Im 'wireshark' Netzwerk Traffic Analyzer wurden mehrere Sicherheitslücken gefunden, durch die bösartg konstruierte Pakete beliebigen Code ausführen können. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Bei Symantec Altiris Notification Server / Symantec Management Platform und der Symantecs Altiris Deployment Solution 6.9 wird ein ActiveX Control (AeXNSConsoleUtilities.dll) eingesetzt. Dieses zeigt einen Fehler, durch den Unberechtigte unautorisierten administrativen Zugang zum Managementserver erhalten können. Das jetzt verfügbare Update sollte zeitnah installliert werden.

Im LDAP Client Configuration Cache Daemon (ldap_cachemgr(1M)) bestehen verschiedene Schwachstellen, die von lokalen Benutzern ausgenutzt werden können, um den Daemon anzuhalten. Bei Sun Solaris 9 und 10 können als Folge keine Namen mehr über LDAP aufgelöst werden, was einem Denial-of-Service (DoS) entspricht. Bei Sun Solaris 8 wird der Nameservice erheblich langsamer und ohne Caching durchgeführt, was auch ein DoS ist. Updates stehen jetzt zur Verfügung.

OpenSSL zeigt einen Fehler bei der Implementierung des TLS/SSLv3 Protokolls. Hierdurch ist es möglich, mit Hilfe eines Man-in-the-Middle Angriffs HTTP-Anfragen in eine HTTPS-Session zu injizieren, ohne dass dies bemerkt wird. Ein Update schließt diese Lücke.

Im Microsoft Internet Explorer (IE) wurde eine Sicherheitslücke bei der Verarbeitung von CSS Stype Elementen gefunden, durch die bösartig konstruierte HTTP Seiten beliebigen Code ausführen können. Ein Hotfix steht noch nicht zur Verfügung.

Im Nameserver BIND wurden eine Sicherheitslücke gefunden, durch die Daten aus der Additional Section einer Antwort ohne DNSSEC Prüfung in den Cache übernommen werden können. Fehlerbereinigte Software steht jetzt zur Verfügung.

Der aktuelle SUSE Security Summary Report berichtet über Sicherheitslücken in den Paketen cups, jetty5, libqt4/dbus-1-qt, opera, puretls/jessie, kdegraphics3-pdf, qemu und udev. Fehlerbereinigte Pakete stehen jetzt zur Verfügung und sollten auf den betroffenen Systemen installiert werden.

In der Bibliothek 'libvorbis' wurden Fehler bei der Verabeitung von .ogg Dateien gefunden, durch die bösartig konstruierte .ogg Dateien beliebigen Code ausführen können.
In PHP 5 wurden mehrere Sicherheitalücken gefunden.
In der 'poppler' PDF Bibliothek wurden mehrere Integerüberläufe, Pufferüberläufe und Speicherverwaltungsfehler gefunden.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

In der Bibliothe 'kdelibs' wurde ein Pufferüberlauf gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

In 'php-mail', einem PHP PEAR Modul zum Senden von Email, wurde eine Sicherheitslücke bei der Überprüfung von Eingabedaten gefunden. Möglicherweise werden vertrauliche Daten preisgegeben. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im HP Operations Manager fpr Windows wurde eine Sicherheitslücke gefunden, durch die ein Angreifer über das Netzwerk nichtautorisierten Zugang erlangen kann. Ein Patch steht jetzt zur Verfügung.

In VMware vCenter, ESX und vMA wurden mehrere Schwachstellen gefunden. Fehlerbereinigte Software steht jetzt zur Verfügung.

Bei gforge handelt es sich um ein Entwicklungswerkzeug. Eine nicht ausreichend genaue Prüfung der mit dem sog. Helpname übergebenen Daten bietet Angreifern die Möglichkeit, einen Cross-Site Scripting (XSS) Angriff durchzuführen. Ein Update schließt diese Lücke und führt auch an anderen Stellen eine erweiterte Überprüfung von Parametern ein.

Im Sun Java 6 JRE/SDK wurden mehrere Sicherheitslücken gefunden, die durch ein Update geschlossen werden können.

