Februar Patch für Node.js behebt kritische Schwachstelle

ad
Wissen
19. Februar 2024

Table of Contents

Im Februar 2024 wurde ein Node.js Patch für kritische Schwachstellen in verschiedenen Versionen von Node.js veröffentlicht, Die kritischste behobene Sicherheitslücke ist unter dem CVE Kürzel CVE-2024-21892 registriert. Die Sicherheitslücke betrifft speziell die Versionen 10, 12, 14, 16 und 18 von Node.js, mit Ausnahme der Versionen 18.0.0 bis 18.6.0 und 16.14.0 bis 16.17.1, und wird als besonders schwerwiegend eingestuft. Die Schwachstelle ermöglicht es Angreifern mit ursprünglich niedrigen Rechten, durch eine Umgehung von Umgebungsvariablen ihre Berechtigungen zu eskalieren und vollständigen Systemzugriff zu erlangen.

Die Schwachstelle CVE-2024-21892 im Detail

Die Sicherheitslücke, bekannt als Umgebungsvariablen-Umgehung mit erhöhten Rechten, ermöglicht es einem Angreifer, die Sicherheitsmechanismen von Node.js zu umgehen und Berechtigungen auf eine Weise zu eskalieren, die normalerweise streng kontrolliert und begrenzt ist. Dies öffnet die Tür für eine Vielzahl von Angriffen, einschließlich der Ausführung von bösartigem Code mit den höchsten verfügbaren Rechten auf dem betroffenen System.

Die Auswirkungen

Die Auswirkungen dieser Schwachstelle sind als kritisch einzustufen, da sie Angreifern die Möglichkeit gibt, die vollständige Kontrolle über betroffene Systeme zu übernehmen. Dies kann zu einem erheblichen Schaden führen, einschließlich Datenverlust, Datenschutzverletzungen und Unterbrechungen des Betriebs.

Empfohlene Maßnahmen

Um sich gegen die durch CVE-2024-21892 dargestellten Bedrohungen zu schützen, werden folgende Maßnahmen empfohlen:

Aktualisieren Sie Node.js: Es ist entscheidend, betroffene Node.js-Versionen so schnell wie möglich auf die neuesten Versionen zu aktualisieren, die einen Patch für diese Schwachstelle enthalten. Die aktualisierten Versionen sind:
Node.js 18.8.0
Node.js 16.17.3
Node.js 14.22.7
Node.js 12.28.3
Node.js 10.29.1
Konfigurieren Sie Umgebungsvariablen: Vermeiden Sie die Verwendung von Umgebungsvariablen, die erhöhte Rechte gewähren könnten, um das Risiko einer Eskalation zu minimieren.
Überwachen Sie Ihre Systeme: Eine kontinuierliche Überwachung Ihrer Systeme auf Anzeichen verdächtiger Aktivitäten ist unerlässlich, um frühzeitig auf potenzielle Angriffe reagieren zu können.

Durch die Befolgung dieser Empfehlungen können Entwickler und Systemadministratoren dazu beitragen, die Sicherheit ihrer Node.js-Anwendungen zu gewährleisten und das Risiko einer Ausnutzung dieser kritischen Schwachstelle zu minimieren.

Chrome führt Private Network Access Feature ein

Google Chrome hat kürzlich eine Sicherheitsfunktion eingeführt, die als Schutzmaßnahme für den privaten Netzwerkzugang (Private Network Access, PNA) bekannt ist. Diese Funktion zielt darauf ab, die Sicherheit von Heimnetzwerken zu verbessern, indem sie unsichere Anfragen blockiert, die versuchen, auf interne Geräte zuzugreifen. Dieser Schritt ist besonders relevant in einer Zeit, in der Heimnetzwerke eine Vielzahl persönlicher und oft schlecht gesicherter Geräte enthalten können.

Dell OS10 Switches - kritische Sicherheitslücken im Februar 2024

15.2.24: Eine kritische Sicherheitslücke wurde in Dell OS10-Switches identifiziert, die unter der Bezeichnung CVE-2023-32462 registriert ist. Diese Schwachstelle betrifft speziell Dell OS10-Switches, die die Firmware-Versionen 10.5.2.x und höher ausführen. Die Auswirkungen dieser Sicherheitslücke sind besonders gravierend, da sie es einem nicht authentifizierten Angreifer ermöglicht, durch das Senden speziell gestalteter Anfragen beliebige Systembefehle auf dem betroffenen Gerät auszuführen. Das Risiko dieser Schwachstelle wird als kritisch eingestuft, da sie Angreifern die Möglichkeit bietet, vollständige Kontrolle über das System zu erlangen und somit erheblichen Schaden anzurichten.

Sicherheitslücke im eAusweis erfordert sofortige PIN Änderung

Februar 2024: Ein Sicherheitsforscher mit dem Pseudonym CtrlAlt berichtet auf Medium eine kritische Sicherheitslücke im eAusweis gefunden zu haben, die sofortiges Handeln von Usern erfordert. Es handelt es sich dabei um die Sicherheitslücke CVE-2024-23674, die speziell den deutschen elektronischen Ausweis (eAusweis) betrifft. Diese Lücke ermöglicht den Diebstahl der Authentifizierung durch EID per Deeplink. Betroffen sind alle Personen, die einen solchen eAusweis besitzen. Da es vonseiten der Nutzer keine direkte Möglichkeit gibt, diese Sicherheitslücke zu schließen, sind die empfohlenen Maßnahmen präventiver Natur. Dazu gehören das Ändern der PIN in eine längere und komplexere Kombination, die Nutzung des eAusweises nur in sicheren Umgebungen und die Aufmerksamkeit für ungewöhnliche Aktivitäten, die auf einen Missbrauch hindeuten könnten. Diese Empfehlungen zielen darauf ab, das Risiko eines erfolgreichen Angriffs zu minimieren, während die verantwortlichen Stellen an einer Behebung der Schwachstelle arbeiten. Fraglich ist jedoch, ob diese vor einem Angriff schützen. Denn der von CtrlAlt skizzierte Angriff erfolgt über andere Apps, die mit bösartigen Code infiziert wurden und die eAusweis Funktion missbrauchen. Man sollte daher vorsichtig sein, und nur vertrauenswürdigen Apps das Login per eAusweis erlauben.