Microsoft Azure Automation ermöglicht es Unternehmen, Automatisierungscode auf verwaltete Weise auszuführen. Sie können Aufträge planen, Input und Output bereitstellen und vieles mehr. Der Automatisierungscode eines jeden Unternehmens wird in einer Sandbox ausgeführt, isoliert vom Code anderer Kunden, der auf derselben virtuellen Maschine ausgeführt wird.

Letzten Freitag war es wieder soweit und nach prominenten Zero-Day-Schwachstellen wir Hafnium, Kaseya oder Solarwinds müssen sich Unternehmen erneut dringend mit einer hochkarätigen Server-Schwachstelle namens Log4Shell auseinandersetzen. Sophos klärt die wichtigsten Fakten und sagt, was zu tun ist.

Log4j ist eine beliebte Protokollierungsbibliothek für Java-Anwendungen. Das Blog eines Dienstleisters für IT-Sicherheit berichtet über die Schwachstelle CVE-2021-44228 in log4j in den Versionen 2.0 bis 2.14.1, die es Angreifern gegebenenfalls ermöglicht, auf dem Zielsystem eigenen Programmcode auszuführen und so den Server zu kompromittieren.

Das Modul "mod_proxy" des Apache-Servers fungiert als Gateway-Komponente und unterstützt eine Vielzahl an Protokollen und Mechanismen zum Lastenausgleich (Load-Balancing) von Webdiensten wie Videokonferenzen. Dabei kann es als "Forward-Proxy" und als "Reverse-Proxy" zum Einsatz kommen.

Moderne Versionen der Open-Source-Lösung Prometheus unterstützen Sicherheitsmechanismen wie Basisauthentifizierung und TLS, die explizit konfiguriert werden müssen und nicht standardmäßig aktiviert sind. Andernfalls können Hacker leicht sensible Informationen abgreifen und bei einigen Installationen sogar Denial-of-Service-Aktionen durchführen.

Sicherheitsforscher von JFrog deckt Code-Injection-Problem in Yamale, einem beliebten Schema-Validator für YAML, der von über 200 Repositories verwendet wird, auf. Die Schwachstelle wurde mit CVE-2021-38305 bezeichnet.

Kürzlich veröffentliche Apache ein als "wichtig" gekennzeichnetes Sicherheitsupdate für den Apache "httpd", das CVE-2021-41773 schließt. Der Apache Webserver "httpd" ist eine weit verbreitete Software zum Ausliefern von Webseiten. Das zugehörige Modul "mod_cgi" wird zur Bereitstellung von dynamischen Inhalten auf Basis von Skriptsprachen genutzt.

Es kommt vergleichsweise häufig vor, dass der Stellenwert von Schwachstellenscans mit dem von Penetrationstests verwechselt wird. Schwachstellenscans ersetzen weder Penetrationstests, noch können Penetrationstests allein das gesamte Netzwerk absichern. Beide haben auf der jeweiligen Ebene ihre Berechtigung, werden zur Risikoanalyse gebraucht und sind in Standards wie etwa PCI, HIPAA, ISO 27001 und so weiter vorgeschrieben.