Tech Blog

Eine schwerwiegende Sicherheitslücke in Zoom ermöglicht Angreifern mit CVSS-Bewertung 9.9 die Ausführung beliebiger Befehle. Die Lücke (CVE-2026-22844) betrifft Hybrid-Meetings und sollte dringend gepatcht werden, um Kompromittierungen zu verhindern.

Forscher entdeckten drei Schwachstellen im offiziellen Git MCP Server von Anthropic, die es Angreifern ermöglichen, Prompt-Injections durchzuführen und so große Sprachmodelle (LLMs) zu manipulieren. Betroffen sind Entwickler, die den Server vor Version 2025.12.18 nutzen. Die Lücken erlauben das Ausführen von bösartigem Code, das Überschreiben von Dateien und das Löschen von Inhalten. Admins müssen den Server umgehend auf die aktuelle Version aktualisieren und prüfen, welche anderen MCP-Server im Einsatz sind, da diese die Angriffsfläche vergrößern können.

Eine kritische Sicherheitslücke (CVE-2026-23876) in ImageMagick ermöglicht Angreifern durch das Hochladen manipulierter "XBM"-Bilder einen massiven Heap-Overflow auszulösen. Das kann zu Abstürzen, Datenverlust oder sogar Schadcode-Ausführung führen. Betreiber sollten ImageMagick umgehend auf die neueste Version aktualisieren, um die Verwundbarkeit zu schließen.

Eine Schwachstelle in der github.com/containers/image-Bibliothek erlaubt es Angreifern, unautorisiert auf Registries zuzugreifen und so Ressourcenerschöpfung, lokale Pfadtraversals und andere Angriffe durchzuführen. Betroffen sind Systeme, die diese Bibliothek verwenden. Ein Patch ist verfügbar, daher sollte das Update zeitnah eingespielt werden.

Eine kritische Schwachstelle in der telnetd-Komponente von GNU Inetutils bis Version 2.7 ermöglicht es Angreifern, sich remote ohne Authentifizierung als root-Nutzer anzumelden. Die Ausnutzung dieser Sicherheitslücke mit der CVE-ID CVE-2026-24061 hat eine Bewertung von 9.8 auf der CVSS-Skala und sollte dringend behoben werden.

Eine kritische XML-Schwachstelle (XXE) in opensagres XDocReport erlaubt Angreifern das Ausführen von Schadcode über manipulierte .docx-Dateien. Betroffen sind die Versionen 0.9.2 bis 2.0.3. Admins sollten dringend auf die neueste Version updaten, um Systeme vor Kompromittierung zu schützen. Insgesamt wurden 2 verwandte Schwachstellen für dieses Produkt veröffentlicht (CVE-2025-65482, CVE-2026-20045).

Eine Server-Side Template Injection (SSTI)-Schwachstelle in der FreeMarker-Komponente der opensagres XDocReport-Software (Version 1.0.0 bis 2.1.0) ermöglicht Angreifern die Ausführung von beliebigem Schadcode. Betroffen sind Systeme, die diese veraltete Berichtskomponente einsetzen. Ein Patch ist dringend empfohlen, um die Systeme vor Kompromittierung zu schützen.

Eine undokumentierte und unsichere Funktion in der Python-Bibliothek PLY Version 3.11 ermöglicht Remote Code Execution (RCE) über den `picklefile`-Parameter in der `yacc()`-Funktion. Dieser Parameter akzeptiert eine `.pkl`-Datei, die ohne Überprüfung mit `pickle.load()` deserialisiert wird. Da `pickle` die Ausführung von eingebettetem Code über `__reduce__()` erlaubt, kann ein Angreifer durch Übergabe einer böswilligen Pickle-Datei Schadcode ausführen. Diese Sicherheitslücke stellt ein heimliches Hintertür- und Persistenzrisiko dar.

Verschiedene Modelle der ipTIME-Router zwischen den Versionen 10.00.6 und 14.19.4 enthalten eine kritische Sicherheitslücke, die Angreifern ermöglicht, per Fernzugriff beliebige Befehle auszuführen. Betroffen sind über 30 Router-Modelle, darunter A2003NS-MU, N600, A604-V3 und weitere. Nutzer sollten schnellstmöglich die neuesten Firmwareupdates installieren, um sich vor dem Missbrauch der Schwachstelle zu schützen.

Eine schwerwiegende Schwachstelle im Omnispace Agora Project erlaubt Angreifern durch manipulierte PDF-Dateien die Ausführung von beliebigem Code. Das Problem betrifft die Bildverarbeitungsbibliothek Imagick und die Datei-Upload- sowie Thumbnail-Funktionen der Software. Ein Patch ist dringend erforderlich, um Systeme vor Kompromittierung zu schützen.