Connect with us

Datenschutz & Sicherheit

Warten auf Sicherheitspatch: Attacken auf Telefonie- und VoIP-GUI FreePBX


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Angreifer attackieren derzeit das freie GUI FreePBX für Telefonie- und VoIP-Umgebungen auf Asterisk-Basis. Ein Sicherheitspatch ist angekündigt, aber bisher nicht verfügbar. Bis dahin sollten Admins ihre Systeme mit einer Übergangslösung schützen.

Noch vieles unbekannt

Aus einem Beitrag eines Teammitglieds im FreePBX-Forum geht hervor, dass der Sicherheitspatch zeitnah erscheinen soll. Instanzen seien aber nur verwundbar, wenn das Admin-Panel über das Internet erreichbar ist. Außerdem klingt es so, als müsse das Endpoint-Modul installiert sein.

In so einem Fall setzen Angreifer am Interface an. Wie das konkret abläuft, ist bislang unklar. Derzeit gibt es auch keine weiterführenden Informationen zur Sicherheitslücke und welche Auswirkungen erfolgreiche Attacken haben. Auch eine CVE-Nummer und eine Einstufung des Schweregrads der Schwachstelle stehen noch aus.

Jetzt handeln!

Um den Ansatzpunkt für Angreifer zu beseitigen, beschreiben die FreePBX-Entwickler einen Workaround, den Admins ihnen zufolge umgehend ausführen sollten. Bis zum Erscheinen des Sicherheitsupdates müssen Admins prüfen, ob das Interface öffentlich erreichbar ist. Ist das gegeben, müssen sie über das FreePBX-Firewall-Modul den Zugriff auf alleinig ihre IP-Adresse reglementieren. Überdies muss sichergestellt sein, dass das aktuelle Endpoint-Modul installiert ist.

Weiterführende Informationen, wie Admins bereits attackierte Instanzen erkennen und wiederherstellen können, listen die Entwickler im Forumsbeitrag auf. Im Zuge dessen müssen Admins unter anderem Passwörter für ihre Systeme ändern und Backups einspielen.

Im Forum melden sich auch Betroffene. Ein Nutzer berichtet von kompromittierten Servern und rund 3000 attackierten SIP-Telefonen.


(des)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Eure Chats mit ChatGPT sind nicht privat


OpenAI, der Hersteller von ChatGPT hat in einem Blogpost angekündigt, seinen Chatbot sicherer machen zu wollen. Gleichzeitig hat das Unternehmen bekannt gegeben, dass es die Chats, die mit seinem Bot geführt werden, automatisch nach bestimmten Themen scannt. Manche Inhalte würden dann menschlichen Moderator*innen zur Prüfung vorgelegt.

In Fällen, in denen die Moderator*innen Dritte in Gefahr sehen, könnten die Chats auch an die Polizei weitergegeben werden, schreibt OpenAI. In Fällen von Selbstgefährdung würde die Polizei allerdings außen vor gelassen, aus Respekt vor der Privatsphäre der Betroffenen. Grund sei die „einzigartig private Natur“ der Interaktionen mit ChatGPT.

Tatsächlich vertrauen Nutzer*innen dem Chatbot intimste Details an – vermutlich ohne zu ahnen, dass Menschen diese Unterhaltungen einsehen können. „ChatGPT kennt alle meine Schwächen, Sorgen und Geheimnisse“, bekennt eine Autorin des Guardian. Das Sprachmodell wird zunehmend von Menschen wie eine befreundete Person behandelt oder für Dating-Tipps benutzt. Der Hersteller versuchte in der Vergangenheit bereits zu verhindern, dass ChatGPT als Freund*in oder Therapeut*in benutzt wird.

Der Ankündigung von OpenAI, seinen Chatbot sicherer machen zu wollen, war der Selbstmord eines kalifornischen Teenagers vorausgegangen. Dessen Eltern verklagen nun OpenAI. Der Chatbot habe dem Jugendlichen Methoden zur Selbsttötung empfohlen und angeboten, einen Abschiedsbrief für ihn zu verfassen.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Beide Verhaltensweisen von ChatGPT konnten in einer Studie reproduziert werden. Eine weitere Studie hat ebenfalls herausgefunden, dass es nicht schwer ist, von ChatGPT Anleitungen zur Selbstverletzung zu erhalten. Gleichzeitig vermeide der Chatbot es, direkt auf Fragen zu antworten, die sich mit der Suche nach therapeutischer Hilfe beschäftige, heißt es dort.

Der Fall des Kaliforniers ist nicht der erste Selbstmord, der in Zusammenhang mit ChatGPT gebracht wird. Zudem können die Chatbots wohl psychotische Gedanken fördern.

Neben der Durchsuchung der Chats und deren eventueller Weiterleitung, die laut OpenAI bereits praktiziert wird, plant das Unternehmen weitere Sicherheitsmaßnahmen. So arbeite es beispielsweise daran, dass der Chatbot auch in längeren Unterhaltungen sein Sicherheitstraining nicht vergisst.

