Category Archives: Software

7-Zip 18.01 schließt Sicherheitslücken

In der Version 18.01 der auch für kommerziellen Einsatz kostenfreien Applikation 7-Zip werden die folgenden Sicherheitslücken geschlossen:

 

  • Improper exception handling in 7-Zip’s RAR3 handler can cause heap or stack memory corruptions (CVE-2018-5996)
  • A heap buffer overflow vulnerability in 7-Zip’s shrink decoder. (CVE-2017-17969)

Bei der erfolgreichen Ausnutzung ist eine Systemübernahme bei entsprechenden administrativen Berechtigungen des angemeldeten Benutzers oder aber zumindest ein unbemerkter Datenabfluss möglich.

Aktuell wird die benannte Version nur in englischer Sprache zum Download angeboten.
Die genaueren Sachverhalt zu den beiden Sicherheitslücken sind im Details auf der Webseite von Dave nachzulesen.

Browser-Werbung kann Logindaten abgreifen

Durch einen Artikel bei Freedom to Tinker bin ich auf eine interessante Funktionserweiterung von Cookies gestoßen.

Viele Browser unterstützen neben dem Javascript auch Speicherung von Login-Daten. Dabei wird im unsichtbaren Bereich eine Loginfeld simuliert. Auf dieses kann dann ein Code eines Werbeanbieters zugreifen. Entsprechend hat man dann neben der abgelegten Datei ein viel besseres Authentifizierungsmöglichkeit für Werbung oder weitere Identifizierungen. Über diesen Weg können auch unbewusst Mail-Adressen gesammelt werden.

Dabei wird die Besuchererkennung ebenfalls ermöglicht, wenn die Cookies nach der Browser-Session gelöscht werden. Durch den Hash-Wert der Mailadresse kann der Benutzer eindeutig zu geordnet werden. Der Wechsel einer Mail-Adresse findet eher selten statt.

Dieses Szenario kann aber auch mit externen Passwortmanager ausgelöst werden, wenn diese automatisch Login-Felder befüllen.

Filezilla ohne Speicherung von Klartextpasswörtern

Bei der Nutzung des FTP-Programms Filezilla werden standardmäßig die Passwörter für eingerichtete Verbindungen in einer Datei im XML-Format gespeichert. Dabei sind die Passwörter der FTP-Server im Klartext abgelegt.

Dieses Verhalten kann im Ordner C:\Users\%username%\AppData\Roaming\FileZilla in der Datei Filezilla.xml unterbunden werden. Nach dem Öffnen der Datei zur Bearbeitung muss der Eintrag „Kioskmode“ gesucht werden. Die die dort eingetragenen Ziffer „0“ muss auf „1“ angepasst werden. Anschließend wird kein Passwort mehr gespeichert.

Sollte man bereits Verbindungen angelegt haben, sollten die beiden folgenden Dateien gelöscht werden:

  • sitemanager.xml
  • recentservers.xml

Anschließend müssen zwar die Verbindungen neu erstellt werden, allerdings sind auch keine alten Fragmente mehr abzugreifen.

Wenn man die Zahl hinter der Einstellung „Kioskmode“ auf 2 setzt, werden keine Verbindungen mehr gespeichert.

Genaueres ist im Filezilla-Wiki nachzulesen.

VMWare Workstation 14 virtualisiert Sicherheit

Seit dem 26.09.2017 steht die neuen Version 14 der Applikation VMWare Workstation sowie Player zur Verfügung. Mit dieser Version sind die folgenden Betriebssysteme zur Virtualisierung freigegeben:

  • Windows 10 Creators Update (auch als Build 1703 bekannt)
  • Ubuntu 17.04
  • Fedora 26
  • CentOS 7.4
  • RHEL 7.4
  • Debian 9.1
  • Oracle Linux 7.4
  • SLE 12 SP3
  • OpenSUSE 42.3

Des Weiteren wurde die Möglichkeit hinzugefügt einen virtuellen TPM-Chip zu erstellen und konfigurieren. Dieses ist unter anderem erforderlich, um ein virtuelle Windows-System mit Bitlocker zu verschlüsseln.

Ein weiteres Feature ist die Nutzbarkeit von „Virtualization Based Security“ auf Gastsystemen. So können auch auf diesen die Funktionalitäten DeviceGuard sowie CredentialGuard aus Windows 10 sowie Windows Server 2016 abgebildet werden.

Weitere Informationen: hier

Firefox: network.IDN_show_punycode

Über die internationalen Domainnamen können Phishing-Webseiten mit dem entsprechenden Zertifikat als vertrauenswürdig im Browser definiert werden. Der Browser Firefox zeigt mit den Standard-Einstellungen die URL „xn--e1awd7f.com“ als „epic.com“ an. Der Webseite „xn--e1awd7f.com“ kann ein gültiges Zertifikat hinterlegt werden, so dass es einem Anwender die gefährliche Nutzung auffällt.

Dieses liegt daran, dass mit der Definition zu Unicode-Domains auch arabische und chinesische Zeichen genutzt und entsprechend dargestellt werden können. Bei der im Artikel benannten Webseite handelt es sich um eine URL, welche homographische kyrillische Zeichen verwendet.

Über das Setzen der Einstellung „network.IDN_show_punycode“ auf „true“ über about:config oder anderen Verteilmechanismen (wie CCK2) wird die Darstellung deaktiviert. Entsprechend kann der Nutzer des Firefox auch erkennen, dass er nicht auf die Seite „epic.com zugreift.

Weitere Informationen: hier

Officescan XG – neues Build 12.0.0.1641

Seit dem 20. Juli steht von Trend Micro eine neue Version des Officescan XG zur Verfügung. Die Anpassung wird als Hotfix zur Verfügung gestellt . Mit der Aktualisierung wird eine Sicherheitslücke geschlossen. Diese kann durch ein Webseitenübergreifendes Skripting ausgenutzt werden:

The 3rd party AmMap application has multiple cross-site scripting (XSS) vulnerabilities that allows remote attackers to inject arbitrary web or HTML scripts.

Das Update wurde bereits einmal kurzzeitig veröffentlicht. Es wurde aber kurzfristig vom Hersteller wieder zurückgezogen. Dieses ist auch am „r1“ am Dateinamen ersichtlich. Dadurch sieht man, dass es sich um ein neues Release handelt.

Weitere Informationen:
Hotfix
Readme

Untertitel bei VLC & Kodi als Sicherheitslücke

Die Firma Checkpoint hat herausgefunden, dass bei verschiedenen Abspielprogrammen für Mediendateien Schadcode eingespielt werden kann.

Entsprechend der Konfiguration der Software werden Dateien für Untertitel automatisch aus dem Internet geladen. In diesen kann dann der Angreifer Code einbetten, welcher eine Rechner-Übernahme realisiert. Als schnelle Lösung für das Problem kann die automatische Download-Funktion deaktiviert oder aber die verfügbaren Updates eingespielt werden.

Als bekannteste Programme sind VLC und Kodi zu nennen, aber auch Stremino und Popcorn Time sollen betroffen sein. Zum Zeitpunkt der Artikelerstellung gibt es für Popcorn Time den Patch nur in der Entwickler-Version.

Downloadlink der angepassten Versionen:
VLC
Kodi
Stremino