Die Videoportale Youtube und Vimeo bieten interessierten Nutzern nun an, Inhalte ihrer Seiten im HTML5 darzustellen. Dabei wird auf den üblichen Flash-Player verzichtet und die Videos direkt über die neuen Tags eingebunden. Als Format benutzen beide Portale H.264.

HTML5 mit H.264 wird bisher nur vom Google Chrome, Apple Safari und Microsoft Internet Explorer mit installiertem Chrome Frame unterstützt. Derzeit liefert nur Google direkte H.264-Unterstützung in seinem Browser; Safari greift zur Wiedergabe von H.264-Videos auf QuickTime zurück. Firefox und experimentelle Opera-Fassungen unterstützen lediglich die freien Ogg-Codecs. Das französische Videoportal Dailymotion betreibt unter openvideo.dailymotion.com seit geraumer Zeit einen Ableger, der mit HTML 5 und Theora/Vorbis arbeitet.

Als Reaktion auf eine Sicherheitslücke in mehreren Versionen des Internet Explorer (IE) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Freitag empfohlen, den Microsoft-Browser vorerst nicht zu nutzen, sondern bis zum Vorliegen eines Patches auf einen alternativen Browser umzusteigen. Das Ausführen des Internet Explorer im “geschützten Modus” sowie das Abschalten von Active Scripting erschwere zwar mögliche Angriffe, könne sie jedoch nicht vollständig verhindern, erläutert das BSI.

Zuvor war bekannt geworden, dass durch die Lücke in den IE-Versionen 6, 7 und 8 ein konzertierter Angriff gegen Google, Adobe und zahlreiche andere US-Firmen, hinter denen chinesische Cyber-Spione vermutet werden, ermöglicht wurde. Die Lücke, die Microsoft inzwischen offiziell bestätigt hat, ermöglicht es, über eine manipulierte Webseite Code auf einen Windows-Rechner zu schleusen und zu starten. Die Angreifer nutzten dies, um einen Trojaner-Downloader auf die angegriffenen Rechner zu schleusen.

Der Downloader lud wiederum über eine SSL-gesicherte Verbindung weitere Module von einem Server nach, unter anderem eine Backdoor, mit der die Angreifer aus der Ferne Zugriff auf die Rechner hatten. Die Links zu den präparierten Webseiten wurden wohl per Mail an ausgesuchte Mitarbeiter in den jeweiligen Firmen gesendet. Microsoft arbeitet eigenen Angaben zufolge an einem Patch und will diesen eventuell als “Emergency Patch” außerhalb der monatlichen Patchday-Reihe veröffentlichen.

Quelle: heise.de

Im Artikel Wurm dringt in Windows-Systeme über RPC-Lücke ein habe ich ja schon am 25. Oktober berichtet. Diese Lücke schein beseitigt und nun hat Micrsoft bekannt gegeben, dass heute am 17. Dezember noch ein Extra-Patch für den Internet Explorer nachgelegt werden soll. Er behebt das folge Problem: Zero-Day-Exploit für Internet Explorer breitet sich aus

Ist das nicht ein tolles Weihnachtsgeschenk von unserem Weltmarktführer, der sich für seine sicheren Betriebssystem bezahlen lässt. Da die Jungs aus Redmond in der Regel wegen der Zeitzonen 9 Stunden später aufstehen als wir, ist vor dem Abend wohl nicht damit zu rechnen.

Auch bei dem Sicherheitsloch im Internet Explorer handelt es sich um ein kritisches Problem, das aktiv ausgenutzt wird. Die Lücke wurde vor genau einer Woche, parallel zum Dezember-Patchday bekannt. Bis dahin beschränkten sich die Attacken damit hauptsächlich auf den chinesischen Raum. Mittlerweile werden offenbar immer mehr Webserver gezielt durch SQL Injection kompromittiert, um über den Exploit die Rechner ihrer Besucher zu infizieren. Somit sah sich Microsoft wohl gezwungen, schnellst möglich zu handeln.

Ob auch für die beiden anderen akuten Sicherheitsprobleme noch dieses Jahr Patches erscheinen, lässt sich der Ankündigung ebenfalls nicht entnehmen. Eine Lücke in Wordpad wird nach Microsofts eigenen Angaben ebenfalls bereits ausgenutzt und Microsofts SQL-Server weist offenbar ebenfalls ein noch ungepatchtes Problem auf.

Quelle: heise.de

Nach Beobachtungen von Sicherheitsfirmen breitet sich der Zero-Day-Exploit für den Internet Explorer rapide im Netz aus. Er richtet sich gegen eine besonders gefährliche Lücke in allen Versionen des des Microsoft-Browsers, für die es bislang keinen Patch gibt: Allein durch Öffnen einer Internetseite kann der Windows-PC mit Schadsoftware infiziert werden. Anders als bei den meisten anderen Angriffen ist also kein weiterer unvorsichtiger Klick des Surfers erforderlich.

Immer mehr harmlose Server werden derzeit durch SQL-Injection so manipuliert, dass sie den Zero-Day-Exploit an anfragende Rechner ausliefern. Daher kann man sich unter Umständen auch auf Webseiten vertrauenswürdiger Anbieter infizieren.

Antiviren-Software schützt nur begrenzt vor Web-Seiten, die einen solchen Exploit nutzen, um Rechner mit Schadsoftware zu infizieren. Zum Einen überwachen längst nicht alle Virenwächter den Internet-Verkehr; viele beschränken sich darauf, Dateien zu durchsuchen. Aber wenn eine Web-Seite im Browser-Cache landet, ist es meist schon zu spät und der böse Code läuft bereits. Zum Anderen haben noch längst nicht alle Hersteller passende Signaturen erstellt. Einen echten Exploit, der heise Security am Dienstag erreichte, erkannten am heutigen Samstag unter anderem CA, Kaspersky, Trend Micro, NOD32, Panda und F-Secure noch nicht.

Microsoft gibt eine ausführliche Liste von Workarounds, wie der Internet Explorer zu konfigurieren ist, um den Exploit ins Leere laufen zu lassen. Dazu gehört unter anderem der wenig praxistaugliche Tipp, Scripting zu deaktivieren, ohne das es auf eine Reihe von Webseiten zu Problemen bei der Darstellung und Bedienung kommen kann.

Solange Microsoft noch keinen Patch bereitstellt, sollte man zu einem alternativen Browser greifen, der die verwundbaren Microsoft-Bibliotheken nicht benutzt. Populäre Beispiele sind Firefox, Opera oder Safari.

Quelle: heise.de