Wissen

SAP Patchday im Mai 2025 schlieĂźt kritische LĂĽcken

Am 13. Mai 2025 veröffentlichte SAP den monatlichen Security Patch Day mit insgesamt 16 neuen Security Notes und 2 Updates zu früheren Hinweisen. Kunden sollten die Patches umgehend über das SAP Support Portal einspielen, um ihre Landschaft vor möglichen Angriffen zu schützen.

Read More

Kritische Spoofing Schwachstelle in Azure Storage Resource Provider aufgetaucht

Am 8. Mai 2025 wurde CVE-2025-29972 veröffentlicht, eine kritische Spoofing-Schwachstelle im Azure Storage Resource Provider (SRP). Die als SSRF (Server-Side Request Forgery, CWE-918) klassifizierte Lücke trägt die maximale CVSS-Bewertung von 9,9 bzw. 8,9 und erlaubt Angreifern bei niedrigen Rechten und ohne Nutzerinteraktion, beliebige Anfragen im Namen des Dienstes auszuführen. Microsoft hat das Problem bereits vollständig behoben, sodass für Kund:innen kein Handlungsbedarf besteht. Die Koordinierte Offenlegung wurde von Stav Nir und G1ND1L4 (beide Microsoft) unterstützt und bestätigt. Weitere Details finden Interessierte auf der CVE-Eintragseite CVE-2025-29972 und in den Microsoft-Lebenszyklusinformationen.

Read More

Ivanti patcht kritische LĂĽcke CVE-2025-22462 in Ivanti Neurons for ITSM

Ivanti hat am 13. Mai 2025 ein kritisches Sicherheitsupdate für „Ivanti Neurons for ITSM (On-Premises Only)“ veröffentlicht. Die Lücke CVE-2025-22462 (CWE-288) erlaubt einem nicht authentifizierten Angreifer, bei fehlerhafter Konfiguration Administratorrechte zu erlangen (CVSS 9.8 – kritisch; Environmental Score 6.9 – mittel). Betroffen sind die Versionen 2023.4, 2024.2 und 2024.3; je ein „May 2025 Security Patch“ steht über das Ivanti-Downloadportal bereit. Ivanti empfiehlt, den Patch umgehend einzuspielen und den Zugriff auf die IIS-Instanz netzwerkseitig (IP-Whitelist, DMZ) einzuschränken, um das Risiko weiter zu minimieren. Bislang sind keine Ausnutzungen in Kundenumgebungen bekannt.

Read More

Mehrere Schwachstellen in Zoom gepatcht

Zoom Video Communications hat am 13. Mai 2025 einen neuen Sicherheitshinweis veröffentlicht: Insgesamt acht Schwachstellen in verschiedenen Zoom-Anwendungen (Desktop, mobile Apps, SDKs und VDI) wurden mit mittlerem Risiko eingestuft. Betroffen sind unter anderem CVE-2025-46785, CVE-2025-30668 bis CVE-2025-30663 (CWE-20, CWE-126, CWE-476, CWE-78, CWE-362). Ein Angreifer könnte die Lücken über das Netzwerk ausnutzen, um Sicherheitsbeschränkungen zu umgehen oder DoS-Angriffe zu starten. Zoom bestätigt, dass öffentliche Exploits bislang nicht bekannt sind und empfiehlt umgehend das Einspielen der aktuellen Updates. Ein Patch steht auf der Zoom-Website bereit. Nutzer sollten ihre Clients und SDKs zeitnah aktualisieren, um Angriffe zu verhindern.

Read More

F5 patcht kritische Schwachstellen in BIG-IP und F5OS Produkten

Am 7. Mai 2025 veröffentlichte F5 die vierteljährliche Sicherheitsbenachrichtigung (Quarterly Security Notification, QSN) mit mehreren kritischen Schwachstellen in BIG-IP- und F5OS-Produkten. Betroffen sind unter anderem die Komponenten iControl REST, HTTP/2, SIP ALG und TMM. Einige dieser Schwachstellen ermöglichen es Angreifern, Denial-of-Service-Angriffe durchzuführen oder Schadcode auszuführen.

Read More

Aktiv ausgenutzte Schwachstellen in IOS XE SD-WAN und Catalyst SD-WAN Manager

Paketfilterung-Bypass in Cisco IOS XE SD-WAN (CVE-2025-20221) Cisco warnt vor einer mittelschweren Sicherheitslücke (CVSS 5.3), die es einem entfernten, nicht authentifizierten Angreifer ermöglichen kann, Layer-3- und Layer-4-Traffic-Filter zu umgehen. Betroffen sind:

Read More

Bluetooth® Core 6.1 bringt neue Privatsphäre-Features

Die Bluetooth Special Interest Group (SIG) hat mit der Veröffentlichung von Bluetooth® Core 6.1 am 6. Mai 2025 den Start ihres neuen halbjährlichen Release-Zyklus eingeläutet. Besonders aus datenschutzrechtlicher Perspektive sticht ein Feature hervor: die Bluetooth® Randomized RPA Updates (resolvable private addresses). Mit der Einführung der zufällig getakteten Adresswechsel wird die Privatsphäre der Nutzer:innen signifikant verbessert. Durch das Randomisieren der Zeitpunkte für den Wechsel der Geräteadresse wird es für Dritte erheblich erschwert, Geräte über längere Zeiträume hinweg zu identifizieren oder zu verfolgen. Dies ist ein klarer Fortschritt im Kampf gegen passives Bluetooth-Tracking durch Werbenetzwerke oder potenziell missbräuchliche Apps.

Read More

Cisco warnt vor kritischer Schwachstelle in IOS XE Wireless‑Controllern (CVE‑2025‑20188)

Cisco hat am 7. Mai 2025 eine Security Advisory veröffentlicht, die eine kritische Schwachstelle (CVSS 10.0) im Out‑of‑Band AP Image‑Download‑Feature von IOS XE‑basierenden Wireless LAN Controllern beschreibt (Advisory ID cisco‑sa‑wlc‑file‑uplpd‑rHZG9UfC).

Read More

SicherheitslĂĽcke in GIMP (ZDI-CAN-26752)

Die Zero Day Initiative (ZDI) hat eine Sicherheitslücke in der Bildbearbeitungssoftware GIMP (Version 3.0.2) entdeckt, die bei der Verarbeitung von ICO-Dateien auftritt. Die Schwachstelle (Integer Overflow) ermöglicht eine entfernte Ausführung von Schadcode, da Angreifer durch manipulierte ICO-Dateien einen Heap-Buffer-Overflow auslösen können.

Read More

Kritisches Sicherheitsupdate für Kibana veröffentlicht (ESA-2025-07)

Elastic hat ein Sicherheitsupdate fĂĽr Kibana veröffentlicht, das eine kritische Schwachstelle (CVE-2025-25014) behebt. Die Schwachstelle ermöglicht eine willkĂĽrliche CodeausfĂĽhrung durch sogenannte “Prototype Pollution”-Angriffe ĂĽber speziell präparierte HTTP-Anfragen an die Machine Learning- und Reporting-Schnittstellen.

Read More
Categories
Tags