Eine Schwachstelle in einer unscheinbaren Bibliothek führt zu einer veritablen Sicherheitslücke in Gnome. Updates stehen bereit.

Eine Sicherheitslücke, die in der Bibliothek libcue enthalten ist, führt zu einer Schwachstelle in Gnome, durch die Angreifer Opfern mit nur einem Klick Schadcode unterschieben können. Aktualisierungen für Gnome stehen bereit, die das Problem beseitigen. IT-Verantwortliche sollten sie zügig anwenden.

Wie Kevin Backhouse vom Github Security Lab in einer Analyse [1] schreibt, handelt es sich um eine potenzielle Speicherverwürfelung in der libcue-Bibliothek. CUE dürfte eher älteren Menschen etwas sagen. Es handelt sich um Metadaten zu CD-Abbildern, etwa mit Start- und Endzeiten der einzelnen Tracks. Diese kommen Backhouse zufolge im Kontext mit dem FLAC Audio-Codec noch zum Einsatz.

Gnome-Sicherheitslücke: Unscheinbare Bibliothek mit großer Wirkung

Daher verarbeiten zahlreiche Audio-Player wie Audacious derartige Dateien auch heute noch. Zudem bringt Gnome die Anwendung tracker-miners mit. Die indiziert die Dateien im User-Homeverzeichnis, um sie leicht durchsuchbar zu machen. Sofern Dateien in bestimmte Unterverzeichnisse des Home-Directories wie ~/Downloads abgelegt oder darin verändert werden, aktualisiert tracker-miners den Index.

Ein Angreifer muss daher ein potenzielles Opfer lediglich überzeugen, einen Link anzuklicken, der zum Herunterladen des Schadcodes führt. Der gelangt durch die automatische Indexierung schließlich zur Ausführung.

Fehlerhafte Verarbeitung in libcue

libcue enthielt einen Fehler bei der Verarbeitung des "INDEX"-Elements in den Cue-Sheets. Der Fehler lässt sich etwa auslösen, wenn anstatt "INDEX 01 00:00:00" (Format also Index, Tracknummer, Startzeit) etwa "INDEX 4294567296 0" im Cue-Sheet auftaucht. Das erzeugt durch die genutzten Funktionen einen Integer-Überlauf, da der Wert 2^32 durch die Funktion atoi in -400000 gewandelt wird. Eine weitere Funktion (track_set_index) prüft den Index nicht darauf ab, ob er positiv ist. In der Folge kann der Code an der Stelle außerhalb der vorgesehenen Speicherbereiche schreiben.

Weiter führt Backhouse aus, dass er noch Adress Space Layout Randomization (ASLR) für einen funktionierenden Proof-of-Concept umgehen musste. Und eine seccomp-Sandbox, auf die tracker-miners zum Schutz vor solchen Exploits setzt. Den Proof-of-Concept-Code hält Backhouse vorerst noch zurück, damit möglichst viele IT-Verantwortliche sowie Nutzerinnen und Nutzer ihren Gnome-Desktop aktualisieren können.

Kevin Backhouse hatte sichtlich Freude an der Erstellung der Sicherheitswarnung. In den Beispielen für Cue-Sheets und Musikdateien finden sich ständig Hinweise auf Rick Astley und seinem 80er-Jahre-Hit "Never gonna give you up". Allerdings spielt das Video [2] oder das Lied an keiner Stelle ab, sodass es sich wohl um einen unvollendeten Rickroll handelt. Als Ohrwurm dudelt das jetzt wohl aber trotzdem bei denen, die das noch kennen.

Das Update sollten Gnome-Nutzerinnen und Nutzer zügig installieren. Für die kürzlich entdeckte glibc-Lücke tauchten nur zwei Tage nach Bekanntwerden stabile Proof-of-Concept-Exploits auf, [3] mit denen bösartige Akteure die Schwachstelle einfach missbrauchen können.

()

URL dieses Artikels:https://www.heise.de/-9330085

Links in diesem Artikel:[1] https://github.blog/2023-10-09-coordinated-disclosure-1-click-rce-on-gnome-cve-2023-43641/[2] https://www.youtube.com/watch?v=dQw4w9WgXcQ[3] https://www.heise.de/news/Jetzt-patchen-Exploits-fuer-glibc-Luecke-oeffentlich-verfuegbar-9326518.html[4] mailto:dmk@heise.de

Copyright © 2023 Heise Medien

Die Namensgeberin des "Ada Lovelace Day" erkannte sehr früh die Möglichkeiten der Rechenmaschine und soll daher für andere Frauen und Mädchen ein Vorbild sein.

