Cybersicherheit, die Bedrohungen vom 20. August: von Gogs bis macOS, signierten Treibern und gezielten Kampagnen

Gogs setzt Git-Server der Remote-Codeausführung aus

Die schwerwiegendste Schwachstelle betrifft Gogs, eine Open-Source-Plattform zur selbst gehosteten Verwaltung von Git-Repositories. Die Sicherheitslücke trägt die Bezeichnung CVE-2026-52813 und betrifft Versionen vor 0.14.3.

Das Problem entsteht bei der Verarbeitung von Organisationsnamen. Durch die Eingabe von Traversal-Sequenzen wie ../ kann ein Angreifer Repositories in beliebige Dateisystempfade schreiben lassen – außerhalb des von der Anwendung vorgesehenen Verzeichnisses.

Diese Manipulation lässt sich nutzen, um eine verschachtelte Struktur von Git-Repositories anzulegen und die Hooks eines anderen Repositorys zu überschreiben. Git-Hooks werden bei bestimmten Git-Operationen ausgeführt. Ihre Manipulation kann daher zur Remote-Codeausführung auf dem Server führen.

Die Schwachstelle hat einen CVSS-Wert von 10. Der Vektor weist auf eine Ausnutzung über das Netzwerk ohne Authentifizierung oder Benutzerinteraktion hin:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Der Fehler ist als CWE-23, Relative Path Traversal klassifiziert. Eine Behebung ist in Gogs 0.14.3 verfügbar.

Administratoren sollten ihre Instanzen umgehend aktualisieren und vor dem Update angelegte Repositorys, Hooks und Pfade überprüfen. Es ist nicht bekannt, ob diese CVE im KEV-Katalog der CISA enthalten ist. Auf Grundlage der verfügbaren Informationen lässt sich daher keine von der Behörde vorgegebene Frist bestimmen.

macOS behebt Schwachstelle beim Datenzugriff

Apple hat CVE-2026-43774 behoben. Die Schwachstelle kann es einer Anwendung ermöglichen, aufgrund fehlerhafter Prüfungen von Speichergrenzen auf sensible Benutzerdaten zuzugreifen.

Die NVD beschreibt das Problem als Lesen außerhalb der zulässigen Speichergrenzen, das durch robustere Prüfungen behoben wurde. Die CISA-ADP-Klassifizierung ordnet den Fehler dagegen CWE-787, also einem Schreiben außerhalb der Speichergrenzen, zu. Diese Abweichung klärt die tatsächlichen Auswirkungen nicht eindeutig, weist jedoch auf eine Diskrepanz in der technischen Beschreibung hin.

Betroffen sind:

• macOS ab 14.0 bis einschließlich Versionen vor 14.8.8;
• macOS ab 15.0 bis einschließlich Versionen vor 15.7.8;
• macOS ab 26.0 bis einschließlich Versionen vor 26.6.

Die korrigierten Versionen sind macOS Sonoma 14.8.8, macOS Sequoia 15.7.8 und macOS Tahoe 26.6. Laut NVD wurde die CVE am 27. Juli 2026 veröffentlicht und am 28. und 29. Juli 2026 nachträglich geändert.

Ein CVSS-4.0-Wert ist nicht verfügbar. CISA-ADP weist dagegen einen CVSS-3.1-Wert von 5,5 mit folgendem Vektor aus:

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Das Angriffsszenario erfordert lokalen Zugriff und Benutzerinteraktion. Die Auswirkungen betreffen vor allem die Vertraulichkeit der Daten; Auswirkungen auf Integrität oder Verfügbarkeit werden nicht angegeben.

Mac-Nutzer sollten die entsprechenden Apple-Updates installieren. Es ist nicht bekannt, ob CVE-2026-43774 in den KEV-Katalog aufgenommen wurde. In den vergangenen 90 Tagen wurden dort jedoch zwei weitere Apple-Schwachstellen ergänzt: CVE-2026-65400 am 18. August 2026 und CVE-2026-11645 am 9. Juni 2026.

CircleCI behebt Umgehung der MCP-Server-Authentifizierung

Eine weitere kritische Schwachstelle betrifft das npm-Paket @circleci/mcp-server-circleci, das vom CircleCI-MCP-Server verwendet wird. Das Advisory GHSA-xv5j-cwgj-22r4 wurde am 10. August 2026 veröffentlicht.

Der Fehler betrifft den Remote-Transport-Server. Wenn die anfragebasierte Authentifizierung deaktiviert ist, kann die Komponente nicht authentifizierte Clients akzeptieren, die nicht aus einem Browser stammen.

Die Umgehung nutzt unzureichende Prüfungen der Host- und Origin-Header aus. Eine exponierte Instanz mit deaktivierter Authentifizierung kann dadurch Clients Zugriff gewähren, die nicht als vertrauenswürdig gelten sollten.

Betroffen sind die Versionen 0.16.1 bis einschließlich 0.19.1. Die korrigierte Version ist 0.19.2.

Zur Abwehr sollten das Paket aktualisiert und die Authentifizierung auf netzwerkzugänglichen Instanzen nicht deaktiviert werden. Es ist nicht bekannt, ob die Schwachstelle ausgenutzt oder in den KEV-Katalog der CISA aufgenommen wurde.

Legitime Treiber und gewöhnliche Anwendungen werden zu Angriffswerkzeugen

Das Reverse Engineering von Check Point hat den Missbrauch des Microsoft-Defender-Treibers zur Entfernung beim Systemstart, BTR.sys, aufgedeckt. Er ist als Defender Boot-Time Removal Driver bekannt.

