Da HTTP Request Hijacking (HRH) es sogar in die Nachrichten geschafft hat und dort für etwas Panikmache genutzt wird, möchte ich mal ein paar Fakten liefern. Wie funktioniert HRH, und wie gefährlich ist so ein Angriff?
Am Donnerstag stufte Google php.net als bösartige Website ein. Was zuerst wie ein Fehlalarm, also ein False Positive, aussah, entpuppte sich später als tatsächliche Kompromittierung, es wurde Code für Drive-by-Infektionen in eine JavaScript-Datei eingeschleust.
Auch in dieser Folge geht es weiter um die Sicherheit der USB-Schnittstelle. Vorgestellt werden Angriffe auf/über zweckentfremdete Anschlüsse, das Fingerprinting des USB-Stacks und Angriffe auf/über USB-Modems.
Heute gibt es mal wieder eine bunte Mischung an Kommentaren. Und die ist so bunt, dass ich sie hier einfach nicht kurz und prägnant zusammen fassen kann.
Vor fast 2 Jahren schrieb ich zuletzt über Angriffe über USB. Seitdem ist einiges passiert. So gibt es zum Beispiel zum damals bereits kurz angesprochenen “Juice-Jacking” eine Implementierung für iOS: Mactans ist augenscheinlich ein Ladegerät für iOS-Geräte, installiert tatsächlich aber eine bösartige App auf dem geladenen Gerät.
Es gibt neue Informationen zur aktuellen 0-Day-Schwachstelle im Internet Explorer. Nein, nicht zu der, für die Microsoft Mitte September eine FixIt-Tool veröffentlicht hat (CVE-2013-3893), sondern für die, die am Oktober-Patchday zusätzlich behoben wurde (CVE-2013-3897). Und die widersprechen sich eigentlich. Außerdem gibt es Hinweise auf eine weitere 0-Day-Schwachstelle. Aber dazu gleich mehr.
Update 15.10.:
Für das Metasploit-Framework wurde ein
Exploit
für CVE-2013-3897 veröffentlicht.
Ende des Updates
Vorher gibt es noch einen Lesetipp: Sophos hat den ersten Teil einer Beschreibung des Exploits für CVE-2013-3893 veröffentlicht.
Im windows.developer 11.2013 ist ein Artikel über die Sicherheit der Kinect erschienen. Vorgestellt werden theoretische und praktische Angriffe, außerdem der Einsatz der Kinect im Dienste der Sicherheit. Wobei die Angriffe kaum eine wirkliche Gefahr darstellen, die Anwendungen der Kinect als Sicherheitssystem sind dagegen recht interessant.
Und hier noch die Links und Literaturverweise aus dem Artikel:
“Drucksache: windows.developer Magazin 11.2013 – Der Blick ins Wohnzimmer” vollständig lesenHeute geht es mal wieder um gefährliche Peripherie, oder genauer: Einen gefährlichen Anschluss am Rechner. Und zwar den Thunderbolt-Anschluss, der zum Beispiel in einigen Macs verbaut ist. Darüber ist der direkte Zugriff auf den Speicher des Geräts möglich, was schon im Fall des Firewire-Anschlusses Angriffe erlaubte. Und natürlich sind auch über Thunderbolt Angriffe möglich.
Microsoft hat am heutigen Patchday gleich zwei 0-Day-Schwachstellen im Internet Explorer behoben: Das “Cumulative Security Update for Internet Explorer” MS13-080 enthält unter anderem einen Patch für die seit Mitte September bekannte 0-Day-Schwachstelle CVE-2013-3893 sowie auch für die Schwachstelle mit der CVE-ID CVE-2013-3897, die bereits für gezielte Angriffe auf den Internet Explorer 8 ausgenutzt wird. Und so eine Schwachstelle bezeichnet man ja allgemein als 0-Day-Schwachstelle. Das ist dann schon die 4. 0-Day-Schwachstelle im IE in diesem Jahr und die 16. 0-Day-Schwachstelle insgesamt.
Heute im Angebot: Kommentare zur 0-Day-Schwachstelle im Internet Explorer und dem Angriff auf Adobe.
Alle Folgen meiner Serie “About Security” auf entwickler.de/entwickler.com sind nach einem Crash der Server von Software & Support Media im Mai 2013 offline. Ob sie wieder online gestellt werden und wenn ja wann steht noch nicht fest. Ich hoffe sehr, dass das noch klappt.
Aber zum Glück gibt es ja die Wayback Machine des Internet Archive, und dort sind mit Ausnahme des Weihnachtsspecials 2009 alle Folgen archiviert. Daher gibt es hier eine Liste der Texte mit Links zur Wayback Machine. Und auch das Weihnachtsspecial 2009 ist noch im Internet zu finden, es ist auf archive-de.com archiviert.
Der Nachteil der archivierten Versionen: Die Verlinkung der Folgen untereinander funktioniert nur mangelhaft, wenn überhaupt.
