Connect with us

Künstliche Intelligenz

„MongoBleed“: Exploit für kritische Lücke in MongoDB erleichtert Angriffe


Wenige Tage nachdem das Sicherheitsteam der NoSQL-Datenbank-Software MongoDB eine schwerwiegende Sicherheitslücke eingestanden hat und noch während ein erheblicher Teil der Welt die Feiertage genießt, wurden Details und ein Exploit veröffentlicht, die Angriffe noch einmal deutlich erleichtern. Den Exploit hat der Technikchef der Softwarefirma Elastic „MongoBleed“ getauft und auf Github eingestellt. Laut ersten Berichten benötigt man dafür lediglich die IP-Adresse einer MongoDB-Instanz und kann verschiedene Inhalte aus dem Speicher abrufen, die im Klartext übermittelt werden. Weil er so leicht zu benutzen und MongoDB extrem weitverbreitet ist, dürfte die Lücke rasch in großem Umfang ausgenutzt werden, schreibt der Sicherheitsexperte Kevin Beaumont.

Weiterlesen nach der Anzeige

Laut den kurz vor Weihnachten veröffentlichten Details zur Lücke können Angreifer einen Fehler in der Kompressionssoftware zlib ausnutzen, um auf nicht zurückgesetzten dynamischen Arbeitsspeicher (heap memory) zuzugreifen. Darin liegen möglicherweise noch alte Daten, etwa Passwörter, Schlüssel oder andere sensible Informationen. Schon dazu hieß es, dass dafür keine Zugangsdaten und nicht einmal eine Benutzerinteraktion benötigt werden. Der jetzt verfügbare Exploit stellt das unter Beweis. Das unterstreicht die Dringlichkeit, mit der die Verantwortlichen von MongoDB-Instanzen dazu aufgerufen werden, diese zu aktualisieren.

Die Schwachstelle betrifft die folgenden MongoDB-Server-Versionen:

MongoDB 8.2.0 bis 8.2.3
MongoDB 8.0.0 bis 8.0.16
MongoDB 7.0.0 bis 7.0.26
MongoDB 6.0.0 bis 6.0.26
MongoDB 5.0.0 bis 5.0.31
MongoDB 4.4.0 bis 4.4.29

Sowie jeweils alle

MongoDB Server v4.2 Versionen
MongoDB Server v4.0 Versionen
MongoDB Server v3.6 Versionen

Diese sind jeweils auf MongoDB 8.2.3, 8.017, 7.0.28, 6.0.27, 5.0.32 oder 4.4.30 upzugraden.

Weiterlesen nach der Anzeige

Die unter CVE-2025-14847 veröffentlichte Sicherheitslücke gilt als kritisch und hat einen CVSS-Score von 8,7. Wer nicht sofort auf eine der gepatchten Versionen upgraden kann, soll die zlib-Komprimierung auf dem MongoDB-Server deaktivieren. Das geht laut der MongoDB-Warnung, „indem man mongod oder mongos mit einer networkMessageCompressors– oder net.compression.compressors-Option startet, die zlib explizit ausschließt.“

MongoDB wird weltweit von mehr als 62.000 Kunden genutzt, im Internet lassen sich über 200.000 Instanzen finden – übr 20.000 davon in Deutschland. Das Datenbankmanagementsystem sichert Daten in BSON-Dokumenten (Binary JSON) statt wie klassische relationale SQL-Datenbanken wie MySQL oder PostgreSQL in Tabellen.


(mho)



Source link

Künstliche Intelligenz

Was Wi-Fi 7 kann | c’t uplink


Der Funkstandard Wi-Fi 7 ist inzwischen breit verfügbar – zumindest Notebooks und Smartphones ab dem mittleren Preissegment sprechen den schnelleren Standard, der auch unter dem Namen 802.11be bekannt ist. Und auch bei Routern und Access Points steigt die Verbreitung langsam aber sicher an.

