Offensive Security hat Kali Linux 1.0 offiziell ausgegeben. Die Sicherheits-Distribution ist der Nachfolger von BackTrack Linux, basiert auf Debian und bringt GNOME 3.4 mit sich. Die Frage, was denn der Unterschied zwischen BackTrack und Kali Linux ist, beantworten die Entwickler so: “Schwer zu beschreiben – eine Mischung aus Allem und nicht viel. Es kommt darauf an, wie Du BackTrack genutzt hast”. Für den Endanwender ist der Umstieg auf Debian sichtbar und angenehm ist, dass Kali Linux FHS-konform ist. Anstatt über […]

Die Pentoo-Entwickler scherzen und haben ihre neueste Ausgabe der auf Gentoo basierenden Sicherheits-Distribution als Codename: BackTrack 6 bezeichnet. Grund dafür ist, dass BackTrack in Kali umbenannt wurde und ein Ausgabe-Datum unbekannt ist. Man munkelte aber, dass es in diesen Tagen so weit ist. Pentoo 2013.0 RC1.1 kommt mit Linux-Kernel 3.7.5 – für 64-Bit-Anwender mit pax gehärtet. Weiterhin wurde der Kernel komplett mit einer Hardened Toolchain gebaut. Die Distribution wird mit dem Ziel Sicherheits-Tests entwickelt. Als Desktop-Umgebung setzt man auf Xfce […]

Die Simpsons muss man nicht vorstellen und jeder kenn eigentlich das Intro. In diesem Zusammenhang hat micht java-0day.com an die Szene erinnert, wo Lenny auf der Leiter steht und das “Tage ohne Unfall” von 2 auf 3 erhöhen will und dann von der Leiter fällt. Offensichtlich lindert Galgenhumor die Schmerzen etwas …

Die Apache Software Foundation hat eine Wartungs-Version von Apache HTTP Server zur Verfügung gestellt. Neue Funktionalitäten gibt es keine, aber die Entwickler haben zwei Sicherheitslücken ausgebessert. Die neueste Version ist unter http://httpd.apache.org/download.cgi verfügbar. Wer die Unterschiede zwischen Apache 2.2 und 2.4 einsehen möchte, findet diese Informationen in der Dokumentation. Die adressierten Sicherheitslücken SECURITY: CVE-2012-3499 (cve.mitre.org) Various XSS flaws due to unescaped hostnames and URIs HTML output in mod_info, mod_status, mod_imagemap, mod_ldap, and mod_proxy_ftp. SECURITY: CVE-2012-4558 (cve.mitre.org) XSS in mod_proxy_balancer manager […]

Am Wochenende wurde ein Kernel-Exploit veröffentlicht. Die Sicherheitslücke erlaubt es Uer-Space-Programmen, root-Rechte zu erlangen. Grund dafür ist ein Fehler im Netzwerk-Code des Linux-Kernel. Betroffen sind alle Versionen von Version 3.3 bis 3.8. In diesem CVE Request kann man nachlesen, das ein Anwender ohne root-Rechte eine Netlink-Nachricht losschicken kann, die einen Zugriff auf das Array sock_diag_handlers[] erlaubt. Der Fehler wurde anscheinend auch schon aktiv ausgenutzt und befindet sich wohl schon seit Mitte 2012 im Kernel. Ein Patchset wurde am Samstag zur […]

Das Google-Chrome-Team hat Version 25 des gleichnamigen Browsers zur Verfügung gestellt (25.0.2364.97). Es gibt die Software wie üblich für Linux, Mac OS X und Windows. Bei mir bietet der Update-Manager eine Aktualisierung an. Chrome für Linux installiert sich oft so, dass das Repository hinterlegt wird. Somit kommen die Updates automatisch. Es gibt Verbesserungen bei der Verwaltung und Absicherung von Erweiterungen. Besser unterstützt werden auch Eingaben für HTML5 Zeit und Datum. JavaScript Web Speech API ist aktiviert und der Browser kann […]

In einer Sicherheits-Anweisung hat Canonical auf Lücken im Kernel von Ubuntu 11.10 hingewiesen. Es handelt sich um dabei um CVE-2012-2669, CVE-2012-4508, CVE-2012-5532 und CVE-2013-0190. Betroffen sind davon hypervkvpd (2x), das Dateisystem ext4 und Xen. Es dürfte sich hierbei um eines der letzten Sicherheits-Updates für Ubuntu 11.10 “Oneiric Ocelot” handeln. Die Unterstützung für das Betriebssystem läuft im April 2013 aus. Wer also noch mit Ubuntu 11.10 unterwegs ist, sollte sich langsam aber sicher einen Upgrade-Plan zurecht legen.

Wieder mal ein sehr interessanter und aufklärender Blog-Eintrag von Matthew Garret. Mir war bisher nicht bewusst, dass Google den Daumen so fest auf Chromebooks hat. Garret schreibt, dass viele von Microsofts Zug, UEFI Secure Boot auf dem x86-Markt durchzudrücken, ziemlich angenervt sind. Allerdings seien diese Leute damit gut klarzukommen, Anwendern Chromebooks zu empfehlen. Ich hätte das ganz ehrlich auch gemacht, weil es wie eine günstige Alternative aussieht und bin von baldiger Linux-Unterstützung ausgegegangen. Zumal Google selbst Patches in den Linux-Kernel […]

Es gibt eine neue Version des Web-Browsers Opera. Die Entwickler haben laut Changelog drei Problemchen und 4 Sicherheitslücken bereinigt. Für Linux und Windows gibt es einen neuen, selbständigen update-checker. Dieser ist Teil eines geplanten Upgrades des Auto-Update-Systems. Unter Windows gibt es außerdem verbesserten Schutz gegen das Hijacken der Standard-Suche. In Sachen Sicherheit hat die norwegische Software-Schmiede 4 Lücken ausgebügelt. Von dreien gibt es eine Sicherheits-Anweisung (1, 2, 3). Eine der Sicherheitslücken ist als wenig kritisch eingestuft, aber Details zu der […]

Die Entwickler der beliebten Multimedia-Software VLC warnen vor einer kritischen Schwachstelle in aktuellen Versionen. Beim Parsen von speziell manipulierten ASF-Dateien lässt sich ein Buffer Overflow erzwingen. Die Entwickler schließen nicht aus, dass sich die Sicherheitslücke zum Ausführen beliebigen Codes missbrauchen lässt – beweisen konnte das bisher aber auch keiner. Um sich der Sicherheitslücke zu bedienen, muss ein Angreifer den Anwendr dazu bringen, eine schädliche ASF-Datei zu öffnen. Deswegen sollten Anwender nur Dateien aus vertrauenswürdigen Quellen öffnen. Wer der Sache wegen […]