Tech Blog

Eine kritische Schwachstelle in der Windows Server Update Service ermöglicht es Angreifern, ohne Authentifizierung Schadcode auszuführen. Die Verwundbarkeit betrifft die fehlerhafte Deserialisierung von nicht vertrauenswürdigen Daten. Admins sollten umgehend das bereitgestellte Sicherheitsupdate installieren, um ihre Systeme vor Kompromittierung zu schützen.

Eine kritische Schwachstelle in Grandstream GXP1600-Telefonen lässt Angreifer Gespräche mithören. Betroffene Nutzer sollten umgehend Sicherheitsupdates installieren, um das Risiko von Abhörattacken zu minimieren.

Eine kritische SAML-SSO-Sicherheitslücke in der Sentry-Entwicklungsumgebung ermöglicht es Angreifern, die Kontrolle über Nutzerkonten zu übernehmen, indem sie eine manipulierte SAML-Identitätsquelle in einer Multi-Organisations-Instanz ausnutzen. Dies ist besonders problematisch für selbst gehostete Instanzen mit mehreren Organisationen, da dort Nutzer mit modifizierten SSO-Berechtigungen unbeabsichtigt Angreifern Zugriff verschaffen könnten. Um diese Schwachstelle (CVE-2026-27197) zu beheben, wird Nutzern empfohlen, Zwei-Faktor-Authentifizierung für ihre Konten zu aktivieren, da dies von Organisationsadministratoren nicht für Nutzer aktiviert werden kann.

Die US-Behörde CISA hat zwei Sicherheitslücken im Roundcube-Webmail-Softwarebekannt gemacht, die aktiv ausgenutzt werden. Eine davon ist eine hochkritische Deserialisierungs-Lücke (CVE-2025-49113, CVSS 9.9), die Angreifern die Ausführung von Schadcode ermöglicht. Admins sollten dringend Patches installieren, um ihre Systeme vor Kompromittierung zu schützen.

Die Webanwendung "thesystem 1.0" von Kostasmitroglou ist anfällig für Befehlsinjektionen über den "run_command"-Endpunkt. Unauthentifizierte Angreifer können so beliebige Systembefehle ausführen. Diese Schwachstelle (CVE-2019-25441) zeigt die Wichtigkeit von Eingabevalidierung und sicheren Schnittstellen in Webanwendungen, um die unbefugte Ausführung von Systemkommandos zu verhindern.

Eine Sicherheitslücke mit der Bewertung "8.3 High" wurde in der Open-Source-Komponente "eBay API MCP Server" entdeckt. Die Schwachstelle ermöglicht Umgebungsvariablen-Injektion durch die "updateEnvFile"-Funktion. Angreifer können so beliebige Konfigurationseinstellungen überschreiben, Denial-of-Service-Attacken durchführen und sogar potenzielle Fernsteuerung erlangen. Zum Zeitpunkt der Veröffentlichung gab es noch keinen Patch für dieses Problem.

In der KI-Lernplattform OpenSift wurde eine kritische Sicherheitslücke (CVE-2026-27169) mit einer Bewertung von 8.9 entdeckt. Versionen 1.1.2-alpha und älter erlauben die unsichere Darstellung von Nutzerinhalten, was Angreifern Skriptausführung im Browser von Opfern ermöglicht. Der Patch in Version 1.1.3-alpha schließt diese Lücke. Sysadmins sollten dringend auf die aktualisierte Version umsteigen, um Schaden von ihren Nutzern abzuwenden.

Die Bildverarbeitungsbibliothek SAIL ist anfällig für einen Heap-basierten Puffer-Überlauf, der durch den XWD-Parser ausgenutzt werden kann. Eine fehlerhafte Verarbeitung des "bytes_per_line"-Werts führt zu einer unkontrollierten Schreiboperation, die weit über den zugewiesenen Speicherbereich hinausgeht. Zum Zeitpunkt der Veröffentlichung war noch kein Patch verfügbar. Betroffen sind alle SAIL-Versionen.

Strimzi, eine Lösung zum Betrieb von Apache Kafka auf Kubernetes, weist in den Versionen 0.49.0 bis 0.50.0 eine Sicherheitslücke auf. Bei der Verwendung einer benutzerdefinierten Cluster- oder Clients-CA mit einer mehrstufigen CA-Kette vertraut Strimzi fälschlicherweise allen CAs in der Kette. Dies ermöglicht Benutzern mit Zertifikaten, die von einer der CAs ausgestellt wurden, die Authentifizierung. Das Problem wurde in Version 0.50.1 behoben. Als Workaround können Anwender statt der gesamten CA-Kette nur die einzelne CA verwenden, die verwendet werden soll.

Die Open-Source-Überwachungssoftware ZoneMinder weist in den Versionen 1.36.37 und älter sowie 1.37.61 bis 1.38.0 eine kritische SQL-Injection-Schwachstelle auf. Authentifizierte Nutzer können damit beliebige SQL-Abfragen ausführen. Betroffen ist die Datei web/ajax/status.php und die Funktion getNearEvents(). Hersteller haben bereits einen Patch veröffentlicht, der diese Lücke schließt.