Weil für die in HCL BigFix SCM Reporting implementierte jQuery-1.x-Bibliothek der Support ausgelaufen ist, bekommt die Software keine Sicherheitsupdates mehr und eine jüngst entdeckte Sicherheitslücke bleibt offen. Nun haben die HCL-BigFix-Entwickler die Komponente entfernt.

Über HCL BigFix verwalten Admins Endpoints. SCM Reporting stellt in diesem Kontext unter anderem Analysedaten für gemanagte PCs bereit.

Die Schwachstelle

Wie aus einer Warnmeldung hervorgeht, ist die Sicherheitslücke (CVE-2026-21821) mit dem Bedrohungsgrad „hoch“ eingestuft. Daran sollen Angreifer der knappen Beschreibung zufolge für etwa XSS-Attacken ansetzen können, sodass es zur Ausführung von Schadcode kommt.

Um Angriffen vorzubeugen, müssen Admins in den SCM-Reporting-Einstellungen die Version 168 installieren. Bislang gibt es keine Berichte, dass Angreifer die Lücke bereits ausnutzen.

Admins von HCL BigFix müssen derzeit öfter Software aktualisieren: Ende April hat der Hersteller fehlerhafte Zugriffskontrollen in HCL BigFix Service Management mit frischer Programmversion korrigiert.

(des)

Vor zwei Wochen schlug hohe Wellen, dass Microsofts Webbrowser Edge beim Start alle Passwörter aus dem Passwort-Manager lädt – und im Klartext im Prozessspeicher vorhält. Die Entwickler haben nach den Medienberichten reagiert, aktualisierte Browser-Versionen machen das nicht mehr.

In den Update-Notizen zu Microsoft Edge für das Update vom Freitag haben die Entwickler angegeben, das Problem gelöst zu haben. Dort schreiben sie, sie haben Änderungen am Passwort-Manager vorgenommen. Die sollen sicherstellen, dass Passwörter nicht mehr beim Browser-Start in den Speicher geladen werden. Ein Blog-Post liefert zudem weitere Informationen. Zunächst erklären die Programmierer, dass das Verhalten von Edge zuvor basierend auf den bestehenden Kriterien ins erwartete Bedrohungsmodell passe. Das Risiko entstehe dadurch, dass ein Angreifer das Gerät bereits kompromittiert habe. Dennoch sehe man Verbesserungspotenzial.

Als erste Maßnahme lädt Microsoft Edge nun beim Start die Passwörter nicht mehr in den Speicher. Die Verteilung des Updates erfolgt mit Priorisierung, für Microsoft Edge Version 148 und neuere. Wer den Edge-Passwort-Manager nutze, müsse nichts weiter machen, die Änderung solle durch den regulären Update-Kanal eintrudeln.

Behandlung der Fehlermeldung nicht so prickelnd

Die Entwickler schreiben auch, dass sie die Behandlung derartiger Fehlerberichte noch mal genauer unter die Lupe nehmen. Die erste Reaktion auf den Fehlerbericht von Tom Jøran Sønstebyseter Rønning basierte auf bestimmten Kriterien für das Chromium-Projekt. Das sei als Grundlinie zu verstehen, Microsoft wolle die Latte für sich aber höher legen. Der Prozess zur Behandlung von Fehlerberichten von IT-Forschern soll noch einmal überprüft werden. Die Entwickler wollen einen Fokus auf Geschwindigkeit, Klarheit und einen Defense-in-depth-Denkansatz stärken und früher damit ansetzen.

Vor rund zwei Wochen konnten wir das Problem einfach nachstellen. Ein frisch im Passwort-Manager von Microsoft angelegtes Konto führte dazu, dass nach einem Browser-Neustart das Passwort im Klartext im Dump des Prozessspeichers auffindbar war. Der Test mit einer aktuellen Microsoft-Edge-Version, konkret 148.0.3967.70, liefert nach Suche im Prozessspeicher das Passwort nicht mehr einfach aus. Wer den Chromium-basierten Edge nutzt, sollte daher sicherstellen, dass der Browser auf aktuellem Stand ist.

(dmk)

In Microsofts Authenticator können Angreifer eine kritische Sicherheitslücke missbrauchen, um an Sign-in-Tokens zu gelangen. Damit gelingt der unbefugte Zugriff auf Ressourcen. Aktualisierte Apps stehen bereit.

Der Schwachstelleneintrag von Microsoft erörtert das Problem grob. Sensible Informationen können demnach an unbefugte Akteure gelangen, da Microsoft Authenticator Informationen an Angreifer über das Netzwerk preisgibt. In der FAQ erklärt Microsoft, dass die Schwachstelle das Sign-in-Token zum Arbeitskonto von Nutzerinnen und Nutzern offenlegen kann. Damit erlangen Unbefugte Zugriff auf Daten und Diensten, auf die das Benutzerkonto zugreifen darf, darunter potenziell auch sensible Unternehmensinformationen.

Zum Missbrauch der Lücke müssen Angreifer ein Opfer dazu bringen, mit einer legitim erscheinenden, bösartigen Anfrage zu interagieren. Sobald Nutzer die Anfrage bestätigen, können Angreifer die App dazu bringen, Zugriffstoken im Namen der Nutzer anzufordern, um sie an einen Dienst auszuliefern, der unter der Kontrolle der Angreifer steht. Betroffene erhalten keine klaren Informationen, welcher Zugriff gewährt wurde (CVE-2026-41615, CVSS 9.6, Risiko „kritisch“). Das NIST kommt im NVD-Listeneintrag jedoch mit CVSS 7.4 lediglich auf das Risiko „hoch“.

Microsoft Authenticator: Updates verfügbar

Aktualisierte Versionen des Authenticators von Microsoft stehen in den jeweiligen App-Stores bereit. Unter Android löst die Version 6.2605.2973 und neuer das Problem, unter iOS die Software ab Stand 6.8.47. Wer die automatischen App-Updates des Mobilbetriebssystems aktiviert hat, erhält das Update automatisch. Wer das deaktiviert hat, muss den Google Play Store oder den iOS-App-Store öffnen und dort die aktualisierten Apps herunterladen und installieren.

Microsoft führt weiter aus, dass die Schwachstelle bislang noch nicht missbraucht wurde. Es steht bislang auch kein Exploit öffentlich zur Verfügung. Dennoch sollten Nutzer und Nutzerinnen des Microsoft Authenticators sicherstellen, die aktuelle Fassung einzusetzen. Die aktuelle Version zeigt der Authenticator im App-Menü unter „Hilfe“ an, dort etwas tiefer unter „Info“ – „Anwendungsversion“.

(dmk)