Ada Lovelace ist die namengebende Patin des Ada Lovelace Day [1], der jährlich am zweiten Dienstag im Oktober begangen wird. An diesem Tag sollen die Leistungen, betont werden, die Frauen zur Wissenschaft und besonders zum sogenannten MINT-Bereich beigetragen haben. Mit Events und Aktionen in Forschungseinrichtungen vor allem in Großbritannien [2] sollen Frauen durch Menschen wie Ada Lovelace und andere Pionierinnen inspiriert werden.

Lovelace gilt als erste Programmiererin der Welt und erstellte ein Computerprogramm für die von Charles Babbage entwickelte Analytical Engine [3]. Für ein Gespräch steht die 1815 geborene Lovelace heute leider nicht mehr zur Verfügung, doch basierend auf der Biografie von Benjamin Woolley, "Byrons Tochter: Ada Lovelace", hat die Redaktion von MIT Technology Review ein Interview erstellt, das noch einmal den Geist von Lovelace zum Leben erweckt.

Verehrte Countess, es freut mich sehr, dass dieses Gespräch doch noch zustande gekommen ist.

Mich wundert es eher. Meine liebe Frau Mutter wacht so sehr über mich, dass selbst mein Mann William und meine Kinder nicht an mein Krankenbett dürfen.

Greifen Sie deswegen schon am frühen Morgen zum Rotwein?

Natürlich nicht! Mein Leibarzt Charles Locock hat mir den Wein verschrieben, um mein Nervenleiden zu mindern. Eigentlich probiere ich gerade das neue Opium-System aus, indem ich über die Woche verteilt Laudanum oder Morphium konsumiere. Jedoch setzt dies Ruhe und Entspannung voraus, womit aufgrund Ihres Besuchs wohl nicht zu rechnen ist.

Countess!

Sie sind Journalist! Ihre Zunft degradiert mich seit meiner Geburt zum öffentlichen Spektakel – wie zuvor schon meinen Vater ...

... den berühmten Lord Byron, den Sie niemals kennenlernten, weil Ihre Mutter es nicht wollte? Erst als Sie schon 20 Jahre alt waren, durften Sie ein Porträtbild von ihm betrachten.

Ja, ganz genau. Aber ich sage es Ihnen gleich: Ich rede nicht über meinen Vater und auch nicht über meine Affären.

Bitte beruhigen Sie sich. Ich interessiere mich nicht für Ihr Privatleben, sondern nur für die von Ihnen beschriebene Technologie.

Für welches Magazin arbeiten Sie?

MIT Technology Review. Das ist ein deutschsprachiges Wissenschaftsmagazin Anfang des 21. Jahrhunderts, mit Verbindungen nach Amerika.

Ich kenne nur die "Westminster Review" und natürlich "Taylor’s Scientific Memoirs" ...

... in dem Sie 1843, vor acht Jahren, Ihre viel gelobten Erläuterungen zur analyti- schen Maschine von Charles Babbage publizierten, ein Gerät, das Instruktionen liest, um mathematische Probleme zu lösen. Doch woran haben Sie seitdem geforscht?

An einem mathematischen Modell, das beschreibt, wie das Gehirn Gedanken entstehen lässt und wie Nerven Gefühle hervorbringen.

Eine Art "künstliche Intelligenz"?

So weit würde ich nicht gehen. Aber schauen Sie sich die bahnbrechenden Veröffentlichungen auf dem Gebiet der Astronomie in den letzten Jahren an. Mir scheint es nicht einsichtig, warum das Gehirn für Mathematiker schwerer zu handhaben sein sollte als Sterne, Planeten und ihre Bewegungen – wenn sie es nur aus der richtigen Warte betrachten.

Wie weit sind Sie?

Ich befinde mich noch am Anfang. Daher habe ich versucht, mehr über die Substanz in Erfahrung zu bringen, aus der Nerven bestehen. Dazu habe ich praktische Experimente durchgeführt, für die ich mir äußerste Geschicklichkeit im Umgang mit Blut, Gehirn und Nerven aneignen musste.

Was Sie nicht sagen. Ihre spätere Berühmtheit verdanken Sie indes dem Babbage-Aufsatz. Was hat Sie an seiner Technologie so gereizt?