Bei bestimmten HP Farblaserdruckern besteht eine Schwachstelle, die dazu ausgenutzt werden kann, über das Netzwerk Zugang zum Drucker zu erhalten oder einen Denial-of-Service (DoS) durchzuführen. Ein Firmware-Update schließt diese Lücke.

Bei Bugzilla handelt es sich um ein webbasiertes Bugtracking-System. Einer Arbeitsgruppe zugeordnete Fehler sollten bis auf Basisinformationen von Nicht-Mitgliedern dieser Gruppe nicht zu sehen sein. Es stellte sich heraus, dass der Aliasname des Fehlers unter bestimmten Bedingungen unberechtigterweise abgerufen werden kann. Ein Update behebt dieses potenzielle Problem.

Der Wyse Simple Imager (WSI) enthält ältere Versionen des TFTP-Servers TFTPD32, der einige seit langem bekannte Sicherheitslücken aufweist. Ein Angreifer kann diese dazu ausnutzen, um eigenen Code auf anfälligen Systemen auszuführen. Notwendig wären der Betrieb von WSI oder TFTPD32. Es wird empfohlen, auf die aktuelle Version von TFTPD32 umzusteigen.

In den Drupal Third Party Modulen PHPList Integration, Strongarm, Feed Element Mapper, Subgroups for Organic Groups, PHPList Integration, Ubercart, Gallery Assist und Printfriendly wurden verschiedene Sicherheitslücken gefunden.
Verbesserte Software steht jetzt zur Verfügung und sollte bei Nutzung dieser Module zeitnah installiert sein. Bitte beachten Sie, dass Drupal Core von diesen Problemen nicht betroffen ist.

SolidDB ist eine im RAM arbeitende relationale Datenbank von IBM. Über das Netzwerk lässt sich hier eine Schwachstelle in der Core-Komponente des Datenbankservers ausnutzen, um ohne weitere Authentifizierung einen Denial-of-Service (DoS) gegen den Dienst zu erreichen. IBM hat nun SolidDB und SolidDB Universal Cache 6.3 Fix Pack 3 herausgegeben, wodurch das Problem zu beheben ist.

Im Cisco Catalyst Blade Switch 3020/3021 wurde eine potenzielle Schwachstelle bekannt, durch die Angreifer über das Netzwerk einen Denial-of-Service (DoS) erreichen können. Unter Umständen ist auch die Ausführung von Code möglich. Aktualisierte Firmware steht jetzt zur Verfügung.

Der HP Openview Network Node Manager (NNM) ist ein verbreitetes Tool für das Monitoring von Netzwerken. Im NNM 7.53 besteht eine Lücke in der Hauptkomponente des Datenbankservers. Über das Netzwerk lässt sich daher ohne weitere Authentifizierung ein Denial-of-Service (DoS) gegen den internen Datenbankservice erreichen. Fixes stehen jetzt zur Verfügung.

In SAMBA (7) wurden jetzt zwei Schwachstellen bekannt. Ein normaler Benutzer mit einem gültigen Account kann über das Netzwerk unautorisierten Root-Zugang zum Dateisystem erhalten. Weiterhin kann ein angemeldeter Benutzer mit speziellen SMB-Anfragen einen Denial-of-Service (DoS) auslösen. Updates stehen jetzt zur Verfügung.

OpenSSL zeigt einen Fehler bei der Implementierung des TLS/SSLv3 Protokolls. Hierdurch ist es möglich, mit Hilfe eines Man-in-the-Middle Angriffs HTTP-Anfragen in eine HTTPS-Session zu injizieren, ohne dass dies bemerkt wird. Ein Update schließt diese Lücke.

Im Common UNIX Printing System (CUPS) wurden zwei Sicherheitslücken gefunden, durch die Denial-of-Service und Cross-Site-Scripting Angriffe möglich sind. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

In den Linux Kerneln von Red Hat Enterprise Linux wurden mehrere Sicherheitslücken gefunden. Fehlerbereinigte Kernel Pakete stehen jetzt zur Verfügung.

