Tech Blog

Google hat in Chrome 147 eine Reihe kritischer Schwachstellen im WebML-Standard geschlossen. Diese Sicherheitslücken hätten es Angreifern ermöglicht, Speicherfehler auszunutzen und potenziell die Kontrolle über das System zu erlangen. Der Patch kostet Google angeblich 86.000 US-Dollar. Sysadmins sollten Chrome umgehend auf die neueste Version aktualisieren, um sich vor diesen Schwachstellen zu schützen.

Eine Sicherheitslücke in Biztalk360 vor Version 11.5 ermöglicht es Angreifern, durch fehlerhafte Zugriffskontrolle eine manipulierte DLL-Datei auf den Server zu laden und darüber eine Remote-Code-Ausführung zu erreichen. Administratoren sollten schnellstmöglich auf die neueste Version von Biztalk360 aktualisieren, um sich vor dieser kritischen Schwachstelle zu schützen.

Forscher entdeckten eine Schwachstelle mit hoher Gefährdungsstufe in D-Link DIR-645-Routern. Angreifer können durch Manipulation der Hedwig-CGI-Funktion einen Puffer-Überlauf ausnutzen und so die Kontrolle über das Gerät erlangen. Leider betrifft dies nur noch von D-Link nicht mehr unterstützte Produkte, sodass Nutzer keine Sicherheitsupdates erwarten können. Admins sollten betroffene Router umgehend durch aktuelle Modelle ersetzen, da ein öffentlicher Exploit-Code vorliegt.

Canonical LXD, einer der beliebtesten Container-Engines, weist eine kritische Sicherheitslücke (CVE-2026-34177) auf. Angreifer mit Zugriff auf eine virtuelle Maschine können durch Manipulation von AppArmor-Regeln und QEMU-Konfigurationen die Kontrolle über den gesamten LXD-Cluster und damit das Wurzelverzeichnis des Hosts übernehmen. Ein Patch ist dringend erforderlich, um diese Schwachstelle zu schließen.

Die Typescript-Bibliothek Kysely bis einschließlich Version 0.28.11 weist eine kritische SQL-Injektions-Lücke auf. Angreifer können durch manipulierte Eingaben in der JSON-Pfad-Kompilierung für MySQL und SQLite willkürlichen SQL-Code ausführen. Der Patch in Version 0.28.12 behebt dieses Problem.

Eine schwerwiegende Sicherheitslücke in der Objektspeicherlösung MinIO erlaubt es Angreifern, die sich die OIDC-ClientSecret aneignen, beliebige Identitätstoken zu fälschen und damit uneingeschränkten Zugriff auf S3-Daten zu erlangen. Der Fehler wurde in Version 2026-03-17T21-25-16Z behoben, Anwender sollten dringend auf diese oder eine neuere Version aktualisieren.

In Airflow 3.2 wurde eine Sicherheitslücke behoben, bei der nach dem Logout eines Nutzers dessen JWT-Token nicht ungültig gemacht wurde. Dadurch bestand die Möglichkeit, das Token im Falle eines Abfangens wiederzuverwenden. Nutzer, die sich um die Logout-Szenarien und die Möglichkeit des Tokenmissbrauchs sorgen, sollten auf Airflow 3.2 oder höher upgraden.

Eine Sicherheitslücke in der Konfigurationsverarbeitung des Unfurl-Frameworks ermöglicht es Angreifern, den Flask-Debugger standardmäßig zu aktivieren. Dadurch können sensible Informationen preisgegeben oder sogar Remotecodeausführung erreicht werden. Betroffen sind Anwendungen, die das Unfurl-Framework nutzen und keine angemessene Eingabevalidierung implementiert haben.

GitLab hat eine Sicherheitslücke in seinen Versionen 16.9.6 bis 18.8.9, 18.9 bis 18.9.5 und 18.10 bis 18.10.3 behoben. Durch die Schwachstelle konnten authentifizierte Nutzer unbeabsichtigte serverseitige Methoden über Websocket-Verbindungen aufrufen. Die Lücke wurde als "Hoch" eingestuft und sollte zeitnah geschlossen werden.

Eine kritische Sicherheitslücke mit der CVE-ID CVE-2026-5854 wurde in der Firmware des Totolink A7100RU Routers entdeckt. Die Schwachstelle ermöglicht Fernzugriff und Ausführung beliebiger Befehle auf dem Gerät. Ein Exploit ist bereits öffentlich und kann von Angreifern missbraucht werden. Router-Betreiber sollten umgehend ein Firmware-Update einspielen, um sich vor Angriffen zu schützen.