Datenschutz & Sicherheit
zlib: Kritische Schadcode-Lücke in untgz-Tool der „Überall-Bibliothek“
In einem Werkzeug der Kompressionsbibliothek zlib, die in zahlreichen Programmen und Betriebssystemen enthalten ist, haben IT-Forscher eine kritische Sicherheitslücke entdeckt. Sie ermöglicht unter Umständen das Einschleusen und Ausführen von Schadcode. Ein Update zum Stopfen des Sicherheitslecks gibt es bislang noch nicht.
Weiterlesen nach der Anzeige
Auf der nur noch wenig aktiven Mailingliste Full Disclosure hat der IT-Forscher Ronald Edgerson Informationen zur Sicherheitslücke gepostet. In der Funktion TGZfname() des untgz-Tools von zlib, das sich um die Dekompression von .tar.gz-Archiven (oder oftmals kurz .tgz) kümmert, kann ein Pufferüberlauf auftreten. Ursache ist das Kopieren von Nutzer-übergebenen Daten ohne Längenprüfung mit einem strcpy()-Aufruf auf einen globalen statischen Puffer von 1024 Byte Größe. Durch das Übergeben eines größeren Archivnamens erfolgt ein Schreibzugriff außerhalb der vorgesehenen Speichergrenzen, was zu Speicherverletzungen führt. Die Lücke hat nun den Schwachstelleneintrag CVE-2026-22184 erhalten (CVSS4 9.3, Risiko „kritisch“).
Das untgz-Tool gehört zu Nutzer-beigesteuerten Werkzeugen (im contrib-Ordner des Projekts), die offiziell keinen Support erhalten. Sie sind jedoch auch nicht zwingend Bestandteil von ausgelieferten zlib-Paketen.
Auswirkungen der Sicherheitslücke
Edgerson führt aus, dass die Folgen unter anderem ein Absturz (Denial-of-Service, DoS), Speicherverletzungen von darauffolgenden globalen Objekten, nicht definiertes Verhalten oder sogar die Ausführung von eingeschleustem Code sein könnten. Jedoch gibt es dabei noch Abhängigkeiten vom verwendeten Compiler, der Prozessorarchitektur des Systems, verwendeten Build-Flags und dem Speicherlayout. Der verwundbare Code wird vor jedwedem Parsen oder Prüfungen des Archivs ausgeführt, wodurch sich die Lücke trivial allein durch Aufruf mit präpariertem Kommandozeilenparameter ausnutzen lasse. Da globaler Speicher betroffen sei, könnten die Speicherfehler über die Funktion hinaus wirksam werden und später das Programmverhalten beeinflussen.
Betroffen ist zlib bis einschließlich zur aktuellen Fassung 1.3.1.2, wie Vulncheck angibt, die den CVE-Schwachstelleneintrag erstellt und veröffentlicht haben. Aktualisierte Software steht derzeit noch nicht bereit. Im Github-Projekt von zlib deutet zum Meldungszeitpunkt noch nichts auf Korrekturen im Quellcode hin. Ein Problembericht wurde jedoch kürzlich eingereicht.
Im Herbst 2022 fiel die zlib-Bibliothek zuletzt durch eine kritische Sicherheitslücke auf. Auch dort konnten Angreifer den sicherheitsrelevanten Fehler missbrauchen, um Schadcode einzuschleusen und auszuführen. Damals waren jedoch Aktualisierungen bereits zeitnah verfügbar.
Weiterlesen nach der Anzeige
Update
08.01.2026,
10:17
Uhr
Ergänzt, dass das untgz-Tool zu von Benutzern beigesteuerten Werkzeugen im contrib-Ordner gehören. Sie erhalten damit keinen Support, werden aber nicht unbedingt mit den zlib-Bilbliothek-Paketen ausgeliefert.
