2026-11-06
1. SSH: musl-Systeme ohne PAM prüfen
Ein Sicherheitsproblem im Zusammenspiel von OpenSSH und musl kann unter bestimmten Bedingungen die Passwortanmeldung bei Konten ermöglichen, die keine Passwörter akzeptieren sollten.
Dies ist kein allgemeiner Fehler in allen OpenSSH-Installationen. Die beschriebene Konfiguration setzt musl, SSH ohne PAM, aktivierte Passwortanmeldung, ein Konto mit * im Passwortfeld und ein weiteres Konto mit einem tatsächlichen Passwort-Hash voraus. Alpine und bestimmte eingebettete Linux-Umgebungen sollten untersucht werden. Ein Alpine-Container-Image allein belegt keinen exponierten SSH-Dienst.
Die technische Veröffentlichung nennt OpenSSH 10.6p2 als Korrektur. Prüfen Sie die Updates Ihrer Distribution, da Korrekturen zurückportiert sein können. Das Ausmaß einer möglichen Ausnutzung wurde hier nicht festgestellt.
Maßnahme: Erfassen Sie exponierte SSH-Dienste auf musl und installieren Sie die Korrektur Ihrer Distribution. Deaktivieren Sie die Passwortanmeldung, wo sie nicht benötigt wird. Prüfen Sie vorher den schlüsselbasierten Zugang und halten Sie während der Änderung eine bestehende Sitzung offen.
Quellen: Technische Beschreibung und Korrektur
2. Claude Code: Bericht über E-Mail-Adressen in ausgehenden Anfragen
Ein Fehlerbericht beschreibt, dass Claude Code die E-Mail-Adresse des Nutzers ohne Zustimmung im User-Agent-Header von Webanfragen übermittelt hat. Er betrifft Version 2.1.318 auf macOS und wurde am 2026-11-05 eröffnet.
Ein integrierter Datenschutzmechanismus sollte dieses Verhalten ab Version 2.1.317 verhindern. Anschließend wurden Lücken in den Prüfungen gemeldet. Ob der Schutz alle relevanten Fälle abdeckt, ist nicht ausreichend geklärt.
Der Bericht belegt nicht, dass alle Installationen betroffen sind. Auch ein behaupteter Zusammenhang mit späteren Betrugs-E-Mails ist nicht nachgewiesen. Ein lokaler Test eines Schutzmechanismus belegt allein noch keinen Datenabfluss durch eine Netzwerkanfrage.
Maßnahme: Beschränken Sie den Zugriff von Agenten auf personenbezogene Daten und prüfen Sie tatsächliche ausgehende Anfragen. Wenn eine Integration eine Kontaktadresse erfordert, verwenden Sie eine gesonderte, genehmigte Adresse statt privater Nutzerdaten.
Quellen: Fehlerbericht, Antwort und weitere Beobachtungen
3. Microsoft Paint: App-Korrektur prüfen, nicht nur Windows Update
CVE-2026-83844 ist eine Out-of-bounds-Read-Schwachstelle in Microsoft Paint, die eine Codeausführung aus der Ferne ermöglichen kann. Sie wurde am 2026-10-13 veröffentlicht und ist somit keine neue Veröffentlichung dieses Morgens.
Die offizielle Bewertung beschreibt einen Netzwerkangriff ohne Authentifizierung oder Benutzerinteraktion, allerdings mit hoher Angriffskomplexität. Bei der ursprünglichen Veröffentlichung war die Schwachstelle nicht als ausgenutzt ausgewiesen. Dies garantiert nicht den aktuellen Bedrohungsstatus.
Die Dokumentation enthält unterschiedliche Versionsangaben: Die Update-Tabelle nennt Build 11.2609.401.0, während der CVE-Eintrag Versionen vor 11.2605.91.0 als betroffen aufführt. Bestimmen Sie eine sichere Mindestversion daher nicht allein anhand dieses Briefings.
Maßnahme: Aktualisieren Sie Paint über Ihren verwalteten App-Kanal oder den Microsoft Store und gleichen Sie die installierte Version mit den aktuellen Update-Hinweisen ab. Ein aktualisiertes Betriebssystem belegt allein nicht, dass auch die Anwendung korrigiert ist.
Quellen: Sicherheitshinweis und Update-Tabelle · CVE-Eintrag