Kwetsbaarheden CVE's

2024 | 2023 | 2022 | 2021

december | november | oktober | september | augustus

Groot lek in beveiliging ruim 150 typen HP-printers gevonden

Onderzoekers hebben een kritieke kwetsbaarheid in meer dan honderdvijftig modellen printers van HP ontdekt waardoor de apparaten op afstand zijn over te nemen. Alleen het bezoeken van een malafide website is voldoende om aanvallers code op kwetsbare printers te laten uitvoeren, maar het lek is ook door een worm te misbruiken, zo meldt antivirusbedrijf F-Secure dat het probleem ontdekte. De malafide website zou automatisch een document met malafide fonts op de kwetsbare printer kunnen printen, waardoor een buffer overflow ontstaat en remote code execution mogelijk is. Vervolgens zou een aanvaller informatie van de printer kunnen stelen, zoals geprinte, gescande en gefaxte documenten, maar ook informatie zoals wachtwoorden en inloggegevens die het apparaat gebruikt voor de verbinding met de rest van het netwerk. Volgens de onderzoekers zou een gecompromitteerde printer ook voor verdere aanvallen tegen het netwerk zijn te gebruiken, zoals de verspreiding van ransomware. Het probleem wordt veroorzaakt door de manier waarop de HP-printers fonts verwerken en zou ook door een worm te misbruiken zijn, aldus de onderzoekers. Een besmette printer zou zo automatisch en zonder gebruikersinteractie andere printers in het netwerk kunnen infecteren. F-Secure stelt in de aankondiging van het beveiligingslek dat alleen het bezoeken van een malafide website voldoende is om automatisch een document op de printer te printen, maar in een video waarin de kwetsbaarheid wordt gedemonstreerd is te zien hoe een gebruiker eerst op een link klikt. De impact van de kwetsbaarheid, aangeduid als CVE-2021-39238, is op een schaal van 1 tot en met 10 met een 9,3 beoordeeld. HP heeft firmware-updates uitgebracht en adviseert gebruikers en organisaties om die te installeren.

Onderzoeker zet ernstig Windows beveiligingslek op internet uit protest

Beveiligingsonderzoeker Abdelhamid Naceri heeft een ernstige kwetsbaarheid in Windows op internet gepubliceerd uit protest tegen de lage beloningen die Microsoft uitdeelt aan onderzoekers die kwetsbaarheden melden. Met de beveiligingslek kan een kwaadwillende binnen een paar seconden volledige administrator rechten over een computer krijgen. Naceri nam begin november 2021 een oplossing van Microsoft onder de loep. Hij ontdekte dat de bug niet goed was opgelost en dat hij via een omweg een nog krachtigere versie van deze exploit kon ontwikkelen. Zijn bevindingen over deze kwetsbaarheid publiceerde hij als Proof-of-Concept op het veelgebruikte openbare codeplatform GitHub. Dat het een ernstige kwetsbaarheid is, blijkt uit de test van Bleeping Computer. Zij testten de exploit op een test pc met de meest recente versie van Windows 10. De exploit bleek bijzonder simpel uit te voeren: door het aanklikken van een .exe, een installatie bestand, verandert een regulier account zonder rechten binnen een paar seconden in een administrator account dat volledige toegang heeft tot de computer. Bij veel bedrijven is het via gebruikersrechten(policies) geregeld dat gewone gebruikers geen programma’s mogen installeren, maar deze zero-day werkt; dus zelfs als deze policies streng zijn afgesteld. Hierdoor zijn ook grote bedrijven met betere beveiliging kwetsbaar. Normaliter meldt een onderzoeker een dergelijke kwetsbaarheid bij de softwareontwikkelaar, zodat zij deze in alle stilte kunnen verhelpen. Afhankelijk van hoe ernstig een kwetsbaarheid is, ontvangt de onderzoeker in ruil hiervoor een beloning, een zogeheten bug-bounty. Deze beloningen kunnen variëren van honderden tot tienduizenden dollars, of zelfs nog veel meer. Volgens Naceri zijn de bug-bounties van Microsoft sinds april 2020 aanzienlijk lager dan voorheen. Vaak kost het veel tijd en moeite om een kwetsbaarheid te vinden en uit te werken, dus onderzoekers schrikken wanneer bounties die voorheen 10.000 Amerikaanse dollar waard waren, vandaag de dag nog maar 1.000 dollar opleveren.

