Captain Kirk

Een ernstig lek in een populaire WordPressplug-in maakt het mogelijk voor aanvallers om meer dan 130.000 websites over te nemen. De kwetsbaarheid bevindt zich in de plug-in "InfiniteWP Client". Via deze plug-in kunnen gebruikers vanaf hun eigen server een onbeperkt aantal WordPress-sites beheren. Volgens de ontwikkelaars van de plug-in is die door meer dan 513.000 websites geïnstalleerd, terwijl WordPress het op mee dan 300.000 actieve installaties houdt. Een kwetsbaarheid in de plug-in maakt het mogelijk voor een aanvaller om als beheerder op de website in te loggen. Alleen het versturen van een speciaal geprepareerd request is voldoende, aldus securitybedrijf Wordfence. De ontwikkelaars van de InfiniteWP Client kwamen vorige week met een update voor het lek, dat op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,8 is beoordeeld. De update is sindsdien door ruim 168.000 WordPress-sites geïnstalleerd, wat inhoudt dat meer dan 132.000 sites nog risico lopen. Beheerders krijgen dan ook het dringende advies om de update met versienummer 1.9.4.5 te installeren. Details over het beveiligingslek zijn inmiddels openbaar gemaakt en Wordfence verwacht dat aanvallers op korte termijn misbruik van de kwetsbaarheid zullen maken. bron: security.nl

Microsoft heeft vanavond meerdere beveiligingsupdates uitgebracht, waaronder voor een kwetsbaarheid in Windows 10 die door de NSA is gevonden en het mogelijk maakte om digitale handtekeningen van bestanden te vervalsen. Het lek is door Microsoft als "belangrijk" bestempeld. De kwetsbaarheid geeft aanvallers niet de mogelijkheid om zonder interactie van gebruikers het systeem over te nemen, zoals bij "kritieke" kwetsbaarheden het geval is. Het probleem bevindt zich in de manier waarop de Windows Crypto API Elliptic Curve Cryptography (ECC) certificaten valideert. Ontwikkelaars kunnen hun Windows-bestanden signeren, zodat gebruikers weten van wie het programma afkomstig is. Door het beveiligingslek had een aanvaller malware van een digitale handtekening kunnen voorzien die van een legitieme bron afkomstig leek. "De gebruiker zou geen manier hebben om te weten dat het bestand kwaadaardig was, omdat de digitale handtekening van een vertrouwde aanbieder afkomstig leek te zijn", aldus Microsoft. Via de kwetsbaarheid zou een aanvaller ook man-in-the-middle-aanvallen kunnen uitvoeren en vertrouwelijke informatie kunnen ontsleutelen op verbindingen tussen de gebruiker en betreffende software. Het techbedrijf verwacht dat aanvallers op korte termijn misbruik van het lek zullen maken. De beveiligingsupdate van Microsoft zorgt ervoor dat de Windows CryptoAPI, die door Windows-gebaseerde applicaties wordt gebruikt en zorgt voor het versleutelen en ontsleutelen van gegevens via digitale certificaten, ECC-certificaten nu wel volledig controleert. Het beveiligingslek is aanwezig in Windows 10, Server 2016 en Server 2019. Op de meeste Windowssystemen wordt de beveiligingsupdate automatisch geïnstalleerd. Het beveiligingslek, aangeduid als CVE-2020-0601, werd door de Amerikaanse geheime dienst NSA aan Microsoft gerapporteerd. De dienst wordt in het beveiligingsbulletin dan ook bedankt door het techbedrijf. Update Microsoft meldt in een aparte blogposting dat de kwetsbaarheid voor zover bekend nog niet door aanvallers is gebruikt. Nu informatie over het lek openbaar is zou dit echter slechts een kwestie van tijd zijn. Eerder gingen nog geruchten dat Microsoft updates voor de kwetsbaarheid al aan belangrijke klanten zou hebben aangeboden. Daarop stelt Microsoft dat het voor patchdinsdag aan geen enkele organisatie updates verstrekt die binnen productieomgevingen mogen worden gebruikt. Update 2 "Het is niet moeilijk voor te stellen hoe aanvallers van dit lek misbruik kunnen maken. Bijvoorbeeld ransomware of spyware is veel eenvoudiger te installeren wanneer het een geldig certificaat lijkt te hebben", zegt Dustin Childs van het Zero Day Initiative (ZDI). Daarnaast zorgt de update ervoor dat bij gebruik van een vervalst certificaat tegen een gepatcht Windows 10-systeem er een melding in de Windows Event-log wordt gemaakt, wat systeembeheerders kan helpen om te achterhalen of ze zijn aangevallen. Update 3 Het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit meldt dat elke software, waaronder third-party non-Microsoft software, die van een specifieke functie gebruikmaakt om te bepalen of een X.509-certificaat van een vertrouwde partij afkomstig is, de fout in kan gaan bij het beoordelen van de betrouwbaarheid van de certificaatketen. Door de kwetsbaarheid kan een aanvaller certificaten spoofen, waardoor het mogelijk is om met TLS versleutelde communicatie te onderscheppen en aan te passen of een digitale handtekening te vervalsen. bron: security.nl