Ich hatte bereits als junges Mädchen während einer seiner schillernden Abendempfänge die Gelegenheit, ein Modell seiner Maschine zu sehen. Ich war sofort von der Schönheit fasziniert. Als dann Charles auf die Idee kam, Lochkarten einzusetzen, war mir klar, dass damit die Grenzen herkömmlicher Arithmetik überschritten waren.

Durch Formulierungen wie "dass die Maschine algebraische Muster webt wie der Jacquard-Webstuhl Blumen und Blätter" haben Sie dies auch gegenüber Ihren Lesern verdeutlicht und sich damit zu Recht als Poetin der Wissenschaft ausgezeichnet. Sie gelten für uns sogar als Erfinderin der ersten Programmiersprache und damit auch als die erste Programmiererin.

Ist das ein Titel?

Bitte entschuldigen Sie. Eine Programmiersprache umfasst die Anweisungen, die beschreiben, wie eine Rechenmaschine vorgeht. Eine Programmiererin ist eine Frau, die sich diese Sprache ausdenkt.

Ich habe lediglich Tabellen verfasst, die beschreiben, wie die Maschine die Bernoulli-Zahlen berechnet, eine endlose Zahlenreihe. Das war allerdings eine elende Plackerei.

Allerdings gibt es auch Stimmen, die sagen, dass Ihnen dazu das mathematische Verständnis fehlte. Was sagen Sie dazu?

Ich bin sicher keine geniale Mathematikerin. Obwohl mich Charles immer seine Zahlenzauberin nannte, wirkte der Zauber eher auf mich. Zahlen, mathematische Zeichen, Gleichungen waren für mich immer Kobolde und Feen, trügerische, verführerische Geschöpfe, die jede beliebige Gestalt annahmen. Dennoch habe ich die Tabellen selber verfasst. Mister Babbage hat sie lediglich gegengelesen.

Immerhin hatten Sie mit Augustus de Morgan einen sehr guten Lehrer. Noch heute pauken Mathematik-Studenten die De Morgan’schen Gesetze.

Ich hatte Glück. Nur meine Zugehörigkeit zur Upper Class hat mir solche Lehrer ermöglicht. Meine Freundin Mary Sommerville – die "London Times" bezeichnet sie als Königin der Wissenschaft – musste sich die Mathematik anhand von Frauenzeitschriften aneignen. Frauen sind jedoch nicht weniger für die Wissenschaft geeignet als Männer, wissen Sie?

In meinem Jahrhundert hat es die Frau in der Forschung etwas leichter. Dazu trägt auch der Ada-Lovelace-Tag an jedem zweiten Dienstag im Oktober bei. An diesem Tag führt man begabte junge Frauen an das Studium der Rechenmaschinen heran.

Sie glauben gar nicht, wie sehr mich diese Nachricht erfreut.

[4]

()

URL dieses Artikels:https://www.heise.de/-9329500

Links in diesem Artikel:[1] https://en.wikipedia.org/wiki/Ada_Lovelace_Day[2] https://findingada.com/worldwide-events/[3] https://de.wikipedia.org/wiki/Analytical_Engine[4] https://www.instagram.com/technologyreview_de/[5] mailto:jle@heise.de

Copyright © 2023 Heise Medien

15-Minutely Weather Forecasts Now Available!

Tl;dr: Weather forecasts now come in 15-minutely resolution for North America and Central Europe. If you're curious about this, you can check it out in the weather API documentation!

Fifteen-minute weather data within forecast models plays a pivotal role in enhancing short-term weather predictions. The ability to observe and analyze changes in cloud cover with sub-hourly resolution is particularly valuable for accurate solar irradiance forecasts, especially for photovoltaic installations.

One of the primary advantages of these rapid updates in forecast models is their ability to provide better predictions for short-term precipitation. This includes the ability to forecast the onset of rain within a 15-minute window, which can be vital for planning and decision-making.

Our 15-minutely forecasts are generated using high-resolution weather models from two renowned sources: the German Weather Service (DWD) and the United States' National Oceanic and Atmospheric Administration (NOAA).

• The DWD ICON-D2 model offers 15-minutely data for Central Europe, boasting a spatial resolution of 2 km. It is recognized as one of the best short-term weather models, delivering exceptional forecast quality even in complex terrains like the Swiss Alps. The model has been optimized to predict the rapid development of thunderstorms on a small scale.

