Category Archives: Security

Nächste kritische Sicherheitslücke in Firefox 124.0

Posted on by

Einmal alle auf Firefox 124.0.1 updaten..

https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/

CVE-2024-29944: Privileged JavaScript Execution via Event Handlers

Reporter Manfred Paul via Trend Micro’s Zero Day Initiative
Impact critical
Description

An attacker was able to inject an event handler into a privileged object that would allow arbitrary JavaScript execution in the parent process. Note: This vulnerability affects Desktop Firefox only, it does not affect mobile versions of Firefox.

Die Lücke ist OS unabhängig.

Fedora: Firefox 124.0 Security Update nicht gepusht

Posted on by

Es ist wieder passiert. Wir haben eine RCE Lücke, die von den MozillaDevs als Kritisch eingestuft wird, weil man vermutlich Code ausführen kann als Angreifer, und die Firefox Updates stecken im Fedora Buildsystem fest 🙁

Fedora: Firefox 124.0 Security Update nicht gepusht

Wiedereinmal mußte ich heute die Updates ins Stable schicken, damit Fedorauser als letzte wichtige Sicherheitsupdates bekommen. Langsam ist das nicht mehr schön.

Mein Angebot steht aber: ich helfe gerne aus und kümmere mich darum.

Für alle die jetzt noch kein Update haben, wir machen das hier:

Fedora 38:

wget https://kojipkgs.fedoraproject.org//packages/firefox/124.0/1.fc38/x86_64/firefox-langpacks-124.0-1.fc38.x86_64.rpm https://kojipkgs.fedoraproject.org//packages/firefox/124.0/1.fc38/x86_64/firefox-124.0-1.fc38.x86_64.rpm

Fedora 39:

wget https://kojipkgs.fedoraproject.org//packages/firefox/124.0/1.fc39/x86_64/firefox-langpacks-124.0-1.fc39.x86_64.rpm https://kojipkgs.fedoraproject.org//packages/firefox/124.0/1.fc39/x86_64/firefox-124.0-1.fc39.x86_64.rpm

Dann gemeinsam:

sudo dnf update ./firefox*rpm

Passwort eingeben und gut.

Online-Banking-Check 2024

Posted on by

Weil wir gerade mal bei Sicherheitschecks waren, haben wir kurzerhand den Online-Banking-Check vom 2019 nochmal nachgeholt.

TLS-Gate – Online-Banking-Check

Online-Banking-Check 2024

Das Testziel war TLS 1.3, wenn das kommt: Test bestanden
Das zweite Ziel war, daß TLS < 1.2 nicht mehr geht. Den Test haben alle Kandidaten bestanden.

Hier das Testergebnis im Detail: Die Liste erhebt keinen Anspruch auf Vollständigkeit, falls Eure Bank nicht dabei ist, einfach mal selbst nachsehen 😉

Domainname[:443]TLS 1.3TLS 1.2CA
www.commerzbank.de++GlobalSign
www.nordlb.de–+Atos
www.ksk-stade.de++QuoVadis
meine.postbank.de–+Digicert
meine.deutsche-bank.de++Digicert
www.berliner-sparkasse.de++QuoVadis
www.bv-activebanking.de–+Digicert
meine.norisbank.de++Digicert
www.dkb.de++Digicert
www.sparda-berlin.de–+QuoVadis
www.vrbankmecklenburg.de–+QuoVadis
www.volksbank-demmin.de–+QuoVadis
calenberger.de (Calenberger Kreditverein)++Lets Encrypt!
www.ksk-walsrode.de++QuoVadis
www.diebank.de–+QuoVadis
banking.seeligerbank.de––Digicert
www.sparkasse-nordhorn.de++QuoVadis
hbciweb.olb.de–+D-Trust GmbH
www.apobank.de++QuoVadis

Unsere Testmittel

Für TLS 1.2

echo „TEST“ | openssl s_client –connect www.commerzbank.de:443 -tls1_2 -nbio

Für TLS 1.3

echo „TEST“ | openssl s_client –connect www.commerzbank.de:443 -tls1_3 -nbio

Hier ein Negativbeispiel für TLS 1.3:

$ echo „TEST“ | openssl s_client –connect www.diebank.de:443 -tls1_3 -nbio | grep -E „(version|Cipher)“
004E9A2CE67F0000:error:0A000410:SSL routines:ssl3_read_bytes:sslv3 alert handshake failure:ssl/record/rec_layer_s3.c:1586:SSL alert number 40

Wenn diese Meldung + etwas Restausgabe kommt, dann ging es nicht. Manchmal sieht man auch „SSL alert number 70“.

Glückwunsch an alle Banken, die es geschafft haben!