Connect with us

Künstliche Intelligenz

„MongoBleed“: Exploit für kritische Lücke in MongoDB erleichtert Angriffe


Wenige Tage nachdem das Sicherheitsteam der NoSQL-Datenbank-Software MongoDB eine schwerwiegende Sicherheitslücke eingestanden hat und noch während ein erheblicher Teil der Welt die Feiertage genießt, wurden Details und ein Exploit veröffentlicht, die Angriffe noch einmal deutlich erleichtern. Den Exploit hat der Technikchef der Softwarefirma Elastic „MongoBleed“ getauft und auf Github eingestellt. Laut ersten Berichten benötigt man dafür lediglich die IP-Adresse einer MongoDB-Instanz und kann verschiedene Inhalte aus dem Speicher abrufen, die im Klartext übermittelt werden. Weil er so leicht zu benutzen und MongoDB extrem weitverbreitet ist, dürfte die Lücke rasch in großem Umfang ausgenutzt werden, schreibt der Sicherheitsexperte Kevin Beaumont.

Weiterlesen nach der Anzeige

Laut den kurz vor Weihnachten veröffentlichten Details zur Lücke können Angreifer einen Fehler in der Kompressionssoftware zlib ausnutzen, um auf nicht zurückgesetzten dynamischen Arbeitsspeicher (heap memory) zuzugreifen. Darin liegen möglicherweise noch alte Daten, etwa Passwörter, Schlüssel oder andere sensible Informationen. Schon dazu hieß es, dass dafür keine Zugangsdaten und nicht einmal eine Benutzerinteraktion benötigt werden. Der jetzt verfügbare Exploit stellt das unter Beweis. Das unterstreicht die Dringlichkeit, mit der die Verantwortlichen von MongoDB-Instanzen dazu aufgerufen werden, diese zu aktualisieren.

Die Schwachstelle betrifft die folgenden MongoDB-Server-Versionen:

MongoDB 8.2.0 bis 8.2.3
MongoDB 8.0.0 bis 8.0.16
MongoDB 7.0.0 bis 7.0.26
MongoDB 6.0.0 bis 6.0.26
MongoDB 5.0.0 bis 5.0.31
MongoDB 4.4.0 bis 4.4.29

Sowie jeweils alle

MongoDB Server v4.2 Versionen
MongoDB Server v4.0 Versionen
MongoDB Server v3.6 Versionen

Diese sind jeweils auf MongoDB 8.2.3, 8.017, 7.0.28, 6.0.27, 5.0.32 oder 4.4.30 upzugraden.

Weiterlesen nach der Anzeige

Die unter CVE-2025-14847 veröffentlichte Sicherheitslücke gilt als kritisch und hat einen CVSS-Score von 8,7. Wer nicht sofort auf eine der gepatchten Versionen upgraden kann, soll die zlib-Komprimierung auf dem MongoDB-Server deaktivieren. Das geht laut der MongoDB-Warnung, „indem man mongod oder mongos mit einer networkMessageCompressors– oder net.compression.compressors-Option startet, die zlib explizit ausschließt.“

MongoDB wird weltweit von mehr als 62.000 Kunden genutzt, im Internet lassen sich über 200.000 Instanzen finden – übr 20.000 davon in Deutschland. Das Datenbankmanagementsystem sichert Daten in BSON-Dokumenten (Binary JSON) statt wie klassische relationale SQL-Datenbanken wie MySQL oder PostgreSQL in Tabellen.


(mho)



Source link

Künstliche Intelligenz

„Stranger Things Staffel 5, Teil 2“: Jenseits des Grauens


Das Ende ist nah. Angesichts der drohenden Apokalypse kommt der Augenblick, in dem Menschen einander noch einmal tief in die Augen schauen und endlich aussprechen, was ihnen seit Jahren ungesagt auf der Zunge liegt. Tut das nicht gut?

Weiterlesen nach der Anzeige

Doch, das tut es. Allerdings kann das ständige Einlösen lange vorbereiteter Schlüsselmomente selbst wieder ermüdend werden. „Stranger Things“ lebt von der Nostalgie – und das bedeutet gegen Ende der Serie auch, dass sich viele Dinge ziemlich genau so entwickeln, wie sie es mindestens seit den 1980ern tun. Einige Pointen sind moderner, doch wer bis hierhin halbwegs wach zugeschaut hat, der wird auch davon nicht mehr überrascht.

