Die Qt-Bibliothek ermöglicht die plattformübergreifende Entwicklung von Applikationen. Qt-QML ist eine darauf basierende Markup Programmiersprache, die das Entwickeln von Oberflächen mit an JSON angelehnten Strukturen ermöglicht. Forscher von Cisco Thalos haben in Qt-QML ein kritische Sicherheitslücken entdeckt. Ein Angreifer kann dadurch Befehle auf dem betroffenen System ausführen.

Einer der Fehler in Qt-QML tritt im Speichermanagement des Codes auf, weil bestimmter Javascript-Code einen Integer-Überlauf bei Speicher-Allokierung auslösen kann. Eine solche Attacke ist möglich, falls das Opfer mit einer Qt-Anwendung auf eine Webseite zugreifen und dort der entsprechende Javascript-Code ausgeführt wird. Dadurch kann der Angreifer dann seine Befehle ausführen.

Der Beitrag Qt-QML: Angreifer kann Befehle ausführen erschien zuerst auf Linux-Magazin.

SugarCRM ist eine verbreitete Software für Customer-Relationship-Management, die auf PHP basiert. Als Datenbanksystem können neben MySQL auch IBM DB2, Microsoft SQL Server oder eine Oracle DB verwendet werden.

Eine Sicherheitslücke in SugarCRM hat zur Folge, dass ein nicht authentifizierter Angreifer Schadcode auf dem System einschleusen kann. Aktuell wird diese Schwachstelle ausgenutzt, um Krypto-Mining auf den kompromittierten Systemen zu betreiben.

Ein Exploit für die Schwachstelle ist öffentlich zugänglich und wurde Ende letzten Jahres auf der Full Disclosure Mailingliste veröffentlicht.  Es handelt sich dabei um einen recht einfachen Python-Code, der auch von Nicht-Experten einfach für eine Attacke missbraucht werden kann.

Der verantwortliche Programmierfehler liegt in dem SugarCRM Code zur Verarbeitung von EmailTemplates. Dort werden Benutzereingaben nicht richtig gefiltert, so dass die Attacke möglich ist. Der Angreifer kann hierüber seinen eigenen PHP-Code in das System einschleusen.

Der Fehler wurde in der Version 12.0 Hotfix 91155 korrigiert.

Der Beitrag SugarCRM: Exploit im Umlauf erschien zuerst auf Linux-Magazin.

Der Citrix-Server enthält kritische Sicherheitslücken, die es Angreifern erlauben Zugriff auf das System zu erlangen. Die Angreifer analysieren hierzu HTTP-Antworten, um auf die installierte Server-Version zu schließen. Anfällig hierfür sind Citrix ADC und Gateway.

Die Schwachstellen wurden in ADC-/Gateway-Version 13.0-88.14 korrigiert. Auf zahlreichen Systemen kommt allerdings noch die Version 12.1-65.21 zum Einsatz. Darin wurde die kritische Sicherheitslücke CVE-2022-27518 noch nicht geschlossen. Auf diesen Systemen können Angreifer seit Dezember 2022 die Schwachstelle ausnutzen und Zugriff erlangen. Allerdings sind nur Systeme mit SAML SP oder IdP-Konfigurationen angreifbar.

Der Beitrag Citrix-Server: Entfernter Angreifer kann Befehle ausführen erschien zuerst auf Linux-Magazin.

Im Rahmen des Android Patchdays hat Google mehrere Sicherheitslücken im Android-System geschlossen. Ein entfernter Angreifer kann aufgrund dieser Schwachstellen höhere Rechte auf Android-Geräten erlangen. Des Weiteren kann der Angreifer auch Attacken direkt auf Kernel-Ebene starten.

Google hat, wie üblich, keine Details zu den Sicherheitslecks veröffentlicht. Allerdings stuft Google die Schwachstellen im Android-Framework mit dem Bedrohungsgrad “hoch” ein, da sie es erlauben, dass ein AngreifersCode ausführt. Zum Ausnutzen der Schwachstelle benötigt der Angreifer keine besonderen Berechtigungen auf dem System. Die Kernel-Schwachstellen werden von Google als “kritisch” eingestuft. Diese betreffen beispielsweise die WLAN-Komponente des Android-Systems. Darüber kann der Angreifer beliebigen Schadcode auf dem System ausführen.