(dmk)
Datenschutz & Sicherheit
Boris Palmer will Videoüberwachung durchsetzen
Laut Polizeigesetz von Baden-Württemberg ist Videoüberwachung des öffentlichen Raums erlaubt, wenn dort besonders viel Kriminalität stattfindet und das auch in Zukunft zu erwarten ist. Boris Palmer, Ex-Grüner und nun parteiloser Oberbürgermeister von Tübingen, wollte auf Basis dieses Gesetzes Kameras im Bereich vor dem Hauptbahnhof errichten lassen.
Doch der Landesdatenschutzbeauftragte von Baden-Württemberg, Tobias Keber, stellte sich gegen den Plan. In dem Areal finde gar nicht übermäßig viel Kriminalität statt, zuletzt seien die Zahlen sogar gesunken, argumentierte er. „Bei der Videoüberwachung handelt es sich um eine Maßnahme mit hoher Eingriffsintensität, da großflächig Grundrechte von Bürgerinnen und Bürgern eingeschränkt werden, die hierfür keinen Anlass gegeben haben. Ein solcher Grundrechtseingriff kann ausnahmsweise gerechtfertigt sein“, schrieb er. Die Voraussetzungen für diese Ausnahme seien aber nicht erfüllt.
Auch aus Tübingen selbst gab es Widerstand. Der Verwaltungsausschuss der Stadt beschloss: „Die Stadtverwaltung wird aufgefordert, keine Kameras zur Videoüberwachung auf dem Europaplatz zu installieren.“ Der Gemeinderat strich dem Projekt die Finanzierung.
Videoüberwachung nach Datenschutzgesetz
Boris Palmer und das Tübinger Regierungspräsidium, das die Überwachungspläne unterstützt, haben daraufhin die Rechtsgrundlage gewechselt, mit der sie die Videoüberwachung rechtfertigen. Nun soll nicht mehr nach Polizeigesetz, sondern nach Landesdatenschutzgesetz überwacht werden. Demnach ist Videoüberwachung erlaubt, um Personen zu schützen, die sich in öffentlichen Einrichtungen oder deren Nähe bewegen, oder um Kulturgüter, Gebäude und Sachen zu sichern.
Anfang Februar wurde die Novelle des Landesdatenschutzgesetzes vom Landtag beschlossen. Tübingen soll nun zum Vorreiter in der Nutzung dieses Gesetzes zur Videoüberwachung werden.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Ob dessen sehr niedrige Eingriffsschwelle reicht, um die massiven Persönlichkeitsrechtsverletzungen aller Passant*innen an diesem belebten Areal zu rechtfertigen, ist fragwürdig. Gerade prüft der Landesdatenschutzbeauftragte das Vorgehen.
Sechs Kameras geplant
Das Regierungspräsidium teilte dem Reutlinger General-Anzeiger (GEA) mit, „dass die Videoüberwachung am Europaplatz in Tübingen mit den im Landesdatenschutzgesetz genannten Zielen begründet werden kann und es der polizeirechtlichen Begründung nicht mehr bedarf“. Die Überwachung werde deshalb nun eingeführt. Die Stadtverwaltung ließ GEA wissen, dass man bereits Angebote für die Installation von sechs Kameras einhole.
Und auch die Tatsache, dass der Gemeinderat die finanziellen Mittel für die Überwachng gesperrt hat, will die Verwaltung unter Boris Palmer umgehen. Sie verkündete gegenüber dem SWR, dass man ja Mittel umschichten könne, bis zu 70.000 Euro könne Palmer auch freihändig investieren. 20.000 Euro sollen die sechs Kameras kosten.
Dabei gab Palmer in einer Stellungnahme gegenüber dem Jugendgemeindebeirat zu, dass es auch andere Möglichkeiten gäbe, das Sicherheitsgefühl der Bevölkerung vor dem Bahnhof zu steigern, die weniger in das Persönlichkeitsrecht eingreifen: Notrufsäulen, verbesserte Beleuchtung, verstärkte Bestreifung.
