Schwachstellen

Schwachstellen und Datenlecks | Aktuelle Sicherheitslücken

Hinweise auf Schwachstellen in Betriebssystemen und Programmen sowie Informationen zu bekannt gewordene Datenlecks und die Art der kompromittierten Daten.

Inhaltsverzeichnis

Warnungen vor Schwachstellen

Schwachstellen bzw. Sicherheitslücken entstehen durch Fehler in der Programmierung von Betriebssystemen oder Programmen. Diese können nicht nur einzelne Funktionen beeinträchtigen. Sondern sie können auch Unbefugten ermöglichen, Daten abzugreifen oder Schadsoftware einzuschleusen.

Folgende Schwachstellen wurden in den letzten Tagen gefunden.
Risiko: Stufe 2 niedrig3 mittel4 hoch5 sehr hoch. Falls sich die beschriebene Auswirkung von mehreren Schwachstellen ausgeht, wird dies als „Mehrere = Auswirkung“ angegeben.

September 2021 > August

macOS X, Windows, Linux, UNIX (+)

OpenSSL : 17. | (+ Applicance, CISCO Appliance, Hardware Appliance, Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

libxml2 : 17. | (+ Sonstiges) Mehrere = Nicht näher beschrieben – ferngesteuert

PostgreSQL : 17. | (+ Sonstiges) Ausspähen von Informationen – ferngesteuert

cURL : 16. | (+ NetApp Appliance) Mehrere = Manipulation von Dateien – ferngesteuert

Firefox [Mozilla] : 16. | (+ Sonstiges) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

GNU libc : 16. | (+ NetApp Appliance, Sonstiges) Ausspähen von Informationen

OpenDAP : 16. | Mehrere = Denial-of-Service – ferngesteuert?

Google Chrome + Microsoft Edge : 15. | (nicht UNIX) Mehrere = Nicht näher beschrieben – ferngesteuert

Adobe Acrobat + Adobe Acrobat Reader : 15. | (nicht Linux, UNIX) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Office [Microsoft] : 15. | (nicht Linux, UNIX) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Adobe Photoshop : 15. | (+ Sonstiges) Mehrere = Ausführen beliebigen Programmcodes mit Benutzerrechten – ferngesteuert

MacOS [Apple] : 14. | (nur macOS) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Safari [Apple] : 14. | (nur macOS) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Drupal : 14. | (nicht UNIX) Ausführen beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

OpenSSL : 14. | (+ NetApp Appliance, Sonstiges) Mehrere = Denial-of-Service – ferngesteuert

Wireshark : 14. | Denial-of-Service – ferngesteuert

Apache Tomcat : 09. | Ausführen beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

Windows, Linux, UNIX (+)

MIT Kerberos : 17. | (+ Sonstiges) Denial-of-Service – ferngesteuert

QT : 17. | Nicht näher beschrieben

Windows Azure [Microsoft] : 16. | (nur Windows) Mehrere = Privilegieneskalation – ferngesteuert

cURL : 16. | (+ Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Atlassian Jira Software : 16. | Ausführen beliebigen Programmcodes – ferngesteuert

IBM DB2 : 16. | (nicht UNIX; + Sonstiges) Mehrere = Denial-of-Service – ferngesteuert

Apache Tomcat : 16. | (+ Applicance, Sonstiges) Denial-of-Service – ferngesteuert

Drupal : 16. | (+ Sonstiges) Mehrere = umgehen von Sicherheitsvorkehrungen – ferngesteuert

Kubernetes : 16. | (+ Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

OpenSSH : 16. | Ausspähen von Informationen – ferngesteuert

Windows [Microsoft] : 15. | (nur Windows) Ausführen beliebigen Programmcodes mit Administratorrechten

Windows + Windows Server [Microsoft] : 15. | (nur Windows) Mehrere = Ausführen beliebigen Programmcodes mit Administratorrechten – ferngesteuert

Windows + Windows Server [Microsoft] : 15. | (nur Windows; + Hardware Appliance) Mehrere = Privilegieneskalation – ferngesteuert