Die meisten der korrigierten Schwachstellen betreffen die Android-Versionen 10, 11, 12, 12L und 13.

Der Beitrag Android: Kritische Schwachstelle im Kernel erschien zuerst auf Linux-Magazin.

Neue Versionen des Typo3 Content-Management-Systems schließen mehrere Sicherheitslücken, von denen eine als hochriskant eingestuft wurde.

Die schwerwiegendste Schwachstelle findet sich im Formular-Designer-Modul. Dort können Benutzerdaten die interne Konfiguration von Type3 beeinflussen. Dadurch können Angreifer ihren eigenen Code in das System einschleusen. Der Angreifer benötigt allerdings Zugang zum Backend-System, um dann mit speziellen TypoScript-Anweisungen die Attacke durchzuführen. Betroffen hiervon ist beispielsweise  die formDefintionsOverrides-Anweisung.

Die aktuellen Typo3-Versionen 12.1.2, 11.5.20 LTS sowie 10.4.33 LTS korrigieren die verschiedenen Schwachstellen.  Das Update können Administratoren als Quellcode von der Projekt-Webseite herunterladen und installieren.

Der Beitrag Typo3: Kritische Sicherheitslücke erschien zuerst auf Linux-Magazin.

Im Rahmen des Patchdays hat Android kürzlich eine kritische Sicherheitslücke geschlossen. Die Schwachstelle erlaubt es einem entfernten Angreifer, eigenen Code über Bluetooth auf einem Android-Gerät auszuführen. Dabei sind keine weiteren Rechte seitens des Angreifers erforderlich. Google gibt keine genauen Hinweise darauf, wodurch es zu der Sicherheitslücke kommt.

Neben diesem Problem wurden weitere teilweise kritische Schwachstellen  korrigiert. Unter anderem handelt es sich dabei um Remote-Code-Execution-Lücken (CVE-2022-20472, CVE-2022-20473, 20411), die ein entfernter Angreifer ausnutzen kann.

Der Beitrag Android: Attacke über Bluetooth erschien zuerst auf Linux-Magazin.

Eine Sicherheitslücke in dem VLC-Player hat zur Folge, dass ein entfernter Angreifer Befehle mit den Rechten des Anwenders ausführen kann. Verantwortlich hierfür ist ein Pufferüberlauf, der beim Abspielen einer lokalen Medien-Datei auftreten kann. Der Programmierfehler tritt in dem VNC-Modul  auf . Neben dem Pufferüberlauf wurden noch weitere Fehler im Code des VLC-Players entdeckt und kürzlich korrigiert. Diese führen vorwiegend zum Absturz des Players und sind weniger kritisch. Dazu gehört  ein Division-by-Zero-Fehler, wodurch ein Angreifer eine Denial-of-Service-Attacke ausführen kann. Ebenfalls enthält der Programmcode Free-after-Use-Fehler, die ebenfalls zum Absturz des Players führen. Allerdings kann ein Angreifer durch Ausnutzen der letztgenannten Schwachstellen keine Befehle auf dem System ausführen.

Diese Sicherheitslücken wurden in der Version 3.18 nun korrigiert.

Der Beitrag Kritischer Fehler in VLC-Player erschien zuerst auf Linux-Magazin.

Eine kritische Sicherheitslücke im Chrome-Browser hat zur Folge, dass entfernte Angreifer Befehle mit den Rechten des Anwenders auf betroffenen Systemen ausführen können.

Ursache der Schwachstelle ist ein Heap-Overflow-Fehler im GPU-Code des Browsers. Dieser Code ist für die Grafikverarbeitung des Browsers zuständig. Die Darstellung von Grafiken innerhalb des Browsers erfolgt aus Sicherheitsgründen in einer Sandbox. Durch Schwachstellen im Programmcode können Angreifer allerdings unter Umständen aus dieser Sandbox ausbrechen. Laut Google sind bereits Exploits für dieses Sicherheitslücke im Umlauf, so dass Anwender möglichst schnell das Update auf ihrem System einspielen sollten.

