OpenOffice ist ein OpenSource Programmpaket von Apache mit zahlreichen Office-Anwendugen. Es enthält Programme zur Textverarbeitung, Tabellenkalkulation, Präsentation, Zeichnungen sowie eine Datenbank.
Apache hat mehrere Schwachstellen in OpenOffice behoben. Das Öffnen eines bösartig gestalteten Dokuments kann dazu führen, dass der Rechner nicht mehr reagiert (hohe Prozessorlast).
Im Fall von Debian- und Ubuntu Linux basierten Installation können aufgrund von fehlerhaften Dateiberechtigungen zudem nicht näher beschriebene Auswirkungen erzielt werden.
F-Secure hat eine Schwachstelle in seiner Anti-Virus Komponente behoben, die in vielen Produkten enthalten ist. Der Fehler liegt in der Verarbeitung von ZIP Archivdateien. Ein Angreifer kann mit einer bösartig gestalteten ZIP Archivdatei die Schutzfunktion der Anti-Virus Komponente außer Kraft setzen.
Google hat mit dem Oktober-Patchday zahlreiche Schwachstellen in Android behoben. Angreifer können diese beispielsweise durch manipulierte Apps oder bösartig gestaltete Webseiten ausnutzen, um Informationen auszuspähen, um Software-Abstürze zu verursachen und um die Kontrolle über betroffene Geräte zu übernehmen.
Router der Firma D-LINK enthalten eine Firewall und in der Regel eine WLAN-Schnittstelle. Die Geräte sind hauptsächlich für private Anwender und Kleinunternehmen konzipiert.
D-LINK hat eine Schwachstelle in den Router-Modellen DIR-X1560 und DIR-X6060 geschlossen. Ein Angreifer in Reichweite des WLANs kann diese Schwachstelle ausnutzen, um Rechner vom WLAN zu trennen.
Google und Microsoft haben eine Schwachstelle in ihren Browsern Chrome und Edge geschlossen. Diese kann von einem Angreifer ausgenutzt werden, um Schadcode auszuführen. Zur Ausnutzung genügt es, eine bösartig gestaltete Webseite zu laden, bzw. einen Link zu einer solchen Seite anzuklicken.
Sogenannter Exploit-Code, der diese Schwachstelle ausnutzt, ist laut Google bereits im Umlauf.
OpenOffice ist ein OpenSource Programmpaket von Apache mit zahlreichen Office-Anwendugen. Es enthält Programme zur Textverarbeitung, Tabellenkalkulation, Präsentation, Zeichnungen sowie eine Datenbank.
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache OpenOffice ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
man werde nicht älter, sondern besser, ist mitunter auf Geburtstagskarten zu lesen. Genau das ist auch der Anspruch, dem wir beim BSI folgen, wenn es darum geht, eine sichere Digitalisierung in Deutschland zu gestalten – und das nun schon seit drei Jahrzehnten. Doch nicht nur das BSI feiert einen runden Geburtstag. Der Chaos Computer Club hat Mitte September sogar schon seinen 40.
begangen – herzlichen Glückwunsch! Am Sonntag steht obendrein die Wahl des 20. Deutschen Bundestags an. An Jubiläen mangelt es somit nicht, auch das Open-Source-Betriebssystem Linux darf sich über 30 Jahre freuen. Und unser Podcast ‚Update verfügbar‘ hat ebenfalls Grund zum Feiern und wird ein Jahr alt. Bei all der Feierei ist es natürlich trotzdem weiterhin wichtig, wachsam gegenüber Risiken aus der Welt der IT zu bleiben. Wir geben einen Überblick zu aktuellen Themen.
Viel Spaß beim Lesen wünscht Ihnen
Jan Lammertz / Team BSI
Inhaltsverzeichnis
In den Schlagzeilen—————–
Gefälschte Downloadlinks: Cyberattacke auf deutsche Bankkundschaft 2. Ausgepowert: Fehlender Schutz bei Datenbank von Fitnesstrackern 3. Ransomware riegelt Systeme bei Olympus ab
Bleiben Sie up-to-date—————–
Aktuelle Warnmeldungen des Bürger-CERT 5. Adobe schließt Schwachstellen in Photoshop & Co.