Im Apache HTTP Server wurden mehrere Sicherheitslücken im Zusammenhang mit TLS/SSL Verbindungen und dem Modul mod_proxy_ftp gefunden.
In 'gnutls', einer Implementierung des TLS und SSL Protokolls, wurde eine Sicherheitslücke bei "\0" Zeichen in Domain Namen gefunden, durch die mit bösartigen Zertifikaten ein Man-in-the-Middle Angriff möglich ist.
In der Bibliothek 'libgd' wurden mehrere Sicherheitslücken gefunden.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Der IBM WebSphere Application Server zeigt eine Lücke, durch die ein Cross-Site Request Forgery Angriff (XSS) möglich ist. Grund hierfür ist eine nicht ausreichend genaue Prüfung von Eingaben bei der Administrations-Konsole. Fehlerbereinigte Software steht jetzt zur Verfügung.

Der Apache HTTP Server aktiviert die HTTP Methode TRACE in der Standardkonfiguration. Dies ermöglicht Cross-Site-Scripting (XSS) Angriffe. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im Kernel von SUSE SLES 9 und Novell Linux Desktop 9 wurden mehrere Sichehrheitslücken gefunden. Fehlerbereinigte Kernel Pakete stehen jetzt zur Verfügung.

In dem 'samba3x' Pakete aus Red Hat Enterprise Linux 5 Supplementary wurden mehrere Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im OpenJDK 6 Java Runtime Environment und dem OpenJDK 6 Software Development Kit wurden verschiedene Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Der IBM WebSphere Application Server zeigt eine Lücke, durch die ein Cross-Site Scripting Angriff (XSS) möglich ist. Grund hierfür ist eine nicht ausreichend genaue Prüfung von Eingaben bei der Administrations-Konsole. Ein Angreifer kann daher über das Netzwerk Skriptcode in einer Webseite hinterlegen, der dann im Sicherheitskontext des Servers im Browser des Opfers ausgeführt wird. Es genügt schon das Ansehen der Seite, dass der Angreifer die cookiebasierten Credentials stehlen kann. Ein Fix Pack schließt diese Schwachstelle.

Bei Poppler besteht die Gefahr eines Pufferüberlaufs, da nicht alle Daten eines PDF-Dokuments ausreichend genau geprüft werden. Sofern ein Angreifer einen Benutzer überzeugt, ein speziell präpariertes PDF-Dokument zu öffnen, kann aufgrund des Pufferüberlaufs Code des Angreifers ausgeführt, zumindest aber ein Denial-of-Service erreicht werden. Bitte prüfen Sie, ob für Ihr System inzwischen ein Update zur Verfügung steht.

In Gimp zeigt die Funktion ReadImage die Möglichkeit eines Integerüberlaufs. Hierdurch können Angreifer über das Netzwerk mit präparierten BMP-Dateien eigenen Code zur Ausführung bringen lassen. Grund ist ein heapbasierter Pufferüberlauf, der durch inkorrekte Werte für Breite und Höhe ausgelöst wird. Ein überarbeitetes Paket steht zur Verfügung.

In den Sun VirtualBox Guest Additions wurde jetzt ein Fehler bekannt. Normale Benutzer können den Kernelspeicher des Gastsystems verbrauchen, so dass ein Denial-of-Service (DoS) gegen das in der virtuellen Maschine laufende Gastsystem erreicht wird. Weil die Guest Additions nur beim Gastsystem aktiv sind, ist die Schwachstelle auf Benutzer eben dieses Systems beschränkt, das Hostsystem ist nicht betroffen. Ein neues Release behebt dieses potenzielle Problem.

Bei Windows 7 und Windows Server 2008 R2 besteht eine Schwachstelle im Server Message Block (SMB) Protokoll. Hierdurch kann ein Denial-of-Service (DoS) erreicht werden. Microsoft betont, dass keine weiteren Gefahren vorhanden seien. Ein Proof-of-Concept steht im Internet bereit. Da noch kein Patch verfügbar ist, empfiehlt Microsoft, die betroffenen Geräte durch Firewalls zu schützen, indem die Ports 139/tcp und 445/tcp geblockt werden. Bitte beachten Sie bei der Formulierung von Regeln, dass es sich um Basisports von Windows handelt.