Der Fehler wurde nun in der Version 107.0.5304.121 für Linux korrigiert.

Der Beitrag Chrome-Browser: Entfernter Angreifer kann Befehle ausführen erschien zuerst auf Linux-Magazin.

BIG-IP-Produkte helfen durch Load Balancing und Local Traffic Manager verschiedene Vorgänge in komplexen Netzwerken zu optimieren. Eine Sicherheitslücke in verschiedenen BIG-IP Appliances von F5 hat nun zur Folge, dass Angreifer an Root-Rechte auf dem System gelangen können. Dadurch können Angreifer Zugriff auf das gesamte Netzwerk erlangen.

Die Schwachstellen betreffen allerdings nur intern erreichbare Management-Ports. Für eine erfolgreiche Attacke muss der Angreifer einen Administrator mit einer aktiven Session auf eine speziell konstruierte Webseite bringen. Darüber kann die Attacke dann durchgeführt werden.

Der Beitrag F5 BIG-IP Appliances: Root-Lücke erschien zuerst auf Linux-Magazin.

Google hat kürzlich im Rahmen des Patchdays mehrere Sicherheitslücken in dem Android-System geschlossen. Unter den zahlreichen Schwachstellen befindet sich auch eine kritische Sicherheitslücke. Diese betrifft laut Advisory eine Qualcomm-Komponente des Android-Systems. Es handelt sich dabei um eine nicht näher spezifizierte Closed-Source-Komponente. Das Advisory nennt auch keine konkreten Angriffsvektoren. Allerdings handelt es sich bei Schwachstellen dieser Einstufung oftmals um Sicherheitslecks, die das Ausführen von Befehlen auf den betroffenen Geräten erlaubt. Ein Angreifer kann also möglicherweise dadurch Zugriff auf ein Android-Gerät erlangen.

Betroffen sind die Android-Version 10, 11, 12, 12L und 13.

Der Beitrag Android: Mehrere Schwachstellen korrigiert erschien zuerst auf Linux-Magazin.

Eine kritische Root-Schwachstelle in VMware Cloud Foundation hat zur Folge, dass ein Angreifer beliebige Befehle ausführen kann. Der verantwortliche Fehler befindet sich in der XStream-Bibliothek. Zum Durchführen der Attacke muss ein entfernter Angreifer eine speziell präparierte XStream-Marshalling-Payload mit einem dynamischen Proxy an eine verwundbare Cloud-Foundatio-Instanzen senden. Die Attacke ist damit recht einfach durchzuführen. Ein Exploit ist ebenfalls bereits öffentlich verfügbar.

Die Sicherheitslücke betrifft VMWare Cloud Foundation (NSX-V) Version 3.11. Updates für diese Version stehen zur Verfügung.

Der Beitrag VMware Cloud Foundation: Root-Attacke möglich erschien zuerst auf Linux-Magazin.

In der OpenSSL-Bibliothek wurden kürzlich zwei kritische Sicherheitslücken korrigiert.

Die beiden Schwachstellen treten in dem X.509-Parser auf. Dort kann es zu Buffer-Overflow-Fehlern beim Verarbeiten von X509-Zertifikaten kommen. Ein entfernter Angreifer kann diesen Fehler durch eine spezielle E-Mail-Adresse in dem Zertifikat ausnutzen. Der Überlauf tritt bei beiden Sicherheitslecks erst nach der Überprüfung der Vertrauenswürdigkeit des Zertifikats auf. Dies hat zur Folge, dass die Schwachstellen nicht ganz so einfach ausgenutzt werden können. Ein Angreifer kann durch die Schwachstellen vier Bytes auf dem Stack überschreiben.

Die OpenSSL Version 3.0.7 korrigiert die Sicherheitslücken. Ältere OpenSSL-Versionen vor 3.0.0 waren von dem Problem nicht betroffen.

Der Beitrag OpenSSL: Buffer-Overflow-Fehler erschien zuerst auf Linux-Magazin.

