Eine fehlerhafte Software hat in den USA Autos der Marke Jeep lahmgelegt. Der Autohersteller warnt inzwischen davor, das Update der Software uConnect zu installieren.

Das Update, das per Funk („Over The Air“, OTA) verteilt wurde, hat zu einem Ausfall der Fahrzeuge geführt. Betroffen waren die Hybridmodelle von Jeep mit der Bezeichnung Jeep 4xE. Über die Ausfälle berichteten betroffene Fahrzeugbesitzer unter anderem den US-Onlinemedien The Stack und The Autopian sowie in Internetforen.

Ein Wrangler-Fahrer sagte, sein Jeep sei zum Glück innerorts bei geringer Geschwindigkeit ausgefallen. Andere berichteten jedoch gar, dass sich ihre Fahrzeuge auf dem Highway bei einer Geschwindigkeit von rund 100 km/h abgeschaltet hätten.

Ein Mitglied des Jeep-Kundendienstes namens Kori bestätigte in einem Forum der 4Xe-Community den Fehler. „Wir warten auf weitere Informationen von unseren Software-Entwicklern, die den Fehler untersuchen.“

Vorsichtig fahren

Wer das Update bereits installiert habe, solle sehr vorsichtig fahren, riet Kori. Fahrer, die das Update angeboten bekämen, sollten die Installation auf jeden Fall ablehnen.

In einem anderen Post schrieb Kori, das Update sei für das Telematikmodul gedacht – was den Ausfall des Antriebs erklären könnte; uConnect ist eigentlich das Infotainmentsystem des Autokonzerns Stellantis, zu dem auch die US-Marke Jeep gehört. Als mögliche Behelfslösung empfahl Kori, die Fahrzeuge ausschließlich im Verbrennerbetrieb zu fahren und nicht im Elektro- oder Hybridmodus.

(wpl)

Die Entwickler des quelloffenen Webkonferenz-Systems BigBlueButton (BBB) für Windows- und Linux-Server haben mit einem Update auf Version 3.0.13 mehrere Angriffsmöglichkeiten beseitigt.

Authentifizierte Angreifer hätten aus der Ferne unter bestimmten Voraussetzungen drei Schwachstellen mit hohem Schweregrad („High“) missbrauchen können, um bei Videokonferenzen die Chatfunktionen sämtlicher Nutzer zu sabotieren oder per Cross-Site-Scripting (XSS) schädliche Skripte auszuführen. Darüber hinaus war es auch möglich, das aktuelle Meeting oder schlimmstenfalls alle derzeit auf dem betreffenden Server stattfindenden Online-Konferenzen zum Absturz zu bringen (Denial-of-Service).

Über Exploits beziehungsweise Angriffsversuche in freier Wildbahn ist bislang nichts bekannt. Dennoch empfiehlt sich ein zeitnahes Update.

Meeting-Teilnehmer als Angreifer

BBB ist für den Einsatz in Bildungseinrichtungen konzipiert und wird auch hierzulande etwa in Schulen und Universitäten verwendet. Es lässt sich in gängige Lern- und Inhaltsverwaltungssysteme wie IServ, Moodle oder ILIAS einbinden und bringt unter anderem Features für Online-Präsentationen, gemeinsame Notizen (shared notes) und Abstimmungen mit.

Auf einige dieser Features fußen die aktuellen Sicherheitslücken CVE-2025-55200 (XSS, CVSS-v3-Score 7.1), CVE-2025-61601 (DoS, 7.5) und CVE-2025-61602 (DoS, 7.5). So kann ein als Meeting-Teilnehmer angemeldeter Nutzer mit speziell präpariertem Nicknamen die XSS-Lücke durch bestimmte Shared-Notes-Eingaben triggern. Das „Crashen“ eines Meetings basiert auf schädlichen Eingaben in die Abstimmungsfunktion. Und der Chat stürzt ab, wenn ein unzureichend validierter Emoji-Parameter manipuliert wird. Letzteres lässt sich recht einfach über die Entwicklertools des Browsers bewerkstelligen.