Im IBM Java 2 Runtime Environment und dem IBM Java 2 Software Development Kit wurden verschiedene Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im Kernel von SuSE Linux wurden mehrere Sichehrheitslücken gefunden. Diese führen zu unterschiedlichen Gefahren, u.a. dass lokale Benutzer administrative Rechte auf einem System erhalten können. Ein entsprechendes Kernel-Update steht jetzt zur Verfügung.

In den Drupal Third Party Modulen RootCandy, AddToAny und Web Services wurden verschiedene Sicherheitslücken gefunden.
Verbesserte Software steht jetzt zur Verfügung und sollte bei Nutzung dieser Module zeitnah installiert sein. Bitte beachten Sie, dass Drupal Core von diesen Problemen nicht betroffen ist.

In Sun Solaris wurde ein Speicherleck im Zusammenhang mit TCP Sockets gefunden, durch das ein lokaler Benutzer einen Denial-of-Service Zustand herbeiführen kann.
Im Webinterface des Common Unix Printing Systems (CUPS) wurden mehrere Sicherheitslücken gefudnen, die zu Cross-Site Scripting (XSS) and HTTP Response Splitting Angriffen genutzt werden können.
Im Instant Messaging Client 'Pigdin' wurde eine Sicherheitslücke gefunden.
Patches stehen jetzt zur Verfügung.

Im Kernel von SuSE Linux wurden mehrere Sichehrheitslücken gefunden. Diese führen zu unterschiedlichen Gefahren, u.a. dass lokale Benutzer administrative Rechte auf einem System erhalten können. Ein entsprechendes Kernel-Update steht jetzt zur Verfügung.

In 'httpd', dem Apache Webserver, wurden mehrere Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Das Paket 4Suite enthält XML-Tools und -Bibliotheken für Python. Ein Fehler beim Lesen des Puffers tritt bei der Behandlung spezieller UTF-8 Sequenzen durch den XML-Parser von 4Suite auf. Mit einer XML-Datei, die spezielle Sequenzen enthält, kann die 4Suite Bibliothek beim Parsen dieser Datei zum Absturz gebracht werden, was ein Denial-of-Service (DoS) ist. Überarbeitete Pakete stehen zur Verfügung.

Ein Update behebt verschiedene Sicherheitslücken im Sun Java 5 Runtime Environment und dem Sun Java 5 Software Development Kit. Es sollte möglichst zeitnah installiert sein.

Spezielle Word-Dateien mit einem falschen Record bieten Angreifern die Möglichkeit, eigenen Code zur Ausführung zu bringen, wenn ein Benutzer dieses Dokument öffnet. Ein Hotfix steht jetzt zur Verfügung.

Acht Schwachstellen in Microsoft Excel können beim Parsen oder Bearbeiten von Dokumenten dafür sorgen, dass u.a. Code potenzieller Angreifer ausgeführt wird. Um sie auszunutzen ist es notwendig, dass ein Benutzer dazu verführt wird, speziell präparierte Dokumente zu öffnen. Ein Hotfix steht jetzt zur Verfügung.

Active Directory sowie Implementierungen vom Active Directory Application Mode (ADAM) bzw. Active Directory Lightweight Directory Service (AD LDS) zeigen eine Lücke bei der Ausführung bestimmter LDAP- oder LDAPS-Anfragen, die zu einem Denial-of-Service führen kann. Ein Hotfix steht jetzt zur Verfügung.

Drei Schwachstellen erlauben die Ausführung beliebigen Codes und die Kompromittierung anfälliger Systeme. Es handelt sich dabei um eine Win32k NULL Pointer Dereferenzierung, nicht ausreichend genaue Prüfung von benutzerspezifischen Daten sowie ein Fehler beim Win32k EOT Parsing. Ein Hotfix steht jetzt zur Verfügung.

Beim Windows 2000 Server SP4 kann mit speziellen RPC-Paketen ein Heapüberlauf im License Logging Server ausgelöst werden. Folge ist die Ausführung beliebigen Codes auf dem anfälligen System. Übernahme des Systems ist prinzipiell möglich. Ein Hotfix steht jetzt zur Verfügung.