Eine Sicherheitslücke in LibreOffice hat zur Folge, dass ein entfernter Angreifer beliebige Befehle mit den Rechten des Anwenders ausführen kann.  Ursache hierfür ist ein Fehler beim Verarbeiten von LibreOffice-Makros, die der Angreifer ausnutzen kann.

Dabei ist der Angriff denkbar einfach. Der Angreifer muss lediglich die Anweisung

<iframe src='macro:Shell("Befehl")'></iframe>

in seine Datei schreiben, um “Befehl” auszuführen. Der Befehl wird direkt beim Öffnen der ODT-Datei ausgeführt. Der Anwender bekommt hiervon nichts mit, da keinerlei Meldung angezeigt wird.

Das Problem wurde in den LibreOffice Versionen 7.3.6/7.4.1 korrigiert. Dort werden entsprechende URIs geblockt und nicht mehr direkt ausgeführt.

Der Beitrag LibreOffice: Attacke über Makros erschien zuerst auf Linux-Magazin.

Eine Sicherheitslücke im Linux-Kernel hat zur Folge, dass ein entfernter Angreifer beliebigen Code auf dem System ausführen kann. Hierzu muss der Angreifer lediglich speziell präparierte WLAN-Pakete an das Linux-System schicken. Der verantwortliche Programmierfehler liegt im WLAN-Stack des Kernels. Ein Proof-of-Concept-Exploit wurde ebenfalls für die Schwachstelle veröffentlicht. Bei der genaueren Analyse der Sicherheitslücke wurden insgesamt fünf Schwachstellen im Kernel entdeckt.

Die entdeckten Schwachstellen sind teilweise ab Kernel-Version 5.1-rc1 vorhanden. Andere allerdings erst seit Version 5.2-rc1.

Der Beitrag Sicherheitslücke im Linux-Kernel: Angreifer können Befehle über WLAN ausführen erschien zuerst auf Linux-Magazin.

Die JavaScript-Sandbox vm2 führt potenziell unsicheren JavaScript-Code in einer isolierten Umgebung aus. Dieses Sandboxing sorgt dafür, dass fremder JavaScript-Code keinen Zugriff auf das System erlangt. Die vm2-SandBox basiert auf Node.js und ist eine verbreitete Alternative zu dessen integrierter virtuellen Maschine.

Eine kürzlich entdeckte Sicherheitslücke in der JavaScript-Sandbox vm2 hat zur Folge, dass entfernte Angreifer Befehle ausführen können. Die Attacke läuft über die Error-API der JavaScript-Engine V8.

Der verantwortliche Programmierfehler befindet sich in dem Error-Tracing-Code. Dessen Aufgabe ist es, Fehler aufzuspüren und zu verfolgen.  Dazu verwendet die JavaScript-Engine V8 die Error.prepareStackTrace-API. Node.js nutzt ebenfalls diese Methode und gibt ihr CallSite-Objekte als Parameter mit. Bei der Verarbeitung dieser Objekte tritt ein Fehler auf, der es dem Angreifer erlaubt aus der SandBox auszubrechen.

Betroffen ist die Version 3.9.11.

Der Beitrag Schwachstelle in JavaScript-Sandbox vm2 erschien zuerst auf Linux-Magazin.

Drupal ist ein Content-Management-System (CMS) und -Framework. Es ist in PHP geschrieben und verwendet MySQL/MariaDB (empfohlen), PostgreSQL (unterstützt), SQLite (ab 7.x) oder MSSQLServer (per Erweiterung) als Datenbanksystem.

Eine Sicherheitslücke in dem Drupal CMS hat zur Folge, dass entfernte Angreifer unberechtigt auf Daten zugreifen können. Verantwortlich hierfür ist ein Programmierfehler in der Twig-Bibliothek, die unter anderem für das Überprüfen von Templates zuständig ist. Ein Angreifer kann durch diese Schwachstelle an Zugangsdaten für die Datenbank gelangen. Eine weitere Sicherheitslücke in dem S3-File-System-Modul kann von einem Angreifer ebenfalls für den unberechtigten Zugriff ausgenutzt werden.

Der Beitrag Drupal CMS: Entfernter Angreifer erlangt Zugriff erschien zuerst auf Linux-Magazin.

