- rwth-security - lists.rwth-aachen.de

Aktuelle Warnung des DFN-CERT vor Spear-Phishing
by Jens Hektor 17 Oct '18

17 Oct '18

Hallo, uns erreichte eben folgende Warnung des DFN-CERT: --------------------------------------------- Liebe Kolleginnen und Kollegen, wir haben Informationen zu einer aktuellen Spear-Phishing-Kampagne erhalten, deren Ziel deutsche Hochschulen und Forschungseinrichtungen sind. Die dazu verschickten E-Mails warnen z.B. vor dem angeblichen Ablauf eines Bibliothekskontos und enthalten Links, über die möglicherweise auch Schadsoftware verteilt wird. Die E-Mails stammen vermeintlich von einem validen E-Mail-Account einer Hochschule, werden aber von einem französischen Server versendet. Weiterhin enthalten die E-Mails eine gefälschte Signatur der Universitätsbibliothek mit der Registrierungsnummer „SC014336“. Der Empfänger einer solchen E-Mail wird darüber in Kenntnis gesetzt, dass sein Bibliothekskonto bald ablaufe und zur weiteren Nutzung und Aktivierung aufgefordert, den Link „Mein Bibliothekskonto“ aufzurufen und sich anzumelden. Bei diesem Link handelt es sich um eine vom Angreifer kontrollierte Internetpräsenz. Die Angreifer zielen wahrscheinlich darauf ab, das Netzwerk der jeweiligen Universität bzw. Forschungseinrichtung mit den erlangten Credentials zu infiltrieren. Die gesamte Vorgehensweise lässt einen gezielten Angriff auf Angehörige der jeweiligen Universität bzw. Forschungseinrichtung vermuten. Bitte sensibilisieren Sie ggf. den betreffenden Personenkreis ihrer Einrichtung. Wir bearbeiten diesen Vorfall unter der Nummer im Betreff und stehen Ihnen für Nachfragen gerne zur Verfügung. Viele Grüße aus Hamburg, Ihr DFN-CERT --------------------------------------------- sollte so etwas auftauchen, setzt uns bitte in Kenntnis. Ansonsten bitte obenstehendes beachten und umsetzen. Gruß, Jens Hektor -- Dipl.-Phys. Jens Hektor, Networks IT Center, RWTH Aachen University Room 2.04, Wendlingweg 10, 52074 Aachen (Germany) Phone: +49 241 80 29206 - Fax: +49 241 80 22666 http://www.itc.rwth-aachen.de - hektor(a)itc.rwth-aachen.de

1 0

libssh - Authentication bypass in server code
by Bernd Kohler 17 Oct '18

17 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI "Authentication bypass in server code" There is a vulnerability within the server code which can enable a client to bypass the authentication process and set the internal state machine maintained by the library to authenticated, enabling the (otherwise prohibited) creation of channels. Die sbetrifft die Versionen >= 0.6 Siehe dazu auch [1] VG Bernd [0] https://www.libssh.org/security/advisories/CVE-2018-10933.txt [1] https://www.libssh.org/2018/10/16/libssh-0-8-4-and-0-7-6-security-and-bugfi… -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

End of Life für TLS 1.o und TLS 1.1
by Bernd Kohler 16 Oct '18

16 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier FYI TLS 1.0 (released in 1999) und TLS 1.2 (released in 2006) werden zu folgenden Zeiten bei nachstehenden Browsern durch die Folge-Standrads TLS 1.2 und TLS 1.3 ersetzt - sprich EoL für TLS 1.0 und 1.1 [0] Firefox - "March 2020 removal date of TLS 1.0 and TLS 1.1." [1] Safari - "removed from Safari in updates to Apple iOS and macOS beginning in March 2020" [2] IE/Edge - "in supported versions of Microsoft Edge and Internet Explorer 11 in the first half of 2020." [3] Chrome - "Google Chrome will deprecate TLS 1.0 and TLS 1.1 in Chrome 72" " disabled altogether in Chrome 81 ... starting January 2020" VG Bernd [0] https://blog.mozilla.org/security/2018/10/15/removing-old-versions-of-tls/ [1] https://webkit.org/blog/8462/deprecation-of-legacy-tls-1-0-and-1-1-versions/ [2] https://blogs.windows.com/msedgedev/2018/10/15/modernizing-tls-edge-ie11/ [3] https://security.googleblog.com/2018/10/modernizing-transport-security.html -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

OpenPGP signature spoofing using HTML
by Bernd Kohler 16 Oct '18

16 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI "OpenPGP signature spoofing using HTML" Hier am Beispile von Enigmail und Thunderbrid "... when HTML mails are enabled this part of the user interface can be fully controlled by the mail sender ... ... an attacker can simply fake a signature by crafting an HTML mail that will display the green bar ..." Im weiteren werden Beispiele erklärt für - KMail - Evolution - GPGTools plugin for Apple Mail (attack was not possible using the same technique) - mutt (text fakes: the output of the GPG verification command within the mail Gegenmaßnahme: enabling colors for signed messages) VG Bernd [0] https://lwn.net/Articles/767717/ -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