Nach viereinhalb Staffeln kann „Stranger Things“ immer wieder zeigen, wie gut es die eigenen Bezüge versteht, wie flüssig es zwischen Genres und Erzählsträngen wechseln kann. Das ist ausgesprochen kurzweilig, und es wird einmal mehr getragen von einem großen und gut eingespielten Ensemble. Allerdings freut man sich beim Zuschauen auch unweigerlich auf das Ende. Langsam reicht’s.

Die Ermüdungserscheinungen sind bei der Spiellänge kaum zu vermeiden. Jede einzelne Folge der Staffel wirkt mit einer Spieldauer jenseits der Stundenmarke überlang. Nach diversen mehr und weniger verhinderten Katastrophen ist in „Stranger Things“ so ziemlich alles schon mal passiert. Wenn Charaktere aus Nasen oder Augen bluten, wenn Bösewicht Vecna mal wieder durch die Gegend rankt und arme Kinder in seinen finsteren Plan stöpselt, dann ist das nur beiläufig verstörend. All diese Bilder waren mal effektiver. Hier sind sie nur noch ein Zitat eines Zitats.



Im Finale warten auf die Protagonisten wieder jede Menge traumatischer Erfahrungen.

(Bild: Netflix)

Weiterlesen nach der Anzeige

Das offensichtliche dicke Ende, auf das Mike, El, Will, Dustin, Lucas, Max, Holly und ein immer noch wachsendes Ensemble aus der Versenkung geholter Nebencharaktere zusteuern, ist überfällig. Genau das funktioniert allerdings auch an der Serie. Bemerkenswert gut gespielt sind sogar die jungen Hauptrollen: Nell Fisher als Holly und Jake Connelly als Derek überzeugen auch in den abwegigsten Situationen. Es wirkt immer wieder glaubwürdig, wenn die Heldinnen und Helden der Geschichte gemeinsam mit dem Publikum die Faxen dicke haben und verstehen, dass es genau die unausgesprochene Angst ist, wegen der das Böse gewinnt.

Und dann holen sie tief Luft und sprechen endlich aus, was seit Jahren offensichtlich ist. Diese Augenblicke kommen immer wieder, zwischen verschiedenen Charakteren, und sie wirken deswegen gleichermaßen überfällig und überstrapaziert. „Stranger Things“ hat sich immer um Nostalgie gedreht, und auch wenn sie hier gelegentlich auf links gezogen oder umgedeutet wird, muss am Ende genau das passieren, was man erwartet.



Source link

Weiterlesen

Künstliche Intelligenz

Top 10 News 2025 – Die Trends auf iX Developer: Wenig KI, viel Sicherheit


Wie jedes Jahr, wenn das Jahresende sich nähert, sind wir gespannt darauf, welche News am besten gelaufen sind und die meisten Leserinnen und Leser gefunden haben. Diese Meldungen spiegeln auch die Trends wider, welche die Developer-Szene über das Jahr hinweg bewegt haben.

Weiterlesen nach der Anzeige

Überraschenderweise war dabei ein Thema nicht so dominant, wie wir es erwartet haben, nämlich die Künstliche Intelligenz. Es gab zwar viele Meldungen und viel zu berichten darüber, aber keine hat es unter die Top 5 geschafft. Die am besten laufende KI-Meldung befasste sich mit LLM-Privatsphäre und lässt sich auch dem Themenspektrum Sicherheit zuordnen.

Die meisten erfolgreichen KI-News kamen eher aus dem Rand- oder Metabereich, wie eben Sicherheit, Zukunft der Arbeit oder Firmenpolitik. In den Top 10 ist nur eine KI-Meldung aus dem Kernbereich: Mozillas LLM-API. Die erste News zu Coding-Assistenten folgt auf Platz 53 mit Google Jules. Vieles spricht dafür, dass dieses Thema im öffentlichen Mediendiskurs derzeit überschätzt wird.

Mit großem Abstand klar an der Spitze lagen zwei Artikel zum Thema Supply Chain Security. Das bildete klar das Hauptinteresse unserer Besucherinnen und Besucher im Jahr 2025. Sicherheitsartikel laufen auch über heise security und bekommen darüber zusätzliche Aufmerksamkeit.

Wie im Vorjahr waren auch Themen rund um Open Source heiß begehrt. Diesmal hat sich der Fokus etwas auf den Aspekt der Lizenzen verschoben und speziell die damit verbundene Firmenpolitik. Viele Betreiber kehren dem reinen Open-Source-Gedanken den Rücken und schränken die Nutzung mal weniger, mal aber auch schmerzhafter ein. Für viel Ärger sorgte der Schritt von Broadcom, die Bitnami-Images und Helm-Charts kostenpflichtig zu machen. Rumort hat es auch kräftig in der Ruby-Community.