Sicherheitslücken in dem Bind-DNS-Server haben zur Folge, dass ihn entfernte Angreifer lahmlegen können.

Hierzu können die Angreifer Denial-of-Service-Attacken gegen die Server ausführen, um die Speicherressourcen des Servers komplett zu belegen. Sobald dies geschieht, arbeiten die Server nicht mehr richtig und können Client-Anfragen nicht mehr bedienen. Damit können etwa Namen nicht mehr zu IP-Adressen aufgelöst werden.

Insgesamt wurden vier Schwachstellen im Speicher-Managements des Bind-DNS-Servers gefunden. Unter anderem wurde ein Fehler im Programmcode zum Diffie-Hellman Schlüsseltauschs mittels TKEY RRs via OpenSSL entdeckt, den ein Angreifer für eine Denial-of-Service-Attacke ausnutzen kann. Ein weiteres Problem tritt beim Verarbeiten von CDSA-Signaturen bei der DNSSEC-Prüfung auf. Auch hier kommt es zu einem Speicherleck, welches ein entfernter Angreifer ausnutzen kann.

Die Fehler im Speichermanagement wurden in den Versionen 9.19.5, 9.18.7 und 9.16.33 nun korrigiert.

Der Beitrag Bind-DNS-Server anfällig für Denial-of-Service-Attacken erschien zuerst auf Linux-Magazin.

Sicherheitslücken in den Firefox-, Firefox ESR- und Thunderbird-Applikation haben zur Folge, dass ein entfernter Angreifer Befehle auf dem System ausführen kann.

Einer der dafür verantwortlichen Programmierfehler tritt bei den Webbrowsern beim Verarbeiten von nicht-UTF8-URLs auf.  Durch weitere Schwachstellen können Angreifer auch unberechtigt an Informationen des Anwenders gelangen. Ursache hierfür sind Fehler beim Verarbeiten von Meta-Tags. Dadurch kann der Angreifer eigenen JavaScript-Code mit den Rechten des Anwenders ausführen.

Die Sicherheitslecks wurden nun in den Versionen Firefox 105, Firefox ESR 102.3 und Thunderbird 91.13.1 und ab Thunderbird 102.2.1 korrigiert.

Der Beitrag Updates für Firefox und Thunderbird erschien zuerst auf Linux-Magazin.

Google hat mehrere Sicherheitslücken in Android 10, 11, 12 und 12L korrigiert.

Viele dieser Schwachstellen können von einem Angreifer ausgenutzt werden, um höhere Rechte auf dem System zu erlangen. Unter Umständen kann ein Angreifer damit auch Android-Geräte komplett übernehmen.  Neben diesen kritischen Sicherheitslücken wurden auch Schwachstellen korrigiert, die es einem entfernten Angreifer erlauben, an gesicherte Informationen der Android-Systeme zu gelangen. Auch ein Problem in der WLAN-Firmware von Qualcomm wurde korrigiert. Dadurch konnte ein Angreifer ebenfalls Schadcode auf dem System ausführen.

Zusätzlich erhielten Smartphones der Google Pixel-Serie noch einige weitere Sicherheitspatches, die ebenfalls kritische Schwachstelle schließen, die ein Angreifer zum Erlangen höherer Rechte ausnutzen kann.

Der Beitrag Android Schwachstellen korrigiert erschien zuerst auf Linux-Magazin.

Eine Sicherheitslücke in Google Chrome hat zur Folge, dass Angreifer betroffene Browser attackieren können. Das Advisory von Google enthält nur wenige Details zur Schwachstelle. Allerdings gibt das Unternehmen an, dass ein Exploit-Code zum Ausnutzen der Sicherheitslücke bereits im Umlauf ist. Es ist daher ratsam ein Update schnellstmöglich durchzuführen. Der verantwortliche Programmierfehler liegt in der Mojo-Komponente, die eine Plattform für verschiedene Sandbox-Services bereitstellt.

Das Problem wurde in Chrome 105.0.5195.102 korrigiert.

Der Beitrag Chrome: Attacke über Mojo-Komponente erschien zuerst auf Linux-Magazin.