AMD Prozessoren + Chipsätze : 15. | (+ Sonstiges) Ausspähen von Informationen

Visual Studio + Visual Studio Code [Microsoft] : 15. | (nur Windows) Mehrere = Ausspähen von Informationen – ferngesteuert

Internet Systems Consortium BIND : 15. | (+ Sonstiges) Denial-of-Service – ferngesteuert

SAP Patchday : 14. | (+ Sonstiges) Mehrere = Manipultion von Dateien – ferngesteuert

Atlassian Jira Software : 14. | Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

git : 14. | Umgehen von Sicherheitsvorkehrungen – ferngesteuert

ImageMagick : 14. | (+ Sonstiges) Umgehen von Sicherheitsvorkehrungen – ferngesteuert

WordPress : 13. | (+ Sonstiges) Mehrere = Cross-Site-Scripting – ferngesteuert

Oracle MySQL : 10. | Mehrere = Nicht näher beschrieben – ferngesteuert

Prozessoren verschiedener Hersteller : 10. | (+ CISCO Appliance, Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen

Oracle Java SE : 10. | (+ Hardware Appliance, Sonstiges) Mehrere = Nicht näher beschrieben – ferngesteuert

WordPress : 10. | (+ Sonstiges) Mehrere = Corss-Site-Scripting – ferngesteuert

Office [Microsoft] : 09. | (nur Windows) Ausführen von beliebigen Programmcodes – ferngesteuert

SaltStack Salt : 09. | Mehrere = Privilegieneskalation – ferngesteuert

Xen : 09. | Mehrere = Privilegieneskalation

Apache Tomcat : 09. | (+ Sonstiges) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

PHP : 09. | (+ Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Apache Tomcat : 09. | (+ Sonstiges) Ausspähen von Informationen – ferngesteuert / (+ Applicance, Sonstiges) Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Windows + Windows Exchange Server [Microsoft] : 08. | (nur Windows) Ausführen beliebigen Programmcodes – ferngesteuert

Atlassian Jira Software : 08. | Mehrere = Denial-of-Service – ferngesteuert

F-Secure Anti-Virus : 08. | (nicht UNIX) Denial-of-Service – ferngesteuert

QEMU : 07. | Denial-of-Service / Ausspähen von Informationen

Node.js : 06. | (+ Sonstiges) Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Apache HTTP Server : 06. | (+ Sonstiges) Denial-of-Service – ferngesteuert

MariaDB : 06. | (nicht Linux) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Node.js : 06. | (+ Sonstiges) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert?

OTRS : 06. | Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Windows Defender [Microsoft] : 06. | (nur Windows) Denial-of-Service – ferngesteuert

Android, iOS, MacOS X, Windows, Linux

Firefox, Firefox ESR + Thunderbird [Mozilla] : 16. | (nicht iOS) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

iTunes [Apple] : 16. | (nur iPhoneOS; + Sonstiges) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

Firefox + Thunderbird [Mozilla] : 15. | (nicht iOS, + Sonstiges) Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

iPhoneOS [Apple] : 14. | (nur iOS) Ausführen beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

Edge [Microsoft] : 10. | (nicht iOS, Linux) Manipulation von Dateien – ferngesteuert

Android Patchday [Google] : 08. | (nur Android) Ausführen beliebigen Programmcodes mit Administratorrechten – ferngesteuert / Mehrere = Privilegieneskalation – ferngesteuert

Andere Schwachstellen

Fortinet : 10. | (Applicance) Mehrere = Cross-Site-Scripting – ferngesteuert

QNAP NAS : 10. | (BIOS/Firmware) Mehrere = Ausführen beliebigen Programmcodes mit Administratorrechten – ferngesteuert

D-LINK Router : 10. | (Applicance) Denial-of-Service – ferngesteuert

CISCO IOS XR : 09. | (CISCO Appliance) Mehrere = Ausführen beliebigen Programmcodes mit Administratorrechten – ferngesteuert

Intel Prozessoren : 09. | (BIOS/Firmware, Hardware Appliance) Mehrere = Privilegieneskalation

Sicherheitslücken bei Linux, UNIX (+)

