20.05.2025

CSO Online 20.05.2025 2:45

Security researchers showcased 28 zero-day vulnerabilities during the Pwn2Own contest held during the OffensiveCon conference in Berlin that ended on Saturday. The flaws allowed ethical hackers to compromise software products used across most enterprises including Microsoft Windows 11, Red Hat Linux for Workstations, Mozilla Firefox, VMware ESXi, VMware Workstation, Oracle VirtualBox, Microsoft SharePoint, Docker, Redis, Chroma, NVIDIA Triton Inference Server and NVIDIA Container Toolkit.

The Pwn2Own contest has been running annually at security conferences for the past 18 years. It is organized by Trend Micro’s Zero Day Initiative (ZDI), a bug bounty program through which researchers can report vulnerabilities to vendors and get paid for reporting them. ZDI uses the advance knowledge of these flaws to develop protection rules for Trend Micro’s customers.

Participating teams of researchers gathered points and monetary rewards for successful attempts at showcasing their exploits against the announced targets. In total, the contest paid out $1,078,750, with $320,000 going to the first place Singapore-based cybersecurity consultancy firm STAR Labs SG.

Privilege escalation exploits

Modern operating systems have strong security domain separation between user space and the critical kernel components and it’s standard practice to not use administrative accounts for usual tasks.

Because of these security measures, privilege escalation exploits have become a highly valuable commodity for hackers as they are needed to completely take over a system after achieving code execution from a limited account by tricking a user to execute malware or after exploiting a remote code execution vulnerability in an application that runs with limited privileges.

During the first day of the event, a researcher identified as Pumpkin from the DEVCORE Research Team used an integer overflow vulnerability to escalate privileges on Red Hat Linux. On the same day, researchers Hyunwoo Kim and Wongi Lee from Theori combined an information leak with a use-after-free flaw to gain root access on Red Hat Linux, though one of the bugs was already known.

Also on day one, researcher Marcin Wiązowski demonstrated an out-of-bounds write flaw to achieve SYSTEM privileges on Windows 11, while researcher Hyeonjin Choi from team Out Of Bounds followed that up with a type confusion bug to escalate privileges on Microsoft’s OS.

Day two saw Gerrard Tai

CSO Online 19.05.2025 15:51

srcset="https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?quality=50&strip=all 5771w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=300%2C168&quality=50&strip=all 300w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=768%2C432&quality=50&strip=all 768w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=1024%2C576&quality=50&strip=all 1024w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=1536%2C864&quality=50&strip=all 1536w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=2048%2C1152&quality=50&strip=all 2048w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=1240%2C697&quality=50&strip=all 1240w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=150%2C84&quality=50&strip=all 150w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=854%2C480&quality=50&strip=all 854w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=640%2C360&quality=50&strip=all 640w, https://b2b-contenthub.com/wp-content/uploads/2025/05/shutterstock_2560922485.jpg?resize=444%2C250&quality=50&strip=all 444w" width="1024" height="576" sizes="(max-width: 1024px) 100vw, 1024px">Durch falsch konfigurierte Speicher-Buckets bei mehreren großen Cloud-Anbietern sind 200 Milliarden Dateien öffentlich einsehbar.pixadot.studio – shutterstock.com

Forscher der Cybersicherheitsfirma Cyble warnen vor einem massiven Datenleck in Cloud-Speichern. Bei einer Schwachstellenanalyse identifizierten sie insgesamt mehr als 660.000 ungeschützte Buckets, die auf sieben große Cloud-Plattformen verteilt sind. Darunter sollen sich mehr als 200 Milliarden gefährdete Dateien befinden.

Sensible Informationen offengelegt

Besonders brisant: Nach Angaben der Analysten umfassen die Dateien auch vertrauliche Dokumente, Zugangsdaten, Quellcode und interne Backups. Bei der Suche nach Quellcode in der Programmiersprache Go fand Cyble 5,6 Millionen Treffer. Die Analyse nach Umgebungsvariablen mit Anmeldeinformationen („env credentials“) ergab rund 110.000 Funde, und bei der Kategorie „vertrauliche Dateien“ wur

The Hacker News 19.05.2025 12:00
Cybersecurity leaders aren’t just dealing with attacks—they’re also protecting trust, keeping systems running, and maintaining their organization’s reputation. This week’s developments highlight a bigger issue: as we rely more on digital tools, hidden weaknesses can quietly grow. 
Just fixing problems isn’t enough anymore—resilience needs to be built into everything from the ground up.

Heise Security 19.05.2025 11:12
An die dreißig zuvor unbekannte Zero-Day-Lücken haben die Veranstalter eingesammelt – und an die Hersteller weitergegeben. Ein Viertel davon betraf KI-Software.

CSO Online 19.05.2025 10:01

In their race to achieve productivity gains from generative AI, most organizations overlook the security implications of doing so, instead favoring hopes of game-changing innovations over sound security practices.

According to a study from the World Economic Forum conducted in collaboration with Accenture, 63% of enterprises fail to assess the security of AI tools before deployment, introducing a range of risks to their enterprise.