Microsoft verhelpt actief aangevallen zerodaylek week later in Office voor Mac

Microsoft heeft een actief aangevallen zerodaylek nu ook in Office voor Mac verholpen, een week nadat de beveiligingsupdate voor de Windowsversies van de kantoorsoftware verscheen. Via de kwetsbaarheid, aangeduid als CVE-2021-42292, kan een aanvaller code op het systeem uitvoeren als er een speciaal geprepareerd Excel-document wordt geopend. Het gaat hier om een "security feature bypass". Waarschijnlijk betreft het code die normaal pas na toestemming van de gebruiker wordt uitgevoerd, maar door de kwetsbaarheid verschijnt er vermoedelijk geen venster dat hierom vraag. Microsoft bracht op 9 november een beveiligingsupdate voor de kwetsbaarheid uit, maar niet voor Office voor Mac. Op het moment dat de patch verscheen werd er al misbruik van het lek gemaakt. Verdere details over de aanvallen zijn niet gegeven, behalve dat Microsoft het zerodaylek zelf ontdekte. Nu is de beveiligingsupdate voor de kwetsbaarheid ook voor Office voor Mac verschenen. Die verhelpt daarnaast ook een andere kwetsbaarheid (CVE-2021-40442) waardoor remote code execution mogelijk is bij het openen van een document. Microsoft roept gebruikers van Office 2019 voor Mac en Office LTSC voor Mac 2021 op om de update te installeren en zo beschermd te zijn tegen de kwetsbaarheden.

Microsoft patcht kwetsbaarheden in updateassistent Windows 10

Microsoft waarschuwt voor twee kwetsbaarheden in de updateassistent van Windows 10 waardoor een aanvaller bestanden op het systeem van gebruikers kan verwijderen. Beveiligingsupdates zijn buiten de vaste patchdinsdag om beschikbaar gemaakt en details over één van de beveiligingslekken zijn al openbaar, zo laat het techbedrijf weten. Volgens Microsoft zijn er nog geen aanvallen waargenomen die misbruik maken van de kwetsbaarheden. De beveiligingslekken, aangeduid als CVE-2021-43211 en CVE-2021-42297, vallen in de categorie "Elevation of Privilege". Het gaat in dit geval om kwetsbaarheden waarmee een aanvaller die toegang tot een systeem heeft zijn rechten kan verhogen. In dit geval zou een aanvaller alleen bestanden van het systeem kunnen verwijderen. Het bekijken of aanpassen van bestanden is niet mogelijk, aldus Microsoft. De impact van de kwetsbaarheden is op een schaal van 1 tot en met 10 met een 5 en 5,5 beoordeeld.

Exchange Server 2013 ook kwetsbaar voor actief aangevallen beveiligingslek

Exchange Server 2013 is ook kwetsbaar voor een actief aangevallen beveiligingslek waardoor aanvallers de mailserver kunnen overnemen. Microsoft bracht op 9 november beveiligingsupdates uit voor Exchange Server 2016 en 2019 en heeft de patch nu ook voor Exchange Server 2013 beschikbaar gesteld. Op het moment dat Microsoft de update uitrolde werd er al misbruik van het beveiligingslek gemaakt. Verdere details werden niet gegeven, behalve dat meerdere onderzoekers het probleem aan Microsoft hadden gerapporteerd en het techbedrijf de kwetsbaarheid zelf ook had gevonden. De kwetsbaarheid, aangeduid als CVE-2021-42321, maakt het mogelijk voor een geauthenticeerde aanvaller om willekeurige code op de server uit te voeren. De aanvaller moet in dit geval over inloggegevens van een legitieme gebruiker beschikken om de server aan te vallen. De inloggegevens zouden bijvoorbeeld via phishing kunnen worden gestolen. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 met een 8,8 beoordeeld.

