​​​​​Google: SolarWinds-Angreifer sollen iOS-0-Day-Lücke verwendet haben
#Exploit #LinkedIn #Sicherheit #SupplyChainAttack #iOS #iPhone #solarwinds

Die mutmaßlich aus Russland stammenden Hacker nutzten eine auch in neueren iPhones steckende Lücke – der Schadcode kam über LinkedIn-Links․

​​​​​heise-Angebot: Supply Chain Security: Jetzt noch Frühbucherrabatt für den Thementag sichern
#Log4j #Sicherheit #Softwareentwicklung #SupplyChain #SupplyChainAttack #solarwinds

Die halbtägige Online-Veranstaltung am 26․ April beschäftigt sich mit den Schwachstellen in der Softwarelieferkette und Maßnahmen, um sie abzusichern․

​​​​​Npm-Schwachstelle "Package Planting": Vertrauen ist gut, Kontrolle ist besser
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Eine als Package Planting bezeichnete Sicherheitslücke im Paketmanager npm erlaubte laut Aquasec, die Vertrauenswürdigkeit bekannter Maintainer zu missbrauchen․

​​​​​Verwirrung um vermeintlichen Dependency-Confusion-Angriff auf deutsche Firmen
#JFrog #JavaScript #Snyk #SupplyChainAttack #npm

Ein scheinbar bösartiger Supply-Chain-Angriff auf vier Firmen hat sich als Penetrationstest herausgestellt, zeigt aber die anhaltende Gefahr der Attacken․

​​​​​Assured OSS: Google verspricht sichere Open-Source-Software
#Google #GoogleCloud #OpenSource #Sicherheit #Softwareentwicklung #SupplyChainAttack

Der neue Service Assured Open Source Software liefert Pakete, die Google ausgiebig getestet hat und im eigenen Entwicklungsprozess verwendet․

​​​​​Schwachstelle in der API von Travis CI legt sensible Nutzerdaten offen
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Laut Aquasec eröffnet eine Sicherheitslücke in der kostenfreien Version des CI/CD-Tools Travis CI Angreifern den Zugriff auf Tokens, Nutzerdaten und Passwörter․

​​​​​heise-Angebot: secIT Digital: Gut gerüstet gegen Supply-Chain-Angriffe
#Cybercrime #ITSecurity #LieferkettenAngriff #SupplyChainAttack #secIT

Im September findet die IT-Security-Konferenz secIT in digitaler Form statt․ Neben redaktionell ausgewählten Fachvorträgen gibt es auch vertiefende Workshops․

​​​​​Vorbereitung auf Krypto-Miner-Angriff: Hunderte verdächtige Pakete auf npm
#KryptoMining #Kryptowährung #SupplyChainAttack #npm #paketmanager

Auf dem Paketmanager wurden über 1000 Pakete automatisiert erstellt, die einen Supply-Chain-Angriff vorbereiten könnten․

​​​​​Russische Hackergruppe soll deutsche Energieversorger aufs Korn genommen haben
#Eon #EnBW #Energie #FSB #Hacking #KritischeInfrastrukturen #Russland #Sicherheit #Spearphishing #SupplyChainAttack #WateringHole

Laut einem Bericht hat der Generalbundesanwalt Haftbefehl gegen einen russischen Hacker erwirkt, der unter anderem deutsche Energieversorger im Visier hatte․

​​​​​heise-Angebot: secIT Digital: "Lessons learned" – so reagiert man effektiv auf IT-Attacken
#Cyberangriff #Cyberwar #IncidentResponse #Sicherheit #SupplyChainAttack #secIT

Die Security-Konferenz secIT findet im September digital statt․ Viele Themen sind von den heise-Redaktionen handverlesen․ Jetzt kostenloses Ticket sichern․

​​​​​Paketmanager RubyGems․org: Multifaktor-Authentifzierung Pflicht für Top-Pakete
#MFA #PyPi #Ruby #RubyGems #SupplyChainAttack #npm #paketmanager

Mit der Umstellung auf Multifaktor-Authentifizierung für die Top-Downloads folgt der Ruby-Paketmanger den Vorbildern npm und PyPI․

​​​​​Google erweitert Bug-Bounty-Programm, um Lieferketten-Angriffe vorzubeugen
#BugBounty #Google #LieferkettenAngriff #LinuxundOpenSource #Sicherheit #SupplyChainAttack

Ab sofort können sich Sicherheitsforscher in Open-Source-Anwendungen von Google und Drittanbietern austoben, um Lücken auszusieben․ Dafür winken Geldprämien․

​​​​​NSA gibt Sicherheitstipps gegen Supply-Chain-Attacken
#LieferkettenAngriff #NSA #Sicherheit #Softwareentwicklung #SupplyChainAttack

Unter anderem die National Security Agency gibt Softwareentwicklern Tipps, um Supply-Chain-Attacken vorzubeugen․

​​​​​Supply-Chain-Attacke: Trojaner in FishPig-Software bedroht Onlineshops
#FishPig #Magento #Sicherheit #SupplyChainAttack #Trojaner #Wordpress

Derzeit platzieren Angreifer Hintertüren über kompromittierte Shop-Software unter anderem auf WordPress-Websites․

​​​​​heise-Angebot: Jetzt Frühbucherrabatt für den IT-Sicherheitstag in Gelsenkirchen sichern
#DDoS #Ransomware #Security #SupplyChainAttack

Der IT-Sicherheitstag findet am 17․ November in Gelsenkirchen statt․ Im Zentrum der Vorträge stehen Security-Angriffe und ihre erfolgreichen Gegenmaßnahmen․

​​​​​Server-Wartung: Gefährliche BMC-Lücken könnte Supply-Chain-Attacken auslösen
#AmericanMegatrends #BMC #Patches #Security #Sicherheitslücken #SupplyChainAttack #Updates

Sicherheitsforscher sind unter anderem auf eine kritische Sicherheitslücke in Baseboard Management Controllern von American Megatrend gestoßen․

​​​​​UEFI-Sicherheitslücken bedrohen ARM-Geräte wie Microsoft Surface
#ARM #Lenovo #MicrosoftSurface #Patches #Qualcomm #Security #Sicherheitslücken #SupplyChainAttack #UEFI #Updates

Supply-Chain-Attacken möglich: Angreifer könnten auf Lenovo ThinkPads und Microsoft Surface den Schutzmechanismus Secure Boot umgehen․

​​​​​Schadcode-Lücke in JsonWebToken-Bibliothek bedroht 22․000 Software-Projekte
#JsonWebToken #Patch #Security #Sicherheitslücken #SoftwareBiblioheken #SupplyChainAttack #Update

Aufgrund einer Sicherheitslücke in einer weitverbreiteten Bibliothek sind Open-Source-Projekte von unter anderem IBM und Microsoft verwundbar․

​​​​​Paketmanager PyPI verschärft 2FA-Pflicht und setzt Frist
#Malware #PyPi #Security #SupplyChainAttack

Noch dieses Jahr müssen alle Projekte und Maintainer auf PyPI bei der Anmeldung auf 2FA umstellen․