TypScript und Rust standen als Programmiersprachen im Fokus und – ganz überraschend – Delphi, das 2025 seinen 30. Geburtstag feierte.

Beim Stichwort feiern: Wir wünschen allen Leserinnen und Lesern einen guten Rutsch und ein frohes sowie zufriedenstellendes Jahr 2026.

Weiterlesen nach der Anzeige


Aufmacher Top 10

Aufmacher Top 10

(Bild: erstellt mit Dall-E durch iX)

Die begehrten Sternchen auf GitHub sollen zeigen, wie beliebt ein Projekt ist – je mehr, desto beliebter und auch seröser wirkt es. Aber dieser Eindruck könnte täuschen. Analysten von StarScout entdeckten Tausende von Fake-Accounts, die Millionen an Sternchen verteilten, um bestimmte Repos zu pushen. Diese dienten erwartungsgemäß fragwürdigen Zwecken wie Phishing, Game-Cheats oder Crypto-Bots. GitHub hat die Accounts zwar gelöscht, aber die Masche dürfte ähnlich wie Fake-Bewertungen beim Online-Shopping weiter zum Einsatz kommen. Als Vertrauensmerkmal dienen die Sternchen nur bedingt.

  • Datum: 3. Januar 2025
  • Kommentare: 58


Aufmacher Top 9

Aufmacher Top 9

(Bild: erstellt mit Dall-E durch iX )

Diese Meldung hat mir besonders viel Spaß gemacht, denn ich habe in der Schule meine ersten Schleifen mit Pascal durchlaufen, mit großen Disketten und orangefarbener Schrift auf monochromen Monitor. Mit dem Umstieg auf Windows wechselte der Name vor dreißig Jahren von Pascal zu Delphi und eine Geschichte mit Höhen und Tiefen begann. Die Sprache hat ihre Fangemeinde, insbesondere wegen der einfachen Funktionen zur Gestaltung nativer Oberflächen. Im September 2025 ist heimlich, still und leise Version 30 erschienen.

  • Datum: 14. Februar 2025
  • Kommentare: 243


Aufmacher Top 8

Aufmacher Top 8

(Bild: Grisha Bruev/Shutterstock.com )

Genau genommen ist nicht TypeScript an sich schneller geworden, also die Ausführung, sondern der Compiler, was bei größeren Projekten für Entwicklerinnen und Entwickler durchaus eine Erleichterung darstellt. Microsoft hat den Compiler in Go neu geschrieben und die Performance damit deutlich erhöht. Die aktuelle Ausgabe von VS Code unterstützt diesen nun erstmalig als Erweiterung. Einige Kompilierbeispiele zeigen den Geschwindigkeitsgewinn: Die Codebasis von VS Code mit 1,5 Millionen Zeilen benötigt etwa 7,5 statt 77,8 Sekunden auf dem Testrechner von Microsoft.

  • Datum: 12. März 2025
  • Kommentare: 65


Aufmacher Top 7

Aufmacher Top 7

(Bild: Lightspring/Shutterstock.com )

Mit dem Python-Tool any-llm erleichtert Mozilla die Arbeit der Developer und schafft eine einheitliche API für viele LLMs, die sich nun zentral verwalten und auswechseln lassen. Entwicklerinnen und Entwickler müssen nicht für jedes Modell einen eigenen Adapter schreiben, und sie erfahren vom Tool, wenn sich Endpunkte oder Protokolle geändert haben. Ein optionales Gateway dient dem Budget-, Key- und Mandantenmanagement. Die Liste der angebundenen Provider ist lang und umfasst lokal oder aus der Cloud Anthropic, Azure, Databricks, Deepseek, Gemini, Groq, Hugging Face, Llama, Mistral, Ollama, Perplexity, Watsonx und weitere.

  • Datum: 7. November 2025
  • Kommentare: 17


Aufmacher Top 6

Aufmacher Top 6

(Bild: Elnur/Shutterstock.com)

Die Befürchtungen von vielen KI-Anwenderinnen und -Anwendern habe sich bewahrheitet: LLM-Betreiber sammeln umfangreiche Daten und nutzen diese nicht nur für ihre Zwecke, sondern geben sie auch an Dritte weiter. Am sorgfältigsten ging zum Zeitpunkt der Studie der französische Anbieter Mistral mit den Daten um, und am schlechtesten Meta – das verwundert nicht. Beim Training der Modelle gehen alle Anbieter großzügig mit persönlichen Daten um und nehmen im Prinzip, was sie kriegen können. Beim den Nutzereingaben verzichtet nur Claude gänzlich auf die Datenerhebung, eine Opt-out-Möglichkeit bieten immerhin ChatGPT, Copilot, Mistral und Grok.