Weiterlesen nach der Anzeige


Logo mit dem Schriftzug "c't uplink – der Podcast aus Nerdistan"

Logo mit dem Schriftzug "c't uplink – der Podcast aus Nerdistan"

Den wöchentlichen c’t-Podcast c’t uplink gibt es …

Doch warum genau ist Wi-Fi 7 eigentlich besser als der Vorgängerstandard 6E? Was bringt die Nutzung von 320 MHz breiten Kanälen? Was ist der Vorteil von MLMR? Und warum wird der 2,4-GHz-Band auf absehbare Zeit unersetzlich bleiben? Das und mehr besprechen wir in dieser Folge des c’t uplink.

Zu Gast im Studio: Ernst Ahlers, Andrijan Möcker
Host: Jan Schüßler
Produktion: Tobias Reimer

► Unsere Artikel zu Wi-Fi 7 sind bei heise+ erschienen (€)

► sowie in c’t 25/2025 (€).

In unserem WhatsApp-Kanal sortieren Torsten und Jan aus der Chefredaktion das Geschehen in der IT-Welt, fassen das Wichtigste zusammen und werfen einen Blick auf das, was unsere Kollegen gerade so vorbereiten.

Weiterlesen nach der Anzeige

c’t Magazin
c’t auf Mastodon
c’t auf Instagram
c’t auf Facebook
c’t auf Bluesky
c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!


(jss)





Source link

Weiterlesen

Künstliche Intelligenz

Neue Macs im Anflug: Apple lädt zur „Apple Experience“ nach Los Angeles


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Die Hinweise darauf, dass Apple noch in diesem Monat frische Macs vorstellen wird, verdichten sich. Nach ersten Spekulationen, dass der Konzern die Rechner zusammen mit dem neuen Creator-Studio-Abopaket präsentieren könnte, sowie schlechter Verfügbarkeiten der alten Modelle im Apple Online Store kommt nun eine dritte Information hinzu. Denn Apple hat zu einem speziellen Event geladen: YouTuber, TikToker und andere „Creators“ aus dem Influencer-Segment sollen vom 27. bis 29. Januar nach Los Angeles kommen. Worum es bei der Veranstaltung geht, die der Konzern schlicht als „Apple Experience“ tituliert, ist unklar. Auch deutsche Vlogger sind wohl unter den Eingeladenen. Ob klassische Medien dabei sein werden, blieb zunächst unklar.

Weiterlesen nach der Anzeige

Interessant an der Veranstaltung ist die Länge: An den drei Tagen könnte Apple nicht nur sein Creator Studio und neue Hardware vorstellen, sondern auch Seminare und Kurse zum direkten Ausprobieren der Produkte abhalten. Neu ist dieser Ansatz, bei dem „Creators“ als Erstes gebrieft werden, nicht: Der Konzern agierte bereits im vorvergangenen Jahr bei seinen M4-Maschinen ähnlich. Damals gab es zusätzlich aber auch Keynote-Videos, die die Rechner vorstellten. Ob das dieses Mal so sein wird, bleibt unklar.

Mit dem Creator Studio vermarktet Apple seine macOS-Programme Final Cut Pro, Logic Pro, Pixelmator Pro sowie Tools wie Motion oder MainStage erstmals in einem Abo-Paket (12,90 Euro im Monat oder 129 Euro im Jahr), das um zusätzliche „Premium-Inhalte“ für iWork-Programme ergänzt wird. Es wäre ungewöhnlich, einem solchen Produkt ein dreitägiges Kreativen-Event zu gönnen – entsprechend wahrscheinlich ist neue Hardware.

Aktuell geht die Gerüchteküche von mindestens zwei neuen MacBook-Pro-Baureihen aus, die vorgestellt werden könnten. Nachdem nur das Midrange-Modell MacBook Pro M5 mit 14 Zoll im Herbst präsentiert wurde, stehen noch MacBook Pro M5 Pro und MacBook Pro M5 Max aus – jeweils mit 14 und 16 Zoll. Weitere Rechner mit M5-Chip könnten ebenfalls kommen, wobei diese – etwa MacBook Air M5 und Mac Mini M5 und M5 Pro – aktuell eher Richtung Jahresmitte erwartet werden. Schließlich steht Beobachtern zufolge auch noch ein neues Kompakt-MacBook mit iPhone-Chip aus, doch davon hat man seit längerem nichts mehr gehört.