Microsoft mag vanavond dan de ondersteuning van Windows 7 stoppen, antivirusbedrijf Avast zal de eigen antivirussoftware op het platform nog zeker tot 2022 van updates blijven voorzien. "In het belang van de veiligheid en privacy van onze gebruikers blijft Avast virusdefinities voor Windows 7 uitbrengen voor diegenen die niet naar een nieuwere Windowsversie willen of kunnen overstappen", aldus Martin Zima van Avast. Wanneer Avast de ondersteuning precies zal stoppen is nog niet bekend. Er is geen harde deadline gesteld. Het antivirusbedrijf claimt dat het wereldwijd meer dan 400 miljoen gebruikers heeft. Uit eigen onderzoek blijkt dat meer dan een derde van de Avast-gebruikers op de pc nog met Windows 7 werkt. "We verwachten geen snelle toename van het aantal gebruikers dat naar nieuwere Windowsversies overstapt en hebben nog geen harde deadline voor onze support vastgesteld", zo laat de virusbestrijder weten. bron: security.nl

De beruchte Ryuk-ransomware maakt gebruik van Wake-on-Lan (WoL) om uitgeschakelde computers aan te zetten zodat die vervolgens zijn te versleutelen. Wake-on-Lan is een standaard waarmee uitgeschakelde computers door het versturen van een "magic packet" zijn in te schakelen. De machine in kwestie moet WoL wel ondersteunen en ook hebben ingeschakeld. De functie is vooral bedoeld voor systeembeheerders, maar wordt ook door de criminelen achter Ryuk toegepast. Zodra Ryuk een machine besmet heeft leest het de Address Resolution Protocol (ARP) cache van de computer uit. In de ARP-cache staan ip-adressen van computers in het netwerk. Ryuk stuurt vervolgens naar alle adressen het magic packet. Zodra de machine is ingeschakeld probeert Ryuk de administrative share te mounten. Wanneer dit lukt versleutelt Ryuk bestanden op de betreffende computer. De WoL-feature van de Ryuk-ransomware werd afgelopen november door securitybedrijf Crowdstrike beschreven. Volgens onderzoeker Kurt Baumgartner van antivirusbedrijf Kaspersky is de functie er al sinds september 2019. Ook de nieuwste versie van Ryuk maakt gebruik van Wake-on-Lan. Volgens Crowdstrike probeert de ransomware met deze feature het aantal te versleutelen machines te maximaliseren. "Dit is hoe de groep het netwerkbrede ransomwaremodel heeft aangepast om meer machines via een enkele infectie te raken en de machines via WoL en ARP te bereiken", laat beveiligingsonderzoeker Vitali Kremez tegenover Bleeping Computer weten. "Het zorgt voor een groter bereik en demonstreert hun ervaring in het omgaan met grote bedrijfsomgevingen." bron: security.nl

Oracle komt later vandaag met belangrijke beveiligingsupdates die in totaal 334 kwetsbaarheden in een groot aantal producten verhelpen. Het is daarmee één van de grootste Critical Patch Updates in de geschiedenis van het softwarebedrijf. In tegenstelling tot veel andere softwarebedrijven brengt Oracle vier keer per jaar beveiligingsupdates uit. Tijdens de eerste patchronde van dit jaar verhelpt Oracle in totaal 334 beveiligingslekken. Dertien van de kwetsbaarheden zijn op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,8 beoordeeld. De meeste beveiligingslekken, vijftig in totaal, zijn in Enterprise Manager verholpen. Tien van de kwetsbaarheden laten een aanvaller zonder inloggegevens het systeem overnemen. In Fusion Middleware zijn 38 kwetsbaarheden opgelost, waarvan er dertig op afstand en zonder authenticatie waren te gebruiken. Andere programma met veel verholpen beveiligingslekken zijn Financial Services (24), Oracle Retail (24), E-Business Suite (23), Oracles virtualisatiesoftware zoals VirtualBox (22) en Oracle Communications (21). In Oracle Java, dat op veel computers van eindgebruikers draait, zijn twaalf kwetsbaarheden opgelost. De volgende Critical Patch Update staat gepland voor 14 april. Het grootste aantal beveiligingslekken dat Oracle ooit via één patchronde heeft opgelost bedroeg 334. Die patchronde vond plaats in 2018. Update In de aankondiging stonden 333 kwetsbaarheden vermeld, maar in de uiteindelijke release blijkt het om 334 lekken te gaan. bron: security.nl

Onderzoekers van Microsoft hebben een malafide npm-package ontdekt die data van Unix-systemen steelt. Dat blijkt uit een advisory van het npm Security Team. Npm is een package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via het npm registry biedt het een groot archief met openbare, besloten en commerciële packages. Onderzoekers van Microsoft Security Vulnerability Research ontdekten dat alle versies van de npm-package met de naam 1337qq-js kwaadaardige code bevat die gevoelige informatie van Unix-systemen steelt. Het gaat om informatie over omgevingsvariabelen, draaiende processen, /etc/hosts, uname -a en het npmrc-bestand. Volgens cijfers van npm-stat.com was de malafide package 32 keer gedownload voordat die door de beheerders van het npm registry werd verwijderd. Personen die 1337qq-js hebben gedownload wordt aangeraden om de package te verwijderen en gecompromitteerde inloggegevens te wijzigen. bron: security.nl

