Die nicht ganz freiwilligen Mitwirkenden dieser Ausgabe sind Microsoft, die Trusted Computing Group, Terraform, Redis und Cisco. Außerdem gehe ich noch eine ganz besondere Schwachstelle ein: IT-Budgets.

Bereits im Januar 2022 hat Microsoft eine Schwachstelle in Windows 11 geschlossen. Mit der Sicherheitslücke CVE-2022-21894 (Baton Drop) kann der UEFI Secure Boot-Schutz umgangen und persistenter Code installiert werden. Details und Schutzmaßnahmen gibt es in einem Blogpost von ESET.

IoT: In der Spezifikation der Referenzbibliothek vom Trusted Platform Module (TPM) 2.0 wurden zwei schwerwiegende Sicherheitsmängel entdeckt, Details und Links zu Patches bzw. Hilfe  gibt’s beim NIST:

Passend dazu Hinweis auf das ITSiG 2.0 bei Open KRITIS.

sysdig hat einen Angriff auf AWS über Terraform State Files ausführlich beschrieben.
Einführung in IAM mit AWS

Eine Fehlkonfiguration in Redis-Datenbanken erlaubt einer neuartigen Kryptojacking-Kampagne die Nutzung eines legitimen und quelloffenen Dienstes zur Übertragung von Files über die Kommandozeile. Details gibt es by Cado. 

Cisco hat Sicherheitsupdates veröffentlicht, um eine kritische Schwachstelle in den IP-Telefon-Serien 6800, 7800, 7900 und 8800 zu beheben. Link zum Patch und Infos gibt es bei MITRE.

Schwachstelle Cybersicherheits-Budget

Wie du IT-Budgets erfolgreich beantragst
Aktueller State of Pentesting Report von Pentera