VS, VK en Australië waarschuwen voor misbruik Exchange- en Fortinet-lekken

De Amerikaanse, Australische en Britse overheid hebben een waarschuwing afgegeven voor een groep aanvallers die door de Iraanse overheid zou worden gesponsord en misbruik maakt van bekende kwetsbaarheden in Microsoft Exchange en Fortinet FortiOS. Ook Microsoft is met een overzicht gekomen van verschillende groepen aanvallers die vanuit Iran zouden opereren. De groep aanvallers waarvoor de FBI, Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), het Australische Cyber Security Centre (ACSC) en het Britse National Cyber Security Centre (NCSC) waarschuwen maakt sinds maart van dit jaar misbruik van bekende beveiligingslekken in Fortinet FortiOS. Het gaat om CVE-2018-13379, CVE-2019-5591 en CVE-2020-12812 waardoor een aanvaller toegang tot Fortinet vpn-servers kan krijgen. De APT-groep wist via de beveiligingslekken onder andere het netwerk van een Amerikaans kinderziekenhuis te compromitteren, aldus de waarschuwing. Sinds oktober van dit jaar maken de aanvallers ook gebruik van van de ProxyShell-kwetsbaarheden in Microsoft Exchange. ProxyShell is een naam voor drie kwetsbaarheden die wanneer gecombineerd het voor ongeauthenticeerde aanvallers mogelijk maken om kwetsbare Exchange-servers op afstand over te nemen. Zodra de APT-groep toegang tot de Exchange-server heeft gekregen worden verdere aanvallen uitgevoerd om organisaties met ransomware te infecteren. Organisaties worden opgeroepen om beveiligingsupdates zo snel mogelijk te installeren wanneer die beschikbaar komen. Voor sommige van de aangevallen kwetsbaarheden zijn patches al geruime tijd beschikbaar. Daarnaast moeten de kwetsbaarheden aangeduid als CVE-2021-34473, CVE-2018-13379, CVE-2020-12812 en CVE-2019-5591 meteen worden gepatcht.

Beveiligingsadvies kwetsbaarheden in RPKI-validatie software gepubliceerd (update)

Het NCSC coördineert een multi-party CVD-proces rondom kwetsbaarheden in RPKI-validatie software. Dit proces vraagt om brede, meervoudige afstemming met veel internationale partijen. Eerder dit jaar is het NCSC benaderd door onderzoekers die de kwetsbaarheden hebben gevonden met het verzoek om hen bij te staan in dit multi-party proces.In navolging van deze melding heeft het NCSC verschillende partijen op de hoogte gesteld van het bestaan van deze kwetsbaarheden. Samen met de betrokken partijen is gewerkt aan het vinden van een gezamenlijke datum waarop de updates beschikbaar konden worden gesteld.

Op dinsdag 9 november is door het NCSC een beveiligingsadvies (NCSC-2021-0987) over deze kwetsbaarheden uitgestuurd. In dit advies zijn ook de oplossingen van de verschillende ontwikkelaars van validatiesoftware opgenomen. De voorgestelde oplossingen van de ontwikkelaars vindt u onderaan dit bericht.

Het NCSC zal de ervaringen van dit traject inbrengen in de lopende discussie rondom multi-party disclosure om zo te kunnen blijven verbeteren en bij te dragen aan nationale- en internationale digitale veiligheid.

Overzicht oplossingen ontwikkelaars:

Cloudflare

Cloudflare heeft updates uitgebracht voor OctoRPKI om de kwetsbaarheden te verhelpen. Meer informatie vindt u hier.

FORT

De ontwikkelaar van FORT Validator hebben updates uitgebracht om de kwetsbaarheden te verhelpen. Meer informatie vindt u hier.

NLnet Labs

NLnet Labs heeft updates uitgebracht voor Routinator om de kwetsbaarheden te verhelpen. Meer informatie vindt u hier.

OpenBSD

De ontwikkelaars van OpenBSD hebben updates uitgebracht om de kwetsbaarheden te verhelpen in rpki-client 7.5. Voor meer informatie, zie link (OpenBSD Errata), link (rpki-client 7.5)

RIPE NCC

RIPE NCC heeft aangegeven dat RPKI Validator 3 sinds 1 juli 2021 niet meer wordt ondersteund en geen (beveiliging)updates meer ontvangt. Meer informatie over RPKI Validator 3 vindt u hier.

rpki-prover

De ontwikkelaars van rpki-prover hebben updates beschikbaar gesteld om de kwetsbaarheden te verhelpen. Meer informatie vindt u hier.