Microsoft komt vanavond met een belangrijke beveiligingsupdate voor een ernstige kwetsbaarheid in een module die cryptografische functies uitvoert, zo laten bronnen aan it-journalist Brian Krebs weten. Het beveiligingslek in "crypt32.dll" zou in alle ondersteunde versies van Windows aanwezig zijn. De crypt32-module is verantwoordelijk voor de certificaat- en cryptografische functies in de CryptoAPI van Windows. Deze API wordt door Windows-gebaseerde applicaties gebruikt en zorgt voor het versleutelen en ontsleutelen van gegevens via digitale certificaten. Wat het beveiligingslek precies inhoudt is nog onbekend, maar een ernstige kwetsbaarheid in de module kan verstrekkende gevolgen hebben, zoals het spoofen van digitale handtekeningen. Bronnen laten aan Krebs weten dat Microsoft de update al aan onderdelen van het Amerikaanse leger en andere belangrijke klanten en organisaties heeft verstrekt die voor de kritieke internetinfrastructuur verantwoordelijk zijn. Eerder stelde Will Dormann van het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit dat mensen de beveiligingsupdates van vanavond nauwlettend in de gaten moeten houden. Het CERT/CC publiceert informatie over kwetsbaarheden. bron: security.nl

Onderzoekers hebben in Nederland honderden Citrix-servers ontdekt die kwetsbaar zijn voor aanvallen en aanvallers zoeken inmiddels actief naar kwetsbare machines. Wereldwijd gaat het om meer dan 25.000 Citrix-servers die risico lopen. De servers zijn kwetsbaar door een beveiligingslek in de Citrix Application Delivery Controller (ADC) en Citrix Gateway die respectievelijk bekend stonden als de NetScaler ADC en NetScaler Gateway. Via het beveiligingslek kan een aanvaller op afstand willekeurige code op het systeem uitvoeren. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheid is die met een 9,8 beoordeeld. Citrix maakte het beveiligingslek op 17 december bekend, maar een beveiligingsupdate is nog niet beschikbaar gemaakt. Wel kunnen organisaties maatregelen nemen om aanvallen te voorkomen. Onderzoekers van securitybedrijf Bad Packets besloten meer dan 60.000 Citrix-servers te scannen om te kijken welk deel daarvan kwetsbaar is. De scan leverde meer dan 25.000 unieke servers op. Bijna tienduizend daarvan bevinden zich in de Verenigde Staten. In Nederland werden 713 kwetsbare machines geteld. Via de kwetsbaarheid is het mogelijk om organisaties met ransomware te infecteren. Exploits om misbruik van de kwetsbaarheid te maken zijn inmiddels online verschenen. De kwetsbare Citrix-servers werden bij Fortune 500-bedrijven, overheidsinstanties, banken, ziekenhuizen en energiemaatschappijen aangetroffen. Onderzoeker Troy Mursch van Bad Packets zegt dat hij de informatie met overheidsinstanties wereldwijd heeft gedeeld, waaronder het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid. bron: security.nl

Vorig jaar maart liet Mark Zuckerberg weten dat alle communicatieplatformen van Facebook end-to-endencryptie zullen gaan gebruiken, maar in het geval van Facebook Messenger zal dit nog jaren duren. Dat liet Facebook-engineer Jon Millican tijdens de Real World Crypto-conferentie in New York weten, zo meldt Wired. Volgens Millican is het toevoegen van end-to-endencryptie aan een bestaand systeem een grote uitdaging en vereist het fundamentele aanpassingen. Onlangs stuurden de Verenigde Staten, het Verenigd Koninkrijk en Australië een brief naar Facebook waarin de sociale netwerksite werd opgeroepen om Facebook Messenger en Instagram Messenger niet van end-to-endencryptie te voorzien. Facebook reageerde door te stellen dat het geen backdoor zou toevoegen om toegang tot versleutelde berichten te geven. Met end-to-endencryptie is de communicatie alleen door de afzender en ontvanger in te zien. Wanneer de feature echter aan Messenger wordt toegevoegd kon Millican niet zeggen. Volgens de engineer gaat het om een "lang proces" dat Facebook liever goed dan snel doet. "We voegen geen end-to-endencryptie toe aan een product, we bouwen een end-to-end versleuteld product", aldus Millican. De engineer is ervan overtuigd dat de feature vroeger of later zal verschijnen. bron: security.nl

De Amerikaanse overheid heeft een waarschuwing afgegeven voor aanvallen op ongepatchte Pulse Secure vpn-servers. Aanvallers maken gebruik van een beveiligingslek waar vorig jaar april een beveiligingsupdate voor verscheen. Ondanks de beschikbaarheid van een update blijft het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid grootschalig misbruik van de kwetsbaarheid zien. Geldwisselaar GWK Travelex is mogelijk door ongepatchte Pulse Secure vpn-servers met ransomware besmet geraakt. Het bedrijf werd op 31 december door ransomware getroffen. Onderzoekers ontdekten dat de geldwisselaar meerdere ongepatchte Pulse Secure vpn-servers in het netwerk had staan en hierover was gewaarschuwd, maar geen actie had ondernomen. Het CISA verwacht dat aanvallers ongepatchte vpn-servers zullen blijven aanvallen en roept systeembeheerders dan ook op om de kwetsbaarheid te patchen. De Amerikaanse overheid heeft een waarschuwing afgegeven voor aanvallen op ongepatchte Pulse Secure vpn-servers. Aanvallers maken gebruik van een beveiligingslek waar vorig jaar april een beveiligingsupdate voor verscheen. Ondanks de beschikbaarheid van een update blijft het Cybersecurity and Infrastructure Security Agency (CISA) van de Amerikaanse overheid grootschalig misbruik van de kwetsbaarheid zien. Geldwisselaar GWK Travelex is mogelijk door ongepatchte Pulse Secure vpn-servers met ransomware besmet geraakt. Het bedrijf werd op 31 december door ransomware getroffen. Onderzoekers ontdekten dat de geldwisselaar meerdere ongepatchte Pulse Secure vpn-servers in het netwerk had staan en hierover was gewaarschuwd, maar geen actie had ondernomen. Het CISA verwacht dat aanvallers ongepatchte vpn-servers zullen blijven aanvallen en roept systeembeheerders dan ook op om de kwetsbaarheid te patchen. bron: security.nl