Neben der potenziellen Selbstverletzung sollen vom Chatbot auch weitere psychische Belastungen besonders behandelt werden, so zum Beispiel der Glaube, ohne Pause Autofahren zu können. Menschen in psychischen Notlagen soll professionelle Hilfe vermittelt oder die Kontaktaufnahme mit Angehörigen nahegelegt werden. Und Eltern sollen mehr Kontrolle über die Chatbot-Nutzung ihrer Kinder erhalten können. Wann diese Maßnahmen umgesetzt werden sollen, gab das Unternehmen allerdings nicht bekannt.



Source link

Weiterlesen

Datenschutz & Sicherheit

Mehr als 28.000 Netscaler-Instanzen anfällig für Citrix Bleed 3


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Am Mittwoch wurde bekannt, dass Schwachstellen in den Netscalern (ADC und Gateways) von Citrix angegriffen werden, die bereits als „Citrix Bleed 3“ tituliert werden. Die Shadowserver Foundation hat am Mittwoch Zahlen veröffentlicht, denen zufolge weltweit am Dienstag noch mehr als 28.000 Systeme für die Lücke „Citrix Bleed 3“ verwundbar sind. Angreifer können darauf vermutlich die Schwachstellen missbrauchen.

Die IT-Forscher der Shadowserver Foundation haben ihr Ergebnis für den Dienstag, den 26.08.2025, auf X veröffentlicht. Mehr als 28.200 verwundbare Instanzen für Citrix Bleed 3 (CVE-2025-7775) zählten sie da, auf Platz 1 die USA mit mehr als 10.000 Systemen, an zweiter Stelle Deutschland mit mehr als 4.300 anfälligen Netscalern.

Die Citrix-Netscaler-Systeme sind mit hoher Wahrscheinlichkeit für die am Mittwoch gemeldeten Schwachstellen CVE-2025-7775 (CVSS4 9.2, Risiko „kritisch„), CVE-2025-7776 mit CVSS 8.8 und Risiko „hoch“ sowie CVE-2025-8424 (CVSS4 8.7, Risiko „hoch„) anfällig. Für die stehen erst seit Dienstag dieser Woche Aktualisierungen bereit, die die sicherheitsrelevanten Fehler beseitigen. Als Einschränkungen für die Verwundbarkeit nennt Citrix:

  • NetScaler muss als Gateway konfiguriert sein – das trifft wohl für die Mehrzahl der Geräte zu,
  • oder die NDcPP-/FIPS-zertifizierte Version muss Loadbalancing-Dienste für HTTP/QUIC in IPv6 anbieten,
  • oder NetScaler ist als virtueller CR-Server (Cache Redirection) vom Typ HDX konfiguriert.

Angriffe laufen, Updates installieren

IT-Verantwortliche sollten aufgrund der laufenden Attacken ihre Netscaler-Systeme rasch auf den aktuellen Stand bringen. Die Fehler korrigieren die Fassungen:

  • NetScaler ADC and NetScaler Gateway 14.1 14.1-47.48
  • NetScaler ADC and NetScaler Gateway 13.1 13.1-59.22
  • NetScaler ADC 13.1-FIPS and NDcPP 13.1-37.241-FIPS and NDcPP
  • NetScaler ADC 12.1-FIPS and NDcPP 12.1-55.330-FIPS and NDcPP

sowie neuere Versionen der Software.

Admins können gegebenenfalls prüfen, ob sie verwundbar sind, indem sie die „ns.conf“-Datei auf ihren Netscalern auf das Vorhandensein der Bedingungen für eine Verwundbarkeit prüfen. Citrix erklärt im zugehörigen Support-Artikel, wie IT-Verantwortliche das anstellen können.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Daten beim Hotel-Check-in: Wer hat in meinem Bettchen gelegen?


Einer der mutmaßlichen North-Stream-Saboteure flog auf, weil er sich in einem italienischen Hotel anmeldete und seine Daten bei der Polizei landeten. Wie sind die Ermittler:innen an die Informationen gelangt und wie ist die Situation für Reisende bei Übernachtungen in Deutschland?

Strand mit Liegestühlen, im Hintergrund Hotels
Die Provinz Rimini ist als Urlaubsziel beliebt. – Alle Rechte vorbehalten IMAGO / blickwinkel

In Italien griff die Polizei vergangene Woche einen Ukrainer auf. Er soll mutmaßlich an der Sabotage der North-Stream-Gaspipelines vor drei Jahren beteiligt gewesen sein, gegen ihn gibt es einen europäischen Haftbefehl. Wie der Verdächtige letztlich aufgeflogen ist: Beim Familienurlaub gab er zur Anmeldung seine Daten an, die wurden an die Polizei übermittelt, es gab einen Treffer. Festnahme.

