Auf diesem Blog können Mitarbeiter:innen von CERT.at Beiträge veröffentlichen. Da dies möglichst unbürokratisch abläuft, werden die darin vertretenen Meinungen nicht immer auch von CERT.at vertreten.

Der CERT.at Blog kann alternativ auch als Feed bezogen werden.


Apr 12

(Gepatchte aber dennoch) üble Sicherheitslücke in (einer optionalen Komponente von) Microsoft Windows

Es entbehrt nicht einer gewissen Ironie, dass die meisten Blogeinträge, welche sich in den letzten Monaten mit Sicherheitslücken in Produkten von Microsoft beschäftigt haben, von dem Mitarbeiter des CERT stammen, dessen Kenntnisse rund um Windows, Office und den ganzen Rest wohl mit Abstand am schwächsten sind - und damit herzlich willkommen zu einem weiteren Beitrag, welcher diese Kriterien vollständig erfüllt.

Verfasst von: Alexander Riepl

Mar 28

In eigener Sache: CERT.at sucht Verstärkung

Für unsere täglichen Routineaufgaben suchen wir derzeit 1 Berufsein- oder -umsteiger:in

Verfasst von: Robert Waldner

Mar 15

CVE-2023-23397 - der (interessante) Teufel steckt im Detail

Im Regelfall veröffentlichen wir zu Sicherheitslücken, die durch den Hersteller im Rahmen eines regulären Patchzyklus behoben werden, keine Warnung. Die Motivation dahinter ist, dass wir unsere Warnungen als Werkzeug betrachten, Informationen über kritische Schwachstellen mit entsprechender Urgenz an die jeweiligen Adressat:innen bringen wollen. Dementsprechend entscheiden wir relativ konservativ, wovor oder worüber wir warnen, um die Wirkung selbiger nicht zu verwäsern.

Verfasst von: Alexander Riepl

Jan 05

ProxyNotShell Mitigations K.O.

Warum ist ProxyNotShell noch ein Thema? Die Schwachstellen wurden doch von Microsoft Anfang November geschlossen?

Kurz gesagt, weil sich viele auf die letzte Mitigation von Microsoft verlassen haben, anstatt auf den November-Patch.

Verfasst von: Michael Schlagenhaufer

Dec 30

Warum ich keine Cloud-basierten Passwort-Manager nutze:

  • Eingangs ein paar seichte Witze über die Cloud. Wie Sie hießigen Medienberichten [1,2,3] unter Umständen entnommen haben bekamen LastPass-BenutzerInnen für ihr Vertrauen heuer ein Weihnachtsgeschenk der unerfreulichen Art.
Verfasst von: Wolfgang M.

Dec 14

Patch Tuesday: (zur Abwechslung) Augen auf!

An und für sich ist der monatliche "Patch Tuesday" nichts besonderes, und fällt in den meisten Unternehmen wohl sehr eindeutig in die Kategorie "Business as Usual" Auch wir haben uns bereits vor längerer Zeit entschlossen, im Regelfall zu Sicherheitslücken, die im Rahmen dieser Anlässe gefixt werden, keine Warnings zu veröffentlichen.

Verfasst von: Alexander Riepl

Oct 31

OpenSSL wünscht (vielleicht) "Happy Shelloween"

Das OpenSSL-Projekt hat für morgen, den 01.11.2022, die Veröffentlichung von Sicherheitsaktualisierungen angekündigt. Diese sollen zwischen 13:00 und 17:00 (UTC) erscheinen und beheben laut der Ankündigung mehrere Sicherheitslücken, darunter eine als "CRITICAL" eingestufte Schwachstelle. Diese Einstufung erfolgte zuletzt 2014, für CVE-2014-0160 - besser bekannt als "Heartbleed"

Verfasst von: Alexander Riepl

Oct 19

CVE-2022-42889 - das Gute, das Schlechte

Einen passenden Titel für diesen Beitrag zu finden war eine unerwartete Herausforderung, weil es mehrere interessante Aspekte gibt, die bei der Betrachtung von CVE-2022-42889 in's Auge stechen.

Verfasst von: Alexander Riepl

Oct 13

Shodan Verified Vulnerabilities – Statistiken zu Schwachstellen in Österreich (Updated)

CERT.at verarbeitet die Rohdaten aus dem Shodan-Stream und kann dadurch Statistiken zu Sicherheitslücken in Österreich erstellen.

Verfasst von: Dimitri Robl & CERT.at Coordination Team

Oct 12

Ein guter Tag für Freund:innen von Adobe Software und gepflegtem Patchen

Da kann man sich nicht beschweren: nicht nur eine kritische Lücke in Adobe Commerce und Magento Open Source (CVSS 10.0 - Highscore-verdächtig)...

Verfasst von: Robert Waldner