HANDGEMACHT!

In diesem Blog findet ihr Informationen zu Sicherheitsbedrohungen bei ausgewählten Produkten, Hintergrundwissen sowie Links zu wichtigen Webseiten rund ums Internet. Eine ständige Aktualität kann ich in diesem Blog nicht garantieren.

 

Deshalb empfiehlt es sich, regelmäßig auch auf den Webseiten von PC-Zeitschriften, Virenschutzanbietern oder den Herstellern selbst nachzuschauen (oft in englischer Sprache und mit Fachkenntnissen verbunden).

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt vor der Verwendung der Antivirusprogramme von Kaspersky!

 

Kaspersky ist ein russischer Sicherheitsexperte und könnte von der russischen Regierung als Werkzeug für Angriffe ausgenutzt werden.

 
 
 

   

 

NGINX ist ein Open-Source-Hochleistungs-Webserver und wurde ursprünglich in Russland entwickelt. Durch die Open-Source-Lizenz steht der Server allen kostenfrei zur Verfügung. Er ist unter anderem eine wichtige Komponente der Synology-Netzwerktechnik, die auch von mir genutzt wird.

 

Bereits zu Beginn des Krieges führten die US-Sicherheitsbehörden Untersuchungen zur kritischen IT-Infrastruktur durch. Dabei geriet NGINX in den Fokus der Gutachter, da etwa 10 % der IT in größeren Ländern diesen Server verwenden. Da NGINX bzw. der kommerzielle Teil, durch den das Projekt finanziert wird, von einem US-Unternehmen übernommen wurde und der russische Entwickler sich aus dem gewerblichen Teil zurückgezogen hat, bestand keine akute Bedrohungssituation. Tatsächlich wurden russische Büros wegen angeblicher Steuerhinterziehung von der russischen Polizei durchsucht.

 

Mit dem fortschreitenden Krieg müssen jedoch weitere Überlegungen angestellt werden. Aktuell sind russische Entwickler vorerst aus dem gewerblichen Projekt ausgeschlossen worden. Dadurch geht zwar viel russisches IT-Know-how verloren, doch das Projekt wird voraussichtlich überleben. Aus all diesen Gründen werde ich derzeit weiterhin auf die Synology-Technik setzen.

   

Neue Versionen:

 

153.0.8010.52/.53 for Windows and Mac

153.0.8010.52 for Linux 

153.0.8010.52 for Android 

154.0.8037.41 for iOS (verwendet andere Libs und bekommt das Sicherheitsupdate eher von Apple)

 

Chromium auf Debian:

offen

bookworm (security)153.0.8010.47-2~deb12u1

trixie150.0.7871.181-1~deb13u1 (Version auf dem Installationsimage)

trixie (security)153.0.8010.47-2~deb13u1

forky150.0.7871.181-1 (sehr offen)

sid153.0.8010.47-2

 

Was ist passiert?

 

Das ist bereits das zweite Update diese Woche! Das aktuelle Update. 

 

Beide Updates schließen kritische Lücken. Habt ihr das erste Update noch nicht, dann werden die Lücken vom ersten Update sehr wahrscheinlich mit dem zweiten Update geschlossen. 

 

Einige der kritischen Lücken sind von Sicherheitsforschern, Hackern, Entwicklern entdeckt worden. Andere wieder von Google.  

 

Für die Fülle der kritischen Lücken soll ein neuer Bewertungstandard verantwortlich sein, der auch von Google verwendet wird. Was früher vielleicht noch als "High" durchging, das ist heute schnell "kritisch". So eng lag das aneinander. Wenn also ein Produkt viele "High" Einstufungen besitzt, dann ist das nicht unbedingt harmloser als "kritisch". 

 

Ansonsten bewertet man jetzt wohl auch, wie groß die Wahrscheinlichkeit ist, dass die Lücke in den kommenden 30 Tagen ausgenutzt wird. Sind nur Schätzwerte, aber fließt mit ein.

 

Ein anderer interessanter Punkt ist die Verwendung von KI für die Prüfung der Software (Englische Sprache). Google hat wohl mittlerweile eine riesige Infrastruktur für die Prüfungen. Es sollen sogar mehrere KI's sein, die die Programmierung prüfen. Ähnlich ist es sicherlich mit den Externen. 

 

Betroffen waren Kernkomponenten, wie das Dawn oder WebGL, und Komponenten wie die Anzeige von PDF, Fehler in der Implementierung von Erweiterungen, Fehler in der Script Engine, Fehlerhafte Implementierung der Serviceworker und noch mehr.       

 

Alle Webbrowser mit Chromium Kern sind vielleicht von den Lücken betroffen. Ausnahmen sind möglich. 

 

Was tun?

 

Installiert das Update! 

 

Das Opfer muss auf eine manipulierte Webseite gelockt werden oder möglicherweise eine manipulierte Chromium/Chrome-App installieren (eigentlich sind das Erweiterungen, siehe Blogeintrag dazu, aber ich hänge irgendwie an dem Wort „App“ fest).

 

V8 ist die Skript-Engine des Browsers. Wenn auf einer Webseite einige interessante Funktionen bereitgestellt werden, wird wahrscheinlich die Skript-Engine verwendet. In den Einstellungen des Webbrowsers gibt es eine Option zur V8-Engine. Über diese Einstellung kann die Nutzung der V8-Engine eingeschränkt werden.

 

Der Nachteil: Umfangreiche Anwendungen mit moderner Skripttechnik funktionieren dann nicht mehr richtig und der Browser wird langsamer. Ihr findet die Option unter „Datenschutz“ > „Sicherheit“ > „V8-Sicherheitsoptionen“.

 

Es ist auch möglich, V8 vollständig zu deaktivieren, aber dann funktionieren 90 % der Webseiten nicht mehr.

 

Warum werden nicht alle Sicherheitslücken von Chrome/Chromium offengelegt? Die Begründung des Chrome/Chromium-Projekts lautet: Das Update muss zunächst bereitgestellt werden, und die Nutzer müssen die Möglichkeit haben, es zu installieren oder davon Kenntnis zu erlangen. Das kann einige Zeit in Anspruch nehmen. Außerdem müssen manchmal externe Komponenten von anderen Entwicklern angepasst werden, was ebenfalls Zeit benötigt.

 

Mozilla Firefox, Opera, Microsoft und Apple usw. verfolgen eine ähnliche Offenlegungspolitik.