Microsoft macht Schluss mit Sicherheitslücke in Windows
Gut zu wissen—————–
Gehackt! Netzwerk der UN ohne Zwei-Faktor-Authentisierung 8. Neue Ziele für Cyber-Sicherheit in Deutschland beschlossen
Kurz erklärt—————–
Was ist eigentlich ein Keylogger?
Zeitlos wichtig—————–
Die Cloud sicher nutzen
Zahl der Woche—————–
Null Passwörter bei Microsoft
Was wichtig wird—————–
Der Oktober steht im Zeichen der Sicherheit 13. Ein Jahr ‚Update verfügbar‘: Was interessiert Sie besonders?
—————————————————-
In den Schlagzeilen
Gefälschte Downloadlinks: Cyberattacke auf deutsche Bankkundschaft
Gefälschte Google-Anzeigen für Teamviewer sind laut t3n ein Einfallstor für Cyberkriminelle, die es insbesondere auf die Daten von Bankkundinnen und -kunden aus Deutschland und Australien abgesehen haben. Klicken die Nutzerinnen und Nutzer auf die gefälschte Anzeige, laden sie dem Bericht zufolge anstelle von Teamviewer eine Datei herunter, die dann ihrerseits Schadsoftware auf dem Gerät installiert. Konkret soll dabei die Schadsoftware Zloader zum Einsatz kommen, zitiert t3n die Erkenntnisse des Unternehmens Sentinel Labs. Das Programm diene dazu, die Anfragen der Bankkundschaft an die Webseiten der Banken abzufangen und so Bankdaten zu stehlen.
Ausgepowert: Fehlender Schutz bei Datenbank von Fitnesstrackern
Heute schon eine Runde gejoggt? Dann könnte diese Meldung besonders wichtig sein. Eine ungesicherte Datenbank mit mehr als 61 Millionen Datensätzen von Wearables und Fitness-Trackern aus der ganzen Welt wurde Heise Online zufolge online veröffentlicht. Wie Heise Online berichtet, sollen das Team des Onlineportals WebsitePlanet und ein Cyber-Sicherheitsforscher den ungeschützten Datenspeicher Ende Juni entdeckt haben. Die Datenbank wurde demnach von dem Unternehmen GetHealth betrieben, das gesundheitsbezogene Nutzerdaten von Fitbit, Misfit Wearables, Microsoft Band, Strava, Apples Healthkit oder auch Google Fit abruft. Im konkreten Fall sollen vor allem Daten von Apples Healthkit und Fitbit betroffen sein. GetHealth hat die Sicherheitslücke nach eigenen Angaben inzwischen geschlossen.
Das Netzwerk sei verschlüsselt und nicht betriebsbereit – diese Benachrichtigung erhielten Beschäftigte der Europa-Tochter von Olympus einem Bericht von WinFuture zufolge bei dem Versuch, auf bestimmte Systeme des Unternehmens zuzugreifen. Zuvor soll die Ransomware-Gruppe BlackMatter Malware in das Netzwerk des Unternehmens eingeschleust haben, um Geld für die Entschlüsselung von Programmen zu erpressen. Als Kontaktmöglichkeiten gaben die Kriminellen demnach eine Darknet-Adresse an, die über das Tor-Netzwerk erreichbar ist. BlackMatter bietet seine Dienste als Ransomware-as-a-Service an. Olympus hat – wie WinFuture schreibt – den Datentransfer zu den infizierten Systemen gestoppt und relevante externe Partner über den Vorfall informiert.