  • Datum: 2. Juli 2025
  • Kommentare: 55


Aufmacher Top 5

Aufmacher Top 5

(Bild: JarTee/Shutterstock.com)

Auf zertifizierten Android-Geräten sollen Anwenderinnen und Anwender keine Apps mehr installieren können, die von nicht verifizierten Anbietern stammen. Das Sideloading, also das Installieren jenseits des Play-Stores, soll möglich bleiben, aber nicht anonym. So hatte es Google im Sommer angekündigt. Die Verifizierung muss mit Ausweis erfolgen oder für Firmen mit einem Registernachweis. Nach Kritik machte Google inzwischen einen Teilrückzieher. Erfahrene Nutzer sollen mit speziellen Sicherheitsmechanismen nicht verifizierte Apps installieren können. Ferner dürfen Hobby-Entwickler ihre Apps an einen kleinen Kreis von Nutzern verteilen.

  • Datum: 26. August 2025
  • Kommentare: 318


Aufmacher Top 4

Aufmacher Top 4

(Bild: Sasime/Shutterstock.com)

Viele Open-Source-Freunde beklagen, dass immer mehr Anbieter ihre Software schwächer lizenzieren oder komplett zurückziehen. Einen solchen Fall lieferte die Firma Broadcom, die die bei Entwicklerinnen und Entwicklern beliebten Bitnami-Images und -Charts kostenpflichtig gemacht hat. In einem Interview sprach heise developer mit Johannes Kleinlercher darüber, wie die Branche auf Vorkommisse dieser Art reagieren kann. Er kritisiert: „Allerdings sind die kolportierten Preismodelle von Broadcom wohl nicht darauf ausgelegt, die breite Masse anzusprechen, obwohl sehr viele Contributoren in der Vergangenheit zur Qualität der Bitnami-Charts und -Images beigetragen haben.“

  • Datum: 15. August 2025
  • Kommentare: 90



Source link

Weiterlesen

Künstliche Intelligenz

Justizministerin Hubig gegen Klarnamenpflicht im Internet


Justizministerin Stefanie Hubig (SPD) hat sich gegen eine Klarnamenpflicht im Internet ausgesprochen. „Eine staatlich verordnete Klarnamenpflicht im Internet lehne ich ab. Wer eigene Meinungen oder Erfahrungen anonym oder unter Pseudonym äußern möchte, ist dafür keine Rechenschaft schuldig“, sagte sie dem Tagesspiegel.

Weiterlesen nach der Anzeige

Zuvor hatten sich unter anderem Bayerns Digitalminister Fabian Mehring (Freie Wähler) und der frühere Präsident des Bundesverfassungsgerichts, Andreas Voßkuhle, in der Zeitung für eine solche Pflicht ausgesprochen. Dafür wären Änderungen auf Bundesebene nötig.

Hubig ergänzte, das „berechtigte Interesse an dauerhafter Anonymität“ ende jedoch dort, „wo Straftaten begangen werden“. „Auch im digitalen Raum hat die Meinungsfreiheit Grenzen“, sagte Hubig. Es sei deshalb wichtig, „dass kriminelle Äußerungen im Internet verfolgt werden und Täter zur Rechenschaft gezogen werden können.“ Dafür brauche es aber keine Klarnamenpflicht. Wenn die Identität von Straftätern im Nachhinein ermittelt werden könne, sei das ausreichend.

Mehring hatte gesagt, das Recht auf freie Meinungsäußerung beinhalte keinen Anspruch auf Anonymität. „Man muss schon zu seinen Äußerungen stehen; analog wie digital.“ Was am Stammtisch kriminell sei, müsse auch im Netz sanktioniert werden können. Eine Klarnamenpflicht in den sozialen Medien könne seiner Ansicht nach die Diskurskultur im Netz zivilisieren. Wer wisse, dass sein Handeln nicht folgenlos bleibe, verhalte sich verantwortungsvoller.

So ähnlich hatte auch Voßkuhle argumentiert und erklärt, dass er eine solche Pflicht für „nicht ganz einfach“ halte, aber für „verfassungsrechtlich zulässig“. Hubig sagte: „Bei der Auslegung des Strafrechts muss dem Grundrecht der Meinungsfreiheit Rechnung getragen werden.“ Das Grundgesetz schütze „gerade auch die kontroverse Meinung und die polemische Zuspitzung“.


(nie)



Source link

Weiterlesen

Beliebt