Connect with us

Datenschutz & Sicherheit

Google widerspricht: Keine größere Gmail-Sicherheitslücke


Berichte machen seit Kurzem die Runde, dass 2,5 Milliarden Gmail-Konten in Gefahr seien. Jetzt sieht Google sich genötigt, dazu Stellung zu beziehen. In einer ungewöhnlichen Reaktion betont das Unternehmen, dass seine Schutzmechanismen „stark und effektiv“ sind.

Das hat Google am Montag im Workspace-Blog bekanntgegeben. „Die Schutzmechanismen von Google Mail sind stark und effektiv, und die Behauptungen über eine größere Google Mail-Sicherheitswarnung sind falsch“, übertitelt Google den Beitrag und erklärt darin, dass „mehrere nicht zutreffende Behauptungen kürzlich aufgetaucht seien, dass wir eine breite Warnung an alle Gmail-Nutzerinnen und -Nutzer über ein großes Gmail-Sicherheitsproblem herausgegeben haben“. Das sei komplett falsch.

„Obwohl Phisher immer nach Wegen suchen, um auf Postfächer zuzugreifen, blockieren unsere Schutzmechanismen weiterhin mehr als 99,9 Prozent der Versuche mit Phishing und Malware, damit sie die Benutzer nicht erreichen“, erklärt Google weiter.

Ein Zusammenhang der Meldungen mit kompromittierten Anmeldetoken in der KI-Chatbot-Plattform Salesloft Drift liegt jedoch nahe. Die Untersuchung hatte Googles Threat Intelligence Group (GTIG) am Wochenende aktualisiert.

Demnach fanden die GTIG-Forscher heraus, dass auch OAuth-Token aus der „Salesloft Drift Email“-Integration von kriminellen Gruppierungen missbraucht wurden, um Zugriff auf E-Mails in Google-Workspace-Zugängen zu erlangen. Zugriff war damit auf Workspace-Konten möglich, die die Salesloft-Drift-Integration genutzt haben. Alle Admins von betroffenen Google Workspaces hat Google benachrichtigt – das passt zeitlich und thematisch mit den laut Google fehlerhaften Berichten zusammen.

Das Salesloft-Drift-Problem ist tatsächlich weitreichender und betrifft auch andere Anbieter als Google. Das IT-Sicherheitsunternehmen Zscaler nutzt die KI-Chatbots von Salesloft. Wie Zscaler nun bekannt gegeben hat, haben Kriminelle mit kompromittierten Zugangstoken auch auf Zscalers Salesforce-Instanzen Zugriff erlangt und konnten dabei Kundendaten einsehen. Dazu gehören Namen, Geschäfts-E-Mail-Adressen, Job-Bezeichnungen, Telefonnummern, Informationen zum Aufenthaltsort, Daten zu lizenzierten Zscaler-Produkten und kommerzielle Informationen sowie Klartextinformationen zu bestimmten Supportfällen – immerhin ohne Anhänge, Dateien und Bilder.

Google gibt abschließend den Ratschlag, für zusätzlichen Schutz die Passwortalternative Passkeys zu nutzen und die Anleitung zur „Vermeidung von Phishing-E-Mails“ umzusetzen. Das ist zwar grundsätzlich kein schlechter Tipp. Wie das jedoch kompromittierte OAuth-Token verhindern soll, die Drittanbieter nicht korrekt geschützt haben, erörtert Google nicht.


(dmk)



Source link

Datenschutz & Sicherheit

Oracle CPU: Groß-Patch-Tag mit 374 Softwareflicken


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Oracle liefert zum vierteljährlichen, „Critical Patch Update“ (CPU) genannten Patchday im Oktober 374 Softwareflicken aus. Admins sollten prüfen, ob sie betroffene Produkte in ihren Netzen einsetzen, und die Aktualisierungen zügig installieren.