Das „Computer Emergency Response Team“ des BSI informiert regelmäßig über Schwachstellen in Hard- und Software. Aktuell gibt es Meldungen zu Open Source WordPress (< 5.8; < 5.8.1); Microsoft Edge (< 93.0.961.38, < 93.0.961.47); Apple iOS (< 14.8, < 15), Apple iPadOS (< 14.8, < 15), Apple macOS (< Big Sur (< 11.6), Apple macOS (< 2021-005 Catalina), Apple Safari (< 14.1.2, < 15) und Apple iTunes (<U 3.8.3, < 12.2); Google Chrome (< 93.0.4577.82); AMD Prozessor PSP driver (< 5.17.0.0); sowie Apache OpenOffice (<= 4.1.10).
An seinem Patchday im September hat Adobe wichtige Sicherheitsupdates für gefährliche Schwachstellen bereitgestellt. Betroffen sind unter anderem Acrobat und Reader, Digital Editions, InCopy oder auch das bekannte Programm Photoshop. Wie Heise Online berichtet, könnten Angreiferinnen und Angreifer in den meisten Fällen die „kritischen“ Schwachstellen ausnutzen, um darüber Schadcode auf Computer zu schleusen. Das BSI empfiehlt, die Updates zeitnah durchzuführen.
Microsoft macht Schluss mit Sicherheitslücke in Windows
Insbesondere eine von unbekannten Angreiferinnen und Angreifern ausgenutzte Lücke in Windows hat Microsoft an seinem Patchday ins Visier genommen. Die Schwachstelle ermöglicht es, Trojaner auf Geräte zu spielen, wenn Nutzende vorher ein präpariertes Office- oder RTF-Dokument geöffnet haben, fasst Heise Online zusammen. Das Unternehmen hat Sicherheitspatches zum Download bereitgestellt, um die Lücke zu schließen. Außerdem wurden weitere Schwachstellen beseitigt, unter anderem in Azure, Edge, Office SharePoint Server. Kümmern Sie sich um eine zeitnahe Installation der Sicherheitsupdates!
Gehackt! Netzwerk der UN ohne Zwei-Faktor-Authentisierung
Eine Hackergruppe erlangte mit gekauften Zugangsdaten Zugriff auf Teile des Computersystems der Vereinten Nationen (UN), schreibt Golem. Demnach bestätigte ein Sprecher den Vorfall, zu dem es bereits im April gekommen sei. Einen großen Aufwand hatten Angreiferinnen und Angreifer dabei wohl nicht betrieben. Vielmehr hätten sie die Zugangsdaten eines Beschäftigten im Darknet erworben und sich über die Projektmanagementsoftware der UN eingeloggt. Die Zwei-Faktor-Authentisierung hätte zusätzlichen Schutz bieten können, sie war dem Bericht zufolge jedoch nicht aktiviert.
Neue Ziele für Cyber-Sicherheit in Deutschland beschlossen
Die Bundesregierung hat ihre neue Cyber-Sicherheitsstrategie verabschiedet. Sie schreibt die bestehende Strategie fort und legt grundsätzlich Ziele für die nächsten fünf Jahre fest. Das BSI soll in den nächsten Jahren zur zentralen Stelle für die Zusammenarbeit von Bund und Ländern im Bereich der sicheren Digitalisierung ausgebaut werden. Staat, Wirtschaft und Gesellschaft müssten sich gemeinsam um die sichere und freie Nutzung neuer Technologien kümmern, insbesondere weil die Angriffe gefährlicher werden und die Schäden steigen. „Dazu gehören gut ausgestattete Sicherheitsbehörden, ein effektiver Schutz von kritischen Infrastrukturen und Wirtschaftsunternehmen und mehr Sicherheit für die Bürgerinnen und Bürger im digitalen Raum“, so der Innenminister Horst Seehofer.
Cyberkriminelle greifen bei ihren Attacken auch auf Keylogger zurück. Doch was ist das? Als Keylogger wird Hard- oder Software zum Mitschneiden von Tastatureingaben und Mausklicks bezeichnet. Keylogger zeichnen alle Eingaben auf, um sie möglichst unbemerkt an Angreiferinnen und Angreifer zu übermitteln. Auf diese Weise ist es möglich, Informationen wie beispielsweise Kreditkartennummern oder Passwörter abzufangen. Ursprünglich wurden Keylogger entwickelt, um Computersysteme in Forschungseinrichtungen zu untersuchen und zu verbessern.