Die Web Services on Devices API (WSDAPI) unter Windows Vista und Server 2008 zeigt eine Lücke, die Ausführung von beliebigen Code erlaubt, indem ene WSDAPI Message mit einem speziellen Header an ein anfälliges System geschickt wird. Übernahme des Systems ist prinzipiell möglich. Ein Hotfix steht jetzt zur Verfügung.

Adobe Photoshop Elements Version 8.0 und 7.0 zeigt eine potenzielle Schwachstelle. Ein mit gültigen Rechten angemeldeter Benutzer, ggf. auch mit physikalischem Zugang, kann diese Lücke ausnutzen, um beliebige Kommandos mit erweiterten Rechten abzusetzen. Im Advisory wird ein Workaround beschrieben, der dieses unterbindet.

Der aktuelle SUSE Security Summary Report berichtet über Sicherheitslücken in den Paketen cyrus-imapd, neon/libneon, freeradius, strongswan, openldap2, apache2-mod_jk, expat, xpdf und mozilla-nspr. Fehlerbereinigte Pakete stehen jetzt zur Verfügung und sollten auf den betroffenen Systemen installiert werden.

Der Windows Installer setzt per Default ein leeres Passwort für den administrativen Benutzer. Sofern dies nicht während der Installation geändert wird, hat auch der Defaultbenutzer mit dem Namen Admin, der Rolle Admin und Manager kein Passwort gesetzt. Es wird empfohlen, die Einstellung zu überprüfen und starke Passworte einzusetzen.

Verschiedene potenzielle Schwachstellen wurden jetzt im Java Runtime Environment (JRE) und Java Developer Kit (JDK) unter HP-UX bekannt. Diese Schwachstellen können zu unautorisiertem Zugang über das Netzwerk, einer Erweiterung von Rechten und auch Denial of Service (DoS) führen. Updates stehen ab sofort zur Verfügung.

CUPS ist das Common Unix Printing System. Hier besteht eine Schwachstelle, die Angreifern einen Cross-Site Scripting (XSS) Angriff ermöglicht. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Das Transport Layer Security (TLS) Protokoll zeigt eine prinzipielle Schwachstelle, die auch Produkte von Cisco betreffen könnte, da TLS und SSL genutzt wird. Sie besteht bei den Verhandlungen zur Session, wodurch Benutzer Opfer eines Man-in-the-Middle Angriff werden können. Derzeit untersucht Cisco dieses Problem und wird später, sofern notwendig, ein Update herausgeben.

Security Update 2009-006 für Mac OS X v10.6.2 steht zur Verfügung. Da hierdurch sehr viele Sicherheitslücken geschlossen werden, sollte dieses Update zeitnah installiert werden.

Apache Tomcat ist ein Servlet Container für Java Servlets und JavaServer Pages (JSP). Verschiedene Schwachstellen können zu Cross-Site Scripting (XSS), Bekanntgabe interner Informationen, Denial-of-Service (DoS) und anderen Problemen führen. Daher wurden jetzt überarbeitete Pakete herausgegeben, die zeitnah installiert sein sollten.

Die Pakete libvorbis enthalten Laufzeitbibliotheken für den Einsatz in Programmen, die das Ogg Vorbis Audioformat unterstützen. In der Bibliothek libvorbis wurden verschiedene Sicherheitslücken gefunden, die mit speziellen Dateien im Ogg Vorbis Mediaformat (Ogg) ausgenutzt werden können. Folgen sind, dass libvorbis abstürzt oder möglicherweise beim Öffnen einer solchen Datei auch beliebiger Code ausgeführt wird. Überarbeitete Pakete stehen jetzt zur Verfügung.

Ein Update behebt verschiedene Sicherheitslücken im Sun Java 6 Runtime Environment und dem Sun Java 6 Software Development Kit. Es sollte möglichst zeitnah installiert sein.

