millionen US-Dollar (1,8 Millionen Euro) in Kryptowährungen geschürft haben.
Kryptojacking in einer Cloud-Umgebung ermöglicht es bösartigen Akteuren, unbefugten Zugriff auf Cloud-Computing-Infrastrukturen zu erlangen und deren Rechenleistung für das Mining von Kryptowährungen zu nutzen. Auf den daraus anfallenden Kosten bleibt der Anbieter der Infrastruktur sitzen.
Streit um Biometrische Überwachung in EU-KI-Gesetz
Die neue KI-Verordnung der EU stößt auf Kritik wegen umstrittener Regelungen zur biometrischen Überwachung. EU-Abgeordnete und Datenschutzaktivisten äußern Bedenken über die Ausweitung von Befugnissen für Sicherheitsbehörden zur Identifizierung und Überwachung im öffentlichen Raum.
Die Verhandlungen im Dezember 2023 führten zu einem umstrittenen Kompromiss, wodurch die biometrische Fernüberwachung weniger eingeschränkt wurde als ursprünglich geplant. Besonders umstritten ist die vage Formulierung bezüglich einer „vorhersehbaren Gefahr einer Straftat“, die potenzielle Missbräuche ermöglichen könnte.
Kritiker warnen vor nationalen Sicherheitsausnahmen, die gefährliche KI-Systeme, darunter biometrische Massenüberwachung, erlauben könnten. Weitere Kontroversen betreffen die Genehmigung von biometrischer Videoüberwachung und unklare Definitionen, wie „erste Identifizierung eines potenziellen Straftäters“.
Die finale Fassung des Gesetzes wird im Februar 2024 im EU-Parlament erwartet. Datenschutzaktivisten fordern eine gründliche Prüfung, um Bürgerrechte angemessen zu schützen und übermäßige Nutzung biometrischer Technologien zu verhindern.
Das wars für diese Woche, die Weekly Hacker News gibt es auf unserem Youtube Channel oder als reine Audio Version auf rss.com, sowie diversen Podcast-Plattformen zu Abonnieren.
Danke für’s lesen und bis zum nächsten Mal – stay safe!
