CERT.at - Blog

Auf diesem Blog können Mitarbeiter:innen von CERT.at Beiträge veröffentlichen. Da dies möglichst unbürokratisch abläuft, werden die darin vertretenen Meinungen nicht immer auch von CERT.at vertreten.

Der CERT.at Blog kann alternativ auch als Feed bezogen werden.

Oct 10

BIND Nameserver - Updates einspielen

Wieder einmal gibt es eine Schwachstelle in der Nameserver-Software BIND, welche zum Absturz des Dienstes "named" führen kann. Noch ist nicht bekannt, ob die Schwachstelle bereits ausgenutzt wird.
Wir empfehlen aber so schnell wie möglich, die bereits zur Verfügung gestellten Updates ...

Sep 26

IEEE Passwort Leak

Man sollte meinen, dass eine Vereinigung wie die IEEE eine Ahnung von technischen Dingen hat (genauso wie man annimmt, dass die IPA was von Sicherheit versteht). Dem ist aber anscheinend nicht so: sie haben die Passwörter ihrer Mitglieder

* im Klartext gespeichert, und
* nicht sicher ...

Sep 13

iTunes updates. Bitte einspielen

Apple hat heute ein großes Update herausgebracht. Mindestens 160 Lücken in iTunes wurden hierbei geschlossen. Teilweise remote code execution!

Da iTunes ein automatisches Update-System verwendet, ist diese Meldung für CERT.at keine offizielle Warnung. Eine Erinnerung an dieser Stelle ...

Sep 13

BEASTv2 a.k.a CRIME

Vor ziemlich genau einem Jahr wurde der BEAST Attack auf SSL/TLS 1.0 publiziert; die gleichen Forscher haben für heuer etwas ähnliches angekündigt.

In der Community wird aktuell noch darüber gerätselt, welches SSL-Feature denn für den Information-Leak verantwortlich ...

Sep 11

Chip and Skim

Ross Anderson von der University of Cambridge ist in der Branche für seine Veröffentlichungen über diverse Sicherheitsthemen bekannt und geschätzt. (Siehe etwa Costs of Cybercrime, VerifiedByVisa/MastercardSecurecode)

Er hat schon 2010 über die Sicherheit des EMV Standards ...

Sep 07

Dokumentation von N24

Gestern Abend bin ich beim Zappen über das Ende einer Cyber-War, -Terror etc. Dokumentation von N24 gestolpert. Vorerst, ob des etwas dramatisch anmutenden Endes leicht amüsiert, war ich dennoch interessiert, inwiefern darin subjektiv oder objektiv recherchiert wurde. Ob wiedermal das klassische ...

Aug 30

Oracle Java 7 Update 7

Auch wenn es zuerst so ausgesehen hat, als würde Oracle sich mit dem Patch für die seit April bekannte Lücke noch gemütlich Zeit lassen bis zum nächsten regulären Java-Update Mitte Oktober, so hat sich nun doch etwas bewegt: Java 7 Update 7 ist draussen, und behebt angeblich ...

Aug 30

6 Möglichkeiten, mit dem aktuellen Java-Bug umzugehen

Wir haben das nicht getestet, aber Computerworld.com schreibt über 6 Wege, wie man den aktuellen Java-Bug (siehe http://www.cert.at/warnings/all/20120827.html) möglicherweise umgehen kann: http://www.computerworld.com/s/article/9230695/Six_ways_to_protect_against_the_latest_Java_vulnerability. ...

Aug 23

DNSChanger IP-Ranges an neue Benutzer vergeben

Wie schon seit einiger Zeit in der Presse (zB bei Heise) geschrieben wird, haben zumindest 2 der von DNSChanger benutzen IP-Adress-Blöcke mittlerweile neue, legitime, Benutzer.

Etwaige Filter sollten also angepasst werden, damit es nicht zu entsprechenden Connectivity-Problemen mit diesen Netzen ...

Aug 23

xt:Commerce - Cross-Site-Scripting Schwachstelle

Gjoko Krstic von Zero Science Lab hat auf eine Cross-Site-Scripting (XSS) Schwachstelle im beliebten Online-Shop System xt:Commerce aufmerksam gemacht. Die Lücke wurde in der aktuellen Version VEYTON 4.0.15 gefunden, betroffen sind alle Editionen (Professional/Merchant/Ultimate).

Durch einen ...