Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Berichtet und gepatcht: RUB-Forscher entdeckt Sicherheitsrisiken bei Microsoft und Zotero

21.10.2010
Lückenschluss mit tatkräftiger Hilfe aus Bochum

Mit tatkräftiger Unterstützung aus der Ruhr-Universität Bochum konnten die Software-Hersteller Microsoft und Zotero Sicherheitslücken in ihren Softwareprodukten schließen.

Dipl.-Ing. Mario Heiderich vom Horst Görtz Institut für IT-Sicherheit (HGI) der RUB entdeckte die als „kritisch“ und „hoch“ eingeschätzten Risiken in der MS-Filtersoftware „SafeHTML“ und im Bibliotheksprogramm Zotero.

Die Hersteller haben inzwischen entsprechende Patches ausgeliefert und die Probleme behoben. Wieder einmal waren Bochumer IT-Sicherheitsexperten damit Hackern einen Schritt voraus, ehe größerer Schaden entstehen konnte.

Böses und gutes HTML

Microsoft nutzt eine Filtersoftware in fast allen Produkten, in denen HTML zum Einsatz kommt - SafeHTML entfernt bösartige und aktive HTML-Codes, Stylesheets (CSS) und JavaScript, um das so genannte Cross Site Scripting (XSS) und vergleichbare Angriffe zu vermeiden. Im April und Mai dieses Jahres entdeckte Mario Heiderich zwei Sicherheitslücken und informierte den Hersteller. Zum einen konnten Angreifer bösartiges HTML an diesem Filter vorbeischleusen und damit u. a. Benutzernamen und Passwort eines angemeldeten Benutzers im Klartext auslesen und den Account des eingeloggten Benutzers missbrauchen.

Die zweite Lücke hat ähnliche Auswirkungen, der Weg ist jedoch ein anderer. Diese Lücke betraf zudem Applikationen wie Hotmail - ein Angreifer konnte eine präparierte Mail versenden und damit den Account des Empfängers kompromittieren. Im August 2010 wurde diese zweite Lücke von chinesischen Forschern "wiederentdeckt" – aber nicht an Microsoft berichtet. „Da ich von dieser Wiederentdeckung frühzeitig erfahren habe, konnte ich die Information an Microsoft weitergeben und nach weiteren Untersuchungen eine dritte Variation der Verwundbarkeit entdecken“, so Heiderich. Am 12. Oktober 2010 wurden alle berichteten Sicherheitslücken gepatcht (MS10-071 und MS10-072).

Trojanisierte Rechner von Bibliotheksnutzern

Zotero ist eine Software zur Bibliotheksverwaltung, die vor allem Akademiker verwenden. Das Programm erlaubt zudem mehreren Usern, eine Bibliothek gleichzeitig und „kollaborativ“ zu nutzen. Am 8.10.2010 spürte Heiderich eine Sicherheitslücke in der „Zotero Firefox Extension“ auf, die es einem Angreifer ermöglicht, beliebigen Code auf dem Rechner des Opfers auszuführen. „Das ist ein hoch-kritischer Impact“, so der RUB-Forscher. Für einen erfolgreichen Angriff musste der Angreifer lediglich eine mit anderen Nutzern geteilte Bibliothek hochladen und darauf warten, dass die anderen User synchronisieren – dies geschieht automatisch – und dann einzelne Einträge betrachten. Der Angreifer konnte anschließend beliebige Programme herunterladen und starten und somit den Rechner des Opfers „trojanisieren“. Die Lücke wurde bereits am 13. Oktober von den Zotero-Entwicklern mit der Version 2.0.9 geschlossen (siehe http://www.zotero.org/support/changelog).

Prima Kommunikation mit der Industrie

„Die Kommunikation sowohl mit dem Zotero-Team als auch mit Microsoft lief prima“, resümiert Heiderich. „Die Lücke in Zotero wurde in gegenseitigem Einverständnis bezüglich der Validität des Patches geschlossen. Die Lücken in der Software von Microsoft wurden schnell konfirmiert und vergleichsweise rasch geschlossen.“ Mario Heiderich ist wissenschaftlicher Mitarbeiter am Lehrstuhl für Netz- und Datensicherheit (Inhaber: Prof. Dr. Jörg Schwenk) an der Fakultät für Elektrotechnik und Informationstechnik der RUB. Der Lehrstuhl ist Teil des HGI, das mit zehn Professorinnen und Professoren aus Elektrotechnik und Informationstechnik, Mathematik sowie E-Business und Jura und derzeit 50 Wissenschaftlerinnen und Wissenschaftlern eine der größten und renommiertesten Hochschuleinrichtungen dieser Fachrichtung in Europa ist.