Eine Sicherheitslücke in NVidias NVFlare-SDK hat zur Folge, dass ein Angreifer eigenen Schadcode auf dem betroffenen System ausführen kann. Die Schwachstelle entsteht durch ein Problem bei der Verwendung des Python-Pickles-Moduls zum Serialisieren und Deserialisieren von Daten im DXO-Modul.  Es ist allgemein bekannt, dass Nutzer nicht beliebige Daten depicklen sollen, da dies ein Sicherheitsrisiko darstellt. Grundsätzlich ist es nämlich möglich die Daten so zusammenzustellen, dass beim Depickeln vom Angreifer gewünschter Programmcode ausgeführt wird.

Die Schwachstelle betrifft alle Versionen vor 2.1.4. In der aktuellen Version verwenden die Entwickler statt des Pickel-Moduls nun das MessagePack-Verfahren, wodurch das Problem nicht mehr auftritt.

Der Beitrag NVidias NVFlare-SDK Schwachstelle erschien zuerst auf Linux-Magazin.

Verschiedene Sicherheitslücken in mehreren Varianten und Versionen der Zoom-Software führen dazu, dass ein entfernter Angreifer unter Umständen Befehle auf den betroffenen Systemen ausführen kann. Das Hauptproblem besteht darin, dass Zoom URLs nicht richtig filtert und kontrolliert. Dadurch kann ein Angreifer eine bösartige URL an sein Opfer via Zoom schicken. Der darin enthaltene Link führt dann dazu, dass beliebige Netzwerkadressen aufgerufen werden können. Zoom-Client for Meetings für Android, iOS, Linux, macOS und Windows sind von diesem kritischen Problem betroffen.

Eine Rechteausweitung in Zoom Rooms for Conference Rooms ist ebenfalls vor der aktuellen Version 5.11.0 möglich. Allerdings betrifft dieses Problem nur Windows-Systeme.

Die Sicherheitslücke wurde in der Version 5.11.0 behoben.

Der Beitrag Zoom: Mehrere kritische Schwachstellen erschien zuerst auf Linux-Magazin.

VMware hat kürzlich vier neue Sicherheitslücken in vRealize Operations gemeldet. Desweiteren hat VMWare vor einem im Umlauf befindlichen Exploit für eine ältere Sicherheitslücke gewarnt.

Durch die neuen Schwachstellen in vRealize Operations können Angreifer Root-Rechte erlangen, unbefugte Informationen einsehen oder Befehle mit höheren Rechten ausführen. Bereits Anfang August hatte VMWare vor einigen weiteren Schwachstellen gewarnt und darauf hingewiesen, dass ein schnelles Einspielen von Patches wichtig sei. Entsprechend ist es nicht überraschend, dass bereits jetzt ein Exploit für eine dieser Schwachstellen aufgetaucht
ist. Dieser Exploit greift Schwachstellen in VMWare Workspace ONE Access, Identity Manager und vRealize Automation an. Entfernte Angreifer können damit einen administrativen Zugang erlangen. Auch hat VMWare gemeldet, dass der Exploit Code aktuell vermehrt angewandt wird.

Der Beitrag VMWare: Kritische Sicherheitslücken erschien zuerst auf Linux-Magazin.

Rsync ist sowohl ein Netzwerkprotokoll als auch ein beliebtes Programm zur Synchronisation von Dateien. Die Synchronisation läuft dabei nur unidirektional ab. Eine Sicherheitslücke in dem rsync-Client hat zur Folge, dass ein Angreifer Dateien im Zielverzeichnis des Clients überschreiben kann. Der Angreifer kann diese Schwachstelle auch ausnutzen, um Kontrolle über das System zu übernehmen. Hierzu kann er beispielsweise einen SSH-Schlüssel in die
.ssh/authorized_keys-Datei kopieren, um dann via SSH auf das System zuzugreifen.

Die Ursache des Problems besteht darin, dass der rsync-Client die Angaben des Servers nicht ordentlich kontrolliert. Der Programmierfehler tritt in der do_server_recv()-Funktion auf.

Betroffen sind die Versionen vor rsync 3.2.5.

Der Beitrag Rsync: Angreifer erlangt Zugriff auf betroffene Systeme erschien zuerst auf Linux-Magazin.