Google rolt update uit voor actief aangevallen zerodaylek in Android

Google heeft een beveiligingsupdate uitgebracht voor een actief aangevallen zerodaylek in Android. Via de kwetsbaarheid in de Androidkernel, aangeduid als CVE-2021-1048, kan een aanvaller die al toegang tot een toestel heeft, bijvoorbeeld via een malafide app of andere kwetsbaarheid, zijn rechten verhogen. Details over de waargenomen aanvallen zijn niet door Google gegeven. In totaal heeft Google met de patchronde van november 39 kwetsbaarheden in Android verholpen. Volgens Google zijn de gevaarlijkste beveiligingslekken van deze maand aanwezig in Android System. Via deze kwetsbaarheden, aangeduid als CVE-2021-0918 en CVE-2021-0930, kan een aanvaller door het versturen van een "speciaal geprepareerde transmissie", op afstand willekeurige code op toestellen uitvoeren. Verdere details over deze beveiligingslekken en het soort transmissie worden niet door Google gegeven. In het verleden is de term "speciaal geprepareerde transmissie" echter gebruikt bij bluetooth-kwetsbaarheden. Beide beveiligingslekken zijn door Google als kritiek aangemerkt. Een andere kritieke kwetsbaarheid (CVE-2021-0889) is aanwezig in Android TV. Een aanvaller in de buurt van een toestel kan zich stilletjes met een televisie pairen en willekeurige code uitvoeren, zonder dat hiervoor privileges of interactie van de gebruiker zijn vereist. De overige Androidlekken maken het mogelijk voor apps om zonder interactie van gebruikers aanvullende permissies te krijgen. Naast kwetsbaarheden in de eigen Androidcode verhelpt Google met de maandelijkse patchronde ook kwetsbaarheden in onderdelen van chipsetfabrikanten waar Android gebruik van maakt. Deze maand gaat het om onderdelen van MediaTek en Qualcomm. Twee van de kwetsbaarheden in de software van Qualcomm, CVE-2021-1924 en CVE-2021-1975, zijn aangemerkt als kritiek. CVE-2021-1975 is op afstand te misbruiken en bevindt zich in de datamodem. Bij het verwerken van een dns-response kan zich een heap overflow voordoen. De ernst van het lek is op een schaal van 1 tot en met 10 met een 9,8 beoordeeld. Google werkt met zogeheten patchniveaus, waarbij een datum het patchniveau weergeeft. Toestellen die de november-updates ontvangen zullen '2021-11-01', '2021-11-05' of '2021-11-06' als patchniveau hebben. Fabrikanten die willen dat hun toestellen dit patchniveau krijgen moeten in dit geval alle updates van het Android-bulletin van oktober aan hun eigen updates toevoegen, om die vervolgens onder hun gebruikers uit te rollen. De updates zijn beschikbaar gesteld voor Android 9, 10, 11 en 12. Fabrikanten van Androidtoestellen zijn volgens Google tenminste een maand geleden over de nu verholpen kwetsbaarheden ingelicht en hebben in die tijd updates kunnen ontwikkelen. Dat wil echter niet zeggen dat alle Androidtoestellen deze updates zullen ontvangen. Sommige toestellen worden niet meer met updates van de fabrikant ondersteund of de fabrikant brengt de updates op een later moment uit.

Zeer kritiek GitLab-lek actief misbruikt: zeker 30.000 installaties kwetsbaar

Aanvallers maken op dit moment actief misbruik van een zeer kritieke kwetsbaarheid in GitLab waardoor zeker 30.000 installaties risico lopen, zo stelt securitybedrijf Rapid7. GitLab is een online DevOps-tool waarmee ontwikkelaars samen software kunnen ontwikkelen. In april van dit jaar maakte GitLab een beveiligingsupdate beschikbaar voor een zeer kritieke kwetsbaarheid in de GitLab Community Edition (CE) en Enterprise Edition (EE), aangeduid als CVE-2021-22205. De applicatie bleek geüploade afbeeldingen niet goed te controleren. Door het uploaden van een speciaal geprepareerd DjVu-bestand kan een aanvaller willekeurige code als de git-gebruiker uitvoeren. Zo is het mogelijk om een shell op de server te krijgen. In eerste instantie werd de impact van de kwetsbaarheid op een schaal van 1 tot en met 10 wat betreft de ernst met een 9,9 beoordeeld. Op 21 september wijzigde GitLab dit naar een 10. De reden voor de aanpassing is dat het beveiligingslek ook door een ongeauthenticeerde aanvaller is te misbruiken, in plaats van alleen een geauthenticeerde aanvaller zoals eerst werd gedacht. Er zijn verschillende exploits voor de kwetsbaarheid op internet verschenen. Hoewel er sinds april beveiligingsupdates beschikbaar zijn, hebben veel beheerders die nog niet geïnstalleerd. Rapid7 detecteerde 60.000 GitLab-installaties die vanaf het internet toegankelijk zijn. Daarvan zijn er 12.600 gepatcht gepatcht, maar draaien 30.000 installaties nog altijd een kwetsbare versie. Van 17.400 installaties kon de versie niet worden vastgesteld. Het aantal kwetsbare installaties ligt daardoor mogelijk boven de dertigduizend. Naar verluidt zou er sinds juni of juli misbruik van het lek zijn gemaakt. Rapid7 verwacht dat misbruik zal toenemen zodra details bekend worden om ongeauthenticeerde aanvallen te kunnen uitvoeren. Beheerders worden dan ook opgeroepen om de update te installeren.