Weiterlesen nach der Anzeige

Auf der Übersichtsseite listet Oracle alle betroffenen Produkte und die darin mit den Aktualisierungen geschlossenen Sicherheitslücken auf. Als kritisches Risiko eingestufte Sicherheitslücken sollten besonders zügig angegangen werden. Die finden sich etwa in Oracle GoldenGate, Oracle Communications und zugehörigen Applications, Oracle E-Business Suite, Oracle Financial Services Applications, Oracle Fusion Middleware, Oracle JD Edwards, Oracle MySQL, Oracle PeopleSoft und Oracle Siebel CRM.

In mehreren Produkten klaffen zudem Sicherheitslecks, die eine kritische Risikoeinstufung nur knapp verfehlen. Auch hier sollten IT-Verantwortliche schnell handeln. Etwa die populäre Virtualisierungssoftware VM Virtualbox weist mehrere hochriskante Schwachstellen auf. Die bessern die nun verfügbaren Updates auf Virtualbox 7.2.4 respektive 7.1.14 aus.

Sicherheitslücken in Oracle-Produkten sind bei Cyberkriminellen begehrt. Erst vergangene Woche musste Oracle außer der Reihe Schwachstellen in der Oracle E-Business-Suite ausbessern. Neben der bereits angegriffenen Zero-Day-Lücke CVE-2025-61882, die mit einem CVSS-Wert von 9.8 als „kritisch“ gilt, hatten die Entwickler noch eine weitere gefunden. Die Schwachstelle CVE-2025-61884, eine Server-Side-Request-Forgery, hat als Risikoeinstufung zwar lediglich den CVSS-Wert 7.5, Risiko „hoch„, erhalten. Aber auch die hat die US-Cybersicherheitsbehörde CISA inzwischen in den „Known Exploited Vulnerabilities“-Katalog aufgenommen, das heißt, sie wird bereits aktiv im Netz angegriffen. Die ältere Lücke wurde zudem für Erpressungsversuche mit Ransomware missbraucht.

Der nächste planmäßige Oracle-Critical-Patch-Update-Tag findet am 20. Januar 2026 statt.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Keine Strategie für Umstieg auf Windows 11


Mitte Oktober hat Microsoft den Support für Windows 10 eingestellt. Nutzer*innen müssten also auf die nächste Windows-Version upgraden – oder sich für ein anderes Betriebssystem entscheiden. Und das besser gestern als heute, wenn sie sich keine Malware einfangen wollen. Wer den Umstieg nicht schafft, kann sich zumindest für begrenzte Zeit noch für grundlegende Sicherheitsupdates (ESU) registrieren.

Auch die Bundesverwaltung nutzt Windows 10, scheint sich auf die Umstellung jedoch bislang kaum vorbereitet zu haben. Sascha H. Wagner, Bundestagsabgeordneter der Linkspartei und im Haushaltsausschuss, hat beim Bundesministerium für Finanzen nachgefragt: Wie viele Rechner laufen mit Windows 10? Wie viel wird die Umstellung auf Windows 11 kosten? Bis wann sollen diese Rechner mit Windows 11 ausgestattet sein?

Auf diese Fragen erhielt er jedoch keine Antwort. Denn entsprechende Informationen liegen nicht gesammelt und verfügbar vor. Um sie beantworten zu können, müsste das zuständige Bundesministerium für Digitales und Staatsmodernisierung erst „umfangreiche Erhebungen“ vornehmen, so das BMF in seinem nicht-öffentlichen Antwortschreiben.

Keine Ressourcen, um betroffene Rechner zu zählen

Auch die Fragen, wie viele Rechner der Bundesverwaltung mit dem Support-Ende von Windows 10 unbrauchbar werden und wie teuer es wird, neue Geräte mit Windows 11 anzuschaffen, lässt das BMF offen.