Onderzoekers hebben in kabelmodems met een Broadcom-chip een kwetsbaarheid ontdekt waardoor de apparaten op afstand over zijn te nemen als gebruikers een kwaadaardige website bezoeken of besmette advertentie te zien krijgen. De onderzoekers van het Deense securitybedrijf Lyrebirds schatten dat alleen in Europa tweehonderd miljoen kabelmodems kwetsbaar zijn of waren. Het gaat onder andere om apparaten van Netgear, Sagemcom, Technicolor en Compal. Het werkelijke aantal is volgens de onderzoekers lastig vast te stellen. Dit komt doordat de kwetsbaarheid in de referentiesoftware aanwezig is, die weer door verschillende kabelmodemfabrikanten is gekopieerd bij het ontwikkelen van hun kabelmodemfirmware. De aanval is mogelijk door een combinatie van factoren. Zo zijn de modems niet beschermd tegen dns rebinding-aanvallen, maken ze gebruik van standaard inloggegevens en is er een kwetsbaarheid in de spectrum analyzer aanwezig. Dit is software waarmee de kabelmodem verbindingsproblemen kan vaststellen. De kwetsbaarheid in de software is normaliter alleen toegankelijk vanaf het lokale netwerk. Via dns rebinding is het echter mogelijk voor een remote aanvaller om via de browser van de gebruiker bij lokale ip-adressen te komen en zo misbruik van het beveiligingslek in de software te maken. Sommige van de kwetsbare modems vereisen autorisatie voordat een aanvaller toegang kan krijgen. Alle geteste modems blijken standaard inloggegevens te accepteren. Zodoende kan een aanvaller alsnog op het kabelmodem inloggen en de instellingen aanpassen en andere aanvallen uitvoeren. Het gaat dan bijvoorbeeld om het wijzigen van de standaard dns-server, het uitvoeren van man-in-the-middle-aanvallen, het aanpassen van de firmware en wijzigen van andere instellingen. Een voorwaarde voor het uitvoeren van de aanval is wel dat de aanvaller erin slaagt om zijn kwaadaardige JavaScriptcode in de browser van het doelwit uit te voeren. Dit kan wanneer het doelwit een kwaadaardige website bezoekt of besmette advertentie te zien krijgt. Via de website Cablehaunt.com, zoals de kwetsbaarheid wordt genoemd, geven de onderzoekers meer details over het beveiligingslek. bron: security.nl

Sinds december maakt een vroege testversie van Firefox gebruik van CRLite waarmee ingetrokken tls-certificaten zijn te controleren. CRLite is een technologie die informatie over ingetrokken certificaten zo effectief weet te comprimeren dat 300 megabytes aan zogeheten "revocation data" 1 megabyte wordt. Tls-certificaten zorgen voor een versleutelde verbinding tussen website en bezoekers en maken het mogelijk om de website te identificeren. Vertrouwen in deze certificaten is dan ook belangrijk. Wanneer een certificaat niet meer is te vertrouwen, bijvoorbeeld door een incident zoals bij DigiNotar, kan het tls-certificaat worden ingetrokken. Deze informatie moet vervolgens aan de browser worden gecommuniceerd. Dit kan via Certificate Revocation Lists (CRLs) en het Online Certificate Status Protocol (OCSP). Het probleem met CRLs is dat ze vrij snel heel groot werden en vooral irrelevante data bevatten, waardoor browser besloten om ze niet te downloaden. Daarnaast was het OCSP volgens Mozilla onbetrouwbaar. Wanneer het niet werkte gingen browsers ervan uit dat het certificaat nog steeds geldig was. Een aanvaller tussen de gebruiker en het internet kan bijvoorbeeld het OCSP-verzoek van Firefox blokkeren. Mozilla zoekt dan ook naar een alternatief voor OCSP en CRLite kan dat mogelijk gaan bieden. Het kan namelijk alle informatie over ingetrokken certificaten op een snelle, compacte en effectieve manier naar gebruikers sturen. Op dit moment gebruikt Firefox Nightly, een vroege testversie van de browser, CRLite alleen voor telemetriedoeleinden. Gebruikers kunnen de technologie echter instellen zodat voor bepaalde websites de certificaatcontrole via CRLite plaatsvindt. Het is op dit moment nog niet mogelijk om OCSP uit te schakelen, maar daar zal Mozilla later meer informatie over geven. bron: security.nl