In den Komponenten des Apache 2 mod_perl2(3) Moduls bestehen zwei Schwachstellen. Ein Fehler in der Komponente "RunPerl.pm" kann einem normalen Benutzer über das Netzwerk einen Denial-of-Service (DoS) Angriff ermöglichen, indem der den "httpd" Prozess des Apache 2 zum Absturz bringt. Zusätzlich besteht in der Komponente "Status.pm" für einen Angreifer die Möglichkeit, über das Netzwerk einen Cross-Site Scripting (XSS) Angriff erfolgreich durchzuführen. Hierdruch können Zugangsbeschränkungen umgangen oder auch unautorisiert auf Daten zugegriffen werden. Updates stehen jetzt zur Verfügung.

Es besteht eine Schwachstelle im SCTP (Stream Control Transmission Protocol) und SDP (Sockets Direct Protocol). Ein normaler Benutzer kann im Kernel ein Speicherleck auslösen und damit einen Denial-of-Service erreichen. Updates stehen zur Verfügung.

Asterisk ist eine freie Software, die alle Funktionalitäten einer herkömmlichen Telefonanlage abdeckt. Asterisk umfasst einen AJAX basierten Manager für Demozwecke, der das Framework prototype.js nutzt. Hier besteht ein Problem, so dass ein Cross-Site AJAX Request Angriff möglich ist. Weiterhin ist es möglich herauszufinden, ob ein Peer mit einem bestimmten Namen in Asterisk konfiguriert ist. Dieses geschieht durch das zweifache Senden einer REGISTER Message. Umgehen lassen sich diese Probleme durch den Upgrade auf die aktuelle Version.

Bei Blender handelt es sich um eine frei verfügbare Software für 3D Grafiken. Blender .blend Projektdateien können vom Design her beliebige Kommandos ohne Benutzer ausführen. Ein Angreifer kann die volle Kontrolle über ein System, auf dem Blender läuft, erhalten, indem er einen Benutzer mit einer speziell präparierten .blender-Datei versorgt und diese dann ausführen lässt. Ein PoC steht im Internet bereit, aber ein Patch bis heute noch nicht.

Im HP Power Manager wurde eine potenzielle Schwachstelle gefunden. Hierdurch besteht für Angreifer die Möglichkeit, über das Netzwerk beliebigen Code auszuführen. Um dieses Sicherheitsrisiko zu vermindern, soll nach Hewlett Packard darauf geachtet werden, dass nur wirklich vertrauenswürdige Benutzer Zugriff auf den HP Power Manager haben sollten.

Im IBM Java 4 JRE/SDK von Red Hat Enterprise Linux für SAP wurden zwei Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

In den Drupal Third Party Modulen User Protect, Node Hierarchy , Presentation Player, Temporary Invitation, NGP COO/CWP Integration, Smartqueues for Organic Groups, Link, Organic Groups Vocabulary und Zoomify wurden verschiedene Sicherheitslücken gefunden.
Verbesserte Software steht jetzt zur Verfügung und sollte bei Nutzung dieser Module zeitnah installiert sein. Bitte beachten Sie, dass Drupal Core von diesen Problemen nicht betroffen ist.

Die Überwachung des PowerHA Cluster Managements über Port 6177 erlaubt einem Angreifer, über das Netzwerk beliebige Änderungen an der lokalen Konfiguration des AIX durchzuführen. Fixes stehen jetzt zur Verfügung.

Das Shibboleth System ist ein auf Standards basierendes, Open Source Softwarepaket für Single Sign-On im Web-Bereich. Die Software enthält Code, mit dem über Forms beliebige Umleitungen generiert werden können. Die genutzten URLs werden nicht alle ausreichend genau geprüft, so dass Cross-Site Scripting (XSS) und verwandte Angriffe möglich sind. Überarbeitete Versionen von Shibboleth 1.3.x und 2.x Identity Provider bzw. Service Provider software steht jetzt zur Verfügung.

Die Sun Solaris 10 Kernel Patches 141444-09 und 141445-09 können dafür sorgen, dass Interfaces im IP Multipathing (IPMP) nicht mehr funktionieren. Dies geschieht dann, wenn sie für die sog. Probe Based Failure Detection konfiguriert sind, nicht beim der linkbasierten Überprüfung. Das Advisory zeigt einen Workaround.

Die Sun Virtual Infrastructure (VDI) 3.0 zeigt bei der Authentifizierung einen Fehler. Daher können über das Netzwerk angemeldete Benutzer unautorisiert Zugang zum VirtualBox web service erhalten. Für Sun Solaris 10 steht ein Patch zur Verfügung.

