Captain Kirk

Een beveiligingslek in de vpn-client van Fortinet wordt actief gebruikt voor het stelen van inloggegevens, zo stelt securitybedrijf Volexity. Een update voor de kwetsbaarheid is nog niet beschikbaar, alsmede een CVE-nummer, aldus de onderzoekers. Die ontdekten het beveiligingslek tijdens onderzoek naar de Deepdata-malware. Die blijkt op besmette systemen uit het geheugen de inloggegevens van de FortiClient voor Windows te stelen. Volexity waarschuwde Fortinet op 18 juli en kreeg op 24 juli bevestiging van het probleem. Via het beveiligingslek in FortiClient is het mogelijk voor malware op het systeem om gebruikersnaam, wachtwoord, remote gateway en poort uit twee verschillende JSON-objecten in het geheugen uit te lezen, zo leggen de onderzoekers uit. De gestolen informatie wordt vervolgens naar de aanvallers gestuurd. Naast inloggegevens van FortiClient kan de malware ook van zeventien andere programma's informatie stelen, waaronder KeePass, OneDrive, OpenSSH, WinSCP, SecureCRT, Putty, Windows en Xftp. bron: https://www.security.nl

Aanvallers gebruiken een nieuwe kwetsbaarheid om firewalls van Palo Alto Networks met een webshell te infecteren. Een update voor het beveiligingslek, details of een CVE-nummer zijn nog altijd niet door het securitybedrijf gegeven. Een webshell is een programma dat aanvallers op een gecompromitteerd systeem plaatsen om zo toegang tot het systeem te behouden en verdere aanvallen te kunnen uitvoeren. Vorige week waarschuwde Palo Alto Networks dat aanvallers actief misbruik maken van een kwetsbaarheid in PAN-OS, het besturingssysteem dat op de firewalls van het securitybedrijf draait. Via de kwetsbaarheid kan een ongeauthenticeerde aanvaller op afstand code op de firewall uitvoeren. Voorwaarde is wel dat de managementinterface toegankelijk is. Verdere details over het beveiligingslek zijn niet gegeven. Dit weekend kwam Palo Alto Networks met aanvullende informatie. Zo heeft het bedrijf verschillende ip-adressen gegeven waarvandaan de aanvallen worden uitgevoerd. Daarbij wordt benadrukt dat het om ip-adressen van legitieme vpn-providers kan gaan. Daarnaast installeren de aanvallers een niet nader genoemde webshell, waarvan een checksum is gegeven. De enige oplossing die Palo Alto Networks op dit moment heeft is het beveiligen van toegang tot de managementinterface van de firewall. Het bedrijf zegt aan een update te werken, maar laat niet weten wanneer die te verwachten valt. bron: https://www.security.nl

Een beveiligingsonderzoeker kon door middel van verschillende kwetsbaarheden miljoenen Electronic Arts-accounts overnemen, zonder dat hier enige interactie van gebruikers voor was vereist. Dat laat onderzoeker Sean Kahler in een analyse weten. Electronic Arts (EA) heeft de problemen inmiddels verholpen, maar had daar wel zo'n vier maanden en vijf patches voor nodig. Kahler beschrijft hoe hij binnen de authentication API-omgeving van Electronic Arts een 'privileged access token' had bemachtigd. Hoe dit precies mogelijk was zegt de onderzoeker op een later moment bekend te maken, maar het zou gaan om een executable bestand van een EA-game met daarin hardcoded credentials. Vervolgens wist Kahler via een bereikbaar endpoint andere endpoints te vinden. Elk account dat wordt gekoppeld aan een EA-account krijgt een 'persona', waaronder het standaard EA-account. Kahler weet via de gevonden endpoints en API's zijn eigen persona's aan elk willekeurig EA-account koppelen alsmede elk willekeurig persona aan zijn eigen EA-account en zo op de accounts van andere gebruikers in te loggen. In eerste instantie loopt de onderzoeker hierbij tegen een probleem aan dat er een e-mailverificatie is vereist, omdat er vanaf een nieuwe locatie wordt ingelogd. Kahler ontdekt dat deze controle is te omzeilen door meteen in te loggen via een spelcomputer, zoals de Xbox, wat ervoor zorgt dat EA de locatie 'vertrouwt'. Daarna is het gewoon mogelijk om via de EA-website op het account in te loggen. Via de kwetsbaarheden kan de onderzoekers gebruikersnamen van andere gebruikers stelen, alsmede hun game data, inloggen op de accounts van andere gebruikers, persona's van andere gebruikers bannen en opgelegde bans omzeilen. Al deze zaken zijn zonder enige interactie van de betreffende gebruikers uit te voeren. Electronic Arts wordt op 16 juni door Kahler over de kwetsbaarheden ingelicht en stelt dat het om een kritiek probleem gaat. In de volgende maanden verschijnen er vijf patches om de problemen te verhelpen, waarbij de laatste update op 8 oktober wordt uitgerold. "Gegeven de ernst is het vreemd hoe lang EA nodig had om de fixes uit te rollen. Hun originele inschatting was dat het pas tegen het einde van dit jaar was opgelost, ondanks dat het een eenvoudig geval is van blootgestelde documentatie en een enkel onbeveiligd endpoint." Daarnaast noemt de onderzoeker het teleurstellend dat EA geen bugbountyprogramma heeft. bron: https://www.security.nl