Die neuen Macs sollen etwa lokale Sprachmodelle (noch) schneller ausführen können. Momentan gibt es nur die einfachen M5-Chips. Diese stecken neben dem erwähnten MacBook Pro M5 auch im iPad Pro M5 sowie der Vision Pro M5.

Weiterlesen nach der Anzeige


(bsc)





Source link

Weiterlesen

Künstliche Intelligenz

iPhone-Daten an Apple trotz Opt-Out: Richter verwirft Teile von Sammelklage


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Schon seit fast vier Jahren läuft der Versuch, Apple per Sammelklage dazu zu bewegen, weniger iPhone-Daten zu sammeln – oder zumindest eine Entschädigung an die Nutzer zu zahlen, falls dies nachweislich getan wurde. Doch nun hat der zuständige US-Richter zumindest Teile des Klage abgewiesen. Apple hatte stets mitgeteilt, dass die Annahme der Kläger „völlig falsch“ sei. Dem schloss sich der US District Court for the Northern District of California laut einem Bericht des Justizfachdienstes Bloomberg Law nun teilweise an.

Weiterlesen nach der Anzeige

Bei der Klage geht es unter anderem um die Frage, ob Apple sich an Opt-In/Opt-Out-Regeln hält. Die deutsch-kanadischen Sicherheitsforscher der Gruppe Mysk hatten im Herbst 2022 herausgefunden, dass Apple Analysedaten aus seinem App Store auch dann zu erfassen scheint, wenn Nutzer diesem widersprochen hatten. Dazu gibt es in iOS (und Apples anderen Betriebssystemen) einen zentralen Schalter, der Analytics durch den Konzern aktivieren oder unterbinden soll.

Dass die App-Store-Anwendung auf Apples Server zugreifen muss, liegt schon in der Natur der Sache – diese liefern schließlich deren Inhalte. Allerdings gingen die Requests laut der Mysk-Analyse, die den Datenverkehr entschlüsselt hatte, in beide Richtungen. Es gab demnach Session-IDs, die mit einem Profil verknüpft seien. Es würden Geräteinformationen übertragen, darunter Spracheinstellungen der Tastatur und vorhandener Speicherplatz. Apple speichere zudem, welche App wann und wie lange betrachtet wurde. Ungewöhnliche Analytics-Daten sind das keineswegs, doch sie wurden offenbar eben auch dann erfasst, wenn das Tracking eigentlich abgedreht sein sollte.

Richter Edward J. Davila entschied laut Bloomberg Law nun am Dienstag, Teile der Sammelklage wegen einer möglichen Verletzung der Privatsphäre abzuweisen. Die Kläger hatten unter anderem Verstöße gegen das kalifornische Gesetz zum Schutz der Privatsphäre, die kalifornische Verfassung und das Gesetz des US-Bundesstaates gegen unlauteren Wettbewerb gestützt. Auch gegen ein Gesetz des US-Bundesstaates Pennsylvania, das elektronische Überwachungsmaßnahmen einschränkt, sollte Apple verstoßen haben.

„Es gibt ernsthafte Zweifel daran, ob die Kläger ihre abgewiesenen Ansprüche angesichts der in diesem Beschluss angesprochenen Mängel ausreichend geltend machen können“, so Davila. Gänzlich gegessen ist das Verfahren für Apple aber dennoch nicht. Er handele lieber übervorsichtig, so der Richter, und erlaube den Sammelklägern, ihre Klage „ein letztes Mal“ abzuändern und neu einzureichen. Die Sammelkläger repräsentieren allesamt Nutzer, die die Analytics-Funktion auf iPhone und iPad abgeschaltet hatten. Die Klage wirft Apple unter anderem vor, Nutzer in die Irre geführt zu haben, indem es ihnen vorgaukelte, dass durch die Deaktivierung verhindert wird, dass Apple Daten aus den eigenen Apps sammelt. Erwähnt werden neben dem App Store auch Apple Music, Apple TV, die Bücher-App und die Aktien-App.

Weiterlesen nach der Anzeige


(bsc)



Source link

Weiterlesen

Beliebt