Wissen

Exploit fĂĽr Citrix Netscaler LĂĽcke CVE-2024-6235 bekannt geworden

Citrix hat am 10. Juli 2024 eine kritische Sicherheitslücke unter der Kennung CVE-2024-6235 in der NetScaler Console bekanntgegeben, die bei Standard­konfigurationen in allen Versionen 14.1 bis einschließlich 14.1-25.53 vorhanden ist. Die Schwachstelle (CWE-287: Improper Authentication) erlaubt es einem nicht authentifizierten Angreifer, über einen internen API-Endpunkt eine gültige Admin-Session-ID auszulesen und damit neue Super-Admin-Konten anzulegen. Rapid7-Forschende verifizierten den Angriff und zählten bei einer Shodan-Abfrage 318 exponierte Installationen, es wurden bereits Exploits von Instanzen beobachtet. Betroffene Anwender sollten umgehend auf NetScaler Console Version 14.1-25.53 oder höher aktualisieren, um das Risiko eines vollständigen Systemübergriffs auszuschließen.

Read More

eBay aktualisiert Datenschutzerklärung – Nutzerbewertungen als KI‑Trainingsdaten

Seit Ostermontag weist eBay in seiner überarbeiteten Datenschutzerklärung darauf hin, dass Nutzerdaten künftig nicht nur für personalisierte Services, sondern auch zum Trainieren, Testen und Validieren eigener und Drittanbieter‑KI‑Modelle verwendet werden. Im März kam eine E‑Mail, die auf die Neuerung hinwies, ohne jedoch zu erläutern, welche Daten konkret betroffen sind oder wie genau sie zum Einsatz kommen.

Read More

Die EU-Kommision verbietet KI Agenten in Web-Konferenzen

Die Europäische Kommission hat eine Grundregel erlassen, wonach virtuelle Assistenten auf Basis künstlicher Intelligenz nicht mehr an ihren Online‑Meetings teilnehmen dürfen, so berichtet POLITICO. Diese Vorgabe wurde Anfang April bei einer Telefonkonferenz mit Vertretern der digitalen Policy‑Support‑Netzwerke europaweit eingeführt und durch eine Meeting‑Etiquette‑Folie mit dem Satz „No AI Agents are allowed“ signalisiert. KI‑Agenten agieren autonom in virtuellen Umgebungen, können eigenständig Meetings beitreten, Notizen erstellen oder Informationen vortragen und wurden im „Virtual Worlds“-Paket der Kommission vom 31. März als softwarebasierte Assistenten mit definierten Vorgaben beschrieben. Obwohl die zugrunde liegenden KI‑Modelle bereits dem künftigen EU‑KI‑Gesetz unterliegen, reagiert die Kommission mit diesem Verbot auf zentrale Fragen der Transparenz, Rechenschaftspflicht und Sicherheit in digitalen Diskussionen.

Read More

Windows Explorer Schwachstelle CVE‑2025‑24054 legt NTLM Hashes offen

CVE‑2025‑24054 beschreibt eine Schwachstelle in Windows Explorer, bei der eine speziell manipulierte .library‑ms‑Datei bereits beim Entpacken oder durch minimale Nutzerinteraktion – etwa durch Rechtsklick, Drag‑and‑Drop oder einfaches Navigieren in einen Ordner – dazu führt, dass Windows automatisch eine SMB‑Authentifizierung an einen Angreifer‑Server initiiert und dabei den NTLMv2‑SSP‑Hash des Anwenders ausliefert. Obwohl Microsoft bereits am 11. März 2025 einen Patch veröffentlicht hat, nutzten Angreifer diese Lücke ab dem 19. März 2025 aktiv für Angriffe aus. Besonders auffällig war eine Malspam‑Kampagne um den 20./21. März, bei der Regierungsbehörden und private Einrichtungen in Polen und Rumänien per Dropbox‑Link zum Download einer Archivdatei verleitet wurden, die neben dem .library‑ms‑Exploit auch weitere NTLM‑Hash‑Disclosure‑Schwachstellen (etwa CVE‑2024‑43451 via .url‑Shortcut) nutzte. Die abgegriffenen NTLMv2‑SSP‑Hashes erlauben Pass‑the‑Hash‑ und Relay‑Angriffe, mit denen Angreifer sich laterale Bewegungen im Netzwerk verschaffen und Berechtigungen eskalieren können. Um das Risiko zu minimieren, sollten Organisationen den Microsoft‑Patch umgehend einspielen, unnötige NTLM‑Authentifizierung deaktivieren und SMB‑Verbindungen durch Signing und Relay‑Schutz absichern.

