Team IT Security - 📰 Alle Kategorien

38C3 eng - Sicherheitslücke gefunden... und nun?

Tue, 31 Dec 2024 22:49:20 +0100

Author: media.ccc.de - Bewertung: 0x - Views:19

Der CCC unterstützt bei der Meldung von Sicherheitslücken nach dem Responsible-Disclosure- beziehungsweise Coordinated-Vulnerability-Disclosure-Verfahren. Am Beispiel verschiedener Lücken, die wir in den vergangenen Monaten gemeldet haben, zeigen wir, wie Disclosures ablaufen können. Eine Rechtsberatung findet nicht statt.

Bei angewandter Sicherheitsforschung führen Hackerparagraphen nach wie vor zu großer Unsicherheit. Meldende von Sicherheitslücken müssen befürchten, angezeigt und verklagt zu werden. Daher unterstützt der CCC bei der Meldung von Sicherheitslücken.

Wie läuft so ein Disclosure-Prozess eigentlich ab? In diesem Vortrag geben wir Einblicke in die Praxis und erläutern anhand aktueller Beispiele aus den vergangenen Monaten, wie wir Sicherheitslücken gemeldet haben. Dabei beleuchten wir typische Herausforderungen und mögliche Konflikte.

kantorkel, Linus Neumann

https://events.ccc.de/congress/2024/hub/event/sicherheitslcke-gefunden-und-nun/

#38c3 #38c3_eng

Licensed to the public under http://creativecommons.org/licenses/by/4.0

38C3 - Sicherheitslücke gefunden... und nun?

Tue, 31 Dec 2024 22:49:17 +0100

Author: media.ccc.de - Bewertung: 2x - Views:57

Der CCC unterstützt bei der Meldung von Sicherheitslücken nach dem Responsible-Disclosure- beziehungsweise Coordinated-Vulnerability-Disclosure-Verfahren. Am Beispiel verschiedener Lücken, die wir in den vergangenen Monaten gemeldet haben, zeigen wir, wie Disclosures ablaufen können. Eine Rechtsberatung findet nicht statt.

Bei angewandter Sicherheitsforschung führen Hackerparagraphen nach wie vor zu großer Unsicherheit. Meldende von Sicherheitslücken müssen befürchten, angezeigt und verklagt zu werden. Daher unterstützt der CCC bei der Meldung von Sicherheitslücken.

Wie läuft so ein Disclosure-Prozess eigentlich ab? In diesem Vortrag geben wir Einblicke in die Praxis und erläutern anhand aktueller Beispiele aus den vergangenen Monaten, wie wir Sicherheitslücken gemeldet haben. Dabei beleuchten wir typische Herausforderungen und mögliche Konflikte.

kantorkel, Linus Neumann

https://events.ccc.de/congress/2024/hub/event/sicherheitslcke-gefunden-und-nun/

#38c3

Licensed to the public under http://creativecommons.org/licenses/by/4.0

OpenR@thaus wegen "Sicherheitslücke" im Juni 2024 erneut abgeschaltet

Sun, 07 Jul 2024 00:17:29 +0200

In den vergangenen Wochen waren zahlreiche digitale Verwaltungen, die mit OpenR@thaus laufen, plötzlich offline. Hintergrund ist, dass das Service-Portal des IT-Dienstleisters ITEBO wegen Schwachstellen offline genommen werden musste. Das war im Juni 2024 bereits das zweite Mal binnen 14 Tagen, … Weiterlesen →

Sicherheitslücke in Gefängnis-Telefonanlage legt sensible Daten offen

Thu, 27 Jun 2024 12:18:18 +0200

Sicherheitsforscherin Lilith Wittmann hat eine schwere Sicherheitslücke in der API einer Gefängnis-Telefonanlage öffentlich gemacht. Über die API konnte auf die persönlichen Daten ehemaliger und aktueller Häftlinge. Es waren von allen Menschen aus mindestens 20 Gefängnissen und forensischen Psychiatrien Name, Haftnummer, … Weiterlesen →

Vermeintliche oder echte Sicherheitslücke bei SMA-Wallboxen?