Google using lock screen passwords to encrypt Android Cloud backups
by Bernd Kohler 16 Oct '18

16 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI "Google using lock screen passwords to encrypt Android Cloud backups" VG Bernd [0] https://nakedsecurity.sophos.com/2018/10/16/google-using-lock-screen-passwo… -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

RWTH-Firewall: Sperrung der Ports 40000-65535 zum 14.10.2018
by Jens Hektor 12 Oct '18

12 Oct '18

Hallo, hiermit die Ankündigung der Schliessung der Ports 40000 - 65535 für die Protokolle TCP und UDP zum 14.10.2018 Anmeldungen für in diesem Range betriebene Dienste wie üblich per Firewallformular unter https://noc-portal.rz.rwth-aachen.de/firewall-formular/ Gruß, Jens Hektor -- Dipl.-Phys. Jens Hektor, Networks IT Center, RWTH Aachen University Room 2.04, Wendlingweg 10, 52074 Aachen (Germany) Phone: +49 241 80 29206 - Fax: +49 241 80 22100 http://www.itc.rwth-aachen.de - hektor(a)itc.rwth-aachen.de

2 4

[DNSSEC] Root Zone KSK Rollover
by Bernd Kohler 11 Oct '18

11 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier FYI Der DNSSEC "Root Zone KSK Rollover" findet statt am 1600 UTC on 11 October 2018 --> also heute um 18:00 +0200 (siehe dazu auch [0]) Ein Test bzgl. DNSSEC kann über folgende Webseite durchgeführt werden: http://dnssec.donnerhacke.de/ DNSSEC bei den Name-Server der RWTH befindet sich aktuell in der Planung/Test. Weite Infos auf [1] What you need to know about the first-ever DNSSEC root key rollover on October 11, 2018 [2] DNSSEC: Knot-Resolver für den Rollover des Root-Keys vorbereiten [3] Domain Name System: Vorsichtsmaßnahmen für den DNS-Schlüsseltausch [4] DNS-Schlüsselwechsel: Am 11.10. ist es so weit [5] Automatic DNSSEC Zone Signing Key rollover explained [6] Bereit zum Wechsel des Schlüssels der Root Zone? VG Bernd [0] https://www.icann.org/resources/pages/ksk-rollover [1] https://www.redhat.com/es/blog/what-you-need-know-about-first-ever-dnssec-r… [2] https://heise.de/-3761892 [3] https://heise.de/-4179793 [4] https://heise.de/-4179863 [5] https://kb.isc.org/docs/aa-00822 [6] https://lutz.donnerhacke.de/Blog/Bereit-zum-Wechsel-des-Schluessels-der-Roo… -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

2 2

"HASSH" - a Profiling Method for SSH Clients and Servers.
by Bernd Kohler 11 Oct '18

11 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI ""HASSH" - a Profiling Method for SSH Clients and Servers" Eine Alternative wäre "KEIHash: Fingerprinting SSH" [1] Bei beiden ist es möglich anhand eines PCAP-Mitschnittes SSH-Server und -Clienten zu identifizieren. So wie ich das sehe kann [0] zudem noch einen Live-Mitschnitt auswerten. Auf [2] findet sich ein Video zu dem Thema "Fingerprinting Encrypted Channels for Detection John Althous" der Derbycon 2018. Weitere Informationen finden sich auf der Webseite [3] "Open Sourcing HASSH - A profiling method for SSH Clients and Servers" VG Bernd [0] https://github.com/salesforce/hassh [1] https://blog.didierstevens.com/2018/10/10/keihash-fingerprinting-ssh/ [2] https://www.youtube.com/watch?v=NI0Lmp0K1zc&feature=youtu.be [3] https://engineering.salesforce.com/open-sourcing-hassh-abed3ae5044c?gi=87f2… -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

Flatpak - a security nightmare
by Bernd Kohler 11 Oct '18

11 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI "Flatpak - a security nightmare" VG Bernd [0] https://flatkill.org/ -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0

Just Answering A Video Call Could Compromise Your WhatsApp Account
by Bernd Kohler 10 Oct '18

10 Oct '18

Hallo zusammen, sofern nicht selber schon gesehen/-lesen hier [0] FYI "Just Answering A Video Call Could Compromise Your WhatsApp Account" "... Google Project Zero security researcher Natalie Silvanovich found a critical vulnerability in WhatsApp messenger that could have allowed hackers to remotely take full control of your WhatsApp just by video calling you over the messaging app ..." VG Bernd [0] https://thehackernews.com/2018/10/hack-whatsapp-account-chats.html -- Bernd Kohler IT Center Abteilung: Netze RWTH Aachen University Wendlingweg 10 52074 Aachen Tel: +49 241 80-29793 Fax: +49 241 80-22666 kohler(a)itc.rwth-aachen.de https://www.itc.rwth-aachen.de

1 0