Wissen

SonicWall Security Update: Buffer Overflow und Path Traversal Schwachstellen gefunden

Am 3. Dezember 2024 hat SonicWall ein umfassendes Sicherheitsbulletin veröffentlicht, das mehrere kritische Schwachstellen in den SSL-VPN-Produkten der SMA 100-Serie beschreibt. Diese Sicherheitslücken, die von Path Traversal bis hin zu Pufferüberläufen reichen, könnten von Angreifern ausgenutzt werden, um sensible Informationen zu kompromittieren, Code auszuführen oder Authentifizierungsmechanismen zu umgehen. Die betroffenen Versionen reichen bis einschließlich 10.2.1.13-72sv, und SonicWall rät dringend zu einem Upgrade auf die neueste Version 10.2.1.14-75sv oder höher.

Read More

Django Framework: SQL Injection bei JSON-Fields auf Oracle DB möglich

Die Django-Community hat am 4. Dezember 2024 drei neue Sicherheitsreleases veröffentlicht: Django 5.1.4, Django 5.0.10 und Django 4.2.17. Diese Updates beheben zwei kürzlich entdeckte Sicherheitslücken, die sowohl die Stabilität als auch die Sicherheit von Anwendungen gefährden könnten. Nutzern wird dringend empfohlen, ihre Django-Installationen umgehend zu aktualisieren.

Read More

Kritische Schwachstellen in HPE Aruba Networking ClearPass Policy Manager entdeckt

Hewlett Packard Enterprise (HPE) hat am 3. Dezember 2024 mehrere schwerwiegende Sicherheitslücken in der ClearPass Policy Manager-Software gemeldet. Diese Schwachstellen ermöglichen Angreifern unter anderem Remote Code Execution (RCE), die Ausführung beliebiger Befehle und Cross-Site Scripting (XSS). Betroffen sind Versionen bis 6.12.2 und 6.11.9 sowie alle älteren Builds.

Read More

Kritische Sicherheitslücken in der Veeam Service Provider Console

Am 3. Dezember 2024 hat Veeam die Entdeckung und Behebung zweier Sicherheitslücken in der Veeam Service Provider Console (VSPC) Version 8.1 öffentlich bekanntgegeben. Diese Schwachstellen, die als CVE-2024-42448 und CVE-2024-42449 klassifiziert wurden, stellen erhebliche Risiken dar und wurden während interner Tests identifiziert.

Read More

Cisco warnt erneut vor Exploits einer 10 Jahre alten Sicherheitslücke in ASA WebVPN Login

Cisco hat kürzlich eine erneute Warnung zu einer seit 2014 bekannten Sicherheitslücke in seiner Adaptive Security Appliance (ASA) veröffentlicht. Diese Schwachstelle betrifft die WebVPN-Login-Seite und ermöglicht es einem unauthentifizierten, entfernten Angreifer, ein Cross-Site-Scripting (XSS)-Angriff durchzuführen. Der Angreifer könnte dies ausnutzen, indem er ein Opfer dazu bringt, einen schädlichen Link zu öffnen.

Read More

Elektronische Patientenakte (ePA): Chancen, Herausforderungen und Kontroversen

Mit der geplanten Einführung der elektronischen Patientenakte (ePA) im Jahr 2025 erreicht die Digitalisierung des deutschen Gesundheitswesens einen Meilenstein. Die ePA soll medizinische Daten zentral verfügbar machen, um die Patientenversorgung zu verbessern und Kosten zu reduzieren. Trotz des Potenzials dieser Technologie gibt es erhebliche Bedenken, die von Datenschutzfragen bis hin zur praktischen Nutzbarkeit reichen.

Read More

Vertragsverletzungsverfahren gegen Deutschland: EU fordert Umsetzung der NIS-2-Richtlinie

Die Europäische Union hat ein Vertragsverletzungsverfahren gegen Deutschland eingeleitet, weil die Umsetzung der NIS-2-Richtlinie (Network and Information Security Directive 2) in nationales Recht nicht fristgerecht erfolgt ist. Diese Richtlinie soll die Cybersicherheit und Resilienz kritischer Infrastrukturen stärken und eine einheitliche Grundlage für den Schutz vor Cyberangriffen in der EU schaffen. Die Situation hat erhebliche Auswirkungen auf die deutsche Gesetzgebung und den Schutz kritischer Einrichtungen.

Read More

Datenleck beim LKA Brandenburg: BKA kappt Datenaustausch

Am 4. Dezember 2024 wurde bekannt, dass beim Landeskriminalamt (LKA) Brandenburg ein schwerwiegender IT-Sicherheitsvorfall aufgetreten ist. Das Bundeskriminalamt (BKA) unterbrach den Datenaustausch mit dem Staatsschutz des LKA aufgrund der Sorge, dass geheime Daten durch ein Leck abfließen könnten. Unzureichend gesicherte Netzwerkspeicher und W-LAN, die unter anderem Passwörter zum BKA-Server beinhalteten, stehen im Mittelpunkt der Ermittlungen. Das Innenministerium prüft derzeit auch mögliche Verstöße gegen die Dienst- und Fachaufsicht. Weitere Maßnahmen zur Verbesserung der IT-Sicherheit sind angekündigt.

Read More

Kritische SQL-Injection-Schwachstelle in Zabbix API entdeckt (CVE-2024-42327)

Am 27. November 2024 bestätigte Zabbix eine schwerwiegende SQL-Injection (SQLi)-Schwachstelle in der user.get API. Diese Schwachstelle betrifft die Zabbix-API und ermöglicht es Angreifern, SQL-Injektionen auszuführen, die zu Privilegieneskalationen führen können. Die Sicherheitslücke wurde unter der CVE-2024-42327-Kennung erfasst und erhielt eine hohe CVSS-Bewertung von 9.9 (kritisch).

Read More

CVE-2024-49019: Angreifer können Active Directory Zertifikatvorlagen missbrauchen

Am 12. November 2024 veröffentlichte Microsoft einen Sicherheitspatch für eine gefährliche Schwachstelle in seinen Active Directory Certificate Services (AD CS), die es Angreifern ermöglicht, Zertifikate mit falschen Einstellungen zu missbrauchen. Die Schwachstelle CVE-2024-49019 betrifft insbesondere Zertifikatsvorlagen, die von Microsoft-Servern verwendet werden. TrustedSec hat in seinem Blog eine genaue Analyse der Schwachstelle vorgenommen.

Read More
Categories
Tags