NCSC houdt rekening met grootschalig misbruik van nieuwe Ivanti-lekken

[Captain Kirk]

Het Nationaal Cyber Security Centrum (NCSC) houdt rekening met grootschalig misbruik van nieuwe Ivanti-kwetsbaarheden. Het Amerikaanse cyberagentschap CISA heeft overheidsinstanties opgedragen om de beschikbaar gestelde patches binnen drie dagen te installeren. Gisteren kwam Ivanti met een waarschuwing voor een actief aangevallen kwetsbaarheid in Ivanti Endpoint Manager Mobile (EPMM).

Ivanti Endpoint Manager Mobile is een mobile management software engine waarmee mobile device management (MDM) mogelijk is. Organisaties kunnen via deze oplossing de mobiele apparaten van hun medewerkers op afstand beheren, bijvoorbeeld als het gaat om toegestane applicaties of bepaald beleid. Een gecompromitteerde EPMM-server kan dan ook vergaande gevolgen hebben. Begin dit jaar werd bekend dat een ander lek gebruikt was om de Ivanti EPMM-servers van meerdere Nederlandse overheidsinstanties te hacken, waaronder de Autoriteit Persoonsgegevens en Raad voor de Rechtspraak.

Gisteren kwam Ivanti met beveiligingsupdates voor vijf kwetsbaarheden in EPMM, waarvan er één al actief wordt misbruikt. Via dit beveiligingslek (CVE-2026-6973) kan een aanvaller die al over admin-toegang beschikt code op de server uitvoeren. De andere kwetsbaarheden maken het onder andere mogelijk voor een geauthenticeerde aanvaller om admin-toegang te krijgen. Details over de kwetsbaarheden of exploitcode zijn nog niet beschikbaar, maar volgens het Nationaal Cyber Security Centrum kan dit snel veranderen. "Het NCSC verwacht dat op korte termijn Proof-of-Concept code publiek beschikbaar komt. Dit vergroot de kans grootschalig misbruik aanzienlijk", aldus de overheidsinstantie.

Het Cybersecurity & Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security kan Amerikaanse overheidsinstanties opdragen om updates voor actief aangevallen kwetsbaarheden binnen een bepaalde tijd te installeren. Normaliter hanteert het CISA een deadline van twee weken. In het geval van het aangevallen Ivanti-lek hebben overheidsinstanties drie dagen de tijd gekregen om de patches uit te rollen.

 

bron: https://www.security.nl