Read More

Krtische Lücke in der SSH‑Implementierung von Erlang/OTP (CVE‑2025‑32433)

Eine maximal kritische Sicherheitslücke in der SSH‑Implementierung von Erlang/OTP (CVE‑2025‑32433) ermöglicht es Angreifern, ohne Authentifizierung beliebigen Code auf betroffenen Systemen auszuführen. Betroffen sind alle Installationen mit OTP‑Versionen bis einschließlich 27.3.2, 26.2.5.10 und 25.3.2.19. Durch gezielt manipulierte SSH‑Nachrichten kann ein Angreifer über das Netzwerk volle Kontrolle über den Server erlangen, sensible Daten kompromittieren oder den Dienst lahmlegen. Nutzer sollten umgehend auf die gepatchten Versionen 27.3.3, 26.2.5.11 bzw. 25.3.2.20 aktualisieren. Bis zum Update empfiehlt sich, den SSH‑Dienst abzuschalten oder den Zugriff per Firewall zu beschränken. Entdeckt wurde der Fehler von Fabian Bäumer, Marcel Maehren, Marcus Brinkmann und Jörg Schwenk von der Ruhr‑Universität Bochum.

Read More

US-Regierung streicht Common Vulnerabilities and Exposures die Finanzierung

April 2024 - Die US-Regierung stellt ĂĽberraschend die Finanzierung des global genutzten Common Vulnerabilities and Exposures (CVE)-Programms ein.

Read More

PyPI schließt Sicherheitslücke bei „Organizations Team“-Rechten

Am 14. April 2025 wurde das PyPI-Sicherheitsteam auf ein Problem bei der Vergabe von Team-Rechten aufmerksam gemacht: Ehemalige Mitglieder einer Organisation behielten ihre Team-Privilegien, obwohl sie bereits aus der übergeordneten Organisation entfernt worden waren. Nach Prüfung bestätigte PyPI den Fehler, erfasste die betroffenen Fälle und spielte innerhalb von knapp zwei Stunden einen Hotfix aus. Eine anschließende Sicherheitsprüfung ergab, dass kein unautorisierter Zugriff stattgefunden hatte.

Read More

CrushFTP: PoC fĂĽr kritische SicherheitslĂĽcken (CVE-2025-32102 und CVE-2025-32103)

Für die bekannten Sicherheitslücken CVE-2025-32102 (Server-Side Request Forgery) und CVE-2025-32103 (Directory Traversal) in CrushFTP wurde nun ein öffentlicher Proof of Concept (PoC) publiziert. Die Schwachstellen betreffen die Versionen von CrushFTP 9.x bis 10.8.4 sowie 11.x bis 11.3.1 und erlauben potenziell einem Angreifer die Ausführung von Schadcode aus der Ferne.

Read More

Meta trainiert KI nun auch in Europa mit Userdaten

Meta verkĂĽndet die europaweite Nutzung öffentlicher Inhalte erwachsener Nutzerinnen und Nutzer zur KI-Trainingserweiterung – und stößt damit aus DSGVO-Sicht auf Skepsis. Zwar verspricht das Unternehmen, keine privaten Nachrichten oder Daten von Minderjährigen einzubeziehen und gewährt EU-Nutzenden ein Widerspruchsrecht. Es ist zu bemängeln, dass ein Opt-out-Verfahren (statt eines expliziten Opt-ins) den Transparenz- und Einwilligungsprinzipien der DSGVO nicht vollständig gerecht wird. Auch die Frage, ob Meta die gesammelten Interaktionen wirklich nur fĂĽr die angekĂĽndigten Zwecke nutzt, bleibt offen. Bereits letztes Jahr berichteten wir, Meta per Opt-Out bei Facebook gängige Einwilligungsprinzipien der DSGVO missachtet hat, seitdem hat sich nicht viel an Meta’s Vorgehen getan.

Read More

Kritische SicherheitslĂĽcke in jupyter-remote-desktop-proxy bei Nutzung von TigerVNC

In der Python-Bibliothek jupyter-remote-desktop-proxy wurde eine schwerwiegende Sicherheitslücke entdeckt. Die betroffene Version 3.0.0 war so konzipiert, dass sie ausschließlich UNIX-Sockets verwendet, um VNC-Verbindungen ausschließlich für den aktuellen Benutzer zugänglich zu machen. Wird jedoch TigerVNC als VNC-Server eingesetzt, ist die Verbindung fälschlicherweise über das Netzwerk erreichbar, was das ursprüngliche Sicherheitskonzept unterläuft.

Read More
Categories
Tags