Datenschutz & Sicherheit
CarGurus: Have I Been Pwned integriert Daten von 12,5 Millionen Kunden
Die kriminelle Online-Bande ShinyHunters hat Daten von Nutzern und Nutzerinnen bei dem Fahrzeug-Verkaufsdienstleister CarGurus Inc. kopiert. Nach offenbar fehlgeschlagenem Erpressungsversuch des seit 2017 auch in Deutschland aktiven Unternehmens sind die Daten nun öffentlich. Das Prüfangebot Have-I-Been-Pwned (HIBP) von Troy Hunt hat die Daten aufgenommen. Wer die Plattform genutzt hat, kann dort jetzt prüfen, ob die eigenen Informationen betroffen sind.
Weiterlesen nach der Anzeige
Wie Hunt auf der Have-I-Been-Pwned-Übersichtsseite zu den Datenlecks schreibt, umfassen die veröffentlichten Daten mehr als 12 Millionen E-Mail-Adressen in mehreren Dateien. Zudem sind Nutzerkonten-IDs enthalten, Daten aus finanziellen Vorprüfungen, Händlerkonten sowie Abo-Informationen. Hunt führt weiter aus, dass auch Namen, Telefonnummern, Anschriften und IP-Adressen sowie der Ausgang von Finanzierungsanfragen betroffen sind.
CarGurus: Umfangreicher Datensatz kopiert
Laut der Leaksite von ShinyHunters im Darknet sind die Daten komprimiert 6,1 GByte groß und umfassen mehr als 12,4 Millionen Einträge – das deckt sich mit den Angaben von Troy Hunt. Die Cyberbande hat die Daten demnach am vergangenen Samstag veröffentlicht. Hunt hat sie am gestrigen Sonntag in die HIBP-Datensammlung eingepflegt.
ShinyHunters fielen etwa Mitte Dezember auf, als die Kriminellen Daten von einem Dienstleister von Pornhub abgegriffen hatten und mit deren Veröffentlichung drohten. Diese gehörten etwa zu Nutzern des Premium-Angebots der Pornografie-Plattform. Zu dem Zeitpunkt war der Darknet-Auftritt der Gruppe offline. Nun ist er jedoch wieder erreichbar.
Wer prüfen möchte, ob die eigene E-Mail-Adresse in diesem oder anderen Datenlecks enthalten ist, kann das einfach auf der Webseite des Have-I-Been-Pwned-Projekts machen. Der Identity Leak Checker des Hasso-Plattner-Instituts bietet einen vergleichbaren Dienst an, ebenso die Universität Bonn mit ihrem eigenen Identity Leak Checker. Anfang November vergangenen Jahres hatte das Have-I-Been-Pwned-Projekt 1,3 Milliarden neu geleakter E-Mail-Adressen zu dem Datenfundus hinzugefügt. Sie stammten von Datensammlungen, die Infostealer-Malware angelegt hatte.
(dmk)
Datenschutz & Sicherheit
Bremen führt Verhaltensscanner im Nahverkehr ein
In Bremen läuft in 14 Tram-Bahnen KI-gestützte Videoüberwachung, ab April soll das System auf die übrigen Bahnen und Busse ausgerollt werden. Das haben die Verkehrsbetriebe (BSAG) vergangene Woche im Rahmen einer Projektvorstellung bekannt gemacht. Das System versucht zu erkennen, wie die abgebildeten Menschen handeln, um so aggressives Verhalten zu detektieren.
80 Prozent der Kosten von 10.000 Euro je Bahn zahlt das Bundesverkehrsministerium, das hier offenbar ein Leuchtturmprojekt sieht. Laut der Verkehrsbetriebe ist Bremen damit das erste Bundesland mit KI-Überwachung im öffentlichen Nahverkehr. Die Bremer Polizei hat ebenfalls Interesse an der Technologie angemeldet, die sie im öffentlichen Raum einsetzen möchte. Zahlreiche Bundesländer bohren dafür gerade ihre Polizeigesetze auf.