GNU libc : 17. |Mehrere = Ausführen beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

cURL : 17. | Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Red Hat Enterprise Linux : 17. | Mehrere = Ausführen beliebigen Programmcodes – ferngesteuert

RPM : 17. | Mehrere = Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

GNOME (GLib) : 17. | Denial-of-Service – ferngesteuert

libxml2 : 17. | Denial-of-Service – ferngesteuert

OpenShift [Red Hat] : 17. | Denial-of-Service – ferngesteuert

IBM AIX : 16. | (nicht Linux; + Sonstiges) Mehrere = Denial-of-Service – ferngesteuert

Fluent Bit : 16. | Darstellen falscher Informationen – ferngesteuert

JBoss Enterprise Application Platform [Red Hat] : 14. | Mehrere = Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Open VPN for Linux and FreeBSD : 09. | Privilegieneskalation – ferngesteuert

Red Hat Enterprise Linux (libwebp) : 09. | Mehrere = Nicht näher beschrieben – ferngesteuert

Xen : 06. | Denial-of-Service

Schwachstellen bei Linux (+)

Developer Tools [Red Hat] : 17. | Denial-of-Service – ferngesteuert

GNU libc : 17. | (+ NetApp Appliance) Denial-of-Service – auch ferngesteuert

Red Hat Enterprise Linux (p11-kit) + (Brotli) : 17. | Denial-of-Service – ferngesteuert

libxml2 : 17. | Denial-of-Service – ferngesteuert

Red Hat Enterprise Linux : 17. | Umgehen von Sicherheitsvorkehrungen – ferngesteuert

OpenShift [Red Hat] : 17. | Mehrere = Denial-of-Service – ferngesteuert

Red Hat Enterprise Linux : 16. | Ausführen beliebigen Programmcodes mit Administratorrechten

Nagios Enterprises Nagios XI : 16. | Mehrere = Ausführen von beliebigen Programmcodes – ferngesteuert

Red Hat Enterprise Linux (exiv2) : 16. | Ausführen von beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

JBoss Enterprise Application Platform [Red Hat] : 14. | Denial-of-Service – ferngesteuert

Oracle Linux : 13. | Mehrere = Nicht näher beschrieben – ferngesteuert

GNOME : 10. | Umgehen von Sicherheitsvorkehrungen – ferngesteuert

GNOME : 09. | Ausführen von beliebigen Programmcodes – ferngesteuert

Red Hat Enterprise Linux : 09. | Ausführen von beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

Lasso SAML Implementation : 09. | (+ CISCO Appliance) Umgehen von Sicherheitsvorkehrungen – ferngesteuert

Red Hat Virtualization : 09. | Mehrere = Ausführen von beliebigen Programmcodes mit den Rechten des Dienstes – ferngesteuert

Red Hat Enterprise Linux : 09. | Ausspähen von Informationen – ferngesteuert

Red Hat Enterprise Linux : 07. | Denial-of-Service – ferngesteuert

Open Source Linux Kernel (+) – aktueller Tag

(+ UNIX) Privilegieneskalation

(+ UNIX) Denial-of-Service

Denial-of-Service / Nicht näher beschrieben / Ausspähen von Informationen


Zwar betreffen die Schwachstellen i. d. R. ältere System-/Programm-Versionen. Aber es ist in jedem Fall ratsam, zu kontrollieren, ob die Systeme und Programme auf dem neusten Stand sind. Generell sollten diese immer zeitnah auf die aktuellsten Versionen aktualisiert werden.

Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI)

Schwachstellen – Erklärung von Fachbegriffen

CROSS-SITE-SCRIPTING

Angreifer schleusen Schadcode durch eine Sicherheitslücke im Client oder auf dem Server ein. Diesen Code betten sie in eine vermeintlich „sichere“ Umgebung ein. Meistens verwenden die Angreifer das häufig verwendete JavaScript. Anschließend können dadurch beispielweise Websites verändert werden. Auch ist es möglich vertrauliche Informationen oder Passwörter zu stehlen (z. B. Phishing).

