HANDGEMACHT!

In diesem Blog findet ihr Informationen zu Sicherheitsbedrohungen bei ausgewählten Produkten, Hintergrundwissen sowie Links zu wichtigen Webseiten rund ums Internet. Eine ständige Aktualität kann ich in diesem Blog nicht garantieren.

 

Deshalb empfiehlt es sich, regelmäßig auch auf den Webseiten von PC-Zeitschriften, Virenschutzanbietern oder den Herstellern selbst nachzuschauen (oft in englischer Sprache und mit Fachkenntnissen verbunden).

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt vor der Verwendung der Antivirusprogramme von Kaspersky!

 

Kaspersky ist ein russischer Sicherheitsexperte und könnte von der russischen Regierung als Werkzeug für Angriffe ausgenutzt werden.

 
 
 

   

 

NGINX ist ein Open-Source-Hochleistungs-Webserver und wurde ursprünglich in Russland entwickelt. Durch die Open-Source-Lizenz steht der Server allen kostenfrei zur Verfügung. Er ist unter anderem eine wichtige Komponente der Synology-Netzwerktechnik, die auch von mir genutzt wird.

 

Bereits zu Beginn des Krieges führten die US-Sicherheitsbehörden Untersuchungen zur kritischen IT-Infrastruktur durch. Dabei geriet NGINX in den Fokus der Gutachter, da etwa 10 % der IT in größeren Ländern diesen Server verwenden. Da NGINX bzw. der kommerzielle Teil, durch den das Projekt finanziert wird, von einem US-Unternehmen übernommen wurde und der russische Entwickler sich aus dem gewerblichen Teil zurückgezogen hat, bestand keine akute Bedrohungssituation. Tatsächlich wurden russische Büros wegen angeblicher Steuerhinterziehung von der russischen Polizei durchsucht.

 

Mit dem fortschreitenden Krieg müssen jedoch weitere Überlegungen angestellt werden. Aktuell sind russische Entwickler vorerst aus dem gewerblichen Projekt ausgeschlossen worden. Dadurch geht zwar viel russisches IT-Know-how verloren, doch das Projekt wird voraussichtlich überleben. Aus all diesen Gründen werde ich derzeit weiterhin auf die Synology-Technik setzen.

   

Neue Versionen:

 

151.0.7922.71/72 for Windows and Mac

151.0.7922.71  for Linux 

151.0.7922.71 for Android 

151.0.7922.57 for iOS (verwendet andere Libs und bekommt das Sicherheitsupdate eher von Apple)

 

Chromium auf Debian:

noch offen

bookworm (security)150.0.7871.181-1~deb12u1

trixie (security)150.0.7871.181-1~deb13u1

forky150.0.7871.181-1

sid151.0.7922.47-1

 

Was ist passiert?

 

Google hat mit dem Update 370 Sicherheitslücken geschlossen. 349 sind von Google entdeckt worden (vor allem die kritischen Lücken).

 

Wahrscheinlich sind es so viele Lücken, weil Google immer mehr auf KI zur Analyse setzt. D.h., dass viele Lücken unter Laborbedingungen entdeckt wurden. Es wird noch nicht einmal einen richtigen Test-Angriff dafür geben. Die Lücken werden alle in der Theorie verblieben sein, aber es sind echte Sicherheitslücken. Lange Rede kurzer Sinn- Viele der Lücken werden in der Praxis nur sehr schwer bis gar nicht nutzbar sein. Oder sie bringen den Chrome “nur” zum Absturz oder erfordern eine weitere Lücke usw. 

 

Mindestens genauso wichtig ist der Fakt, dass 21 Lücken von Externen entdeckt wurden. In welchem Umfang die diese Lücken ausgetestet haben, das ist mir nicht bekannt. Aber die haben diese Lücken mit allgemeinen Analyseprogrammen, viel Geduld und Wissen entdeckt. Das könnten vielleicht auch andere. 

 

Betroffen sind Kernkomponenten, wie auch Javascript Schnittstellen.  

 

Alle Webbrowser mit Chromium Kern sind vielleicht von den Lücken betroffen. Ausnahmen sind möglich. Dem Browser "Opera" sollen angeblich 3 Updates oder vielleicht sogar 4 noch fehlen. 

 

Was tun?

 

Installiert das Update! 

 

Das Opfer muss auf eine manipulierte Webseite gelockt werden oder möglicherweise eine manipulierte Chromium/Chrome-App installieren (eigentlich sind das Erweiterungen, siehe Blogeintrag dazu, aber ich hänge irgendwie an dem Wort „App“ fest).

 

V8 ist die Skript-Engine des Browsers. Wenn auf einer Webseite einige interessante Funktionen bereitgestellt werden, wird wahrscheinlich die Skript-Engine verwendet. In den Einstellungen des Webbrowsers gibt es eine Option zur V8-Engine. Über diese Einstellung kann die Nutzung der V8-Engine eingeschränkt werden.

 

Der Nachteil: Umfangreiche Anwendungen mit moderner Skripttechnik funktionieren dann nicht mehr richtig und der Browser wird langsamer. Ihr findet die Option unter „Datenschutz“ > „Sicherheit“ > „V8-Sicherheitsoptionen“.

 

Es ist auch möglich, V8 vollständig zu deaktivieren, aber dann funktionieren 90 % der Webseiten nicht mehr.

 

Warum werden nicht alle Sicherheitslücken von Chrome/Chromium offengelegt? Die Begründung des Chrome/Chromium-Projekts lautet: Das Update muss zunächst bereitgestellt werden, und die Nutzer müssen die Möglichkeit haben, es zu installieren oder davon Kenntnis zu erlangen. Das kann einige Zeit in Anspruch nehmen. Außerdem müssen manchmal externe Komponenten von anderen Entwicklern angepasst werden, was ebenfalls Zeit benötigt.

 

Mozilla Firefox, Opera, Microsoft und Apple usw. verfolgen eine ähnliche Offenlegungspolitik.