Sie wollen die eigenen Daten in der Cloud absichern? Wie das gelingt und worauf Sie generell beim Nutzen der Cloud-Technologie achten sollten, verrät unser BSI-Experte Clemens Doubrava in einem kurzen Erklärvideo. Er liefert Antworten zu allen wesentlichen Fragen rund um die Cloudnutzung: https://youtu.be/apwqexjNiac.
Bei Microsoft ist Schluss mit Passwörtern – sofern Kundinnen und Kunden das bei ihren privaten Konten wollen, berichten mehrere Medien, darunter auch der Spiegel. Demnach ist es Nutzerinnen und Nutzern möglich, sich völlig passwortlos beim privaten Microsoft-Konto anzumelden, beispielsweise mithilfe einer Authentifizierungs-App oder eines USB-basierten Sicherheitsschlüssels. Zur Begründung für die Einführung des Systems weist Microsoft darauf hin, dass viele Personen unsichere Passwörter verwenden würden und es jährlich 18 Milliarden Angriffsversuche über Passwörter gebe.
Der European Cyber Security Month steht wieder vor der Tür. Das BSI ist der Koordinator des Aktionsmonats in Deutschland mit seinen vielen unterschiedlichen Angeboten von Unternehmen, Organisationen, Hochschulen, Verbänden, Vereinen und Behörden. Traditionell dreht sich vor allem im Oktober alles um das Thema Cyber-Sicherheit. Der gesamte Aktionszeitraum erstreckt sich aber vom 15. September bis zum 15. November. Und so können Verbraucherinnen und Verbraucher auch schon vor Oktober an zahlreichen Events teilnehmen und sich über einen verantwortungsbewussten Umgang im Cyberraum informieren. Eine Übersicht der Veranstaltungen finden Sie auf der Seite des BSI: https://www.bsi.bund.de/DE/Service-Navi/Veranstaltungen/ECSM/Aktionen-2021/aktionen-2021_node.html?fbclid=IwAR2wwc7qCZi1lSTFlIp_BPGi3Aak3SXzGxzJEDDRmM8dQEnpPRwjWA45tzs
Ein Jahr ‚Update verfügbar‘: Was interessiert Sie besonders?
Wie schnell doch die Zeit vergeht! Unser Podcast ‚Update verfügbar‘ feiert seinen ersten Geburtstag. Das nehmen wir zum Anlass für eine Community-Folge. Sie können sich wünschen, welche Themen in der nächsten Folge Ende September besprochen werden sollen. Wir freuen uns über E-Mails mit Texten oder Audionachrichten über Ihre Wünsche und Erfahrungen an .
Apple hat eine Schwachstelle in macOS geschlossen. Ein Angreifer kann diese ausnutzen, um die Kontrolle über den Rechner zu übernehmen. Zur Ausnutzung genügt das Starten eines bösartig gestalteten Programms. Die Schwachstelle wird laut Apple bereits aktiv in Angriffen ausgenutzt.
Ein entfernter, anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Apple iOS ausnutzen, um beliebigen Programmcode, im schlimmsten Fall mit Administratorrechten auszuführen.
Google hat mehrere Schwachstellen in Chrome geschlossen. Diese basieren auf Implementierungsfehlern und Fehlern in der Speicherverwaltung. Ein Angreifer kann dies ausnutzen, um nicht näher genannte Auswirkungen zu erzielen und um Informationen offenzulegen. Zur Ausnutzung genügt es, eine bösartig gestaltete Webseite aufzurufen, was z.B. durch den Klick auf einen Link ausgelöst werden kann.
Herausgeber: Bundesamt für Sicherheit in der Informationstechnik (BSI), Godesberger Allee 185-189, 53133 Bonn
Cookie-Zustimmung verwalten
Wir verwenden Cookies, um unsere Website und unseren Service zu optimieren.
Funktionale Cookies
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistiken
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.