Der "pipe" Systemcall im Linux-Kernel zeigt einen Fehler bei der Implementierung. Hierdurch können lokale Benutzer die Rechte von root erhalten. Hinweise zur Erhöhung der Sicherheit stehen zur Verfügung. Sie sollten umgesetzt sein, bis ein Patch zur Verfügung steht.

Die Symantecs Altiris Deployment Solution und Notification Server Web Consoles installieren ein fehlerhaftes ActiveX Control. Dies sollte zwar nicht von extern aufrufbar sein, aber die Überprüfung bzw. der Filter für Benutzereingaben arbeitet nicht richtig. Daher kann auf einem System über das Netzwerk im Kontext des Browsers eines Benutzers beliebiger Code ausgeführt werden. Ein Update behebt dieses Problem.

Eine Schwachstelle im Solaris Sockets Direct Protocol (SDP) Treiber (sdp(7D)) kann normalen, angemeldeten Benutzern die Möglichkeit bieten, sämtlichen Kernelspeicher zu belegen. Dieses ist ein Denial-of-Service (DoS) Angriff, der durch die Installation eines Patches verhindert werden kann.

Ein Fehler in der LDAP-Implementierung des Novell eDirectory Servers erlaubt Angreifern, ohne weitere Authentifizierung einen Denial-of-Service (DoS) Angriff gegen anfällige Systeme durchzuführen. Um das Problem zu beheben, hat Novell ein Update herausgegeben.

In Drupal6, einem umfangreichen Web Content Management Framework, wurden mehrere Sicherheitslücken gefunden.
In 'nspr', der NetScape Portable Runtime Library, wurden mehrere Sicherheitslücken gefunden, die es ermöglichen, beliebigen Code auszuführen.
Im Instant Messaging Client 'Pigdin' wurde ein Fehler beim Umgang mit Zeigern gefunden, durch den bösartige Kontaktanfragen beliebigen Code ausführen können.
Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im IBM Java 6 JRE/SDK wurden mehrere Sicherheitslücken gefunden. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im Web Content Management System 'typo3' wurden mehrere Sicherheitslücken gefunden, die ein Angreifer über das Netzwerk ausnutzen kann. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

Im Linux Kernel 2.6, der Basis von Linux, wurden mehrere Schwachstellen bekannt. Sie können zur unberechtigten Erweiterung von Rechten, zu Denial-of-Service (DoS) oder der Bekanntgabe vertraulicher Informationen führen. Ein Kernel-Update behebt diese Probleme und schließt die Lücken.

Im Adobe Shockwave Player wurden mehrere kritische Sicherheitslücken gefunden, durch die ein Angreifer bösartigen Code auf dem betroffenen System ausführen kann. Fehlerbereinigte Software steht jetzt zur Verfügung.

In 'wget' wurde ein Fehler im Umgang mit X.509 Zertifikaten gefunden, durch ein Angreifer einen Man-in-the-Middle Angriff durchführen kann. Fehlerbereinigte Pakete stehen zur Verfügung.

In den Linux Kerneln von Red Hat Enterprise Linux wurden mehrere Sicherheitslücken gefunden. Fehlerbereinigte Kernel Pakete stehen jetzt zur Verfügung.

Im Kernel von SuSE Linux wurden mehrere Sichehrheitslücken gefunden. Diese führen zu unterschiedlichen Gefahren, u.a. dass lokale Benutzer administrative Rechte auf einem System erhalten können. Ein entsprechendes Kernel-Update steht jetzt zur Verfügung.

In der Implementierung der HMAC-basierten XML Digital Signature wurde eine Sicherheitslücke gefunden. Patches stehen jetzt zur Verfügung.

In 'mahara' wurden mehrere Sicherheitslücken gefunden.
Im FTP Server 'proftpd-dfsg' wurde ein Fehler im Umgang mit X.509 Zertifikaten gefunden, durch ein Angreifer einen Man-in-the-Middle Angriff durchführen kann.
Verbesserte Pakete stehen jetzt zur Verfügung.