Sicherheitslücken in UEFI-Firmware gefährden Millionen von Computern, schwere Sicherheitslücken in Cisco Unified Communications und Atlassian Confluence, Sicherheitswarnung für GoAnywhere, Cyberangriff auf HP, Kritik an bevorstehender KI-Verordnung und 3000 € Strafe für IT-Spezialist.
Klicken Sie auf den unteren Button, um den Inhalt von player.rss.com zu laden.
Wie immer auch auf Youtube und Peertube.
Schwachstellen und Exploits
Sicherheitslücken in UEFI-Firmware gefährden Millionen von Computern
Neue Probleme gefährden die Sicherheit von Millionen von Computern: PixieFail, so der Name der Schwachstellen, wurde im TCP/IP-Protokollstapel der UEFI-Firmware von großen Herstellern wie AMI, Intel und anderen entdeckt.
Durch die Schwachstellen können Angreifer Schadcode einschleusen, Diensten blockieren, DNS-Cache Poisoning Attacken ausführen oder sensible Informationen auslesen. Besonders kritisch ist, dass die Sicherheitslücken in einem frühen Boot-Stadium auftreten, wenn das Betriebssystem noch nicht geladen ist.
Die Auswirkungen hängen von der spezifischen Firmware-Version ab, und Angreifer im lokalen Netzwerk könnten diese Schwachstellen nutzen, um schädliche Aktionen durchzuführen. Es wird dringend empfohlen, die Firmware der betroffenen Computer so schnell wie möglich zu aktualisieren, sobald Sicherheitsupdates verfügbar sind, um potenzielle Risiken zu minimieren.
Schwere Sicherheitslücke in Cisco Unified Communications entdeckt
Im Rahmen einer Sicherheitswarnung informiert Cisco über eine kritische Sicherheitslücke mit der Bezeichnung CVE-2024-20253, in verschiedenen Produkten. Die Schwachstelle ermöglicht nicht authentifizierten, entfernten Angreifern die Ausführung von beliebigem Code und wird mit einem kritischen Score von 9.9 bewertet.
Betroffen sind Produkte wie Unified Communications Manager, Unified Contact Center Express und weitere. Cisco hat bereits Patches veröffentlicht, deren sofortige Installation empfohlen wird. Wer dazu nicht in der Lage ist, kann das Risiko durch ACLs, die den Zugriff auf die Ports der betroffenen Dienste einschränken, ein Stück weit mitigieren, bis die Patches installiert werden können.
Kritische Sicherheitslücke in Atlassian Confluence aktiv ausgenutzt
Cyberkriminelle haben begonnen, eine kürzlich entdeckte kritische Sicherheitslücke in Atlassian Confluence Data Center und Confluence Server auszunutzen. Dies geschah lediglich drei Tage nach Bekanntgabe der Sicherheitslücke. Die Schwachstelle, mit dem Namen CVE-2023-22527 und einem maximalen Score von 10.0, betrifft veraltete Versionen und ermöglicht Angreifern, Remote-Code auzszuführen.
Betroffen sind Confluence Data Center und Server 8-Versionen, die vor dem 5. Dezember 2023 veröffentlicht wurden, sowie die Version 8.4.5. Innerhalb weniger Tage nach der öffentlichen Bekanntgabe wurden bereits fast 40.000 Ausnutzungsversuche in freier Wildbahn verzeichnet. Dies geschah ab dem 19. Januar und wurde von mehr als 600 verschiedenen IP-Adressen durchgeführt, wie sowohl die Shadowserver Foundation als auch der DFIR Report berichten.
Aktuelle Aktivitäten konzentrieren sich derzeit auf „Testing Callback-Versuche und ‚whoami‘-Ausführungen“. Dies deutet darauf hin, dass Bedrohungsakteure opportunistisch nach anfälligen Servern suchen, um darauf folgende Ausnutzungen durchzuführen.
Kritische Schwachstelle in GoAnywhere MFT
Fortra hat eine Sicherheitswarnung für seine Managed File Transfer (MFT)-Software GoAnywhere herausgegeben. Eine kritische Schwachstelle mit dem Namen CVE-2024-0204 und einem Bewertungsscore von 9,8 ermöglicht einen Authentifizierungsbypass.
Diese Schwachstelle erlaubt einem nicht authentifizierten, entfernten Angreifer, die Authentifizierung zu umgehen und durch eine speziell präparierte Anfrage an eine anfällige GoAnywhere MFT-Instanz neue Benutzer mit Administratorrechten zu erstellen. Obwohl der Patch bereits am 7. Dezember veröffentlicht wurde, wurde die Warnung erst am 22. Januar öffentlich gemacht.
Laut Tenable Analytics-Daten vom 23. Januar 2024 verwenden 96,4% der GoAnywhere MFT-Ressourcen immer noch die betroffene Version. Lediglich 1,6% haben auf die behobene Version 7.4.0 aktualisiert, die bereits am 15. November 2023 veröffentlicht wurde.