QNAP voorziet de nieuwste versies van besturingssystemen QTS en QuTS hero tot augustus 2029 van beveiligingsupdates. Dat heeft de NAS-fabrikant vandaag bekendgemaakt. QTS en QuTS zijn de besturingssystemen die op de NAS-apparaten van QNAP draaien. QTS 5.2 en QuTS hero h5.2 zijn aangemerkt als long-term support (LTS) releases en zullen daardoor langer met beveiligingsupdates worden ondersteund dan normale versies. "Wanneer een besturingssysteemversie de LTS-fase ingaat, ontvangen bepaalde niet-ingebouwde toepassingen voor het besturingssysteem ook continue ondersteuning met verbeteringen in de beveiliging en bugfixes. Deze toepassingen hebben betrekking op belangrijke functies zoals opslag, back-up en synchronisatie, virtualisatie en gegevensbescherming", aldus QNAP. Met het toepassen van een levenscyclus moet het volgens de NAS-fabrikant eenvoudiger voor beheerders worden om hun it-infrastructuur te beheren. bron: https://www.security.nl

Een kritieke kwetsbaarheid maakt het mogelijk voor een ongeauthenticeerde aanvaller om Cisco Ultra-Reliable Wireless Backhaul (URWB) access points op afstand over te nemen. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Cisco heeft beveiligingsupdates uitgebracht om het probleem te verhelpen. De kwetsbaarheid (CVE-2024-20418) bevindt zich in de webinterface van de Cisco Unified Industrial Wireless Software. Deze software draait op de Ultra-Reliable Wireless Backhaul (URWB) access points. Deze access points zijn vooral bedoeld voor 'industrieel buitengebruik' en 'vitale toepassingen'. Het access point biedt wifi-mogelijkheden waar industriële systemen gebruik van kunnen maken. Het apparaat wordt onder andere in havens en autonome voertuigen gebruikt. CVE-2024-20418 betreft een command injection-kwetsbaarheid in de webinterface van het access point. Doordat de validatie van gebruikersinvoer tekort schiet kan een aanvaller een speciaal geprepareerd http-request naar de webinterface sturen en zo willekeurige commando's met rootrechten uitvoeren. Een aanvaller kan zo volledige controle over het systeem krijgen. Het beveiligingslek is aanwezig in de Catalyst IW9165D en IW9167E heavy duty access points en Catalyst IW9165E rugged access points en wireless clients. Access points die niet in de 'URWB mode' draaien zijn niet kwetsbaar. bron: https://www.security.nl

Duizenden systemen waarmee organisaties de toegang tot gebouwen beheren zijn door middel van een kritieke kwetsbaarheid op afstand door een ongeauthenticeerde aanvaller over te nemen. De fabrikant werd vijf maanden geleden ingelicht, maar heeft nog altijd geen beveiligingsupdate uitgebracht. Het probleem is aanwezig in de Linear eMerge E3 van fabrikant Nice. De Linear eMerge is een browser-gebaseerd toegangsplatform waarmee organisaties de fysieke toegang tot hun gebouwen kunnen beheren. Via het systeem kunnen beheerders toegangspermissies instellen, het binnenkomen van personen monitoren en overzichten genereren. Het systeem biedt ook een webportaal waarmee het mogelijk is om op afstand op het systeem in te loggen. Een kwetsbaarheid in de oplossing maakt command injection mogelijk, waardoor een ongeauthenticeerde aanvaller op afstand willekeurige commando's op het systeem kan uitvoeren. Hoewel Nice werd geïnformeerd over het beveiligingslek is een update nog niet beschikbaar. Securitybedrijf Censys voerde een online scan uit en ontdekte meer dan 2700 webportalen die vanaf internet toegankelijk zijn en risico lopen. Organisaties wordt geadviseerd om de systemen offline te halen, netwerksegmentatie toe te passen, toegang door ongeautoriseerde personen te beperken en het monitoren op verdacht gedrag. De impact van de kwetsbaarheid (CVE-2024-9441) is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. bron: https://www.security.nl

Google Cloud gaat het gebruik van multifactorauthenticatie (MFA) voor alle gebruikers verplichten die nu nog met alleen met een gebruikersnaam en wachtwoord inloggen. De verplichting zal volgend jaar gefaseerd wereldwijd worden uitgerold. Daarbij zullen zowel organisaties als gebruikers worden gewaarschuwd voor de aankomende verplichting en de manier waarop ze MFA kunnen instellen. Deze maand start het techbedrijf met het informeren van gebruikers en organisaties via meldingen in de Google Cloud console. Vervolgens zal begin volgend jaar MFA worden verplicht voor alle nieuwe en bestaande gebruikers die met alleen een wachtwoord inloggen. Als laatste volgen eind 2025 de 'federated users' die via een identiteitsprovider inloggen. Google benadrukt dat MFA een 'cruciale maatregel' is om accounts tegen ongeautoriseerde toegang te beschermen en roept gebruikers op om het zo snel mogelijk in te stellen. bron: https://www.security.nl