Es klingt fast zu einfach und für einen vielgesuchten Mann zu leichtsinnig, um wahr zu sein. Begründet ist der Ermittlungserfolg im italienischen Meldewesen für Unterkünfte. Die Betreiber von Hotels und anderen Übernachtungsbetrieben müssen die Daten ihrer Gäste erfassen, persönlich kontrollieren und spätestens innerhalb von 24 Stunden über ein einheitliches Online-Portal an die örtliche Polizeibehörde übermitteln.

Das ist in Europa ungewöhnlich, in den meisten Staaten werden die Daten der Reisenden nicht automatisch an Behörden weitergeleitet. Ähnliche Übermittlungsvorschriften gibt es jedoch etwa in Spanien, wo es seit Dezember 2024 ein neues Register für Übernachtungen, Mietwagen-Buchungen und andere touristische Angebote gibt.

Ausweis, bitte!

Doch auch wenn Reisendendaten in Deutschland nicht gleich bei der Polizei landen: Die Bitte um das Vorzeigen eines Ausweises kennen viele auch aus deutschen Hotels. Hierzulande ist eine besondere Meldepflicht jedoch zum 1. Januar 2025 für inländische Gäste weggefallen. Die frühere Ampelregierung hatte sie in einem Bürokratieentlastungsgesetz gestrichen.

Aktuell ist die Situation also: Wer als Deutsche:r in einem deutschen Hotel übernachtet, muss seine Meldedaten nicht mehr per Unterschrift quittieren und durch das Zeigen des Ausweises belegen. Für Nicht-Deutsche gelten die alten Regeln nach Bundesmeldegesetz jedoch weiter. Die Unterkünfte müssen die ausgefüllten Meldezettel 12 Monate aufbewahren. Fragen Polizei, Gerichte, Staatsanwaltschaften oder andere berechtigte Ermittler:innen sie an, müssen sie diese herausgeben.

Das, so Markus Luthe vom Hotelverband Deutschland, sei aber in der Vergangenheit kaum passiert. „Ab und an melden sich Ermittler im Rahmen einer Fahndung bei Hotels und lassen sich die Meldescheine zur Einsicht vorlegen.“ Dass sie „das große Besteck“ herausholen und die Meldescheine auf Schriftprobe, Fingerabdrücke oder DNA-Anhaftungen untersuchen, sei extrem selten.

Dass die Meldescheine für inländische Gäste weggefallen sind, begrüßt der Geschäftsführer des Branchenverbandes. Das erspare den Häusern einiges an Verwaltungsaufwand. Eine Ungleichbehandlung zwischen Deutschen und Ausländern hingegen widerspreche der „DNA der Hoteliers“. Diese Ungleichbehandlung liegt jedoch nicht in den Händen der deutschen Gesetzgeber:innen, die Meldepflicht ist im Schengener Durchführungsübereinkommen festgelegt und somit völkerrechtlich verbindlich.

Mehr Daten, mehr Risiko

Dennoch verlangen Hotels weiterhin Daten von ihren Gästen, auch die Frage nach dem Ausweis hören Übernachtende noch regelmäßig. Die möglichen Gründe dafür sind vielfältig. „Die Unterkünfte brauchen weiterhin Daten, um Rechnungen zu stellen“, sagt Luthe. Die müssen sie entsprechend steuerrechtlicher Vorgaben zehn Jahre aufheben. Vorschriften zur Erhebung und Weitergabe gibt es auch an Orten, wo eine Kur- oder Tourismusabgabe anfällt. Dort müssen Unterkunftsbetreiber in der Regel die Daten ihrer Gäste erheben und an kommunale Stellen übermitteln.

Was Luthe sich für die Zukunft wünscht, ist eine digitale Möglichkeit, die notwendigen Daten der Gäste schnell und sicher zu ermitteln. Dafür hatte es bereits ein Pilotprojekt gegeben, das jedoch seit dem Scheitern der deutschen ID Wallet und dem Rückzug der Ausweis-App aus den App-Stores im Jahr 2021 nicht weitergeführt wurde. Explizit als Anwendungsfall genannt sind Hotel-Check-ins nun bei der EU-weiten digitalen Brieftasche. Bis Anfang 2027 sollen alle EU-Mitgliedstaaten ihren Bürger:innen für die sogenannte EUDI-Wallet eine Lösung anbieten.

Was Übernachtungssuchende vermeiden sollten: Den Hotels und anderen ihren Ausweis zur vollständigen Kopie überlassen. Das ist zwar mit Zustimmung der Ausweisinhaber:innen prinzipiell erlaubt, nicht benötigte Angaben sollten aber in jedem Fall unkenntlich gemacht werden. Das ist besonders angesichts möglicher späterer Datenlecks relevant. So wurde im August bekannt, dass eine Hacking-Gruppe sich Zugang zu den Buchungssystemen italienischer Hotels verschaffte und danach unter anderem Scans von Ausweisdokumenten auf Plattformen zum Kauf anboten.

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.



Source link

Weiterlesen

Beliebt