• For North America, NOAA's HRRR model provides 15-minutely data at a spatial resolution of 1 km. This model receives updates every hour, allowing it to swiftly adapt its forecasts to evolving weather patterns and developing storms.

These models are rooted in numerical weather predictions (NWP), distinguishing them from other nowcasting approaches like cloud-motion-vectors (CMV). NWP models factor in a comprehensive array of atmospheric variables, including temperature, pressure, humidity, wind speed, and direction, at various altitudes and locations. Running NWP models demands substantial computational resources and advanced data assimilation techniques to incorporate real-time observational data for accurate initial conditions. We appreciate the open-data initiative of the German and American Weather services in making this valuable data accessible.

Presently, 15-minutely data is available from two weather models. However, we are looking forward to integrate more sub-hourly weather data from various national weather services as soon as they become accessible.

15-Minutely Data in the Weather API Documentation

Our Weather API now seamlessly incorporates 15-minutely data, accessible in the Weather API Documentation. Users can select "15-Minutely Weather Variables" to access forecasts for up to 3 days. In instances where 15-minutely data is unavailable, we use data interpolation to offer 15-minutely data coverage worldwide.

Current Weather Conditions

The updated 15-minute data is additionally employed to enhance the precision of current weather conditions.

Furthermore, you now have the flexibility to selectively choose specific current weather variables. In the past, the options were confined to temperature, weather code, wind speed and direction. With this latest enhancement, you can get current conditions for any desired weather variable.

Displayed below is a screenshot of the updated weather API documentation, showing the ability to individually select weather variables for current conditions.

Outlook

Looking ahead, we have exciting developments on the horizon, including:

• Support for API calls covering multiple locations simultaneously

• Seasonal weather forecasts extending up to 9 months into the future

• Additional high-resolution data for the historical weather API

Stay tuned!

Open Educational Resources 6. Oktober 2023 |

Ein Einwand, der im Kontext von Open Educational Resources (OER) und Creative-Commons-Lizenzen (CC) gelegentlich vorgebracht wird, lautet sinngemäß: „Ich möchte mein Urheberrecht nicht verlieren, deshalb kommen CC-Lizenzen für mich nicht in Frage.“ – Der Gegensatz von Urheberrecht und CC-Lizenz, der in diesem Einwand aufscheint, ist jedoch so nicht zutreffend.

Urheber*innen „verlieren“ durch eine Lizenzvergabe nicht das Urheberrecht an ihrem Werk. Vielmehr sind CC-Lizenzen ein Instrument zur Handhabung von Urheberrechten. Um zu verstehen warum, hilft ein Blick in die Architektur und den Grundgedanken von Freien Lizenzen wie Creative Commons.

CC-Lizenzen sind vielmehr ein Instrument, um Urheberrechte zu handhaben. Mit ihnen muss ein*e Urheber*in nicht mit jedem Nutzer individuell Bedingungen aushandeln, sondern kann relativ genau festlegen, welche Werknutzungen sie Dritten erlaubt (und welche nicht). Der Nutzer muss nicht für jede Nutzung eine Erlaubnis einholen, sondern kann sich an den Lizenzvorgaben orientieren. Der urheberrechtliche Standard „Alle Rechte vorbehalten“ wird mit den standardisierten CC-Lizenz-Modulen zu „Manche Rechte vorbehalten“.

Über Creative Commons

Die US-amerikanische Organisation Creative Commons bietet vorgefertigte Lizenzmodule für urheberrechtlich geschützte Werke an. Damit können Urheber*innen der Allgemeinheit bestimmte Nutzungsrechte für ihre Werke pauschal einräumen. Die vier verschiedenen Lizenzmodule BY (Namensnennung), SA (Weitergabe unter gleichen Bedingungen), ND (keine Bearbeitung) und NC (keine kommerzielle Verwertung) lassen sich zu sechs verschiedenen Lizenzen kombinieren. Außerdem gibt es die besonders permissive Lizenz CC0, die einer Werkfreigabe im Sinne der Gemeinfreiheit gleichkommt.