Een coalitie van Duitse burgerrechtenorganisaties wil een verbod op automatisch gezichtsherkenning in Duitsland. Aanleiding is een plan van het Duitse ministerie van Binnenlandse Zaken om de technologie op 135 treinstations en 14 luchthavens uit te rollen. Volgens de organisaties is gebruik van de technologie risicovol en onnodig, mede omdat de misdaadcijfers in Duitsland juist afnemen. "Geautomatiseerde gezichtsherkenning betekent permanente geheime surveillance van mensen in openbare ruimtes zoals treinstations en luchthavens", zo stelt de Duitse hackersclub CCC. Door zonder reden ieders gezicht te filmen en vergelijken worden de rechten en vrijheden van mensen geschonden, laat de CCC verder weten. De technologie vormt door zijn vele false positives, mogelijkheid tot discriminatie en een enorme potentie voor misbruik een bedreiging voor de democratie, verklaart Viktor Schlüter van de organisatie Digitale Freiheit. "Het gebruik van deze technologie om openbare ruimtes te monitoren beperkt ook politieke deelname. Als je bang bent om te worden gefilmd zul je bij twijfel niet aan een demonstratie deelnemen", voegt Elisabeth Niekrenz van de Digitalen Gesellschaft toe. Als voorbeeld voor Duitsland zien de burgerrechtenorganisaties verschillende Amerikaanse steden, die de toepassing van automatische gezichtsherkenning hebben verboden. De CCC heeft de openbaarmaking geëist van alle resultaten van eerdere en huidige biometrische tests op treinstations, zodat er een publieke discussie over de systemen kan worden gehouden. Daarnaast proberen de organisaties via de website Gesichtserkennung-Stoppen.de het publiek te informeren en mobiliseren. bron: security.nl

Aanvallers zoeken actief naar Citrix-servers die kwetsbaar zijn voor een beveiligingslek dat vorige maand werd geopenbaard en waarvoor nog geen beveiligingsupdate beschikbaar is. Ook bedrijven in Nederland zouden risico lopen. De kwetsbaarheid bevindt zich in de Citrix Application Delivery Controller (ADC) en Citrix Gateway die respectievelijk bekend stonden als de NetScaler ADC en NetScaler Gateway. Via het beveiligingslek kan een aanvaller op afstand willekeurige code op het systeem uitvoeren. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheid is die met een 9,8 beoordeeld. Citrix maakte het beveiligingslek op 17 december bekend. Een week later meldde securitybedrijf Positive Technologies dat minstens 80.000 bedrijven in 158 landen mogelijk kwetsbaar zijn. Het zou onder andere om meer dan 3700 Nederlandse bedrijven gaan. "Bij misbruik van de kwetsbaarheid verkrijgt een aanvaller vanaf het internet directe toegang tot het lokale bedrijfsnetwerk. De aanval vereist geen toegang tot accounts en is daardoor door een externe aanvaller uit te voeren", aldus het securitybedrijf. Beveiligingsonderzoeker Kevin Beaumont meldt op Twitter dat aanvallers nu actief naar kwetsbare servers zoeken. Dit wordt bevestigd door Johannes Ullrich van het SANS Technology Institute. Op dit moment zijn er nog geen publieke exploits bekend, maar Ullrich laat weten dat hij van betrouwbare bronnen heeft vernomen dat zij erin zijn geslaagd om een werkende exploit te ontwikkelen. Het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit adviseert organisaties met de kwetsbare Citrix-oplossingen om maatregelen te nemen. Hoewel er nog geen update beschikbaar is kunnen organisaties wel de speciaal geprepareerde requests blokkeren waarmee de aanval is uit te voeren, aldus het CERT/CC. Daarnaast heeft Citrix mitigatiestappen voor de kwetsbaarheid gepubliceerd. bron: security.nl

Mozilla heeft vandaag een noodpatch uitgebracht voor een zerodaylek in Firefox dat actief werd aangevallen voordat de update beschikbaar was. Via de kwetsbaarheid kan een aanvaller in het ergste geval volledige controle over het systeem van de gebruiker krijgen. Alleen het bezoeken van een kwaadaardige of gecompromitteerde website is hierbij voldoende. Er is geen verdere interactie van de gebruiker vereist. Mozilla werd door securitybedrijf Qihoo 360 over de kwetsbaarheid geïnformeerd. Volgens de browserontwikkelaar is het lek in de IonMonkey Just In Time (JIT) compiler van Firefox bij "gerichte aanvallen" ingezet. Verdere details worden echter niet gegeven, behalve dat de kwetsbaarheid remote code execution mogelijk maakt. Gebruikers krijgen het advies om te updaten naar Firefox 72.0.1 of Firefox ESR 68.4.1. Dit kan via de automatische updatefunctie of Mozilla.org. Vorig jaar juni waren Firefoxgebruikers ook al het doelwit van een zeroday-aanval, terwijl afgelopen november Google nog een noodpatch voor een zerodaylek in Chrome uitbracht. bron: security.nl

Tijdens een door Interpol geleide operatie zijn ruim 15.000 met malware besmette MikroTik-routers in Zuidoost-Azië opgeschoond. Eigenaren van de routers hadden beschikbare beveiligingsupdates niet geïnstalleerd, waardoor criminelen de apparaten met een cryptominer konden infecteren. De cryptominer liet de routers vervolgens naar cryptovaluta delven. Tijdens een vijf maanden durende operatie ontdekten Interpol, politiediensten en Computer Emergency Response Teams (CERTs) meer dan 20.000 besmette routers in de regio. De partijen die aan de operatie deelnamen waarschuwden de slachtoffers en patchten de routers, zodat criminelen er geen toegang meer toe hadden, aldus Interpol. Na afloop van de operatie was het aantal besmette machines met 78 procent afgenomen, wat neerkomt op 15.600 routers. Wereldwijd zijn er volgens Interpol ruim 110.000 besmette MikroTik-routers actief. Eind 2018 werd bekend dat meer dan 200.000 MikroTik-routers met een cryptominer waren besmet. Dat gebeurde via een kwetsbaarheid waar op 23 april 2018 een update voor verscheen. bron: security.nl

