Tech Blog

Eine kritische Sicherheitslücke in der SAP HANA-Datenbank ermöglicht Angreifern mit gültigen Zugangsdaten den Zugriff auf Administratorrechte. Der Exploit kann zu einem vollständigen Kompromittieren der Vertraulichkeit, Integrität und Verfügbarkeit des Systems führen. Administratoren sollten schnellstmöglich einen Patch einspielen, um das System vor Angriffen zu schützen.

In Hikvision-Überwachungskameras, NVRs, DVRs und anderen Geräten wurde eine kritische Sicherheitslücke mit der CVE-ID CVE-2025-66177 entdeckt. Ein Angreifer im selben lokalen Netzwerk könnte die Geräte durch speziell präparierte Pakete zum Absturz bringen. Ein Patch ist dringend erforderlich, um die Verwundbarkeit mit einer Bewertung von 8.8 "Hoch" zu schließen.

Eine Sicherheitslücke in der NTLM-Authentifizierung der libsoup-Bibliothek, die von GNOME und anderen Anwendungen für Netzwerkkommunikation genutzt wird, kann zu Abstürzen führen. Bei der Verarbeitung extrem langer Passwörter kann ein Überlauf bei der internen Größenberechnung auftreten, was zu fehlerhafter Speicherallokation und unsicherer Datenkopie führt. Betroffen sind Anwendungen, die libsoup verwenden - diese können unerwartet abstürzen und so Denial-of-Service-Risiken bergen.

In einem WLAN-AP-Treiber wurde eine Schwachstelle entdeckt, die zu einem Out-of-Bounds-Schreiben führen kann. Angreifer in der Nähe können dadurch ihre Rechte ohne weitere Ausführungsprivilegien ausweiten. Ein Patch ist verfügbar (ID: WCNCR00422399; Issue ID: MSV-3748).

Eine Ganzzahl-Überlauf-Schwachstelle in Microsoft Internet Explorer 6 unter Windows XP SP2 ermöglicht Remote-Angreifern, einen Denial-of-Service-Absturz und die Ausführung von beliebigem Code über ein speziell gestaltetes Argument an die setSlice-Methode eines WebViewFolderIcon ActiveX-Objekts. Ein Patch ist verfügbar, also lieber heute als morgen updaten, bevor der nächste Depp das ausnutzt.

Ein unauthentizierter Remote-Angreifer kann einen hochprivilegierten Nutzer dazu bringen, eine bösartige Payload über den config-upload-Endpunkt hochzuladen. Dadurch entsteht eine Codeinjektions-Lücke, die zur Ausführung von Code als Root führt. Das bedeutet den Verlust von Vertraulichkeit, Verfügbarkeit und Integrität. Finger weg von diesem Mist!

Vor Version 25.11.1 von MindsDB, einer KI-Plattform für Unternehmensdaten, erlaubte eine Schwachstelle im Datei-Upload-API unbefugten Zugriff auf beliebige Dateien im Dateisystem des Servers. Sensible Daten konnten so offengelegt werden. Das Problem wurde in Version 25.11.1 behoben.

Eine hochgradig kritische Sicherheitslücke (CVE-2025-40942, CVSS 8.8) wurde in der TeleControl Server Basic Software (alle Versionen < V3.1.2.4) entdeckt. Angreifer können damit lokal Privilegien ausweiten und beliebigen Code mit erhöhten Rechten ausführen. Für Betreiber dieser Software ist dringend ein Patch-Management erforderlich, um Systeme vor Kompromittierung zu schützen.

Betroffen sind Geräte, die die Benutzerauthentifizierung für bestimmte API-Endpunkte nicht ordnungsgemäß erzwingen. Ein unauthentifizierter Remote-Angreifer könnte so die Authentifizierung umgehen und die Identität eines legitimen Benutzers annehmen. Erfolgreiche Ausnutzung erfordert, dass der Angreifer die Identität eines berechtigten Nutzers kennt.

Eine schwerwiegende Sicherheitslücke mit der Kennung CVE-2024-49775 wurde in einer Reihe von Siemens-Produkten entdeckt. Betroffen sind unter anderem Opcenter Execution Foundation, Opcenter Intelligence und SIMATIC PCS neo. Die Lücke ermöglicht es einem unauthentifizierten Angreifer, willkürlichen Code auszuführen. Admins sollten dringend Patches oder Workarounds von Siemens installieren, um ihre Systeme vor Angriffen zu schützen.