Tech Blog

In der Version 2.0 1.27.3 des Hubert Imoveis e Administracao Ltda Hub wurde eine kritische Schwachstelle entdeckt, die es Angreifern ermöglicht, durch das Hochladen einer präparierten PDF-Datei beliebigen Code auszuführen. Admins sollten dringend das betroffene System aktualisieren, sobald ein Patch verfügbar ist.

In älteren Versionen der iccDEV-Bibliothek zur Verarbeitung von ICC-Farbprofilen existiert eine schwerwiegende Schwachstelle in der Funktion `CIccProfileXml::ParseBasic()`. Angreifer können diese Lücke ausnutzen, um einen Heap-Puffer-Überlauf auszulösen. Betroffen sind Anwender, die die iccDEV-Bibliothek zum Lesen von ICC-Profilen nutzen. Der Hersteller hat das Problem in Version 2.3.1.2 behoben, Workarounds sind nicht bekannt.

Eine Sicherheitslücke im IKEv2-Modul der Cisco-IOS-Software kann es Angreifern ermöglichen, Denial-of-Service-Attacken auf betroffene Geräte zu starten. Durch manipulierte IKEv2-Pakete können die Router so lange Speicher verbrauchen, bis sie schließlich neu gestartet werden müssen. Cisco hat einen Patch veröffentlicht, der das Problem behebt.

Eine Regression in Shopware zwischen den Versionen 6.7.0.0 und 6.7.6.0 führt zu einer Sicherheitslücke, bei der eine manipulierte Array-Übergabe an die map()-Funktion eine Umgehung der Whitelist ermöglicht. Das Problem wurde in Version 6.7.6.1 behoben.

In der che-machine-exec-Komponente von Eclipse Che wurde eine Sicherheitslücke entdeckt, die es Angreifern ermöglicht, unberechtigten Remotezugriff und Befehlsausführung zu erlangen. Dadurch können sensible Daten wie SSH-Schlüssel und Token aus den Entwicklerworkspaces anderer Nutzer abgeflossen werden. Die Ursache ist eine ungeschützte JSON-RPC/Websocket-API, die über den TCP-Port 3333 erreichbar ist. Sorgfältige Überwachung und Gegenmaßnahmen sind erforderlich, um die Risiken dieser Schwachstelle (CVE-2025-12548) zu mindern.

In mehreren Versionen der Fortinet FortiSIEM-Software existiert eine kritische Schwachstelle, die es Angreifern ermöglicht, über speziell präparierte TCP-Anfragen beliebige Befehle auf dem System auszuführen. Dies kann die Systemintegrität und Sicherheit kompromittieren. Betroffen sind die Versionen 7.4.0, 7.3.0 bis 7.3.4, 7.1.0 bis 7.1.8, 7.0.0 bis 7.0.4 und 6.7.0 bis 6.7.10. Betroffene Unternehmen sollten umgehend Patches installieren, um diese kritische Sicherheitslücke zu schließen.

Eine kritische Sicherheitslücke in Fortinets FortiFone-Produkten (Versionen 7.0.0 bis 7.0.1 und 3.0.13 bis 3.0.23) ermöglicht es unauthentifizierten Angreifern, sensible Gerätekonfigurationsdaten abzugreifen. Die Schwachstelle CVE-2025-47855 könnte die Sicherheit betroffener Organisationen gefährden. Ein Patch ist erforderlich, um das Problem zu beheben.

Eine kritische Sicherheitslücke durch Pufferüberlauf in Fortinets FortiOS und FortiSASE Produkten ermöglicht Angreifern das Ausführen von Schadcode. Betroffen sind diverse FortiOS-Versionen, weshalb Nutzer dringend die entsprechenden Sicherheitsupdates installieren sollten, um Ausnutzung zu verhindern.

In Hikvision Zutrittskontrollprodukten existiert eine kritische Puffer-Überlauf-Schwachstelle (CVE-2025-66176) im Such- und Entdeckungsfeature. Angreifer im selben Netzwerk können damit absichtlich präparierte Pakete an ungepatche Geräte senden und diese zum Absturz bringen. Anwender müssen ihre Geräte dringend auf den neuesten Stand bringen, um solche Angriffe zu verhindern.

Eine Stapelüberlauf-Schwachstelle wurde in der Suchfunktion von Hikvisions NVR-, DVR-, CVR- und IPC-Geräten entdeckt. Angreifer im selben Netzwerk könnten diese ausnutzen, um die Geräte zum Absturz zu bringen. Anwender sollten dringend die erforderlichen Updates installieren, um dieses Risiko zu mindern.