Weitere Informationen

Mario Heiderich, Lehrstuhl für Netz- und Datensicherheit (Prof. Dr. Jörg Schwenk), Fakultät für Elektrotechnik und Informationstechnik der RUB, Horst Görtz Institut für IT-Sicherheit (HGI), Tel. 0234/32-26728, E-Mail: mario.heiderich@rub.de

Angeklickt

HGI:
http://www.hgi.rub.de
Redaktion: Jens Wylkop

Dr. Josef König | idw
Weitere Informationen:
http://www.hgi.rub.de
http://www.zotero.org/support/changelog
http://www.ruhr-uni-bochum.de/

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Schutz vor Angriffen dank flexibler Programmierung
22.03.2017 | FZI Forschungszentrum Informatik am Karlsruher Institut für Technologie

nachricht Störungsfreie Kommunikation für die Fabriken von morgen
22.03.2017 | Hochschule für Technik, Wirtschaft und Kultur Leipzig

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Gigantische Magnetfelder im Universum

Astronomen aus Bonn und Tautenburg in Thüringen beobachteten mit dem 100-m-Radioteleskop Effelsberg Galaxienhaufen, das sind Ansammlungen von Sternsystemen, heißem Gas und geladenen Teilchen. An den Rändern dieser Galaxienhaufen fanden sie außergewöhnlich geordnete Magnetfelder, die sich über viele Millionen Lichtjahre erstrecken. Sie stellen die größten bekannten Magnetfelder im Universum dar.

Die Ergebnisse werden am 22. März in der Fachzeitschrift „Astronomy & Astrophysics“ veröffentlicht.

Galaxienhaufen sind die größten gravitativ gebundenen Strukturen im Universum, mit einer Ausdehnung von etwa zehn Millionen Lichtjahren. Im Vergleich dazu ist...

Im Focus: Giant Magnetic Fields in the Universe

Astronomers from Bonn and Tautenburg in Thuringia (Germany) used the 100-m radio telescope at Effelsberg to observe several galaxy clusters. At the edges of these large accumulations of dark matter, stellar systems (galaxies), hot gas, and charged particles, they found magnetic fields that are exceptionally ordered over distances of many million light years. This makes them the most extended magnetic fields in the universe known so far.

The results will be published on March 22 in the journal „Astronomy & Astrophysics“.

Galaxy clusters are the largest gravitationally bound structures in the universe. With a typical extent of about 10 million light years, i.e. 100 times the...

Im Focus: Auf der Spur des linearen Ubiquitins

Eine neue Methode ermöglicht es, den Geheimcode linearer Ubiquitin-Ketten zu entschlüsseln. Forscher der Goethe-Universität berichten darüber in der aktuellen Ausgabe von "nature methods", zusammen mit Partnern der Universität Tübingen, der Queen Mary University und des Francis Crick Institute in London.

Ubiquitin ist ein kleines Molekül, das im Körper an andere Proteine angehängt wird und so deren Funktion kontrollieren und verändern kann. Die Anheftung...

Im Focus: Tracing down linear ubiquitination

Researchers at the Goethe University Frankfurt, together with partners from the University of Tübingen in Germany and Queen Mary University as well as Francis Crick Institute from London (UK) have developed a novel technology to decipher the secret ubiquitin code.

Ubiquitin is a small protein that can be linked to other cellular proteins, thereby controlling and modulating their functions. The attachment occurs in many...

Im Focus: Physiker erzeugen gezielt Elektronenwirbel

Einem Team um den Oldenburger Experimentalphysiker Prof. Dr. Matthias Wollenhaupt ist es mithilfe ultrakurzer Laserpulse gelungen, gezielt Elektronenwirbel zu erzeugen und diese dreidimensional abzubilden. Damit haben sie einen komplexen physikalischen Vorgang steuern können: die sogenannte Photoionisation oder Ladungstrennung. Diese gilt als entscheidender Schritt bei der Umwandlung von Licht in elektrischen Strom, beispielsweise in Solarzellen. Die Ergebnisse ihrer experimentellen Arbeit haben die Grundlagenforscher kürzlich in der renommierten Fachzeitschrift „Physical Review Letters“ veröffentlicht.

Das Umwandeln von Licht in elektrischen Strom ist ein ultraschneller Vorgang, dessen Details erstmals Albert Einstein in seinen Studien zum photoelektrischen...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics
Event News

International Land Use Symposium ILUS 2017: Call for Abstracts and Registration open

20.03.2017 | Event News

CONNECT 2017: International congress on connective tissue

14.03.2017 | Event News

ICTM Conference: Turbine Construction between Big Data and Additive Manufacturing

07.03.2017 | Event News

 
VideoLinks
B2B-VideoLinks
Weitere VideoLinks >>>
Aktuelle Beiträge

Die „Panama Papers“ aus Programmierersicht

22.03.2017 | Veranstaltungsnachrichten

Neues Schiff für die Fischerei- und Meeresforschung

22.03.2017 | Biowissenschaften Chemie

Mit voller Kraft auf Erregerjagd

22.03.2017 | Biowissenschaften Chemie