Captain Kirk

Een kritieke kwetsbaarheid in de Apache Parquet Java-library maakt het mogelijk voor een aanvallers om op afstand willekeurige code op systemen uit te voeren. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Apache Parquet is een bestandsformaat bedoeld voor de "efficiënte opslag van data". Elke applicatie of service die gebruikmaakt van Apache Parquet Java library versie 1.15.0 of eerder is kwetsbaar, waaronder systemen die Parquet-bestanden lezen of importeren, zoals de populaire big data-frameworks Hadoop, Spark en Flink. Wanneer een aanvaller een kwetsbaar systeem een speciaal geprepareerd Parquet-bestand kan laten verwerken kan dit tot remote code execution leiden. Ook is het mogelijk om data te stelen of manipuleren of systemen te verstoren, aldus securitybedrijf Endor Labs. Het probleem is verholpen in Apache Parquet versie 1.15.1 die op 16 maart verscheen. De aanwezigheid van de kwetsbaarheid is nu pas bekendgemaakt. bron: https://www.security.nl

Firefox komt met een aanpassing aan de browser waardoor extensies eenvoudiger toestemming kunnen vragen om data van gebruikers te verzamelen of versturen. Op dit moment moeten extensies die gebruikersgegevens verzamelen of versturen een 'datatoestemmingsvenster' laten zien. Dit toestemmingsvenster moet duidelijk laten weten welke data er wordt verzameld en de gebruiker informeren over de gevolgen van het accepteren of weigeren hiervan. Volgens Alan Byrne van Mozilla kan deze vereiste voor de nodige overhead voor ontwikkelaars zorgen en zorgt het voor een "verwarrende ervaring" voor eindgebruikers, die vaak voor elke extensie een ander datatoestemmingsvenster te zien krijgen. Deze verschillende toestemmingsvensters zorgen er ook voor dat het verwerken van nieuwe extensies meer tijd kost voor de reviewers, aangezien die moeten controleren of de betreffende code compliant is aan het Firefoxbeleid. Dit jaar gaat Mozilla een nieuwe "datatoestemmingservaring" voor extensies doorvoeren. Dit moet het eenvoudiger voor ontwikkelaars maken om hun extensies aan het Firefoxbeleid te laten voldoen. Verder krijgen gebruikers met een consistentere ervaring te maken over welke data wordt verzameld of verstuurd. Daarnaast wordt het makkelijker voor reviewers om Firefox-extensies te controleren. Ontwikkelaars kunnen binnenkort in een manifest opgeven welke data hun extensie verzamelt of verstuurt en dit zal automatisch via een "uniforme toestemmingservaring" aan gebruikers worden gecommuniceerd. Hierdoor zal de communicatie richting eindgebruikers voor elke extensie hetzelfde zijn en hoeven ontwikkelaars geen custom dialoogvensters meer te maken. Daarnaast zal een overzicht van de gegevens die extensies verzamelen of versturen ook op de downloadpagina van de betreffende extensie op addons.mozilla.org worden weergegeven. bron: https://www.security.nl

Microsoft heeft een testversie van Windows 11 voorzien van een tool voor het automatisch oplossen van opstartproblemen bij computers en een testsimulatie is nu ook beschikbaar. Voor het herstellen van systemen wordt diagnostische data naar Microsoft gestuurd. Quick Machine Recovery (QMR) is onderdeel van het Windows Resiliency Initiative dat Microsoft vorig jaar naar aanleiding van de wereldwijde CrowdStrike-storing aankondigde. Wanneer QMR staat ingeschakeld kan het veelvoorkomende opstartproblemen met Windows 11-apparaten automatisch detecteren en vervolgens oplossen vanuit de Windows Recovery Environment (WinRE) toepassen. Dit moet de downtime van systemen verkorten en handmatige interventie voorkomen. Wanneer er zich een kritiek opstartprobleem voordoet start het systeem WinRE, maakt verbinding met het netwerk en stuurt diagnostische data naar Microsoft. Dat zal vervolgens via Windows Update een oplossing uitrollen. Vorige week werd er al een testversie van QMR aangekondigd. Nu is ook de 'test remediation package' beschikbaar om daarmee de volledige werking van de hersteltool te kunnen testen, zonder dat het systeem tegen een kritieke fout moet aanlopen. Via de testmode is het mogelijk om in een gesimuleerde omgeving de configuratie en het automatische herstelproces te testen. "Testmode laat je verifiëren dat de herstelervaring functioneert zoals verwacht voordat het naar productiesystemen wordt uitgerold", aldus Microsoft. Het techbedrijf adviseert systeembeheerders om de feature in te schakelen, aan te passen en vervolgens binnen hun omgeving te testen. Voor thuisgebruikers staat QMR standaard ingeschakeld. De test package voor Quick Machine Recovery is beschikbaar in Windows 11 Insider Preview Build 26120.3671 (Beta Channel). bron: https://www.security.nl

