sårbarheder

Lenovo lukker fire huller i Android-software

Lenovo Service Framework er en Android-applikation, der bruges af en række apps på enheder fra Lenovo. Applikationen formidler beskeder fra Lenovo-servere til apps.

Sikkerhedsforsker Imre Rad har fundet fire sikkerhedshuller i Lenovo Service Framework. De giver angribere mulighed for at afvikle skadelige programmer på enheden.

Lenovo har udsendt opdateringer til alle firmaets tablet-computere, samt til VIBE- og ZUK-smartphones og Moto M (XT1663) og Moto E3 (XT1706).

Fejlene er rettet i Lenovo Service Framework v4.8.0.2403.

Dansk

Oracle lukker 252 sikkerhedshuller

Årets sidste kvartalsvise sikkerhedsopdatering fra Oracle lukker 252 sikkerhedshuller. 155 af dem findes i Oracle Applications.

De alvorligste findes i Oracle Hospitality Reporting and Analytics, hvor to sårbarheder har fået en CVSS-score (Common Vulnerability Scoring System) på de maksimale 10. Samme score har en sårbarhed i Siebel Apps – Field Service fået.

Opdateringen lukker 22 sikkerhedshuller i Java SE. 20 af dem kan udnyttes over netværk af en angriber uden autentifikation. Den alvorligste har en CVSS-score på 9,6.

Dansk

Hostapd og wpa_supplicant fjerner KRACK-sårbarhed

Udviklerne af hostapd og wpa_supplicant har udsendt patches, der lukker sikkerhedshullet KRACK (Key Reinstallation Attacks).

Hostapd er et program til trådløse adgangspunkter, mens wpa_supplicant kører på klienter, der skal forbinde sig til et adgangspunkt.

De udsendte patches er alle dateret den 2. oktober. De vil senere blive indbygget i version 2.7, når den er klar.

Arch Linux og Ubuntu har udsendt opdateringer med rettede versioner af hostapd og wpa_supplicant.

Anbefaling

Installer patches til hostapd og wpa_supplicant.

Dansk

Adobe lukker hul i Flash, som angribere udnytter

Sikkerhedsforskere fra Kaspersky opdagede i sidste uge et angreb, der udnyttede en hidtil ukendt sårbarhed i Adobe Flash Player. De alarmerede Adobe, der nu har udsendt en sikkerhedsopdatering.

Opdateringen lukker kun det ene hul. Det har fået Adobes højeste risikovurdering, idet angribere kan udnytte det til at afvikle skadelig programkode.

Angrebet kom fra en gruppe, som Kaspersky kalder BlackOasis. Den har udnyttet huller i Flash Player siden maj 2016.

Fejlen er rettet i Flash version 27.0.0.159.

Dansk

Apple er på vej med rettelser til KRACK

Apple-analytiker Rene Ritchie skriver, at Apple har lukket sikkerhedshullet KRACK (Key Reinstallation Attacks) i kommende versioner af iOS, watchOS, tvOS og macOS.

Rettelserne findes i betaversioner, som softwareudviklere har adgang til. De vil senere blive udsendt generelt.

IOS er ikke så sårbar over for KRACK på grund af den måde, WPA2 er implementeret på.

Anbefaling

Afvent opdateringerne fra Apple.

Dansk

Chipsæt fra Infineon har sårbar kryptering

Microsoft udsendte i forbindelse med oktober måneds sikkerhedsopdateringer rettelser, der skulle mindske risikoen for at blive berørt af en sårbarhed i TPM (Trusted Platform Module). Sikkerhedsforskere har nu oplyst, at den pågældende sårbarhed findes i krypteringsfunktioner i TPM-chipsæt fra Infineon.

Sårbarheden lader en angriber beregne den private nøgle, der hører til en offentlig nøgle.

Selvom man anvender nøgler med 1.024 eller 2.048 bitlængde, er de sårbare.

Nærmere detaljer vil blive offentliggjort om et par uger.

Dansk

Kryptering af trådløse netværk har alvorligt sikkerhedshul

KRACK (Key Reinstallation Attacks) er en sårbarhed, der giver angribere mulighed for at aflytte data fra trådløse netværk, selvom de er krypterede.

Sårbarheden findes i WPA2-standarden (Wi-Fi Protected Access), som stort set alle trådløse netværksenheder understøtter. Fejlen ligger i udvekslingen af data, når en trådløs enhed forbinder sig til et adgangspunkt. Det sker i et såkaldt 4-way handshake.

Dansk

Mozilla lukker ni huller i Thunderbird

Version 52.4 af mail-programmet Thunderbird lukker ni sikkerhedshuller. Kun et af dem har fået Mozillas højeste risikovurdering. Det består af en samling fejl i håndteringen af arbejdslageret.

Fem af de øvrige sårbarheder har fået den næsthøjeste risikovurdering.

Anbefaling

Genstart Thunderbird for at aktivere opdateringen.

Dansk

Word kan afvikle kode uden brug af makroer

I stedet for makroer kan angribere anvende DDE (Dynamic Data Exchange) til at afvikle programkode i Microsoft Word. Det har sikkerhedsforskere fra Sensepost opdaget.

Metoden går ud på at oprette et Word-dokument med et indlejret felt. I koden til feltet skriver angriberen den kommando, der skal afvikles.

Hvis et potentielt offer forsøger at åbne Word-dokumentet, afføder det to advarsler. Den første siger, at dokumentet har links til data, der kan komme fra andre filer.

Den anden advarsel beder brugeren bekræfte, at vedkommende ønsker at køre kommandoen.

Dansk

Outlook 2016 sendte krypterede e-mails uden kryptering

En af oktober måneds sikkerhedsrettelser fra Microsoft lukker et hul i Outlook 2016. Sårbarheden medfører, at mails der skulle have været krypteret er blevet sendt uden kryptering.

Fejlen findes kun ved mails, der sendes uden formatering. Mails med HTML-formatering er ikke berørt.

Sårbarheden medfører, at mails der er sat til at blive krypteret med S/MIME, ganske vist bliver krypteret. Men sammen med den krypterede mail sender Outlook også en ukrypteret version.

Dansk

Sider

Abonnér på RSS - sårbarheder