Onderzoekers hebben een phishingaanval ontdekt waarbij slachtoffers worden misleid om een virtual machine met backdoor te installeren. De aanval begint zeer vermoedelijk met een phishingmail, waarbij wordt gelinkt naar een zogenaamde enquête genaamd 'OneAmerica Survey'. In werkelijkheid gaat het om een 285 megabyte groot bestand, dat een installatie van QEMU bevat, een open source emulator. De QEMU-installatie laadt een Linux-instance die voorzien is van een backdoor, waardoor de aanvaller verbinding met de besmette machine kan maken. "Deze setup stelt de aanvaller in staat om onopvallend aanwezig te blijven op de machine van het slachtoffer, verdere aanvallen vanuit een verborgen omgeving uit te voeren, wat detectie voor traditionele virusscanners lastig maakt. Aangezien QEMU legitieme software is, die vaak wordt gebruikt in ontwikkeling en onderzoek, zal de aanwezigheid ervan meestal geen alarm laten afgaan", aldus securitybedrijf Securonix. "Niet een veelvoorkomende techniek, toch? Eigenlijk kan ik me op dit moment zelfs niet herinneren of ik QEMU ooit eerder op deze manier in een malwarecampagne heb gezien. Zelfs als dit niet volledig nieuw is, is het zeker niet gewoon", aldus MalwareHunterTeam op X. Organisaties wordt onder andere aangeraden om het gebruik van legitieme software op ongebruikelijke locaties te monitoren en alert te zijn op het downloaden van bestanden van externe bronnen. bron: https://www.security.nl

Meer dan dertig beveiligingslekken in IBM Security Verify Access, waardoor een aanvaller de oplossing kan compromitteren, zijn na anderhalf jaar gepatcht, wat volgens beveiligingsonderzoeker Pierre Kim 'zeer zorgwekkend' is. IBM Security Verify Access is een 'authorization and network security policy management solution' waarmee organisaties hun gebruikers op intra- en extranetten kunnen authenticeren en autoriseren. Het is te gebruiken voor applicaties en client/server-toepassingen. Kim ontdekte in totaal 32 kwetsbaarheden in de oplossing waardoor een aanvaller zijn rechten op het systeem kan verhogen, het mogelijk is de authenticatie te omzeilen en remote code execution kan plaatsvinden. "TL;DR: Een aanvaller kan IBM Security Verify Access door middel van meerdere kwetsbaarheden compromitteren", vat Kim zijn onderzoek samen. Daarnaast werden in de IBM Security Verify Access runtime Docker images verouderde en niet meer vertrouwde certificaatautoriteiten aangetroffen, waaronder DigiNotar. Voorwaarde om misbruik van de kwetsbaarheden te maken is dat de aanvaller in staat is om een man-in-the-middle (MITM)-aanval op de verbinding naar de Security Verify Access-server uit te voeren of vanuit het lokale netwerk toegang krijgt. De beveiligingslekken werden in oktober 2022 ontdekt en begin 2023 aan IBM gerapporteerd. Uiteindelijk waren die eind juni van dit jaar allemaal gepatcht. "Anderhalf jaar nodig hebben om te komen met beveiligingsupdates voor een Single sign-on (SSO)-oplossing lijkt niet in lijn te zijn met huidige cybersecurityrisico's en is zeer verontrustend", aldus Kim. bron: https://www.security.nl

QNAP heeft een beveiligingsupdate uitgebracht voor een kritieke kwetsbaarheid in QuRouter (CVE-2024-50389), waardoor routers van de fabrikant op afstand zijn over te nemen. Het beveiligingslek werd op 22 oktober tijdens de Pwn2Own-hackwedstrijd in Ierland gedemonstreerd. Het evenement beloont onderzoekers voor het demonstreren van onbekende beveiligingslekken in veel gebruikte producten en software, waaronder verschillende routers. Onderzoekers van Viettel Cyber Security lieten zien hoe ze via de kritieke kwetsbaarheid de QNAP QHora-322-router op afstand konden compromitteren, om daarvandaan de aangesloten TrueNAS Mini X over te nemen. QNAP heeft nu een update voor QuRouter uitgebracht, het besturingssysteem dat op de routers van de fabrikant draait. Details over het beveiligingslek zelf zijn echter niet gegeven, behalve dat het om een kritiek probleem gaat dat in versie 2.4.5.032 en nieuwer is verholpen. bron: https://www.security.nl

Nog altijd vinden er phishingaanvallen plaats via gekaapte hotel-accounts op Booking.com, zo bevestigt het reserveringsplatform. Afgelopen juni riep Booking zowel hotels als gasten op om tweefactorauthenticatie (2FA) voor hun accounts te gebruiken. Bij de phishingaanvallen weten aanvallers de systemen van hotels met malware te infecteren en kunnen zo de inloggegevens voor het account op Booking.com stelen. Vervolgens sturen de aanvallers naar gasten die bij het betreffende hotel hebben geregistreerd een phishingbericht dat de gegevens opnieuw bevestigd moeten worden. De meegestuurde link is een phishingsite die om creditcardgegevens en andere informatie vraagt. Doordat het bericht van het hotel zelf via het Booking.com-platform afkomstig is, kunnen gasten denken dat het om een legitiem bericht gaat. Deze werkwijze vindt al enige tijd plaats. Een jaar geleden beschreef securitybedrijf Secureworks hoe een hotel met infostealer-malware werd gecompromitteerd. Infostealer-malware steelt allerlei gegevens van het systeem, waaronder ook de inloggegevens van het hotel voor Booking.com. Het hotel in kwestie waarover Secureworks schreef maakte geen gebruik van 2FA, waardoor de aanvallers met de gestolen data meteen op het account konden inloggen. Vervolgens werden er phishingberichten naar gasten gestuurd. It-journalist Brian Krebs meldt op basis van een nieuw gecompromitteerd hotel dat deze phishingaanvallen nog altijd plaatsvinden. Booking.com bevestigt dit. Volgens het reserveringsplatform was het hotel waarover Krebs schrijft besmet geraakt met malware. Booking voegt toe dat 2FA inmiddels voor partners verplicht is en wordt gehandhaafd. Krebs merkt op dat het onduidelijk is of deze 2FA-verplichting voor alle of alleen nieuwe partners geldt die via het platform actief zijn. bron: https://www.security.nl