Die Datei ist von Microsoft signiert, kann jedoch als universelles Werkzeug für Operationen auf Kernel-Ebene missbraucht werden. Angreifer können sie in der Phase zwischen dem Systemstart und der Initialisierung des Benutzermodus einsetzen und so die Kontrollen bestimmter EDR-Produkte umgehen.

Dabei handelt es sich nicht um das klassische BYOVD-Schema, bei dem der Angreifer einen verwundbaren Treiber einschleust. Das Problem ist vielmehr der operative Missbrauch einer legitimen und signierten Komponente. Ihre Reputation reicht nicht aus, um autorisierte von schädlichen Aktivitäten zu unterscheiden.

Das Tool BTR_CLI kann das Verhalten des legitimen Windows-Defender-Reparaturprozesses nachahmen. Sicherheitsteams sollten daher das anomale Laden von BTR.sys, Kernel-Aktivitäten während des Bootvorgangs, die Verwendung von BTR_CLI sowie das Beenden oder Verändern von EDR-Komponenten miteinander korrelieren.

Eine weitere Kampagne verbreitet Grandoreiro über Duplicate Files Finder (DFF), eine legitime Anwendung, die für DLL-Sideloading missbraucht wird. Die beobachteten Infektionen betreffen vor allem Mexiko, Spanien, Peru und Argentinien.

Das ursprüngliche Sample prüft zunächst auf Sandboxes, virtuelle Maschinen und Prozesse auf einer Blacklist, bevor es den C2-Server kontaktiert. Nützliche Indikatoren sind daher die ungewöhnliche Ausführung von DFF, das Laden unerwarteter DLLs und das Erzeugen von Kindprozessen, die nicht zum normalen Programmverhalten passen.

ClickFix, anfällige Treiber und akademische Kampagnen

ErrTraffic, ein MaaS-Framework und Traffic-Distribution-System des Akteurs LenAI, unterstützt Kampagnen über kompromittierte WordPress-Websites und ClickFix-Seiten.

Die Angriffskette kann mit obfuskiertem JavaScript beginnen, die Auflösung der C2-Domain über einen Polygon-Smart-Contract umfassen und mit dem Download einer Payload enden. In einer beobachteten Sequenz wurde Remus Stealer mittels Process Hollowing ausgeführt.

Eine weitere Operation verbreitet Cruciferra mithilfe des legitimen, aber anfälligen Treibers DCRCVDrv.sys. Ziel ist es, erhöhte Rechte zu erlangen und Sicherheitsprozesse zu beenden. Zu den Schutzmaßnahmen gehören das Blockieren anfälliger Treiber, die Überprüfung der Integrität von WordPress-Websites sowie die Erkennung obfuskierter Skripte und von Process Hollowing.

Im Bereich der Spionage hat das US-Justizministerium 17 Mitglieder des Mabna Institute angeklagt, eines iranischen Unternehmens, das im Auftrag der IRGC gehandelt haben soll.

Die Kampagne soll ungefähr 2013 begonnen und mindestens bis Dezember 2017 angedauert haben. Betroffen gewesen sein sollen 144 US-Universitäten, 178 ausländische Universitäten, mindestens 42 US-Privatunternehmen, 11 ausländische Privatunternehmen, fünf US-Regierungsbehörden und zwei Nichtregierungsorganisationen.

Laut Anklage wurden mehr als 31 TB an Daten gestohlen und über 100.000 akademische Konten angegriffen; etwa 8.000 Konten sollen kompromittiert worden sein. Die Zugangsdaten und Inhalte sollen über Megapaper.ir und Gigapaper.ir weiterverkauft worden sein.

Das US-Außenministerium bietet eine Belohnung von 10 Millionen US-Dollar für Informationen zu fünf Angeklagten oder zu verbundenen Personen und Organisationen. Universitäten und Forschungseinrichtungen bleiben aufgrund des Werts ihres geistigen Eigentums und teilweise weniger strenger Identitätskontrollen als in Unternehmensumgebungen attraktive Ziele.

Industrielle Systeme und Backdoors erfordern spezielle Kontrollen

Claroty Team82 hat 23 Schwachstellen in Copeland-XWEB-Pro-Controllern identifiziert. Einige davon können verkettet werden, um Sicherheitsmechanismen zu umgehen und eine Remote-Codeausführung mit Root-Rechten zu ermöglichen.

Ein kompromittierter Controller kann das Verändern von Lüftern und Kompressoren, die Beeinträchtigung des Anlagenbetriebs und das Verbergen steigender Temperaturen ermöglichen. In Lebensmittelumgebungen kann dies zum unbemerkten Verderb von Produkten führen.

Darüber hinaus wurden Schwachstellen in Danfoss-AK-SM-800A-Controllern behoben, darunter ein versteckter „Code-of-the-Day“-Mechanismus, eine Command Injection mit Remote-Codeausführung und eine Lücke, über die authentifizierte Benutzer beliebige Nginx-Direktiven einfügen konnten.

Die verfügbaren Updates sollten installiert werden, ohne die Controller unnötigen Netzwerken auszusetzen.

Schließlich entdeckte Gen Digital eine etwa 12 KB große Windows-Backdoor, die Realtek-Software imitierte und WMI zur Persistenz nutzte. Die C2-Domain war nicht im Klartext enthalten, sondern wurde über die Anzahl nachgestellter Leerzeichen in den Zeilen einer gefälschten Datei desktop.ini codiert.

Zu den relevanten Indikatoren gehören ungewöhnliche desktop.ini-Dateien, auffällig viele nachgestellte Leerzeichen, WMI-Persistenz und Binärdateien, die als Realtek-Komponenten ausgegeben werden, aber mit C2-Kommunikation verbunden sind. Eine Verbindung zu einem bekannten Akteur wurde nicht festgestellt; die Operation könnte gezielt durchgeführt worden sein.