PHP-Angriffe: Schweiz blieb bis anhin verschont
Die kritischen PHP-Lücken werden millionenfach angegriffen, teils schon vor der Veröffentlichung der Patches. In der Schweiz sind bislang keine Angriffe bekannt.
Geheimdienst meldet Microsoft und der Welt eine Security-Lücke
15. Januar 2020 um 14:55
Die Microsoft Windows CryptoAPI kann die ECC-Zertifikatsketten nicht korrekt validieren: Eine beachtenswerte Lücke hat die NSA da gefunden.
Die Windows-Lücke CVE-2020-0601 schafft es in die Mainstream-Medien rund um die Welt. Dies nicht primär wegen ihrer – durchaus vorhandenen – Gefährlichkeit, sondern weil der US-Geheimdienst NSA beansprucht, die Lücke entdeckt und Microsoft gemeldet zu haben.
Warum die NSA in diesem Fall ans Allgemeinwohl der Welt denkt, statt die Lücke im Interesse der USA auszunutzen, wird aus dem Statement nicht klar. Zwar wägen US-Geheimdienste ab, ob sie eine von ihnen entdeckte Sicherheitslücke dem Hersteller melden oder, wie in früheren Fällen, sie einfach ausnutzen. Eine NSA-Mitarbeiterin sagte 'Krebs on Security', dass Microsoft erstmals der NSA eine Meldung zuschreibe.
Ob die NSA die Lücke schon vor geraumer Zeit entdeckt hat, bleibt unklar. Jedenfalls beschreibt der Geheimdienst die Problematik recht detailliert (PDF). Es geht darum, dass eine Spoofing-Schwachstelle besteht in der Art und Weise, wie die Windows CryptoAPI (Crypt32.dll) ECC-Zertifikate (Elliptic Curve Cryptography) validiert.
Auch US-CERT hat in einer Vulnerability Note Hintergrund-Informationen und vergibt für die Lücke den hohe Basescore von 9.4 (von möglichen 10).
Microsoft hat nun Updates für diese Schwachstelle CVE-2020-0601 veröffentlicht und für die betroffenen Systeme einen Basescore von 8.1 notiert. Das signalisiert, dass ein User nicht allzu lange warten sollte, obwohl man bis anhin keinen aktiven Exploit sehe. "Ein Angreifer könnte die Lücke ausnutzen, indem er ein gefälschtes Code-Signatur-Zertifikat zum Signieren einer bösartigen ausführbaren Datei verwendet, so dass der Eindruck entsteht, die Datei stamme aus einer vertrauenswürdigen, legitimen Quelle. Der Benutzer hätte keine Möglichkeit, die Datei als bösartig zu erkennen, da die digitale Signatur scheinbar von einem vertrauenswürdigen Anbieter stammt."
Betroffen sind diverse Produkte, von Windows 10 für diverse Systeme, über Windows Server 2016 bis Windows Server 2019. US-CERT schreibt ergänzend, dass Windows 8.1 und frühere Versionen sowie Server 2012 R2 und frühere Pendants nicht betroffen seien.
Loading
Publica wollte Pensionskassendaten löschen lassen
Die Daten von Bundesangestellten lagen trotz schriftlicher Löschzusage noch bei PK Softech. Die Pensionskasse Publica klärt ab, warum.
Schweizer KMU technisch geschützt vor Cyberangriffen
Viele Schweizer KMU haben einen technischen Schutz vor Cyberbedrohungen installiert. Sie wissen aber auch, dass durch KI neue Gefahren drohen und wollen aufrüsten.
Kritische PHP-Lücken gefährden Webserver weltweit
Zwei kritische Schwachstellen in PHP könnten Angreifern ermöglichen, Webserver aus der Ferne zu übernehmen. Die Sicherheitsupdates sollen umgehend eingespielt werden.