Cisco heeft door een configuratiefout op de eigen DevHub-site bestanden bedoeld voor klanten onbedoeld gelekt, die zodoende door een aanvaller gestolen konden worden. Via DevHub maakt Cisco scripts, templates, code en andere software beschikbaar voor klanten en gebruikers van de site. Het grootste deel van de informatie op DevHub is bewust publiek beschikbaar, aldus het netwerkbedrijf in een melding over een security-incident. Vorige maand claimde iemand op een online forum een 'Cisco Data Breach'. Volgens deze persoon beschikte hij over allerlei gevoelige informatie van Cisco. Het bedrijf deed daarop een onderzoek en stelde dat het om bestanden van de DevHub-site ging. Verder onderzoek wees uit dat een configuratiefout ervoor zorgde dat bestanden bedoeld voor klanten, die niet publiek hadden moeten zijn, toch zijn gepubliceerd. Volgens Cisco betreft het een 'beperkt aantal' CX Professional Services-klanten die inmiddels zijn ingelicht. Om wat voor soort configuratiefout het precies gaat laat Cisco niet weten. Het probleem is inmiddels verholpen, aldus de verklaring. Verder stelt Cisco op basis van voorlopig onderzoek dat er geen informatie is gelekt waardoor een aanvaller toegang kan krijgen tot de productie- of bedrijfsomgevingen van het bedrijf. bron: https://www.security.nl

De malafide 'e-bookwebsite' Z-Lib heeft de gegevens van bijna tien miljoen gebruikers gelekt, die nu aan datalekzoekmachine Have I Been Pwned zijn toegevoegd. Z-Lib deed zich voor als een kloon van de bekende e-bookwebsite Z-Library. Volgens onderzoekers was het eigenlijk een phishingsite die inloggegevens van gebruikers verzamelde en om betalingen vroeg. Z-Lib verscheen online nadat de domeinen van Z-Library eind 2022 door de Amerikaanse autoriteiten offline waren gehaald. De website deed zich voor als de officiële versie van Z-Library. Afgelopen augustus waarschuwde Z-Library via X nog voor de scamwebsite. Sinds Z-Lib online was probeerden bijna tien miljoen mensen van de website gebruik te maken en met hun inloggegevens voor Z-Library in te loggen. Eind juli ontdekten onderzoekers dat de website een back-upbestand met gegevens van zo'n tien miljoen gebruikers lekte. De back-up was voor iedereen op internet toegankelijk. De gelekte informatie bestaat uit walletadressen, e-mailadressen, geografische locatie, wachtwoorden, aankopen en gebruikersnamen van meer dan 9,7 miljoen gebruikers. De e-mailadressen zijn toegevoegd aan Have I Been Pwned. Via de zoekmachine kunnen gebruikers kijken of hun gegevens in een bekend datalek voorkomen. Van de gelekte e-mailadressen was 49 procent al via een ander datalek bij de zoekmachine bekend. bron: https://www.security.nl

Het Tor-netwerk is het doelwit geworden van een censuur-aanval waarbij gespoofte ip-adressen worden gebruikt, zo stelt Osservatorio Nessuno, een Italiaanse non-profitorganisatie die zich inzet voor het recht op privacy en anonimiteit en de vrijheid van informatie, meningsuiting en communicatie en digitale rechten in het algemeen. Dagelijks maken miljoenen mensen gebruik van het Tor-netwerk om hun privacy te beschermen en gecensureerde websites te bezoeken. Het netwerk draait volledig op servers en bandbreedte die door vrijwilligers wordt gedoneerd. Het verkeer van Tor-gebruikers loopt via meerdere servers om zo de identiteit van de gebruiker te maskeren. Volgens Osservatorio Nessuno hebben de afgelopen dagen veel Tor-serverbeheerders abusemeldingen ontvangen dat hun servers zijn gebruikt voor het uitvoeren van bruteforce-aanvallen via SSH. Uit onderzoek blijkt dat de servers geen onderdeel van de aanval waren, maar de verantwoordelijke aanvaller de ip-adressen van de Tor-servers spooft. Daardoor lijkt het voor de aangevallen netwerken alsof de Tor-servers hiervoor verantwoordelijk zijn. Vanwege de aanvallen krijgen de ip-adressen van de Tor-server een 'slechte reputatie' en worden vervolgens door allerlei instanties op blocklists gezet, aldus Osservatorio Nessuno. Beheerders van Tor-servers worden opgeroepen om tegen de abusemeldingen bezwaar te maken. Providers wordt gevraagd om te controleren dat hun informatie correct is, om zo te voorkomen dat ze nep-abusemeldingen versturen. bron: https://www.security.nl