Vorteile für Urheber*innen und Nutzer*innen

CC-Lizenzen ermöglichen es der Allgemeinheit, Werke ohne persönliche Rücksprache oder Vereinbarung kopieren, bearbeiten, teilen und/oder kommerziell zu verwerten. Dennoch gibt man die urheberrechtliche Kontrolle über ein Werk nicht komplett ab. Mit dem BY-Modul beispielsweise legen Urheber*innen fest, dass sie Verwendungen und Bearbeitungen ihres Werkes zwar pauschal zustimmen, aber nur unter korrekter Namens- und Lizenznennung. Mit dem SA-Modul schreiben Urheber*innen vor, dass bearbeitete Fassungen nur unter der gleichen Lizenz weitergegeben werden dürfen. Hält sich ein Nutzer nicht an die Vorgaben, kann die Urheberin dies als Lizenzverstoß und damit als Urheberrechtsverletzung werten.

Auf diese Weise ermöglichen CC-Lizenzen, sofern gewünscht, einen Kontrollverzicht für bestimmte Nutzungen urheberrechtlich geschützter Werke – je nach Lizenz teilweise oder vollständig. Für den Einsatz von OER empfehlen sich dabei besonders die permissiven Lizenzen CC0, CC BY oder CC BY-SA.

Infografik „Welches ist die richtige CC-Lizenz für mich?“ (Grafik von Barbara Klute und Jöran Muuß-Merholz für wb-web.de unter CC BY-SA-3.0)

Unterschiede zu gesetzlichen Lizenzen

Das Urheberrechtsgesetz sieht mannigfaltige Ausnahmen vom Werkschutz vor, darunter beispielsweise die Privatkopie, die Pastiche-Regelung, das Zitatrecht oder die 15%-Regel für Unterricht und Lehre. Solche Ausnahmen werden als „gesetzliche Lizenzen“ oder als „gesetzlich erlaubte Nutzungen“ bezeichnet. Anhand diverser Kriterien legen sie fest, wer, wie und unter welchen Umständen ein geschütztes Werk benutzen darf, ohne dafür die Zustimmung der Rechteinhaberin einzuholen.

Der Unterschied zwischen Lizenz und gesetzlich erlaubter Nutzung: Eine Lizenz wird gezielt von der Urheberin eingeräumt. Sie darf beispielsweise darauf verzichten, eine CC-Lizenz oder ein bestimmtes CC-Modul einzusetzen, es herrscht keine Pflicht zur Lizenzvergabe. Eine gesetzlich erlaubte Nutzung hingegen betrifft alle Urheber*innen, denn sie besteht von Gesetzes wegen. So kann sich zum Beispiel keine Urheberin gegen die Nutzung eines Werkteils im Rahmen des Zitatrechts wehren, sofern der Nutzer es korrekt angewendet hat.

Hinzu kommt: Eine eigens vergebene, permissive Lizenz geht weiter als alle gesetzlich erlaubten Nutzungen. Und sie ist zudem für die Nutzenden erheblich einfacher anzuwenden, weil diese die teils komplizierten Vorgaben der gesetzlichen Regelungen nicht zu beachten brauchen. Alleine über die gesetzlichen Nutzungserlaubnisse wären OER gar nicht realisierbar. So erlaubt beispielsweise die gesetzliche 15%-Regel lediglich, das Material dem engen Kreis aus Unterrichtsteilnehmer*innen zu Unterrichtszwecken zugänglich zu machen: Wer nicht dazugehört, darf im Rahmen der Regelung keinen Zugang haben. Eine permissive CC-Lizenz hingegen bietet hier deutlich mehr Offenheit: Sie beschneidet weder den Kreis der Nutzenden noch die Art der Werknutzung.

Hinweis: Dieser Beitrag ist Teil einer Kooperation von iRights.info, dem Deutschen Bildungsserver und OERinfo. Der Text stammt von Georg Fischer, steht unter der Lizenz CC BY-4.0 und wurde zunächst bei OERinfo veröffentlicht. Weitere Texte der Kooperation sind hier hinterlegt.

iRights.info informiert und erklärt rund um das Thema „Urheberrecht und Kreativität in der digitalen Welt“. Alle Texte erscheinen kostenlos und offen lizenziert.

Wenn Sie mögen, können Sie uns über die gemeinnützige Spendenplattform Betterplace unterstützen und dafür eine Spendenbescheinigung erhalten. Betterplace akzeptiert PayPal, Bankeinzug, Kreditkarte, paydirekt oder Überweisung.

Besonders freuen wir uns über einen regelmäßigen Beitrag, beispielsweise als monatlicher Dauerauftrag. Für Ihre Unterstützung dankt Ihnen herzlich der gemeinnützige iRights e.V.!