Angreifer können an zwei Sicherheitslücken in Adobe Experience Manager ansetzen, um Systeme zu attackieren. Die Schwachstellen sind seit April dieses Jahres bekannt, Sicherheitspatches gibt es aber erst jetzt.

Kein Vorbild

Wie Sicherheitsforscher von Searchlight Cyber in einem Bericht festhalten, haben sie Adobe im April 2025 über drei Sicherheitslücken (CVE-2025-49533 „kritisch„, CVE-2025-54254 „hoch„, CVE-2025-54253 „kritisch„) informiert. Die letztgenannte Schwachstelle ist mit dem höchstmöglichen CVSS Score 10 von 10 eingestuft. Sind Attacken erfolgreich, können Angreifer Systeme durch das Ausführen von Schadcode vollständig kompromittieren.

Den Forschern zufolge gestaltete sich die Kommunikation als äußerst zäh, und Adobe hat teilweise in Antworten Patches für ganz andere Lücken erwähnt. Am Patchday im Juli hat Adobe dann zumindest eine Lücke (CVE-202549533) geschlossen. Ebenso führen die Forscher in ihrem Bericht technische Details zu den Lücken aus.

Weiterer Verlauf

Nach weiteren gescheiterten Kommunikationsversuchen zum Verbleib der restlichen Sicherheitsupdates haben sich die Sicherheitsforscher gemäß dem 90-tägigen Responsible-Disclosure-Verfahren dazu entschieden, Details zu den beiden ungepatchten Lücken zu veröffentlichen. Sie haben unter anderem herausgefunden, dass der DevMode in der Apache-Struts-Komponente standardmäßig aktiv war. Das können Angreifer zur Schadcodeausführung aus der Ferne missbrauchen.

Nun hat Adobe das Notfallupdate Experience Manager Forms on JEE 6.5.0-0108 veröffentlicht, um die beiden verbleibenden Schwachstellen zu schließen. Auch wenn es Adobe zufolge noch keine Attacken gibt, sollten Admins ihre PCs zügig absichern. Schließlich ist dem Softwarehersteller zufolge Proof-of-Concept-Code in Umlauf, was zu baldigen Attacken führen kann.

(des)

Polizei und Ermittlungsbehörden durften 2023 in Deutschland 130 Mal IT-Geräte mit Staatstrojanern hacken und haben es 68 Mal getan. Das hat das Bundesjustizamt bekannt gegeben. Damit hat sich die Anzahl der Trojaner-Einsätze in zwei Jahren mehr als verdoppelt.

Das Bundesjustizamt veröffentlicht jedes Jahr Statistiken zur Telekommunikationsüberwachung. Wir bereiten sie regelmäßig auf.

Anlass für den Einsatz von Staatstrojanern waren wie immer vor allem Drogen, so das Justizamt in der Pressemitteilung: „Wie in den vergangenen Jahren begründete vor allem der Verdacht einer Straftat nach dem Betäubungsmittelgesetz die Überwachungsmaßnahmen.“

62 kleine Trojaner

Die „Quellen-Telekommunikationsüberwachung“ hackt Geräte, um laufende Kommunikation auszuleiten. Dieser „kleine Staatstrojaner“ wurde 104 Mal angeordnet. In 62 Fällen wurde der Einsatz „tatsächlich durchgeführt“. Im Vorjahr waren es 49 Einsätze.

Spitzenreiter ist Nordrhein-Westfalen, dort haben Ermittler 23 Mal gehackt. Danach folgt Niedersachsen, dort kamen kleine Staatstrojaner zehn Mal zum Einsatz. Bayern und Sachsen haben je sieben Mal Geräte infiziert. Hamburg, Hessen und der Generalbundesanwalt hackten drei Geräte. Sachsen-Anhalt hat zweimal die Quellen-TKÜ eingesetzt, Baden-Württemberg, Rheinland-Pfalz, Schleswig-Holstein und Thüringen je einmal.

Damit hackt mittlerweile die Mehrzahl der Bundesländer. Nur fünf Länder haben keine Quellen-TKÜ eingesetzt: Berlin, Brandenburg, Bremen, Mecklenburg-Vorpommern und das Saarland.

Die Justizstatistik enthält leider keine Angaben, bei welchen Straftaten der kleine Staatstrojaner eingesetzt wird. Das Bundesjustizamt sagt, dass „vor allem“ Drogendelikte Anlass für Überwachung sind.