Microsoft heeft besloten om de uitrol van Windows Recall opnieuw uit te stellen, nu naar december. De feature zal dan beschikbaar komen voor Windows Insiders die werken met een Copilot+ pc. Het is de derde keer dat uitstel plaatsvindt. Recall is een nieuwe 'AI-feature' van Microsoft, waarbij continu screenshots van het scherm van gebruikers worden gemaakt. De screenshots worden vervolgens door AI geanalyseerd en doorzoekbaar gemaakt. Microsoft omschrijft het als een 'fotografisch geheugen'. Experts gebruikten de term keylogger en privacynachtmerrie. Oorspronkelijk zou Recall standaard zijn ingeschakeld, maar vanwege de felle kritiek besloot Microsoft voor een opt-in te kiezen en aanvullende beveiligings- en privacymaatregelen toe te voegen. Microsoft was eerst van plan om Recall in juni te lanceren, maar kwam daarop terug. Vervolgens zou de eerste publieke testversie in oktober beschikbaar komen, maar dat is nu verschoven naar december. Volgens Microsoft is dit nodig om de 'experience' te 'verfijnen'. Verdere details zijn niet gegeven. "Ze zouden de tijd moeten nemen om het goed te doen. Ik begrijp nog steeds niet wat ze dachten toen de ceo op het podium stond en aankondigde dat het zes maanden geleden zou lanceren en volledig veilig zou zijn, toen ze er niet eens een basale securityreview van hadden gedaan", zegt beveiligingsonderzoeker Kevin Beaumont. bron: https://www.security.nl

Al meer dan een jaar maken aanvallers gebruik van een botnet bestaande uit gecompromitteerde TP-Link-routers voor het uitvoeren van password spraying-aanvallen, zo waarschuwt Microsoft. Via het botnet zijn verschillende klanten van Microsoft aangevallen, aldus het techbedrijf in een blogposting. Deze klanten zijn hier inmiddels over ingelicht. Welke kwetsbaarheid of kwetsbaarheden de aanvallers precies gebruiken voor het compromitteren van de TP-Link-routers laat Microsoft niet weten. Het botnet zou gemiddeld uit zo'n achtduizend besmette routers bestaan. Zodra de aanvallers toegang tot de router krijgen installeren ze een backdoor en software waardoor het apparaat voor de password spraying-aanvallen is te gebruiken. Password spraying is een techniek waarbij een aanvaller veelgebruikte wachtwoorden probeert om op een account in te loggen. Om detectie te voorkomen gebruikt een aanvaller eerst één wachtwoord tegen een groot aantal accounts, voordat er een tweede wachtwoord wordt gebruikt. Volgens Microsoft zijn aanvallen via het botnet lastig te detecteren, omdat het over duizenden ip-adressen van thuisgebruikers en kleine bedrijven beschikt. Zodra aanvallers via het botnet toegang tot een account of systeem weten te krijgen, gebruiken ze 'scanning en credential dumping tools' om inloggegevens te stelen en zich lateraal door het netwerk te bewegen. Vervolgens wordt aanvullende malware geïnstalleerd en allerlei data gestolen. Microsoft adviseert organisaties om gebruikers voor te lichten over wachtwoordhygiëne en het hergebruik van wachtwoorden te voorkomen. Tevens moet multifactorauthenticatie (MFA) voor alle accounts worden ingesteld. bron: https://www.security.nl

Aanvallers maken actief misbruik van twee kwetsbaarheden in PTZ (pan tilt zoom)-beveiligingscamera's van verschillende fabrikanten. Inmiddels zijn er firmware-updates beschikbaar gemaakt om de problemen te verhelpen, maar de aanvallen vonden al plaats voor het uitkomen van de patches. Via de twee beveiligingslekken (CVE-2024-8956 en CVE-2024-8957) kan een ongeauthenticeerde aanvaller op afstand de camera overnemen.De enige voorwaarde is dat de camera bereikbaar is voor de aanvaller. Dat melden securitybedrijven GreyNoise en VulnCheck. De kwetsbare beveiligingscamera's maken gebruik van VHD PTZ camera firmware voor versie 6.3.40. De firmware wordt onder andere gebruikt in apparaten van PTZOptics, Multicam Systems SAS en SMTAV Corporation gebaseerd op de Hisilicon Hi3516A V600 SoC V60, V61 en V63 chips. De camera's, die in allerlei sectoren zoals gezondheidszorg, productie, bedrijfsleven en overheid worden gebruikt, beschikken over een ingebouwde webserver, zodat ze eenvoudig via een browser zijn te benaderen. De beveiligingslekken zorgen ervoor dat een aanvaller de apparaten op afstand kan overnemen. CVE-2024-8956 betreft een kritiek authenticatieprobleem. Een aanvaller kan door het versturen van speciaal geprepareerde requests gevoelige informatie opvragen, zoals gebruikersnamen, wachtwoordhashes en configuratiegegevens. Ook kan een aanvaller de configuratiewaardes aanpassen of het gehele bestand overschrijven. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.1. Zodra de aanvaller via CVE-2024-8956 toegang heeft gekregen kan die CVE-2024-8957 gebruiken. Deze kwetsbaarheid maakt command injection mogelijk en zorgt ervoor dat de aanvaller willekeurige OS-commando's op de camera kan uitvoeren. Door de twee kwetsbaarheden te combineren kan een ongeauthenticeerde aanvaller op afstand volledige controle over de camera krijgen. Het is onbekend sinds wanneer aanvallers misbruik van de lekken maken en hoeveel apparaten zijn gecompromitteerd. bron: https://www.security.nl