Zowel Google als Mozilla hebben beveiligingsupdates voor hun browser uitgebracht die meerdere kwetsbaarheden verhelpen. In Chrome werden drie kwetsbaarheden opgelost, waarvan er één door een externe onderzoeker werd gerapporteerd. Dit beveiligingslek is door Google als "high" bestempeld. Via dergelijke kwetsbaarheden had een aanvaller code binnen de context van de browser kunnen uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Voor zijn melding ontving onderzoeker Zhe Jin van Qihoo 360 een beloning van 7500 dollar. Updaten naar Chrome 79.0.3945.117 zal op de meeste systemen automatisch gebeuren. Mozilla lanceerde gisteren Firefox 72, die naast het blokkeren van fingerprinters ook elf kwetsbaarheden verhelpt. Net als bij Chrome ging het om kwetsbaarheden met een maximale impact van "high". Via deze beveiligingslekken was het volgens Mozilla mogelijk geweest voor kwaadaardige websites om gevoelige data van andere geopende websites te stelen of data of code in die websites te injecteren, waarbij alleen het bezoeken van de kwaadaardige website voldoende was geweest. Updaten naar Firefox 72 kan via de automatische updatefunctie of Mozilla.org. bron: security.nl

Google zal alle kwetsbaarheden die het in de eigen software en die van andere partijen vindt voortaan na 90 dagen openbaar maken, ongeacht wanneer er een beveiligingsupdate voor het probleem verschijnt. Dit moet eindgebruikers meer tijd geven om de beschikbare patches te installeren. Dat heeft het techbedrijf via een blogposting aangekondigd. Google laat de eigen onderzoekers al jaren in de software van andere bedrijven zoeken. In het geval een kwetsbaarheid wordt gevonden zal Google de betreffende ontwikkelaar informeren. Die krijgt vervolgens 90 dagen de tijd om met een update te komen, anders zal Google de details openbaren. Volgens het techbedrijf wordt inmiddels 97,7 procent van alle bugmeldingen binnen deze deadline verholpen. Zodra er in het verleden een beveiligingsupdate verscheen maakte Google details over de kwetsbaarheid openbaar. Dit zal vanaf 1 januari niet meer gebeuren. Alle kwetsbaarheden worden nu na 90 dagen openbaar gemaakt, ongeacht of er eerder al een beveiligingsupdate is verschenen. Dit moet eindgebruikers meer tijd geven om beschikbare updates te installeren voordat details openbaar worden waar cybercriminelen gebruik van zouden kunnen maken. Daarnaast moet het bedrijven en ontwikkelaars meer tijd geven om goede beveiligingsupdates te ontwikkelen. "Te vaak zien we dat ontwikkelaars gemelde kwetsbaarheden via een lapmiddel verhelpen en niet naar varianten kijken of de hoofdoorzaak verhelpen", zegt Tim Willis van Google. Het techbedrijf zal het nieuwe beleid over een jaar evalueren en kijken of de aanpassingen permanent worden. bron: security.nl

Onderzoekers van het Franse onderzoeksinstituut INRIA en de Singaporese Nanyang Technological University hebben een praktische chosen-prefix collision-aanval op het sha-1-algoritme aangetoond, waarmee het mogelijk zou zijn om pgp-keys te vervalsen. De aanval en het bijbehorende onderzoek hebben de naam "SHA-1 is a Shambles" gekregen (pdf). In het verleden zijn vaker collision-aanvallen tegen sha-1 aangetoond. Die waren kostbaar of niet praktisch. Daarnaast claimen de onderzoekers dat dit de eerste praktische chosen-prefix collision-aanval op sha-1 is. Het secure hash algorithm (sha) is een hashfunctie die van data een unieke hashcode maakt. Een hashingalgoritme wordt als veilig beschouwd als het voor elke willekeurige invoer een unieke uitvoer heeft en dat die uitvoer niet is terug te draaien zodat de invoer achterhaald kan worden. Doordat de uitvoer niet is te manipuleren worden hashes gebruikt om bijvoorbeeld de geldigheid van certificaten en bestanden aan te tonen en het gehasht opslaan van wachtwoorden. Sinds 2005 zijn er echter collision-aanvallen op het sha-1-algoritme bekend waar verschillende invoer dezelfde uitvoer geeft. Al sinds 2011 wordt daarom aangeraden sha-1 uit te faseren, maar het algoritme is nog altijd in gebruik. Door een collision-aanval is het mogelijk om digitale handtekeningen te vervalsen. Zo kan een sha-1-handtekening voor het ene bestand ook voor een andere bestand worden gebruikt. Bij een normale collision-aanval moet een aanvaller twee berichten of stukken data vinden die dezelfde hash-waarde hebben. Een aanvaller heeft hierdoor minder controle. Bij een chosen-prefix collision-aanval kan een aanvaller de prefix van de twee botsende berichten kiezen. Dit maakt de aanval lastiger en duurder om uit te voeren. De onderzoekers hebben nu met twee verschillende prefixes twee PGP public keys gemaakt die botsende sha-1 certificaathandtekeningen hebben. Daarnaast is de aanval veel goedkoper dan andere aanvallen uit te voeren. De aanval zou nu 45.000 dollar kosten, terwijl eerdere aanvallen boven de 100.000 dollar lagen. In 2025 is de aanval onder de 10.000 dollar uit te voeren, aldus de onderzoekers. Partijen zijn al geruime tijd bezig om sha-1 uit te faseren. Toch zijn er nog plekken waar het algoritme in gebruik is, aldus cryptograaf en hoogleraar Matthew Green. Organisaties die nog met sha-1 werken krijgen het advies om zo snel als mogelijk op sha-256 of sha-3 over te stappen. bron: security.nl

