0815-Info

Meow! Attacken auf Elasticsearch- und MongoDB-Server, Motiv unbekannt

Der Sicherheitsforscher Bob Diachenko und das von ihm geleitete Security Research Team des britischen Unternehmens Comparitech beobachten derzeit aktive Angriffe auf Elasticsearch- und MongoDB-Datenbanken weltweit. Gelingt den unbekannten Angreifern der Einbruch, löschen sie den gesamten Datenbankinhalt und ersetzen ihn durch Kombinationen des Textstrings "meow" mit Zufallszahlen.

vBulletin - proprietäre Forensoftware mit MySQL-Lücke

In dem Skript vb_test.php zum Testen von Installationsvoraussetzungen für die Forensoftware vBulletin gibt es zwei Sicherheitslücken. Entfernte Angreifer hätten sie für Cross-Site-Scripting (XSS)-Angriffe sowie zum Exfiltrieren von Daten aus der von vBulletin genutzten MySQL-Datenbank missbrauchen können.

Die Entwickler des proprietären Webforums reagieren aber nur sehr zögerlich auf die gefundenen Programmier-Fehler. Während eine XSS-Lücke mittlerweile beseitigt wurde, ist der MySQL-Bug n.w.v. aktiv!

Schutzmaßnahme: Löschen sie das Skript vb_test.php vom Server!

Aus fürs Privacy Shield

Nach einem Urteil des Europäischen Gerichtshofs (EuGH) ist das "Privacy Shield" zwischen der EU und den USA ungültig, weil US-Gesetze wie der Foreign Intelligence Surveillance Act (FISA) eine Massenüberwachung erlauben.

Aus dem gleichen Grund hat der EuGH auch die sogenannten Standardvertragsklauseln (SVK), über die sich vor allem US-Konzerne wie Amazon, Facebook, Google oder Microsoft für ihren Datentransfer in die Heimat zusätzlich abzusichern versuchen, nur formal aufrecht erhalten. Eigentlich sind aber auch sie bei Übertragungen in die USA das Papier nicht mehr wert, auf dem sie stehen.

Testsieger: Die besten WLAN-Router und Mesh-Systeme

WiFi5- oder WiFi6-Router? Oder doch lieber ein Mesh-System?

Wer ist die beste Technik? Hier steht's! Mit Preisvergleich!

Senden Sie Bill Gates oder Elon Musk keine Bitcoins!

Wenn der Heise-Verlag mit einer solchen Ansage um die Ecke kommt, muss da was gewaltig im Argen liegen!

Und richtig... Twitter hat ein enormes "Social Engineering"-Problem, welches vermutlich jeden Account betrifft.

25 Jahre MP3: Die Klang-Quetsche hat Geburtstag

Was den Wenigsten bewusst ist - MP3 ist ein deutsches Patent, eine Erfindung des Fraunhofer Instituts.

Im Jahr 2020 ist das Lizenzprogramm jedoch längst beendet, da auch die letzten von Fraunhofer und Thomson gehaltenen MP3-Patente erloschen sind.

Auch wenn AAC der bessere Codec ist: Wer Wert auf maximale Kompatibilität legt, nutzt immer noch MP3 – denn wenn ein Gerät überhaupt ein datenreduziertes Audioformat wiedergibt, dann ist es mit Sicherheit MP3.

Seine Hoch-Zeit hatte MP3 zu Zeiten von Napster, Kazaa & BitTorrent.

0815-info.news empfiehlt .FLAC als Media-Format der Wahl: der "Free Lossless Audio Codec" läuft auf allen Geräten, die auch mp3-Dateien wiedergeben können, ist DRM-frei und spielt mit bis zu 24Bit im »HiRes-Bereich an vorderster Front!

Lasst euch gefälligst überwachen!

Mehr und mehr Mac-Benutzer neigen dazu, die iSight-Webcam ihres Apple-Notebooks abzukleben oder mit speziellen Abdeckungen zu versehen. Sinn und Zweck der Übung: Sie wollen verhindern, dass Angreifer Videos von ihnen aufzeichnen.

Apple selbst hat nun allerdings eine offizielle Warnung durchgegeben, dass man die Methode besser nicht einsetzen sollte. Der Grund: Das Display des portablen Macintosh könnte Schaden nehmen, wenn man es mit abgeklebter oder sonst wie verrammelter Webcam zuklappt.

7 Open-Source-Firewalls auf Basis von Linux

Open-Source-Firewalls haben den Vorteil, dass Sie kostenlos sind und es nachprüfbar keine Hintertüren gibt. Der Code ist bekannt und wird meist regelmäßig gepflegt.

Open-Source-Firewalls werden auf vorhandener Hardware installiert und mit dem Internet verbunden. Dadurch lassen sich die Firewalls schnell zum Einsatz bringen, ohne die Sicherheit des Netzwerks in Gefahr zu bringen.

Natürlich haben Open-Source-Firewalls nicht immer den gleichen Funktionsumfang wie kommerzielle Firewalls. Das ist oft aber auch nicht notwendig.

EU-Datenschützer warnt vor unüberlegtem Einsatz von Microsoft-Produkten

DuckDuckgo sendet Daten von gesuchten Webadressen ans Mutterschiff

Der Privacy Browser des Suchmaschinenanbieters Duckduckgo speichert Website-Icons auf einem eigenen Server (icons.duckduckgo.com) Es geht hier um die sog. Favicons, kleine Grafiken, die in den geöffneten Browsertabs und den gespeicherten Lesezeichen der Websiteadresse vorangestellt werden. Diese speichert DuckDuckgo seperat und ruft sie, bei neuerlichen Besuchen auch von dort wieder ab. Landläufig spricht man in so einem Fall von "Nutzerverfolgung".

Bereits vor einem knappen Jahr meldetete ein User dieses Verhalten in einem Fehlerbericht auf GitHub. DuckDuckgo dazu:

"Wir verwenden einen internen Favicon-Dienst, da es schwierig sein kann, ein Favicon für eine Website zu finden. Sie können an verschiedenen Orten und in verschiedenen Formaten gespeichert werden. Der Service versteht diese Randfälle und vereinfacht das Abrufen in unseren Apps und in unserer Suchmaschine."

Quelle »GitHub

Für den Hinterkopf: Favicons (favicon.ico) werden direkt im Root der jeweiligen Website hinterlegt. In den Formaten JPG, PNG & GIF. Zu kompliziert? Zu schwierig für DuckDuckgo? 

Passiert ist danach nichts - bis - das Portal 'Hacker News' sich diesem Problem annahm. Daraufhin meldete sich der Founder und CEO, Gabriel Weinberg, im Portal:

"Hallo zusammen, Gründer und CEO von DuckDuckGo hier. Ich wache buchstäblich gerade auf und lese die Kommentare hier.

Ich bin neu in diesem Problem und freue mich, uns dazu zu verpflichten, dies lokal im Browser zu tun, und werde uns so schnell wie möglich dazu bewegen.

Trotzdem möchte ich klarstellen, dass wir hier keine persönlichen Daten gesammelt haben und haben. Wie andere Mitarbeiter bereits erwähnt haben, sind unsere Dienste verschlüsselt und werfen PII-ähnliche IP-Adressen von Haus aus weg. Ich gehe jedoch davon aus, dass es dennoch sicherer ist, dies vor Ort zu tun, und deshalb werden wir das tun."

Alle anderen gängigen Browser rufen die Favicons übrigens vom Client ab.

Einmal mit Profis arbeiten...

Übersetzung: 0815-info.news