Nähere technische Details zu den Sicherheitslücken kann man bei GitHub nachlesen:

Update auf 3.0.13 empfohlen

Ein Update auf Version 3.0.13 schließt die Sicherheitslücken. Die Entwickler raten betroffenen Bildungseinrichtungen, die BBB auf eigenen Servern hosten, zum Aktualisieren der Software; Workarounds gibt es nicht.

Angesichts der detaillierten Angriffsbeschreibungen bei GitHub ist zeitnahes Handeln ratsam.

(ovw)

Nach einem Cyberangriff bei der australischen Airline Qantas im Juli sind jetzt Kundendaten im Netz aufgetaucht. Gemeinsam mit den Ermittlungsbehörden versucht das Unternehmen aktuell noch zu ermitteln, um welche Daten genau es sich handelt. Experten ordnen die Ereignisse bei Qantas dem Cybercrime-Kollektiv Scattered Lapsu$ Hunters zu, das zuletzt eine Reihe von Großunternehmen heimsuchte.

5,7 Millionen Kundendaten waren bei Qantas Anfang Juli gestohlen worden. Größtenteils handelt es sich dabei um Namen, E-Mail-Adressen und Vielfliegerdaten. Ein kleinerer Teil der betroffenen Kundendaten umfasst aber auch Geschäfts- oder Privatadressen sowie Geburtsdaten, Telefonnummern, Geschlecht und Essenspräferenzen, teilte Qantas am Samstag mit. Kreditkartendaten oder Passwörter seien aber nicht betroffen. Vielflieger müssten sich keine Sorgen um ihre Bonuspunkte machen, versichert das Unternehmen in einer Kundeninformation.

Am New South Wales Supreme Court, einem der obersten australischen Gerichtshöfe, hat die Airline nun eine einstweilige Verfügung erwirkt, welche den Zugriff auf und die Veröffentlichung der geleakten Daten untersagt. Was die mutmaßlichen Akteure hinter dem Angriff aber kaum abhalten dürfte: Es gibt Hinweise, dass es sich hierbei um Scattered Lapsu$ Hunters handelt. Ein Konglomerat von Cybercrime Gangs, das aktuell 39 namhafte Unternehmen auf einer Leaksite im Darknet erpresst. Sie fordern unter anderem Google Adsense, Salesforce, Adidas auf, ein Lösegeld zu verhandeln. Ansonsten wollen die Täter zuvor erbeutete Daten veröffentlichen.

Qantas Leak: Auch Troy Hunt gepwnd

Der australische IT-Sicherheitsexperte Troy Hunt ist der Schöpfer von haveibeenpwnd.com. Mit der Seite lässt sich einfach herausfinden, ob die eigene Mailadresse schon einmal Teil eines Datenlecks bei einer Website war und dortige Login-Daten in die Hände von Cyberkriminellen gefallen sein könnten. Jetzt erwischte es Hunt selbst, wie er dem australischen Fernsehsender ABC News bestätigte: Die Mailadresse, die er in einem Qantas-Kundenaccount hinterlegt hat, sei auch Teil der kursierenden Kundendaten.

Allerdings dürfte der Schaden sich in Grenzen halten: Hunt nutzte die betroffene Adresse demnach ausschließlich für Qantas. Eine gängige Praxis unter IT-Sicherheitsexperten: Eine Mailadresse anlegen, die ausschließlich für den Account auf einer bestimmten Webseite dient – wenn hier zum Beispiel plötzlich fremde Mails eintreffen oder die Adresse in völlig anderen Leaks auftaucht, kann das Hinweise auf Kompromittierungen beziehungsweise die Zusammensetzung fremder Datenleaks liefern.

Auf einer Website, wo die Qantas-Daten zunächst zum Download bereitstanden, sind sie Hunt zufolge entfernt worden. Möglicherweise auf Verfügung des Gerichts. „Aber sie sind bereits in Tausenden von Händen und werden wahrscheinlich einfach auf einen neuen Dienst hochgeladen“, sagte er. Der sprichwörtliche Geist sei aus der Flasche. Er rät betroffenen Qantas-Kunden, noch wachsamer gegenüber möglichen Phishing-Versuchen zu sein – je mehr ein Bedrohungsakteur über sein Opfer weiß, desto besser könne er seine Phishing-Angriffe zuschneiden.

(nen)