Later vandaag verschijnt Firefox 72 die een nieuwe feature bevat om de privacy van gebruikers te beschermen. De browser zal namelijk bedrijven blokkeren die internetgebruikers aan de hand van hun browser proberen te fingerprinten. Via fingerprinting is het mogelijk voor advertentiebedrijven en webtrackers om internetgebruikers zonder het gebruik van cookies op het web te volgen. Hiervoor wordt er een "digitale vingerafdruk" van het systeem van de internetgebruiker gemaakt, gebaseerd op geïnstalleerde software, instellingen en andere zaken. Het gaat dan bijvoorbeeld om zaken als geïnstalleerde fonts, plug-ins, browser, tijdzone en schermresolutie. Deze informatie kan per gebruiker verschillen, waardoor het mogelijk is om een uniek profiel te maken waarmee gebruikers op het web zijn te volgen. Om dit tegen te gaan zal Firefox 72 alle third-party requests naar bedrijven blokkeren waarvan bekend is dat ze zich met fingerprinting bezighouden. "Dit voorkomt dat deze partijen via JavaScript het systeem van een gebruiker kunnen inspecteren. Het voorkomt ook dat ze informatie ontvangen die zichtbaar is via netwerkverzoeken, zoals het ip-adres en de user agent header van de gebruiker", zegt Mozillas Steven Englehardt. Voor het blokkeren van de fingerprinters maakt Firefox gebruik van een lijst die door Disconnect is opgesteld. Disconnect is een partij die zich met het blokkeren van webtrackers bezighoudt. Volgens Englehardt is dit pas de eerste stap die Firefox neemt in de strijd tegen fingerprinters. In de toekomst zal de browser waarschijnlijk ook het blokkeren van scripts en bescherming op API-niveau gaan toevoegen. bron: security.nl

Meer dan negentig procent van de ontwikkelaars die JavaScript-programma's ontwikkelt en via het npm registry aanbiedt maakt geen gebruik van tweefactorauthenticatie (2FA) om het eigen account te beveiligen, zo blijkt uit cijfers die npm in een blogposting openbaar heeft gemaakt. Npm is de package manager voor de JavaScript-programmeertaal en naar eigen zeggen het grootste softwarearchief ter wereld. Via het npm registry biedt het een groot archief met openbare en besloten, commerciële packages. De ontwikkelaars van deze packages blijken verschillende maatregelen om hun account te beschermen niet altijd te nemen. Zo heeft slechts 9,27 procent van de ontwikkelaars 2FA ingesteld. Dat houdt in dat een geraden of gestolen wachtwoord voldoende is om toegang tot een account te krijgen en bijvoorbeeld kwaadaardige code aan het JavaScript-package toe te voegen. En dat is geen theoretisch risico. In het verleden konden aanvallers via een hergebruikt wachtwoord toegang tot de ESLint-software krijgen en besmette versies via npm verspreiden. Om het risico van gekaapte accounts tegen te gaan besloot Mozilla onlangs om 2FA voor ontwikkelaars van Firefox-extensies te verplichten. Ook Adam Baldwin, vicepresident security bij npm, vindt dat ontwikkelaars op het platform 2FA zouden moeten instellen. "Percentage van ontwikkelaars die 2FA gebruiken: 9,27. Percentage dat dit zou moeten doen: 100", zo laat hij weten. Daarnaast verbiedt npm het hergebruik van gelekte wachtwoorden die via datalekken openbaar zijn geworden. Hiervoor maakt het platform gebruik van 555 miljoen wachtwoorden die door datalekzoekmachine Have I Been Pwned beschikbaar zijn gesteld. Bij 13,37 procent van de accounts die vorig jaar werd aangemaakt koos de betreffende ontwikkelaar een wachtwoord dat op deze lijst voorkomt en kreeg vervolgens een melding te zien om een ander wachtwoord te kiezen. bron: security.nl

