D.h. nicht, dass aktuelle Software nicht angreifbar is
da wurden die definitiv dutzendfach vorhandenen lücken nur NOCH nicht gefunden!
das ganze wird darauf hinauslaufen, dass es jetzt katz und maus der ki geben wird. also das alte geschäftsmodell von antivirenprogrammen, wo die entwickler der viren dort im keller arbeiten 
vorher war schon nix sicher, aber jetzt nichtmal mehr ansatzweise...
Es hat sich herausgestellt, das diese PHP Lücke seit Monaten bekannt war - aber im theoretischen Bereich war, was bis dahin keiner ausnutzen könnte. PHP-Devs hatten darum keine Prio darauf gelegt. Man hatte auch herumdiskutiert, wie man es am besten lösen könnte... simple Lösung war es nicht, da es sonst Inkompatibilitäten bringen würde.
Die KI hat diese Lücke also nicht entdeckt, sondern eine Form der Ausnutzung gefunden. Als das Kind also in den Brunnen gefallen war, begann das Rennen. Dummerweise hatte jemand alles mögliche vorab veröffentlicht... und dann musste es noch hastiger umgesetzt werden - vor alleim, weil noch VOR dem Fix jemand begann die Lücke auszunutzen...
In einem Beitrag habe ich gelesen, dass es nun 100te Explots dazu auf Github gibt - aber keins davon wirklich easy auszunutzen wäre. Diese funktionieren in der realen Welt nicht wirklich gut. Die Panik ist also riesengroß. Besser schnell und vorsorglich updaten (impfen) - man weiß ja nie.
Wenn KI nun PHP so gründlich scannt - und nur das finden konnte - dann kann man PHP schon als sehr sicher einstufen - und das ist irgendwie beruhigend. Vorausgesetzt PHP ist nicht "ent-konfiguiert". Die Skripte drauf sind ein anderes Thema.
Die KI ist schon sehr nützlich - so werden vermutlich 10x mehr Lücken gefunden. MS bringt nun jedes Mal riesige Updates mit 1000 fixes.
Wir haben aktuell ein "unsicheres Zeitfenster" - wo der uralte Code noch nicht durch KI gecheckt wurde. Das kann noch eine Weile dauern.
Extrem blöd ist nur, dass die KI auch Software ohne Sourcecode dekompilieren und in besser verständlichen Code umwandeln kann - dann darauf aufbauend Sicherheitslücken finden kann und einen Exploit entwickeln kann - VOLLAUTOMATISIERT. Jemand könnte sich also Windows vornehmen und jede einzelne binary so durchackern.
Ganz aktuell gibt es sehr heftige, geradezu alarmierende Sicherheits-Vorfälle!!!
#################
Beim eMudhra-Vorfall handelt es sich um eine gravierende Sicherheitsspanne bei der indischen Zertifizierungsstelle eMudhra, bei der acht private kryptografische Schlüssel von sogenannten Zwischenzertifikaten (Intermediate CAs) trivial zu erraten waren. In der Folge zog sich das Unternehmen vollständig aus dem weltweiten TLS/SSL-Zertifikatsgeschäft zurück.
Was genau ist passiert?
Ein Sicherheitsforscher entdeckte, dass acht private Schlüssel von eMudhra keine riesigen, komplexen Zufallszahlen waren, sondern extrem kurze Zahlenwerte (8-Bit-Werte zwischen 0 und 255). Einer der geheimen Schlüssel entsprach schlichtweg der Zahl „4“.
Ursache dafür war ein Fehler in einem Programm zur Schlüsselerzeugung, wodurch diese extrem schwachen Werte fälschlicherweise für echte Zwischenzertifikate übernommen wurden.
Warum war das so gefährlich?
Kryptografische Schlüssel im Internet sichern verschlüsselte HTTPS-Verbindungen (wie beim Online-Banking oder beim Online-Shopping). • Digitale Falschmünzerei: Wer im Besitz eines solchen Zwischenzertifikats-Schlüssels ist, kann für jede beliebige Internetadresse (Domain) gültige Zertifikate fälschen (***). Das ist vergleichbar mit dem Diebstahl eines echten Behördenstempels, mit dem man täuschend echte Ausweise drucken kann. • Unbemerktes Mitlesen: Angreifer hätten den Datenverkehr zu bekannten Plattformen umleiten und manipulieren können, ohne dass Browser eine Sicherheitswarnung oder ein rotes Schloss-Symbol anzeigen.
In der Folge haben alle Browserhersteller sofort diese Zertifikate entzogen.
Betriebssysteme, Programmiersprachen etc. haben Eil-Updates bekommen.
*** = Ja, absolut jede Domain – inklusive Google, Ihrer persönlichen Website, Online-Banking-Portalen wie PayPal oder Ihrer Bank, sowie Social-Media-Plattformen.
Warum funktionierte das für jede Domain?
Das gesamte Vertrauenssystem im Internet (die sogenannte Public-Key-Infrastruktur oder PKI) basiert auf einer hierarchischen Vertrauenskette:
Da der private Schlüssel von eMudra für jeden Angreifer innerhalb von Sekunden zu erraten war (weil er nur die Zahl „4“ war), besaß der Angreifer plötzlich diesen Generalschlüssel.
Ein Browser prüft bei einem Zertifikat für google.com oder ihre-domain.de im Grunde nur: „Wurde dieses Zertifikat von einer vertrauenswürdigen Zwischenstelle unterschrieben?“ Wenn der Angreifer die Signatur mit dem eMudhra-Schlüssel gefälscht hat, sagt der Browser: „Ja, die Unterschrift ist echt, eMudhra vertraue ich, die Verbindung ist sicher.“
####################
Brotli Decoder Lücke
Die Lücke betrifft nicht nur ein einzelnes Programm, sondern zieht weite Kreise durch die moderne Software-Infrastruktur, da unzählige Programmiersprachen und Frameworks den Google-Decoder direkt in ihren eigenen Code fest eingebettet haben:
• Laufzeitumgebungen: Vor allem Node.js (Sicherheitsupdates für die Reihen 22.x, 24.x und 26.x wurden veröffentlicht) und Bun.
• Programmiersprachen: Python (über die Pakete Brotli und brotlicffi), .NET (Microsoft verteilt bereits Updates) sowie Software auf C++-Basis.
Das Risiko resultiert daraus, dass viele moderne Standardfunktionen und Bibliotheken Brotli-Daten automatisch im Hintergrund dekodieren, sobald die Gegenstelle diese schickt.
In Node.js ist der fehlerhafte Brotli-Decoder direkt fest in die Laufzeitumgebung integriert.
In Python soll das tückisch sein - selbst wenn die Anwendung Brotli gar nicht direkt importiert.
Hab ihm dann meine Rechnung per E-Mail gesendet, zwei Tage später war die Kohle bezahlt.
Hast du gleich einen Arbeitsvertrag mit rangelegt ? 
![[smilie_happy]](https://goldseiten-forum.com/wcf/images/smilies/smilie_happy_058.gif "smilie_happy"){kind=small}
,… Anmelden oder registrieren
Anmelden oder registrieren