DENIAL-OF-SERVICE

Wörtlich „Verweigerung des Dienstes“. Dabei wird der Server gezielt mit so mit Anfragen überhäuft, das er schlimmsten Falls zusammenbricht. Eine Form der sogenannten DoS-Attacken ist das permanente Verschicken von SYN-Paketen mit gefälschten IP-Adressen. Durch den vergeblichen Versuch auf solche Anfragen zu antworten, verbraucht der Server alle Verbindungskapazitäten und ist nicht mehr erreichbar.
Ähnlich verläuft das Ping-Flooding, das Überfluten des Servers mit Überprüfungsanforderungen hinsichtlich der Erreichbarkeit von Rechnern im Netz (Pings). Deren Beantwortung kann ebenfalls zum Systemabsturz führen.
Des weiteren gibt es das sogenannte Mail-Bombing, bei dem riesige Mengen an Mails an eine Adresse gesendet werden, die die betreffenden Mail-Konten blockieren und zu einer Verlangsamung des Mail-Servers oder zu dessen Zusammenbruch führen.

PRIVILEGIENESKALATION

Hierunter ist eine „Ausweitung der Rechte“ zu verstehen. Das bedeutet, dass es einem Angreifer gelingt, sich Zugriff auf Bereiche zu verschaffen, deren Nutzung normalerweise eingeschränkt bzw. die nur für bestimmte Nutzer, z. B. Administratoren reserviert sind.

Datenlecks

Schwachstellen

Ein bisschen Schwachstellen-Statistik vorweg:
Im Jahr 2019 haben sich Unbefugte Zugriff auf
2 Milliarden Passwörter und 3 Milliarden E-Mail-Adressen verschafft. (Quelle: Firefox Monitor / Stand: Anfang Dezember 2019)

Bei folgenden Unternehmen / Webseiten haben in letzter Zeit Schwachstellen zu illegalen Zugriffen auf Daten geführt. Falls es sich um ein Unternehmen / Websites handelt, bei dem / denen Sie angemeldet sind, sollten Sie möglichst umgehend Ihr Passwort ändern. Unter Umständen erhalten Sie auch direkt vom betroffenen Unternehmen Informationen zur weiteren Vorgehnsweise.

Zugriff auf folgende personenbezogenen Daten

… sortiert nach dem Zeitpunkt, an dem das Leck bekannt wurde (Datum des Auftretens der Schwachstellen):

Neuster Eintrag: 27.08.2021

IndiaMART – 27. August 2021 (23.05.2018)
E-Mail-Adressen, Telefonnummern, Anschriften, Namen

Imavex – 26. August 2021 (20.08.2018)
Teile von Kraditkartendaten, Passwörter, E-Mail-Adressen, Anschriften, Telefonnummern, Namen, Benutzernamen, Geschlecht, Käufe

SubaGames – 25. August 2021 (01.11.2018)
Passwörter, E-Mail-Adressen, Benutzernamen

Eatigo – 25. August 2021 (16.10.2018)
E-Mail-Adressen, Telefonnummern, Passwörter, Namen, Geschlecht, Social-Media-Profile

OrderSnapp – 08. August 2021 (29.06.2020)
Telefonnummern, Passwörter, E-Mail-Adressen, Namen, Geburtsdaten

MMG Fusion – 07. August 2021 (20.12.2020)
Passwörter, E-Mail-Adressen, Telefonnummern, Anschriften, Namen, Geburtsdaten, Geschlecht, Familienstand, Verabredungen

Audi (USA) – 23. Juli 2021 (14.08.2019)
E-Mail-Adressen, Telefonnummern, Anschriften, Namen, Geburtsdaten, Führerschein- und Fahrzeuginformationen, Sozialversicherungsnummern

Guntrader – 21. Juli 2021 (17.07.2021)
Passwörter, IP-Adressen, E-Mail-Adressen, Telefonnummern, Anschriften, Namen, Begrüßungen, Standorte, Browser

