Kurznachrichten

Für rund einen Monat wurde die mit einem gültigen Zertifikat signierte, aber mit Malware verseuchte, Version CCleaner 5.33 seit dem 15. August von Avast – also über die offiziellen Server – verteilt. Es wird dringend dazu geraten, die seit dem 12. September erhältliche Version 5.34 unverzüglich zu installieren.

Die am 12. September 2017 veröffentlichten Sicherheits-Updates beheben teils schwere Sicherheitslücken: Adobe Flash Player Version 27.0.0.130 für Windows, Macintosh, Linux und Chrome OS (Priorität 1), RoboHelp Version RH2017.0.2 und RH12.0.4.460 (Hotfix) für Windows (Priorität 3) sowie ColdFusion Version 11 (Update 13) und 2016 (Update 5) für alle Plattformen (Priorität 2).

Eine kritische Lücke, die von Hackern leicht ausgenutzt werden kann, um Root-Rechte zu erlangen, existiert in folgenden Netgear-Routern: NetGear AC1750-Smart WiFi Router (Model R6400), NetGear AC1900-Nighthawk Smart WiFi Router (Model R7000), NetGear AC2300-Nighthawk Smart WiFi Router mit MU-MIMO (Model R7000P), NetGear AC2350-Nighthawk X4 AC 2350 Dual Band WiFi Router (Model R7500), NetGear AC2600-Nighthawk X4S Smart WiFi Gaming Router (Model R7800), NetGear AC3200-Nighthawk AC3200 Tri-Band WiFi Router (Model R8000), NetGear AC5300-AC5300 Nighthawk X8 Tri-Band WiFi Router (Model R8500) und NetGear AD7200-Nighthawk X10 Smart WiFi Router (R9000).

Die Liste erhebt keinen Anspruch auf Vollständigkeit. Auf Heise wird eine Möglichkeit genannt, wie der eigene Netgear-Router überprüft werden kann. Dort finden Sie auch eine Anleitung, wie Sie den Router schützen können, bis Netgear endlich einen Patch liefert.

Ein Skript im Alphakanal eines Bildes kann Flash nachladen und Schadcode ausführen. So wurden seit mindestens Mitte Oktober Millionen Leser populärer Nachrichten-Websites Opfer von schädlichen Werbeanzeigen. Eine sehr ausführliche Analyse des Stegano genannten Exploits hat die Website weblivesecurity veröffentlicht.

Das Sicherheitsunternehmen Cylance hat entdeckt, dass MacOS-Benutzern, die nach dem Browser Chrome suchten, möglicherweise stattdessen Malware untergejubelt wurde. Eine Weiterleitung auf andere Domains gaukelt einen korrekten Download vor, lädt aber Schadsoftware herunter, die wiederum versucht Adware und Programme nachzuladen.

Das Update v. 3.21.0 vom 23. August 2016 behebt eine Sicherheitslücke, die im Zeichenformat existiert, sobald ein Verzeichnis unter der Verwendung von SFTP aufgelistet wird. Außerdem bringt die neue Version zwei neue Funktionen sowie einige Bugfixes mit sich.

Betroffen ist die aktuelle Version 3.0.13.x. Die Sicherheitslücke ermöglicht das Einschleusen von schadhaftem Code und so zum Beispiel auch die Übernahme der Administratorrolle. Ein Sicherheitsforscher hat die Lücke publik gemacht, obwohl ein Patch noch nicht in Reichweite ist.

Let’s Entcrypt kann sich für/ab Firefox 50, der im letzten Quartal 2016 veröffentlicht wird, den Umweg über die Zertifizierungsstelle Identrust sparen. Ab dann wird der Let’s Encrypt root key (ISRG Root X1) standardmäßig vom Browser aktzeptiert.