Sechs große Trojaner

Die „Online-Durchsuchung“ hackt Geräte, um sämtliche Daten auszuleiten. Dieser „große Staatstrojaner“ wurde 26 Mal angeordnet. In sechs Fällen wurde der Einsatz „tatsächlich durchgeführt“. Im Vorjahr waren es vier Einsätze.

Der Generalbundesanwalt hat 19 Anordnungen bekommen, aber nur zweimal gehackt. Anlass waren kriminelle oder terroristische Vereinigungen. Das könnten Rechtsterroristen wie die Patriotische Union oder Klimaaktivisten wie die Letzte Generation sein.

Bayern hat zweimal gehackt, wegen krimineller Vereinigungen oder Mord. Baden-Württemberg hackte einmal, wegen Straftaten gegen die sexuelle Selbstbestimmung bzw. kinderpornografischer Inhalte. Hessen hackte einmal, wegen Straftaten gegen die persönliche Freiheit. Hamburg wollte einmal hacken, wegen Straftaten gegen die persönliche Freiheit, war aber nicht erfolgreich.

Für und gegen Sicherheit

Politisch werden Staatstrojaner meist mit Terrorismus, Mord und Totschlag oder Straftaten gegen die sexuelle Selbstbestimmung begründet. Spitzenreiter sind jedoch auch weiterhin Drogendelikte. Damit verhindert der Staat, dass Sicherheitslücken geschlossen werden, um ein paar Drogen-Dealer zu bekämpfen.

Die Polizeibehörden besitzen mehrere Staatstrojaner, die sie einsetzen können. Das BKA hat selbst einen Trojaner Remote Communication Interception Software programmiert. Seit 2013 hat das BKA den Trojaner FinSpy von FinFisher. Seit 2019 hat und nutzt das BKA auch Pegasus von NSO. Welche weiteren Trojaner Polizei und Geheimdienste besitzen, will keine Bundesregierung öffentlich sagen.

Polizei hackt immer öfter

Erst seit fünf Jahren gibt es offizielle Statistiken, wie oft die deutsche Polizei Staatstrojaner einsetzt. Seitdem steigen die Zahlen Jahr für Jahr.

Die Ampel-Regierung wollte die Eingriffsschwellen für Staatstrojaner hochsetzen, hat das aber nicht umgesetzt. Die aktuelle Bundesregierung will den Einsatz von Staatstrojanern ausweiten. Die Bundespolizei soll Staatstrojaner gegen Personen einsetzen, die noch gar keine Straftat begangen haben.

Das IT-Unternehmen Sonicwall untersucht derzeit mögliche Attacken auf seine Firewalls der Gen-7-Serie. Davor warnen mehrere Sicherheitsforscher unabhängig voneinander. Auch intern wurden eigenen Angaben zufolge Unregelmäßigkeiten dokumentiert. Möglicherweise nutzen Angreifer derzeit eine Zero-Day-Sicherheitslücke aus. Dabei handelt es sich um eine Schwachstelle, für die es noch kein Sicherheitsupdate gibt.

Hintergründe

Nun nimmt Sonicwall zu den Berichten der Sicherheitsforscher von unter anderem Huntress Stellung. Bei den möglichen Attacken sollen Angreifer Gen-7-Firewalls mit aktivierter SSL-VPN-Funktion im Visier haben.

Die Sicherheitsforscher von Huntress geben in ihrem Bericht an, dass Angreifer durch das Ausnutzen einer Zero-Day-Lücke die Multi-Faktor-Authentifizierung (MFA) umgehen und so Ransomware auf Systeme schieben. Sie berichten, dass Angreifer nach erfolgreichen Attacken Domänencontroller übernehmen. Die Forscher empfehlen, den VPN-Service, der offensichtlich das Einfallstor ist, zu deaktivieren oder ihn nur für bestimmte IP-Adressen zugänglich zu machen.

Instanzen absichern

Auch wenn derzeit noch vieles unklar ist und Sonicwall davon noch nichts konkret bestätigt hat, empfiehlt auch das IT-Unternehmen den VPN-Service temporär zu deaktivieren oder Zugriff streng zu filtern. Außerdem sollten Kunden die Sicherheitsfeatures Botnet Protection, MFA und Geo-IP Filtering aktivieren. Zusätzlich sollten Admins ihnen unbekannte Accounts umgehend entfernen.

Sonicwall erläutert, mit den Sicherheitsforschern zusammenzuarbeiten und neue Erkenntnisse umgehend mit Kunden zu teilen. Außerdem versichern sie, im Falle einer Sicherheitslücke umgehend ein Update auszuliefern. Derzeit dauern die Untersuchungen noch an.

(des)