Bittorrent-client qBittorrent was ruim veertien jaar lang kwetsbaar voor man-in-the-middle (mitm)-aanvallen. Sinds april 2010 werd elk willekeurig tls-certificaat geaccepteerd, waaronder verlopen en zelf-gesigneerde certificaten. Eerder deze week verscheen versie 5.0.1 waarin het probleem is verholpen. Dat laat Sharp Security in een analyse weten. In de release notes staat als bugfix vermeld 'Don't ignore SSL errors'. Een aanvaller zou op verschillende manieren misbruik van het probleem kunnen maken. QBittorrent voert namelijk verschillende controles uit, waarbij het hardcoded URL's gebruikt om te kijken of de gebruiker Python moet downloaden/installeren, of er nieuwe updates beschikbaar zijn, het automatisch downloaden van een .gz extension binary en het updaten van RSS-feeds. "Een ander aspect van de hardcoded URL's is dat een aanvaller alleen verzoeken van qBittorrent kan onderscheppen die de verbinding niet verifiëren, in plaats van een slachtoffer te waarschuwen wanneer zijn browser of andere applicaties er niet in slagen om veilig verbinding te maken met internet", aldus Sharp Security. Dat voegt toe dat een aanvaller via de mitm-aanval links in de qBittorrent RSS-viewer, update URL's en aangeboden Python-bestanden kan vervangen door malware. bron: https://www.security.nl

Aanvallers zijn erin geslaagd om cryptostelende malware toe te voegen aan de npm-package van Lottie-Player, zo waarschuwt LottieFiles. LottieFiles is een library van Lottie-animaties, een bestandsformaat voor vectoranimaties. Lottie-animaties zijn in websites, apps en andere digitale producten te gebruiken en moeten voor 'beweging en interactiviteit' zorgen, aldus de uitleg. Volgens LottieFiles worden de animaties en diensten die het biedt door bijna tien miljoen ontwerpers en ontwikkelaars van meer dan 280.000 bedrijven wereldwijd gebruikt. Voor het embedden en weergeven van Lottie-animaties op websites is er de Lottie-Player, die via npm wordt aangeboden. Dit is de standaard package manager voor de JavaScript-omgeving Node.js en naar eigen zeggen het grootste softwarearchief ter wereld. Via het npm registry biedt het een groot archief met openbare, besloten en commerciële packages. LottieFiles meldt via X dat het aanvallers is gelukt om nieuwe versies van Lottie-Player te verspreiden die zijn voorzien van malware. Volgens de verklaring konden de aanvallers deze besmette versies verspreiden door middel van een gestolen access token van een ontwikkelaar die over de vereiste permissies beschikte. Hoe dit token kon worden gestolen laat LottieFiles niet weten. De malware in de besmette Lottie-Player probeerde toegang tot de cryptowallets van gebruikers te krijgen. De besmette versies zijn inmiddels verwijderd en er is een nieuwe, schone versie gepubliceerd. Ontwikkelaars en ontwerpers die hun player niet meteen kunnen updaten wordt aangeraden om naar eindgebruikers van de Lottie-Player te communiceren dat ze verzoeken om hun cryptowallets te koppelen moeten negeren. bron: https://www.security.nl

Het Amerikaanse ministerie van Volksgezondheid en het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security waarschuwen voor misbruik van verschillende kwetsbaarheden in Oracle-producten aangeduid als 'The Miracle Exploit'. De beveiligingslekken (CVE-2022-21445 en CVE-2022-21497) bevinden zich in het Oracle Application Development Framework (ADF) en de Oracle Web Services Manager, die onderdeel van Oracle Fusion Middleware zijn. Oracle kwam in april 2022 met updates voor de problemen. Via de beveiligingslekken kan een ongeauthenticeerde aanvaller systemen op afstand overnemen. CVE-2022-21445 maakt het mogelijk voor een aanvaller om door het versturen van speciaal geprepareerde HTTP-requests naar een kwetsbaar systeem hier willekeurige code op uit te voeren. De impact is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. CVE-2022-21497 betreft een server-side request forgery (SSRF) kwetsbaarheid en zorgt ervoor dat een aanvaller zich lateraal naar andere kwetsbare Oracle-systemen kan bewegen. Ook dit beveiligingslek, met een impactscore van 8.1, zorgt ervoor dat door het sturen van speciaal geprepareerde data 'arbitrary code execution' mogelijk is. De onderzoekers die de kwetsbaarheden in juni 2022 openbaarden noemden dit een 'mega 0-day' en gaven hun aanval de naam 'The Miracle Exploit'. Een goede twee jaar later kwam het Amerikaanse cyberagentschap CISA vorige maand met de melding dat aanvallers actief misbruik maken van CVE-2022-21445 en CVE-2020-14644. Een andere Oracle-kwetsbaarheid die met CVE-2022-21445 is te combineren. CVE-2020-14644 werd door andere onderzoekers gevonden en in juli 2020 door Oracle gepatcht. Het CISA gaf geen details over de waargenomen aanvallen. Naar aanleiding van die waarschuwing is het Health Sector Cybersecurity Coordination Center (HC3) van het Amerikaanse ministerie van Volksgezondheid nu met een waarschuwing voor The Miracle Exploit gekomen (pdf). De overheidsinstantie stelt dat, op de melding van het CISA na, er nog geen publieke meldingen van actief misbruik zijn. Wel kan de impact op zorginstellingen groot zijn, aangezien die vaak van middleware gebruikmaken voor het beheer van essentiële functies en patiëntengegevens. Daar komt bij dat Oracle tijdens elke patchronde waarschuwt dat het bekend is met succesvolle aanvallen op klanten die hebben nagelaten updates te installeren. Het HC3 roept zorginstanties dan ook op om de updates te installeren mocht dat nog niet zijn gedaan. bron: https://www.security.nl