Criminelen maken gebruik van een bekend beveiligingslek in de Pulse Secure vpn-software om bedrijven en organisaties met ransomware te infecteren, zo heeft Pulse Secure zelf bekendgemaakt. Geldwisselaar Travelex, die onlangs door ransomware werd getroffen, had verschillende Pulse Secure-servers niet gepatcht, aldus beveiligingsonderzoeker Kevin Beaumont. De kwetsbaarheid in Pulse Secure werd vorig jaar april gepatcht. Het beveiligingslek is op een schaal van 1 tot en met 10 wat betreft de ernst met een 10 beoordeeld. Ook werd het lek tijdens de afgelopen Black Hat-conferentie uitgeroepen tot het "beste server-side beveiligingslek" van het afgelopen jaar. De Pulse Secure vpn-oplossing laat werknemers op afstand verbinding met een bedrijfsnetwerk maken. Via de kwetsbaarheid in de software kan een aanvaller zonder inloggegevens de vpn-server van organisaties overnemen, alsmede alle vpn-clients. Alleen toegang via https en het versturen van een speciaal geprepareerde uri is voldoende om de kwetsbaarheid uit te buiten. Pulse Secure patchte het lek op 24 april. Op 20 augustus verscheen er een exploit online die misbruik van de kwetsbaarheid maakt en sinds 22 augustus vinden ook daadwerkelijk aanvallen plaats, aldus Beaumont. Sinds 22 augustus wordt er ook op grote schaal naar kwetsbare endpoints gezocht, zo liet onderzoeker Troy Mursch vorig jaar weten. De onderzoeker vond ruim 14.000 kwetsbare vpn-servers, waaronder 420 in Nederland. "Het beveiligingslek is echt zeer ernstig. Het laat mensen zonder geldige gebruikersnaam en wachtwoord op afstand verbinding met het bedrijfsnetwerk maken, wat het apparaat juist zou moeten voorkomen, multifactorauthenticatie uitschakelen, op afstand logs en gecachte wachtwoorden in plain text bekijken, waaronder Active Directory-wachtwoorden", merkt Beaumont op. De onderzoeker ontdekte vorige week twee incidenten waarbij criminelen het lek in Pulse Secure hadden gebruikt om organisaties met ransomware te infecteren. Beide organisaties hadden ongepatchte vpn-servers. De kwetsbaarheid gaf de aanvallers toegang tot het bedrijfsnetwerk. Vervolgens wisten die domeinbeheerderrechten te verkrijgen en schakelden aanwezige beveiligingssoftware uit. Hierna werd de Sodinokibi-ransomware op alle systemen geïnstalleerd. Geldwisselaar Travelex, die op 31 december door dezelfde ransomware werd geïnfecteerd, had zeven ongepatchte Pulse Secure vpn-servers, claimt Beaumont. Organisaties die de update nog niet hebben geïnstalleerd krijgen het advies om dit alsnog te doen. Naar aanleiding van het lek liet minister Grapperhaus van Justitie en Veiligheid nog weten dat organisaties die het installeren van beveiligingsupdates uitstellen ongelofelijke oliebollen zijn. bron: security.nl

E-maildienst ProtonMail is een publieke betatest gestart van de versleutelde kalender ProtonCalendar. De kalender maakt gebruik van end-to-endecryptie voor het opslaan van gegevens. Zodoende is de inhoud van de kalender alleen toegankelijk voor gebruikers. "Geen enkele derde partij, waaronder ProtonMail, kan de details van je evenementen zien. Alleen jij zal je eigen plannen kennen", aldus de mailprovider. "Onze kalender voorkomt dat bedrijven je planning kunnen bespioneren. Voor gebruikers met verhoogde beveiligingswensen voorkomt ProtonCalendar dat autoritaire regimes zien met wie je afspreekt en wat je aan het doen bent." Volgens ProtonMail was een kalender-app één van de meest gevraagde producten. "Het koppelen van een beveiligde kalender met een privé inbox vergroot de bruikbaarheid van beide. En binnenkort kun je in de cloud met ProtonDrive ook privé documenten opslaan en delen", aldus het bedrijf. De betatest van ProtonCalendar is op dit moment alleen toegankelijk voor betalende gebruikers van ProtonMail. Zodra de kalender uit de betatest komt zal die ook voor gratis gebruikers toegankelijk zijn. bron: security.nl

Het datalek bij verzekeringsmaatschappij Allianz Global Assistance heeft ook 160.000 Belgische klanten geraakt, zo heeft het bedrijf bekendgemaakt. Een back-up van de verzekeraar werd afgelopen zomer uit een kluis gestolen, zo werd op 19 september bekend. De back-up bevatte de gegevens van minimaal 260.000 Nederlandse klanten die op 24 oktober door het bedrijf werden geïnformeerd. Nu maanden later laat Allianz weten dat ook gegevens van 160.000 Belgische klanten zijn buitgemaakt, waaronder bankgegevens, kentekennummers en andere persoonlijke informatie. Het gaat om data van Belgische klanten die recent een schadegeval hebben aangegeven bij de reis- en autoverzekeraar, zo meldt De Tijd. Een woordvoerder laat weten dat er nog geen signalen zijn ontvangen dat de gestolen gegevens ook daadwerkelijk zijn misbruikt. bron: security.nl

Microsoft heeft middels een gerechtelijk bevel van een Amerikaanse rechter meer dan 50 domeinen van een groep aanvallers offline laten halen. Volgens Microsoft gaat het om een groep aanvallers die vermoedelijk uit Noord-Korea opereert en spearphishingmails naar slachtoffers verstuurde. In de berichten werden slachtoffers verleid om een link te openen en hun inloggegevens op een phishingsite in te voeren. De groep maakte daarbij gebruik van domeinen die van Microsoft afkomstig leken. In werkelijkheid ging het om domeinen die niet met een m begonnen, maar met een r en n. De combinatie 'rn' lijkt op een m. Zodra de aanvallers toegang tot een e-mailaccount hadden gekregen stelden ze een regel in waardoor alle berichten naar een e-mailadres van de aanvallers werd doorgestuurd. Op deze manier bleven de aanvallers berichten ontvangen ook al had het slachtoffer zijn wachtwoord aangepast. Naast het stelen van inloggegevens verspreidde de groep ook malware. De groep had het voorzien op ambtenaren, denktanks, universiteitsmedewerkers, mensenrechtenorganisaties en personen die zich met nucleaire proliferatie bezighouden. De meeste doelen bevonden zich in de Verenigde Staten, gevolgd door Japan en Zuid-Korea. In de aankondiging over de actie tegen de groep meldt Microsoft verder dat het eerder domeinen van groepen uit China, Iran en Rusland uit de lucht heeft gehaald. bron: security.nl