Herrlich, dieses Clouddingens:

Der Entwickler der Keyboard-App ai.type hat eine 577 GByte umfassende MongoDB-Datenbank nicht abgesichert, sodass jeder darauf zugreifen konnte. Darin stehen unter anderem persönliche Daten von 31.293.959 Nutzern, welche sich die für Android- und iOS-Geräte verfügbare App ai.type Keyboard installiert haben. Darauf sind Sicherheitsforscher von MacKeeper gestoßen. Die App ist weit verbreitet – Google Play weist rund 40 Millionen Downloads auf.

Was zur Hölle fällt diesem Mongo auch ein, sich sämtliche Eingaben in einer DB zu merken? Hä? Das ist doch... ruhig bleiben, Max, denk' an den Menschen, den du neulich nach einem Herzinfarkt im Krankenhaus besucht hast.

Und jetzt nochmal für alle zum Mitschreiben:

Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.
Ich werde mir keine obskuren Tastaturapps auf meinem Handy installieren.

(Das Bild gibt's bei fsfe als Sticker und stammt von Markus Meier [CC-BY-SA])

Falls ihr euch auch schon mal gefragt hat, warum man eigentlich gerade am laufenden Band von Hacks hört, in denen millionenweise Anwenderdaten abhanden kommen: CommitStrip hat eine sehr plausible Antwort parat:

veröffentlicht unter Commit-Strip-Lizenz

Businesskaspers approve.

Update: aktueller Kontextbezug gewünscht? Bitte

Dann mal schnell updaten!

Im E-Mail-Client Thunderbird klaffen drei Sicherheitslücken. Davon gelten zwei als kritisch, warnen die Entwickler [...] Setzen Angreifer an den beiden kritische Lücken [...] an, sollen sie aus der Ferne ohne Authentifizierung Speicherfehler [...] provozieren und so Schadcode ausführen können.

In v52.5 ist das Problem wohl behoben.

Tolle Wurst.

Since the beginning of 2017, Android phones have been collecting the addresses of nearby cellular towers—even when location services are disabled—and sending that data back to Google. The result is that Google, the unit of Alphabet behind Android, has access to data about individuals’ locations and their movements that go far beyond a reasonable consumer expectation of privacy.

Großartig.

Geiles neues Internet:

Offensichtlich haben die Sicherheitsmechanismen des App-Stores Google Play versagt und eine als WhatsApp-Messenger getarnte Fake-App durchgelassen. Den Zahlenangaben des App Stores zufolge haben sich mehr als eine Million Android-Nutzer die Fake-App heruntergeladen. Mittlerweile hat Google sie offline genommen, berichten mehrere Opfer auf Reddit.
Besser aufpassen, Google!
[...]
Beim Update WhatsApp Messenger handelt es sich ersten Analysen zufolge um eine Werbe-Spam-App, die Opfer zur Installation von weiteren Apps führen soll. Die Betrüger bekommen dann von anderen App-Anbietern Provisionen, wenn ein Opfer darauf reinfällt.

Sind hier PHP/MySQL-Experten anwesend?

Das WordPress-Plugin Subscribe to Comments Reloaded (auch auf GitHub) hat offenbar einen Bug in der Datenbankabfrage und zeigt im Adminbereich das "letzte" Abo mehrere 1000 Mal an.

Update: längliche Untersuchungen haben mir jetzt gezeigt, dass das Plugin offenbar an einem Tag durchgedreht ist und 1.4 Mio Einträge innerhalb weniger Minuten erzeugt hat. Ich kümmere mich am Wochenende darum. Mein Dank geht an kalo und woogie morgi, die mich in die richtige Richtung gestupst haben.

na, zeig her...

Hell yeah:

In den Versionen 2.6.0 bis einschließlich 2.6.3 des WordPress-Plugins Display Widgets, das Nutzern zur Widget-Verwaltung diente, wurde Schadcode gefunden. Mehrere Sicherheitsforscher und Plugin-Entwickler-Teams berichteten von Tracking-Funktionen in der im Juni veröffentlichten Version 2.6.0. Die hätten heimlich Informationen wie IP-Adressen, Browserchroniken und User-Agents von Website-Besuchern an den Herausgeber des Plugins versendet. Ab der Folgeversion 2.6.1 sei dann eine Backdoor-Funktion im Plugin enthalten gewesen, die den Remote-Zugriff auf WordPress-Installationen, das Anlegen neuer Unterseiten und Beiträge sowie das unbemerkte Hinzufügen von Spam-Inhalten ermöglicht habe.