Hacker-Gruppen und Kampagnen
Cyberangriff auf HP
Hewlett Packard Enterprise Company hat in einem aktuellen Bericht an die United States Securities and Exchange Commission (SEC) einen signifikanten Cybersecurity-Zwischenfall offengelegt. Der Vorfall wurde am 12. Dezember 2023 festgestellt, als das Unternehmen bemerkte, dass ein mutmaßlich staatlich unterstützter Akteur, bekannt als Midnight Blizzard oder Cozy Bear, unbefugten Zugang zur Cloud-basierten E-Mail-Umgebung von HPE erlangt hatte.
Der Zwischenfall betraf den unbefugten Zugriff und die Datenexfiltration aus einer begrenzten Anzahl von HPE-Postfächern, darunter Postfächer von Mitarbeitern in den Bereichen Cybersicherheit, Vermarktung und verschiedenen Geschäftsbereichen.
Obwohl die Untersuchung noch nicht abgeschlossen ist, geht das Unternehmen davon aus, dass die Aktivitäten des Bedrohungsakteurs bereits im Mai 2023 begonnen haben. Es wird angenommen, dass Daten aus den betroffenen Postfächern exfiltriert wurden. Eine frühere Benachrichtigung im Juni 2023 bezog sich auf unbefugten Zugriff und Datenexfiltration von SharePoint-Dateien.
Wirtschaft, Politik und Kultur
Kritik an bevorstehender KI-Verordnung: Unsicherheiten bei Biometrie und Datenschutzregelungen
Die KI-Verordnung, als erstes umfassendes Gesetz zur Regulierung Künstlicher Intelligenz, steht kurz vor der Verabschiedung. Doch nach der vorweihnachtlichen Einigung zwischen Kommission, Parlament und Rat gibt es Kritik und Unsicherheiten.
Besonders umstritten sind die Regelungen zur biometrischen Überwachung, die Gesichtserkennung ohne klare Einschränkungen erlauben. Die Emotionserkennung bleibt trotz ihrer fragwürdigen wissenschaftlichen Grundlage erlaubt, vor allem in Polizei- und Grenzkontrollen. Migrationskontrollen haben wenig Schutz, und Ausnahmen gelten auch für gefährliche KI-Systeme im Bereich der nationalen Sicherheit. Trotz einiger positiver Aspekte, wie neuen Rechten für Nutzer und Pflichten für Anbieter, bleibt die KI-Verordnung in ihrer aktuellen Form umstritten.
Es besteht die Möglichkeit, dass Mitgliedstaaten innerhalb ihrer Grenzen strengere Gesetze erlassen können. Die endgültige Verabschiedung steht noch aus, und einige Mitgliedstaaten könnten Änderungen fordern. Selbst nach der Verabschiedung wird es weitere zwei Jahre dauern, bis die neuen Regeln vollständig umgesetzt werden.
IT-Spezialist zu 3.000 Euro Strafe verurteilt
Laut einem aktuellen Bericht des WDR hat das Jülicher Amtsgericht einen IT-Fachmann aus Linnich zu einer Strafe von 3.000 Euro verurteilt. Grund dafür war seine Entdeckung einer Sicherheitslücke bei einem Online-Dienstleister im Jahr 2021. Dieser Dienstleister betreibt den Internet-Warenshop für bundesweit agierende Unternehmen.
Die Sicherheitslücke betraf Daten von 700.000 Kunden, darunter Bestellinformationen und Bankverbindungen. Überraschenderweise zeigte die betroffene Firma jedoch keine Dankbarkeit für die Meldung der Schwachstelle, sondern erstattete Anzeige gegen den IT-Fachmann wegen Ausspähens von Daten.
Im ersten Prozess wurde der Programmierer freigesprochen, doch nach einem erfolgreichen Rechtsmittel legte das Landgericht Aachen eine Verurteilung fest. In der aktuellen Verhandlung stufte das Jülicher Amtsgericht die Daten als ausreichend geschützt ein, da der Angeklagte eine Passwortsperre mit Fachkenntnissen überwunden hatte.
Die verhängte Strafe von 3.000 Euro liegt unter der ursprünglichen Forderung der Staatsanwaltschaft von 5.400 Euro. Der IT-Freelancer argumentierte, dass die Daten quasi frei zugänglich waren. Der Fall hat bundesweit Aufmerksamkeit erregt, und es wird berichtet, dass die Bundesregierung eine Überarbeitung des Hackerparagraphen plant.
Das wars für diese Woche, die Weekly Hacker News gibt es auf unserem Youtube Channel oder als reine Audio Version auf rss.com, sowie diversen Podcast-Plattformen zu Abonnieren.
Danke für’s lesen und bis zum nächsten Mal – stay safe!