Aanvallers installeren op gecompromitteerde systemen antivirussoftware om daarmee de aanwezige securitysoftware uit te schakelen, zo laat securitybedrijf Rapid7 weten. Het bedrijf deed onlangs onderzoek naar een aanval, die begon via een gecompromitteerde SharePoint-server. Om detectie binnen de gecompromitteerde omgeving te voorkomen installeerde de aanvaller Huorong Internet Security, dat in de Microsoft Store verkrijgbaar is. De installatie van deze antivirussoftware zorgde voor een conflict met de al aanwezige beveiligingsoplossingen op het systeem, waardoor de services van deze producten crashten. Door het wegvallen van de beveiligingsoplossingen kon de aanvaller verder met zijn aanval. Voordat hij Huorong AntiVirus installeerde had de aanvaller namelijk geprobeerd om Impacket te installeren. Dit is een verzameling Python-scripts om met netwerkprotocollen te werken. De installatie van Impacket werd door de aanwezige beveiligingsoplossing tegengehouden, waarop de aanvaller Huorong Internet Security installeerde en alsnog verder kon. "De installatie van een extern antivirusproduct om securitytooling uit te schakelen is een interessante techniek die we tijdens dit onderzoek ontdekten", aldus het securitybedrijf. Rapid7 heeft Indicators of Compromise met betrekking tot de aanval en het gebruik van de antivirussoftware voor 'Defense Evasion' via het eigen blog gedeeld. De naam van de uitgeschakelde securityproducten is niet bekendgemaakt. bron: https://www.security.nl

Een groot aantal Xlight ftp-servers die vanaf internet benaderbaar zijn bevatten een kritieke kwetsbaarheid waardoor de systemen op afstand door een ongeauthenticeerde aanvaller zijn over te nemen. Daarnaast is proof-of-concept exploitcode beschikbaar, wat de kans op actief misbruik vergroot, aldus securitybedrijf Censys. De ontwikkelaar heeft een update uitgebracht waarmee het probleem wordt verholpen, maar heeft de impact van het lek niet duidelijk in de release notes vermeld. Xlight is software voor het opzetten van een ftp-/sftp-server. Een kritieke kwetsbaarheid (CVE-2024-46483) in het onderdeel dat netwerkpakketten verwerkt kan voor een 'integer overflow' zorgen. Hierdoor kan een aanvaller zijn code op de server uitvoeren. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Op 21 augustus kwam de ontwikkelaar met versie 3.9.4.3 waarin het probleem is verholpen. Volgens de beschrijving van de update gaat het om een kwetsbaarheid waardoor het mogelijk is de server te laten crashen. De aanval kan echter ook leiden tot het uitvoeren van code, wat de impact veel groter maakt. Onlangs verscheen er proof-of-concept exploitcode online. Censys voerde een online scan uit en ontdekte meer dan 3500 Xlight ftp-servers die vanaf het internet benaderbaar zijn. De helft van deze ftp-servers geeft de gebruikte versie weer. Op basis daarvan blijkt dat bijna de helft van alle online te vinden Xlight ftp-servers een kwetsbare versie draait. Er werden slechts veertig servers gevonden die versie 3.9.4.3 of nieuwer draaien. bron: https://www.security.nl