That includes both off-the-shelf AI solutions and in-house implementations created in collaboration with software development teams that, according to Tricentis’ 2025 Quality Transformation Report, are overwhelmingly focused on improving delivery speed (45%) over enhancing software quality (13%) — even as a third (32%) of respondents to Tricentis’ survey admit that poor quality software will likely result in more frequent security breaches or compliance failures.

And more frequent those breaches and failures are. Cisco’s latest Cybersecurity Readiness Index, published on May 7, found that 86% of organizations had experienced an AI-related security incident in the past year. Less than half (45%) believe their organization has the internal resources and expertise to conduct comprehensive AI security assessments.

Most common overlooked AI security risks

The failure to adequately test AI systems before deployment exposes organizations to a range of vulnerabilities that differ significantly from traditional software risks, according to experts quizzed by CSO. Here are some of the most prevelant.

Data exposure

AI systems often process large volumes of sensitive information, and without robust testing, organizations may overlook how easily this data can be leaked, either through unsecured storage, overly generous API responses, or poor access controls.

“Many AI systems ingest user data during inference or store context for session persistence,” says Dr. Peter Garraghan, chief executive and co-founder of AI security testing vendor Mindgard. “If data handling is not audited, there is a high risk of data leakage through model output, log exposure, or misuse of fine-tuned datasets. These risks are exacerbated by LLM [large language model] memory features or streaming output modes.”

Model-level vulnerabilities

These include prompt injection, jailbreaks, and adversarial prompt chaining. Without rigorous testing, models can be manipulated to bypass output constraints, leak s

Golem 19.05.2025 9:09
Teilnehmer der Pwn2Own in Berlin haben zahlreiche Softwareprodukte attackiert. Ein Hersteller hat besonders schnell reagiert und sofort Patches verteilt. (Sicherheitslücke, Firefox)

CSO Online 19.05.2025 6:00

Die zertifikatsbasierte Authentifizierung mit PKI erfolgt via physischen Token statt Passwort.Momentum studio – shutterstock.com

Die Bedrohungslage im Cyberraum verschärft sich stetig. Immer mehr Unternehmen sind mit Angriffen konfrontiert – von Phishing-Kampagnen bis hin zu Ransomware-Attacken. Zudem verlangen Gesetzgeber mit Vorschriften wie NIS-2 ein hohes Maß an Sicherheit und Nachvollziehbarkeit der Authentifizierung. Herkömmliche Methoden wie Passwörter oder SMS-TANs sind den steigenden Anforderungen kaum mehr gewachsen. Eine  Alternative: die Public Key Infrastructure (PKI).

Passwortfreie Sicherheit statt MFA-Lücken

Wer sensible Systeme und Daten zuverlässig schützen will, muss sicherstellen, dass nur autorisierte Personen Zugriff erhalten – und zwar ohne die bekannten Schwächen von Passwörtern. Selbst komplexe Passwörter lassen sich durch Phishing oder Brute-Force-Angriffe kompromittieren. Auch viele gängige Zwei-Faktor-Methoden – etwa SMS-Codes – sind angreifbar.

Lesetipp: Die größten Lücken im MFA-Schutz

PKI setzt daher auf digitale Zertifikate anstelle von Passwörtern. Diese Zertifikate funktionieren wie digitale Ausweise: Statt sich mit einem Passwort zu authentifizieren, weisen sich Nutzer über ein gültiges Zertifikat aus. Beim Zugriff auf Systeme oder Daten prüft das System automatisch, ob das Zertifikat authentisch und gültig ist – die Passwortabfrage entfällt. Das erhöht nicht nur die Sicherheit, sondern auch die Benutzerfreundlichkeit.

Lesetipp: 10 Passwordless-Optionen für Unternehmen

Das PKI-Prinzip

Die technische Grundlage bildet asymmetrische Kryptografie. Dabei entsteht ein kryptografisches Schlüsselpaar: ein geheimer privater Schlüssel und ein öffentlicher Schlüssel. Der private Schlüssel verbleibt sicher gespeichert beim Nutzer – etwa auf einer Smartcard oder in einem Token – und wird niemals übertragen.

Der öffentliche Schlüssel als Pendant wird einmalig von einer Certificate Authority (CA) zertifiziert. So entsteht eine vertrauenswürdige Kette, auf deren Basis eine nachvollziehbare und manipulationssichere Authentifizierung möglich ist. Denn der öffentliche Schlüssel dient später dazu, die Identität des Nutzers oder Geräts zu bestätigen. Damit ist gewährleistet, dass nur autorisierte Nutzer und Geräte auf geschützte Systeme zugreifen können.

Vorteile der zertifikatsbasierten Authentifizierung

Da es keine Passwörter gi

Spiegel Online 18.05.2025 19:49
Erst verbreitet Grok, der KI-Chatbot von Elon Musk, einen rechtsextremen Verschwörungsmythos. Dann zweifelt er am Holocaust. Als Grund wird in beiden Fällen der Programmierfehler eines Mitarbeiters angegeben.