Die für die KI-Analyse nötige Videoüberwachung stünde in Bremen bereit. An 40 Standorten wird der öffentliche Raum mit Kameras kontrolliert. Doch die Bremer Polizei wird noch warten müssen. Am Mittwoch soll eine Novelle des Polizeigesetzes in der Bremischen Bürgerschaft debattiert werden. Die Erlaubnis, Verhaltensscanner zu nutzen, beinhaltet sie nicht. Dafür erlaubt der Gesetzentwurf der Polizei aber den heimlichen Einsatz von Videodrohnen.
Bremer Polizei soll heimlich Überwachungsdrohnen einsetzen
Die Überwachung mit Videodrohnen soll in drei Stufen stattfinden: Livestream zur Lagebeurteilung, Aufzeichnung, verdeckter Einsatz – mit jeweils immer höheren Eingriffsschwellen. Dem verdeckten Einsatz muss beispielsweise ein Richter zustimmen – außer es liegt eine Gefahr für „Leib, Leben oder Freiheit“ einer Person vor. Dann darf die Polizei auch freihändig agieren.
Die Entwicklung ist besonders interessant, da Bremen seit 2007 von einer Koalition aus SPD, Grünen und Linken regiert wird, die sich eigentlich ein besonders liberales Polizeigesetz gegeben hatte. In Bremen kann man etwa nach einer Polizeikontrolle eine Quittung verlangen, die den Grund für die Kontrolle verrät und die Polizist*innen im Land tragen eine individuelle Kennzeichnung.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Nun folgt also auch dieses Land zumindest ein Stück weit dem bundesweiten Trend zur Verschärfung der Polizeigesetze. So soll beispielsweise mit dem neuen Polizeigesetz ein Satz wegfallen, der Zivilpolizist*innen im Rahmen einer Maßnahme dazu verpflichtet, sich unaufgefordert auszuweisen.
Präventiver Einsatz von elektronischen Fußfesseln
Primär geht es in dem Entwurf um den Schutz von Opfern häuslicher Gewalt. Dazu soll der Aufenthaltsort der Täter*innen mit elektronischen Fußfesseln überwacht werden. Nach dem „Spanischen Modell“ sollen sich auch die Opfer freiwillig überwachen lassen können, um bei einer Annäherung des Täters gewarnt zu werden.
Das GPS-Tracking darf nicht nur gegen Ausübende häuslicher Gewalt eingesetzt werden, sondern auch gegen Menschen, denen die Polizei zutraut, dass sie einen Terroranschlag begehen. Der Einsatz ist präventiv möglich, ohne dass es vorher zu einer Straftat gekommen sein muss.
Mit dem neuen Polizeigesetz will Bremen auch die Hürden für Videoüberwachung des öffentlichen Raums senken. Während bislang noch eine erhöhte Kriminalitätsbelastung nötig ist, damit ein bestimmtes Areal überwacht werden kann, soll es künftig reichen, dass die örtlichen Verhältnisse Straftaten erwartbar machen. Dann reicht die Annahme, dass dort irgendwann mal etwas passiert, um ein Areal zu überwachen. Das bringt die Legitimation der Videoüberwachung von einer faktischen, zahlenbasierten Grundlage in die freihändige Einschätzung der zuständigen Polizeikräfte.
-
Künstliche Intelligenzvor 2 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 2 WochenCommunity Management zwischen Reichweite und Verantwortung
-
Apps & Mobile Entwicklungvor 3 MonatenFast 5 GB pro mm²: Sandisk und Kioxia kommen mit höchster Bitdichte zum ISSCC
-
Apps & Mobile Entwicklungvor 3 MonatenHuawei Mate 80 Pro Max: Tandem-OLED mit 8.000 cd/m² für das Flaggschiff-Smartphone
-
Entwicklung & Codevor 2 MonatenKommentar: Anthropic verschenkt MCP – mit fragwürdigen Hintertüren
-
Datenschutz & Sicherheitvor 3 MonatenSyncthing‑Fork unter fremder Kontrolle? Community schluckt das nicht
-
Social Mediavor 2 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
-
Künstliche Intelligenzvor 3 MonatenGame Over: JetBrains beendet Fleet und startet mit KI‑Plattform neu