Short Édition – 19. Juli 2021 (26.06.2021)
E-Mail-Adressen, Passwörter, Benutzernamen, Telefonnummern, Anschriften, Namen, Geburtsdaten, Geschlecht, Social-Media-Profile

Spreadgroup – 12. Juli 2021
Adressen, Bankverbindungen, PayPal-Adressen, Passwort-Hashes, die vor 2014 gespeichert wurden

Raychat – 04. Juli 2021 (31.01.2021)
IP-Adressen, E-Mail-Adressen, Passwörter, Namen, User Agent des Browsers

yotepresto.com – 25. Juni 2021 (22.06.2020)
Passwörter, IP-Adressen, E-Mail-Adressen, Benutzernamen

Teespring – 25. Juni 2021 (01.04.2020)
E-Mail-Adressen, Namen, Social Media Profile, Standorte

University of California – 20. Juni 2021 (24.12.2020)
Sozialversicherungsnummer, E-Mail-Adressen, Telefonnummern, Namen, Anschriften, Geburtsdaten, Geschlecht, Ethnien, Bildungsstufen, Berufsbezeichnungen

Fotolog – 15. Juni 2021 (01.12.2018)
Passwörter, E-Mail-Adressen, Benutzernamen

Dminos India – 03. Juni 2021 (24.03.2021)
E-Mail-Adressen, Telefonnummern, Namen, Anschriften, Käufe

JD – 02. Juni 2021 (01.01.2013)
Passwörter, E-Mail-Adressen, Telefonnummern, Benutzernamen

Moneycontrol – 22. Mai 2021 (07.09.2017)
E-Mail-Adressen, Passwörter, Telefonnummern, Geschlecht, Standorte

Yam – 22. Mai 2021 (02.06.2013)
Passwörter, E-Mail-Adressen, Telefonnummern, Anschirften, Namen, Benutzernamen, Geburtsdaten

Livpure – 22. Mai 2021 (29.08.2020)
Telefonnummern, E-Mail-Adressen, Namen, Käufe, Begrüßungen

Daily Quiz – 21. Mai 2021 (13.01.2021)
E-Mail-Adressen, Passwörter, IP-Adressen, Benutzernamen

IIMJobs – 21. Mai 2021 (31.12.2018)
IP-Adressen, Passwörter, E-Mail-Adressen, Telefonnummern, Namen, Geburtsdaten, Berufsbezeichnungen, Stellenbewerbungen, Standorte

WedMeGood – 13. Mai 2021 (06.01.2021)
Passwörter, E-Mail-Adressen, Telefonnummern, Anschriften, Namen, Geschlecht

DriveSure – 10. Mai 2021 (19.12.2020)
E-Mail-Adressen, Passwörter, Namen, Anschriften, Telefonnummern, Fahrzeugangaben

ParkMobile – 30. April 2021 (21.03.2021)
Passwörter, E-Mail-Adressen, Namen, Telefonnummern, Autokennzeichen

Descomplica – 28. April 2021 (14.03.2021)
E-Mail-Adressen, Passwörter, Teile von Kreditkartendaten, Namen, Käufe

MangaDex – 25. April 2021 (22.03.2021)
IP-Adressen, E-Mail-Adressen, Passwörter, Benutzernamen

Phone House España – 22. April 2021 (08.04.2021)
Telefonnummern, E-Mail-Adresse, Anschriften, Geburtsdaten, Namen, Geschlecht, Nationalität

Falls Sie den Verdacht haben, dass Ihre Daten aufgrund von Schwachstellen in falsche Hände gelangt sein könnten, ändern Sie umgehend Ihr Passwort. Das neue Passwort sollte sich deutlich von dem ursprünglichen unterscheiden. Außerdem sollte es auch nicht für andere Konten verwendet werden bzw. worden sein.

Dieser Beitrag gefällt Ihnen? Kopieren und teilen Sie den Link:

Um die Nutzung meiner Website zu optimieren, verwende ich Cookies. Diese werden nur auf Ihrem Gerät gespeichert. Ich erfasse und speichere keine personenbezogenen Daten meiner Website-Besucher.
AKZEPTIEREN
ABLEHNEN
Datenschutz