Der Aufwand, hierzu Informationen einzuholen, übersteige den Umfang einer „ansonsten üblichen Einzelberichtsanforderung“, heißt es. Linken-Politiker Wagner sagt: „Dass das Digitalministerium unter Karsten Wildberger nicht weiß, wie der erzwungene Umstieg von Windows 10 auf Windows 11 in der Bundesverwaltung umgesetzt wird, ist erschreckend.“

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Dabei wurde ein zentrales Lizenzmanagment für den Bund schon im Jahr 2019 beschlossen. Fortschritte verspricht der Bund seit Jahren. Die Idee hinter dem lange angekündigten Projekt ist, dass Bundesbehörden Informationen zu Lizenzen offen einsehen können.

Nicht zuletzt die Kritik des Bundesrechnungshofs gab hier den Ausschlag: Der bemängelte mehrfach (PDF), dass Transparenz zwischen Bundesbehörden fehle. Das wiederum führe dazu, dass Behörden Software häufig nicht wirtschaftlich einsetzen. Dabei käme es häufiger zu Über- oder Unterlizenzierungen. Wüssten Behörden, was andere einkaufen und zu welchen Konditionen, könnten sie Lizenzen zwischen Behörden tauschen und hätten auch bei Einkaufsgesprächen eine bessere Verhandlungsposition.

Keine Ressourcen, um Lizenzen zentral zu verwalten

Doch der Plan einer Zentralstelle konnte laut BMF „mangels entsprechender Ressourcen“ bislang nicht umgesetzt werden. Es gibt also noch immer keine zentrale Stelle, die Informationen zu Lizenzen bei den Ministerien und anhängigen Behörden einfordert und zentral veröffentlicht. Zwar könnten Behörden inzwischen über ein Lizenzverwaltungstool ein rechtssicheres und wirtschaftliches Lizenzmanagement aufbauen, so das BMF. Doch seien Behörden nicht dazu verpflichtet, eines zu betreiben.

Statt das Projekt des Lizenzmanagements für den Bund weiter voranzubringen, will das BMDS nun einen zentralen Datenpool im Bund aufbauen. Darin sollen laut BMF auch die Lizenzinformationen der einzelnen Häuser zusammenlaufen.

Das Support-Ende von Windows 10 bringt den Bund samt Verwaltung hier anscheinend nicht aus der Ruhe. Das könnte daran liegen, dass Microsoft zumindest Sicherheitsupdates weiter fließen lässt – für Organisationen und Behörden können dabei jedoch pro Gerät Kosten anfallen. Dabei müsste es eigentlich darum gehen, „die Abhängigkeit und die explodierenden Kosten für Microsoft-Produkte zu reduzieren“, so Wagner.



Source link

Weiterlesen

Datenschutz & Sicherheit

Sicherheitsupdate: Unberechtigte Zugriffe auf Zyxel-Firewalls möglich


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Die Firewall-Serien ATP, USG FLEX und USG FLEX 50(W)/USG20(W)-VPN sind verwundbar. Angreifer können an zwei Sicherheitslücken ansetzen. Um Instanzen abzusichern, sollten Admins das verfügbare Sicherheitsupdate installieren.

Weiterlesen nach der Anzeige

Beide Schwachstellen (CVE-2025-8078, CVE-2025-9133) sind mit dem Bedrohungsgrad „hoch“ eingestuft. Im ersten Fall müssen Angreifer bereits über Administratorrechte verfügen, um eigene Befehle auf Systemebene ausführen zu können. In dieser Position steht ihnen aber ohnehin schon Tür und Tor offen.

Im zweiten Fall müssen Angreifer den ersten Abschnitt der Einrichtung zur Zwei-Faktor-Authentifizierung abgeschlossen haben. Ist das gegeben, können sie Systemkonfigurationen einsehen und herunterladen.

Auch wenn es bislang keine Berichte zu Attacken gibt, sollten Admins das Sicherheitsupdate ZDL V5.41 zeitnah installieren. In einer Warnmeldung geben die Entwickler an, dass die ZDL-Ausgaben V4.32 bis einschließlich V5.40 von den Sicherheitslücken betroffen sind.

Zuletzt haben die Entwickler im April dieses Jahres Sicherheitsupdates für Firewalls veröffentlicht.

Weiterlesen nach der Anzeige


(des)



Source link

Weiterlesen

Beliebt