Wissen

Node.js xml-crypto: XML-Signatur-Verification Bypass via Multiple SignedInfo References

Die kritische Sicherheitslücke CVE-2025-29774 wurde in der npm-Bibliothek xml-crypto entdeckt, die Versionen <= 6.0.0 betrifft. Durch das Einfügen mehrerer SignedInfo-Knoten in einem XML-Signaturblock kann ein Angreifer eine gültig signierte XML-Nachricht so manipulieren, dass sie dennoch die Signaturprüfung besteht. Dies ermöglicht das Umgehen von Authentifizierungs- und Autorisierungsmechanismen, was unter Umständen zu Privilegieneskalationen oder Identitätsübernahmen führen kann.

Read More

PHP 8: HTTP-Wrapper Schwachstellen erlauben HTTP Request Smuggling

PHP ist aktuell von zwei moderaten Schwachstellen betroffen, die die Verarbeitung von HTTP-Headern und Redirect-URIs in den internen Stream-Wrappern beeinträchtigen. Beide Probleme wurden in Versionen vor 8.1.32, 8.2.28, 8.3.18 und 8.4.5 festgestellt und in den folgenden Versionen behoben.

Read More

Ruby: Remote Code Execution beim Laden eines manipulierten GraphQL-Schemas

Ein kritischer Sicherheitsfehler im RubyGems-Paket graphql wurde von rmosolgo vor 5 Tagen unter der Kennung GHSA-q92j-grw3-h492 veröffentlicht. Die Schwachstelle betrifft alle Versionen größer als 1.11.5 und ermöglicht es einem Angreifer, beim Laden eines speziell präparierten GraphQL-Schemas beliebigen Code remote auszuführen.

Read More

Laravel Reflected XSS via Route- und Request-Parameter in Debug-Mode Error Page

Der beliebte PHP Framework Laravel ist in den Versionen zwischen 11.9.0 und 11.35.1 von zwei kritischen Reflected Cross-Site Scripting (XSS)-Schwachstellen betroffen. Beide Schwachstellen treten im Debug-Modus (APP_DEBUG=true) auf, wenn ein HTTP-Fehler (5XX) generiert wird. Dabei werden entweder Route-Parameter oder Request-Parameter unzureichend encoded und direkt in die Fehlerseite eingebettet, was es Angreifern ermöglicht, schadhaften JavaScript-Code in den Browser des Benutzers einzuschleusen.

Read More

KI-Kompetenz als Pflicht: Was das EU-KI-Gesetz fĂĽr Ihre Organisation bedeutet

Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4 Das KI-Gesetz der Europäischen Union markiert einen Wendepunkt für die Anforderungen am Arbeitsplatz – mit einem klaren Fokus auf KI-Kompetenz. Nach Artikel 4 sind Organisationen verpflichtet, sicherzustellen, dass ihre Mitarbeitenden über ausreichende Kenntnisse im Umgang mit Künstlicher Intelligenz verfügen. Doch was bedeutet das konkret für Unternehmen?

Read More

Junos OS – Lokaler Angreifer kann beliebigen Code ausführen (CVE-2025-21590)

Ein neuer Out-of-Cycle-Sicherheitsbulletin von Juniper Networks hat eine kritische Schwachstelle im Kernel von Junos OS aufgedeckt. Durch eine fehlerhafte Isolation kann ein lokaler Angreifer mit Shell-Zugang beliebigen Code injizieren, was die Integrität des betroffenen Geräts gefährdet. Die Schwachstelle, die ausschließlich über den Shell-Zugang und nicht über die Junos CLI ausgenutzt werden kann, betrifft sämtliche Versionen von Junos OS – ausgenommen Junos OS Evolved.

Read More

Privilege Escalation SicherheitslĂĽcke in Zoom (CVE-2025-0151)

Am 11. März 2025 wurde unter der Kennung CVE-2025-0151 eine kritische SicherheitslĂĽcke in den Zoom Workplace Apps veröffentlicht. Die Schwachstelle beruht auf einem “Use After Free”-Fehler, der es einem authentifizierten Benutzer ermöglicht, ĂĽber Netzwerkzugriff eine Privilegieneskalation durchzufĂĽhren.

Read More

Cyberangriff auf Ticketplattform AERTiCKET

Der Berliner Flug-Tickethändler AERTiCKET wurde am 9. März 2025 Ziel eines Cyberangriffs, der zu erheblichen Ausfällen im Buchungssystem „Cockpit“ geführt hat, so berichtet es die Pressemitteilung des Unternehmens auf deren Internetseite https://www.aerticket.de/.

Read More

CVE-2025-20138 CLI-Privilege Escalation in Cisco IOS XR

In Cisco IOS XR wurde eine schwerwiegende Sicherheitslücke entdeckt (CVE-2025-20138). Diese Vulnerability ermöglicht es einem authentifizierten, lokalen Angreifer, über unsichere CLI-Befehle Root-Rechte zu erlangen und somit beliebige Befehle auf dem Gerät auszuführen.

Read More

Jenkins SicherheitslĂĽcken: Update dringend empfohlen

Am 5. März 2025 wurden in Jenkins mehrere Sicherheitslücken in der Kernsoftware bekannt. Betroffen sind unter anderem Schwachstellen, bei denen verschlüsselte Geheimnisse in Agent- und View-Konfigurationen für Nutzer mit entsprechenden Leserechten einsehbar sind (SECURITY-3495, SECURITY-3496). Zudem gibt es eine CSRF-Schwachstelle (SECURITY-3498), die es Angreifern ermöglicht, Seiteneinstellungen über manipulierte HTTP-Anfragen zu ändern, sowie eine Open-Redirect-Lücke (SECURITY-3501), die für Phishing-Angriffe missbraucht werden kann.

Read More
Categories
Tags