Wissen

Ghostscript 10.05.0 fixt mehrere kritische SicherheitslĂĽcken

Am 12. März 2025 hat Artifex Software die neue Version Ghostscript 10.05.0 veröffentlicht. Neben funktionalen Verbesserungen behebt das Update gleich acht schwerwiegende Sicherheitslücken (CVE-2025-27830 bis CVE-2025-27837), von denen mehrere als kritisch eingestuft werden. Nutzer*innen von Ghostscript werden dringend aufgefordert, zeitnah auf die neueste Version zu aktualisieren. Alle Schwachstellen basieren auf klassischen Pufferüberläufen (CWE-120), mit Ausnahme von CVE-2025-27837, der ein Path Traversal-Problem (CWE-22) darstellt. Angreifer könnten mit präparierten Eingaben Code ausführen oder auf unautorisierte Dateien zugreifen.

Read More

Hackerangriff auf Swiss Life betrifft Tausende Pensionskassen Kunden

Beim Finanzkonzern Swiss Life ist es zu einem Hackerangriff gekommen, bei dem bis zu 60 Pensionskassen mit rund 13'000 Versicherten betroffen sein könnten. Der Vorfall ereignete sich zwischen dem 15. und 21. Februar 2025 und betraf einen externen SMS-Dienstleister, der für die Zwei-Faktor-Authentifizierung im Kundenportal zuständig ist.

Read More

Kritische Kubernetes-Schwachstelle im Ingress NGINX Controller ermöglicht Clusterübernahme

Am 24. März 2025 wurden mehrere Schwachstellen im weit verbreiteten Ingress NGINX Controller für Kubernetes veröffentlicht – darunter die kritische Lücke CVE-2025-1974, die mit einem CVSS-Score von 9.8 bewertet wird. Insgesamt sind fünf Schwachstellen betroffen, von denen vier die Remote Code Execution (RCE) ermöglichen. Sie betreffen vor allem Installationen, bei denen der Validating Admission Controller öffentlich erreichbar ist oder auf anderem Weg kompromittiert werden kann.

Read More

Kritischer Auth-Bypass in Fortinet-Produkten aktiv ausgenutzt (CVE-2024-55591, CVE-2025-24472)

Fortinet warnt vor einer kritischen Sicherheitslücke in FortiOS und FortiProxy, die derzeit aktiv ausgenutzt wird. Die Schwachstellen (CVE-2024-55591 und CVE-2025-24472) ermöglichen es Angreifern, über präparierte Anfragen an das Node.js WebSocket-Modul oder manipulierte CSF-Proxy-Requests die Authentifizierung zu umgehen und Super-Admin-Rechte zu erlangen.

Read More

CVE-2025-29927 Umgehung der Authorisierung in Next.js möglich

Am 21. März 2025 wurde eine kritische Sicherheitslücke (CVE-2025-29927, CVSS 9.1) in Next.js bekannt, die es Angreifern erlaubt, Autorisierungsprüfungen zu umgehen, sofern diese innerhalb von Middleware implementiert sind. Die Schwachstelle betrifft eine Vielzahl von Versionen: konkret alle Releases von Next.js größer als 11.1.4 bis einschließlich 13.5.6, sowie die Versionen >14.0 bis <14.2.25 und >15.0 bis <15.2.3.

Read More

Spring Security – Autorisierungs-Bypass durch fehlerhafte Annotationserkennung (CVE-2025-22223)

Am 19. März 2025 wurde eine mittelschwere Sicherheitslücke (CVE-2025-22223, CVSS 5.3) in Spring Security veröffentlicht. Die Lücke betrifft Anwendungen, die @EnableMethodSecurity nutzen und Methoden mit Sicherheitsannotationen auf parametrisierten Typen oder geerbten Methoden versehen haben – ohne direkte Annotation auf der Zielmethode. In diesem Fall kann es zu einem Autorisierungs-Bypass kommen. Betroffen ist Spring Security 6.4.0 – 6.4.3. Ein Update auf 6.4.4 wird empfohlen.

Read More

VMware-VM-Exploits fĂĽhren zu Hypervisor-Kontrolle und Ransomware-Angriffen

Am 19. März 2025 veröffentlichte Sicherheitsexperte Nital Ruzin eine brisante Analyse zu aktiven Angriffen auf VMware-Umgebungen. Die Ausnutzung dreier kritischer Schwachstellen (CVE-2025-22224, -22225, -22226) ermöglicht sogenannten VM Escapes, bei denen Angreifer aus einer kompromittierten virtuellen Maschine ausbrechen und Kontrolle über den Hypervisor (ESXi) erlangen – eine Eintrittskarte für die großflächige Ransomware-Verteilung.

Read More

Kritische Schwachstelle in ArcGIS Enterprise ermöglicht Passwort-Zurücksetzung des Admin-Kontos

Eine kritische SicherheitslĂĽcke (CVE-2025-2538) betrifft bestimmte ArcGIS Enterprise-Deployments. Die Schwachstelle erlaubt es Angreifern, ohne Authentifizierung und ohne Benutzerinteraktion, das Passwort des integrierten Administrator-Kontos in Portal for ArcGIS zurĂĽckzusetzen.

Read More

CVE-2024-10441 – Remote Code Execution in Synology-Produkten

Eine kritische Sicherheitslücke (CVE-2024-10441) wurde in mehreren Synology-NAS Produkten entdeckt. Die Schwachstelle beruht auf unzureichendem Encoding bzw. Escaping von Ausgaben im System-Plugin-Daemon, was es Angreifern ermöglicht, per Remote Code Execution beliebigen Code auszuführen. Betroffen sind Synology DiskStation Manager (DSM), Unified Controller (DSMUC) und BeeStation Manager (BSM) in älteren Versionen – beispielsweise DSM vor 7.2.2‑72806‑1, DSMUC vor 3.1.4‑23079 und BSM vor 1.1‑65374. Mit einem CVSS v3.1 Basis-Score von 9.8 ist diese Schwachstelle als kritisch einzustufen. Nutzer werden dringend aufgefordert, ihre Systeme auf die entsprechenden Fix-Versionen zu aktualisieren.

Read More

LibreOffice CVE-2025-1080 – Macro URL Arbitrary Script Execution

Am 4. März 2025 wurde die kritische Sicherheitslücke CVE-2025-1080 in LibreOffice bekannt, die es ermöglicht, interne Makros mit beliebigen Argumenten auszuführen. Die Schwachstelle betrifft die Unterstützung von Office URI-Schemata, die zur Integration mit Microsoft SharePoint dienen. Durch das neu eingeführte Schema „vnd.libreoffice.command“ konnten Angreifer speziell präparierte Browser-Links erstellen, die beim Öffnen in LibreOffice die Ausführung von Makros auslösen.

Read More
Categories
Tags