Firefox zeigt plötzlich in der Canvas im Radio nix mehr an:

Alle anderen Browser (inkl. Firefox-Derivate wie Pale Moon) haben keine Probleme. Toll. Wirklich ganz toll. Ich habe jetzt weder Zeit noch Lust, mich darum zu kümmern. Du nervst, Firefox!

Habt ihr 'ne Idee?

Update: Es ist der verfluchte Privacy Badger. Der hat mir schon diverse Dinge zerlegt und fliegt jetzt endgültig raus!

Update 2: jetzt isses wieder kaputt, dafür aber auch gleich auf allen Browsern ("All candidate resources failed to load. Media load paused.")

Update 3: geht wieder. Muss ich das verstehen? Nö.

Wär schon schön, wenn man das wegblocken könnte, ne?

Adam Jogrady ist nach dem Laden einer Website mit einem Banner für 'ne Bitcoin-Börse aufgefallen, dass das Teil 40MB runtergeladen hatte und der CPU komplett ausgelastet war. Lösung: Das Banner rechnete im Hintergrund Bitcoins aus.

AdBlocker sind Digitale Selbstverteidigung und gehören in die (dringend zu verabschiedende) Digitale Grundrechteverordnung.

Gerade eben zeigt mir mein Blog nur noch die "Du hast keinen AdBlocker installiert"-Warnung an. Ich so: häh? Tatsache! uBlock läuft nicht. Guckste also about:addons und siehe da:

Dafuq?! Firefox macht mal wieder alles neu und wir armen Anwender müssen jetzt darunter leiden? Ganz großes Hallentennis. Vor allem supertoll, dass sämtliche "Legacy"-Addons noch laufen, nur uBlock im Moment den Geist aufgegeben hat. Not cool, Mozilla, not cool.

PS: das Pro-Adblock-Plugin habe ich jetzt erstmal deaktiviert. Update: nö, siehe PPPS.

PPS: richtig geil ist ja, dass uBlock offenbar noch irgendwie läuft (SPON zeigt mir immer noch keine Werbung), aber dass das dazu gehörige Icon verschwunden ist und ich somit keine Möglichkeit mehr habe, es zu steuern

PPPS: hm... ich habe uBlock Origin jetzt nochmal neu installiert und alles ist wieder gut. Aber das kann schon noch heiter werden, fürchte ich...

Oder anders gefragt: An bhfuil tú cinnte?

Ich habe keine Ahnung, was du meinst. Irisch kommt in dem Dokument sicher nicht vor...

Ich habe gerade das in Android versteckte Easteregg gefunden. Ganz alleine und völlig überraschend. Und zwar so:

1. Settings -> General -> About Device
2. Auf die Anroid Versionsnummer ein paar mal schnell tippen
3. Der Homescreen geht auf. Je nach Android-Version mit einem Punkt (Android 5 aka. Lollipop) oder einem übergroßen Icon (Android 6 aka. Marshmallow)
4. Je nach Android-Version muss man nun
   1. Bei Android 5 einfach drauftippen, dann wird aus dem Punkt ein Lolli
   2. Bei Android 6 über das Icon wischen, dann erscheint ein Marshmallow
5. Jetzt weiß ich auch nicht so genau, entweder lange gedrückt halten oder mehrmals antippen, ich bin noch nicht ganz sicher, aber wenn ihr es richtig gemacht habt, dann
6. TA-DAAAAA! seid ihr mitten drin im Easteregg

Sehr cool. Leider mache ich dabei genau 0 Punkte, das ist mir viel zu schwer

Dafuq?! o.O

Ein Software Development Kit für Werbeeinblendungen soll Schnüffelfunktionen mitbringen. Damit ausgestattete Android-Apps weisen über 100 Millionen Downloads auf, warnen Sicherheitsforscher.

Leider steht in solchen Meldungen nie, welche Apps denn infiziert waren