Tue, 27 Feb 2024 04:02:08 +0100

Der deutsche Hersteller SMA ist ja mit Wechselrichtern und Wallboxen in vielen deutschen Haushalten präsent. Ein Blog-Leser hat mich nun auf eine mögliche Sicherheitslücke in den Wallboxen dieses Herstellers aufmerksam gemacht, die Dritten den Zugriff auf den von der Wallbox … Weiterlesen →

Südwestfalen IT: Chaos ist das neue Normal; Mail für NRW-Verwaltungen wegen Sicherheitslücke gestoppt

Mon, 19 Feb 2024 21:03:36 +0100

Kunden des kommunalen IT-Dienstleisters Südwestfalen IT (SIT) brauchen momentan Nerven. Chaos ist seit November 2023 "das neue Normal". Die Südwestfalen IT leidet unter massivem Personal-Schwund, und nun kam zum Wochenende die nächste Hiobsbotschaft. Wegen Schwachstellen waren viele Verwaltungen in Nordrhein-Westfalen … Weiterlesen →

Die 3CX MySQL-Sicherheitslücke und der Umgang mit Kritik durch den Anbieter

Sun, 31 Dec 2023 00:02:35 +0100

[English]Kürzlich gab es eine Warnung an Kunden des Telefonanlagen-Anbieters 3CX, die eine SQL-Datenbank für CRM-Zwecke in die Software eingebunden haben. Ich hatte über den Sachverhalt im Blog-Beitrag 3CX-Warnung: SQL-Datenbankintegrationen deaktivieren (15. Dez. 2023) berichtet. Nutzer der 3CX-Software beklagten sich über … Weiterlesen →

Mehrere Schwachstellen in dnsmasq entdeckt

Wed, 12 Apr 2023 18:47:15 +0200

Mehrere Schwachstellen in dnsmasq entdeckt

Redaktion IT-A… Di., 26.01.2021 - 00:00

Sicherheitsforscher haben sieben Schwachstellen in dnsmasq gefunden, einem beliebten Open-Source-DNS/DHCP-Server. Die sogenannten DNSpooq-Schwachstellen ermöglichen DNS Cache Poisoning sowie Remote-Code-Ausführung durch einen Pufferüberlauf. Betroffen seien mehr als 40 Unternehmen – neben Google auch Cisco und Redhat.

Tipps & Tools

Weiterlesen über Mehrere Schwachstellen in dnsmasq entdeckt

Kritische Sicherheitslücke in Lexmark-Druckern (März 2023)

Tue, 14 Mar 2023 08:35:33 +0100

[English]In der Lexmark-Firmware diverser Drucker dieses Herstellers gibt es eine kritische Sicherheitslücke. Das geht aus einem Sicherheitshinweis von Lexmark vom 10. März 2023 hervor. Davon sind hunderte an Druckermodellen betroffen, darunter Lexmark MC3224, Lexmark B2338, Lexmark CX930 und Lexmark XC9335. … Weiterlesen →

DJI-Drohnen mit AeroScope-Sicherheitslücke

Tue, 07 Mar 2023 06:28:35 +0100

[English]Drohnen des chinesischen Herstellers DJI weisen Sicherheitslücken auf, über die Dritte den Funkverkehr mitlesen und den Standort des Drohnenpiloten ermitteln können. Diese Schwachstelle geht auf eine vom Hersteller für "Strafverfolgungsbehörden" entwickelte Überwachungsfunktion AeroScope zurück, die es diesen ermöglichte, den Standort … Weiterlesen →

FortiGuard Labs meldet: Kritische Sicherheitslücke CVE-2022-42475 in FortiOS wird ausgenutzt

Tue, 13 Dec 2022 01:47:48 +0100

[English]Die FortiGuard Labs haben am 12. Dezember 2022 eine kritische Sicherheitslücke CVE-2022-42475 in FortiOS gemeldet, die wohl eine Remote Code-Ausführung über SSL-VPN ermöglicht. Das Schlimme daran ist, dass diese Schwachstelle bereits in freier Wildbahn ausgenutzt wird. Der Hersteller hat inzwischen … Weiterlesen →