Fortinet heeft meer informatie gegeven over de aanvallen waar FortiManager-servers al maanden het doelwit van zijn, waaronder ip-adressen die de aanvallers gebruiken. Aanvallers maken al zeker sinds juni misbruik van een kritieke kwetsbaarheid in FortiManager, aangeduid als CVE-2024-47575. Op het moment dat de aanvallen plaatsvonden was er geen update voor de kwetsbaarheid beschikbaar. De Shadowserver Foundation, een organisatie die zich bezighoudt met de bestrijding van cybercrime, stelde onlangs dat alle organisaties met een FortiManager-server ervan moeten uitgaan dat het systeem is gecompromitteerd, tenzij uitgebreid onderzoek uitwijst dat dit niet het geval is. FortiManager is een netwerkapparaat waarmee organisaties al hun Fortinet-apparaten kunnen beheren. Een succesvolle aanval kan dan ook vergaande gevolgen voor organisaties hebben, omdat zo ook andere apparaten zijn aan te vallen die vaak een belangrijke rol in het netwerk spelen. Via het beveiligingslek kan een ongeauthenticeerde aanvaller op afstand willekeurige code of commando's op kwetsbare apparaten uitvoeren. Bij de nu waargenomen aanvallen stelen aanvallers configuratiedata van de aangevallen FortiManager-server. Deze data bevat configuratiegegevens van zowel via de FortiManager beheerde apparaten, alsmede de gebruikers van deze apparaten en hun gehashte wachtwoorden. De afgelopen dagen heeft Fortinet meer informatie aan het beveiligingsbulletin over CVE-2024-47575 toegevoegd. Het gaat onder andere om Indicators of Compromise (IoCs), waarmee organisaties kunnen kijken of hun FortiManager-servers gecompromitteerd zijn. De nieuwste IoCs bestaan onder andere uit verschillende ip-adressen die de aanvallers gebruiken of hebben gebruikt. Updates voor de kwetsbaarheid zijn al voor het uitkomen van het beveiligingsbulletin onder klanten beschikbaar gemaakt. Organisaties worden opgeroepen de update te installeren mocht dat nog niet zijn gedaan. De Duitse overheid liet laatst weten dat het bekend is met tientallen gecompromitteerde FortiManager-servers in het land. Ook de Britse overheid meldde aanvallen. bron: https://www.security.nl

Aanvallers maken bij phishingaanvallen op grote schaal gebruik van Remote Desktop Protocol (RDP) configuratiebestanden om individuen en organisaties te compromitteren, zo waarschuwt Microsoft. Volgens het techbedrijf hebben meer dan duizend doelwitten in meer dan honderd organisaties de phishingmails ontvangen. De e-mails hebben als bijlage een .RDP-bestand. Het Remote Desktop Protocol maakt het mogelijk om computers op afstand te besturen. De RDP-bestanden die bij de aanvalscampagne worden gebruikt zijn met een certificaat van Let's Encrypt gesigneerd. Zodra de ontvanger het RDP-bestand opent wordt er vanaf zijn computer een verbinding met de RDP-server van de aanvallers opgezet. Die kunnen vervolgens via RDP de computer van het doelwit overnemen. Volgens Microsoft zijn de gebruikte RDP-bestanden voorzien van gevoelige instellingen, waardoor er allerlei informatie van het doelwit wordt gelekt. Zodra het doelsysteem is gecompromitteerd maakt het verbinding met de server van de aanvallers en worden lokale resources voor de RDP-server beschikbaar. Het gaat dan bijvoorbeeld om harde schijven, inhoud van het clipboard, printers, aangesloten apparaten, audio en authenticatiefeatures van Windows, waaronder smartcards. "Met deze toegang zouden de aanvallers malware het de lokale schijf of netwerkshares van het doelwit kunnen installeren", aldus Microsoft. Op deze manier kan de aanvaller toegang behouden als de RDP-sessie wordt gesloten. Tevens stelt het techbedrijf dat bij het opzetten van de RDP-verbinding naar de server van de aanvallers ook de inloggegevens van het doelwit kunnen worden verstuurd. Volgens Microsoft zijn overheden, academici, de defensiesector en NGO's het doelwit van de aanvallen. Het techbedrijf stelt dat die het werk zijn van een aan Rusland gelieerde groep genaamd Midnight Blizzard, die ook bekendstaat als APT29 en Cozy Bear. Onlangs waarschuwde ook Amazon dat het domeinen had geïdentificeerd die bij deze aanval zijn gebruikt. bron: https://www.security.nl

Synology heeft twee kritieke kwetsbaarheden verholpen waardoor NAS-apparaten op afstand zijn over te nemen. De beveiligingslekken werden vorige week tijdens de Pwn2Own-hackwedstrijd in Ierland gedemonstreerd. Tijdens de wedstrijd worden onderzoekers beloond voor het demonstreren van onbekende kwetsbaarheden in populaire producten en software. Tijdens de editie in Ierland waren onder andere NAS-apparaten van QNAP, Synology en TrueNAS het doelwit van deelnemende onderzoekers. Het lukte meerdere onderzoekers om NAS-systemen van de drie fabrikanten te compromitteren. Eerder kwam QNAP al voor een gedemonstreerde kwetsbaarheid met een beveiligingsupdate. Ook Synology is met patch gekomen om twee beveiligingslekken te verhelpen. De eerste kritieke kwetsbaarheid bevindt zich in Synology Photos 1.6 en 1.7 voor DSM 7.2. Synology Photos maakt het mogelijk om fotoalbums op de NAS aan te maken en met anderen te delen. Gebruikers moeten de applicatie zelf op hun NAS installeren. DiskStation Manager (DSM) is het besturingssysteem dat op NAS-apparaten van Synology draait. Het tweede kritieke beveiligingslek is verholpen in BeePhotos voor BeeStation OS 1.0 en 1.1. BeePhotos is een app voor het maken van foto's op een BeeStation NAS. TrueNAS moet nog met beveiligingsupdates voor de gedemonstreerde kwetsbaarheden komen. bron: https://www.security.nl