Passwort - der Podcast von heise security

Neue News mit alten Bekannten: Nicht nur die Firmen sind altgedienten Podcasthörern und -hosts sattsam bekannt, viele der heute diskutierten Sicherheitslücken sind auch gut abgehangen. Aber leider tauchen sie immer wieder auf und werden von Cyberkriminellen flugs ausgenutzt. In der heutigen Folge geht es aber zunächst um echte Neuigkeiten rund ums PKI-Ökosystem. Da bahnen sich einige Veränderungen an und ein Netz-Riese möchte gern mitmischen. Außerdem warnt Christopher Admins vor den Tücken organisationsvalidierter Zertifikate. Sylvester erzählt, dass OpenAIs coram publico vorgetragene "Neuentdeckung" selbstreplizierender Prompt Injection eigentlich gar keine sei - das US-Unternehmen wollte wohl mal wieder die Alarmismusglocke rühren. Und dann gibt's fehlerhafte Regular Expressions, Path Traversal, Pufferüberläufe und Log Poisoning. Das sind keine Sicherheitszombies der 1990er Jahre, sondern brandaktuelle Sicherheitslücken in großen Appliances von Citrix und weltweit genutzter Business-Software von Atlassian.

• watchTowr Labs

• Spam-Sketch von Monty Python

• KI-Würmer

  • OpenAI-Report
  • Compromptmized

• Looks good to me

• SQL Copilot

  • Microsofts Sicht auf Reguläre Ausdrücke
  • Sylvesters Sicht auf Reguläre Ausdrücke

• Folgt uns im Fediverse:

  • @christopherkunz@chaos.social
  • @syt@social.heise.de

• Oder schreibt uns an:passwort-podcast@heise.de

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

Im Podcast gibt es einen Kessel voll hörenswerter Bugs und Lücken. Solche, die clever sind, aber leicht vermeidbar wären. Solche, die längst bekannt sind und trotzdem noch Probleme bereiten. Bugs, die technisch interessant sind, aber dem Urheber peinlich sein sollten. Wobei diese Kategorien sich durchaus überlappen. Außerdem wurden die Hosts auf eine interessante Alternative zu BGP gestupst und sie sprechen einen TLS-Handshake ein – das gibt’s wohl nur im Passwort- Podcast.

• The illustrated TLS 1.2 connection

• Machine Speed is a lie: stop trying to fight AI with AI

• Mobeta zu vCenter-Lücken

• BigIP Blog: Is This A Joke? In The Auth Header?

• Folgt uns im Fediverse:

  • @christopherkunz@chaos.social
  • @syt@social.heise.de

• Oder schreibt uns an: passwort-podcast@heise.de

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort

Endlich wieder Aufnahmetag, die Themen stapeln sich schon! Sylvester und Christopher nutzen den Warntag, um vor allerlei Sicherheitsproblemen zu warnen. Den Auftakt macht diverser Kleinkram rund um Certificate Transparency und dann geht der Blick in die Bundeshauptstadt. Wie die Ransomware-Gangster von Rhysida ins Netz zweier Berliner Senatsverwaltungen kamen und was Steganografie damit zu tun hat, erklärt Christopher. Der darf sich wiederum später erklären lassen, welche Tricks Angreifer im Routingsystem ausnutzen, um Schadsoftware zu verbreiten und - obligatorisches KI-Thema -, wie ein findiger Sicherheitsforscher Claude Code Malware unterschob.

Außerdem üben die Hosts sich in der Kunst der Reduktion (ja, wirklich!): Sie dampfen einen Blogeintrag mit 100 Kilobyte Text zur kompakten 40-Minuten-Erzählung ein. Thema: Eine sehr elegante Exploitkette auf menschenähnlichen Robotern der Firma Unitree.

Diese Folge ist gesponsert von der Dt. Telekom. Trust the T

• Falk Steiner zu Berlin-Hack: Auf Lücke gespielt

• Blogeintrag von Virtualizor

• Unitree Behind-the-scenes

• Unitree Kungfu

• Boschko und UniBleed (Long read)

• Blogpost von Johann Rehberger

• Sectigo elephant2026h2 issue

• Folgt uns im Fediverse:

  • @christopherkunz@chaos.social
  • @syt@social.heise.de

Mitglieder unserer Security Community auf heise security PRO hören alle Folgen bereits zwei Tage früher. Mehr Infos: https://pro.heise.de/passwort