Er is een nieuwe versie van het op privacy gerichte besturingssysteem Tails verschenen die de ingebouwde Tor Browser toegang tot meer mappen geeft. Tails staat voor The Amnesic Incognito Live System en is een volledig op Linux-gebaseerd besturingssysteem dat speciaal is ontwikkeld om de privacy en anonimiteit van gebruikers te beschermen. Tails kan vanaf een usb-stick of dvd worden gestart. Het maakt gebruik van het Tor-netwerk om het ip-adres van de gebruiker af te schermen en biedt allerlei op privacy gerichte applicaties. Om bestanden van gebruikers tegen kwetsbaarheden in Tor Browser te beschermen kon de browser tot nu toe alleen bestanden opslaan en lezen in een bepekt aantal mappen van de Home folder of Persistent Storage. "Met Tails 6.14.1 kun je veilig vanuit Tor Browser elke map in je Home folder of Persistent Storage benaderen", zo laten de ontwikkelaars weten. Deze nieuwe integratie van de 'confinement technology' verhelpt ook een aantal andere toegankelijkheids- en gebruiksproblemen, waaronder de grootte van de tekst en cursor en de beschikbaarheid van de knoppen om het venster te minimaliseren en maximaliseren. De ontwikkelaars stellen dat de verbeteringen aan twee beveiligingstechnologieën te danken zijn. De flexibiliteit van de nieuwe XDG Desktop Portals van Flatpak maakt het mogelijk om de AppArmor beperking te versoepelen en zo de bruikbaarheid te verbeteren, zonder dat dit ten koste van de veiligheid gaat. Updaten naar de nieuwste versie kan via de automatische updatefunctie of een handmatige upgrade. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kritieke kwetsbaarheid in Connect Secure en Pulse Connect Secure om kwetsbare vpn-servers over te nemen, zo waarschuwt softwarebedrijf Ivanti. Meerdere klanten zijn inmiddels gecompromitteerd, aldus het bedrijf, dat updates beschikbaar heeft. Het gaat om een kritieke kwetsbaarheid aangeduid als CVE-2025-22457 die remote code execution door een ongeauthenticeerde aanvaller mogelijk maakt. Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Het beveiligingslek werd op 11 februari met de release van Ivanti Connect Secure 22.7R2.6 verholpen, maar was in eerste instantie als een "product bug" geïdentificeerd. De kwetsbaarheid, waarvan het bestaan vandaag door Ivanti is aangekondigd, is aanwezig in Ivanti Connect Secure (versie 22.7R2.5 en eerder), Pulse Connect Secure 9.x en Ivanti Policy Secure en ZTA gateways. Pulse Connect Secure 9.1.x is sinds 31 december vorig jaar end-of-support en ontvangt geen updates meer. Organisaties die nog met deze versie werken moeten contact opnemen met Ivanti voor het migreren naar Connect Secure. Volgens het softwarebedrijf is het bekend met een "beperkt aantal klanten" waarvan de vpn-servers zijn gecompromitteerd. Om hoeveel klanten het gaat is niet bekendgemaakt. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.0. Update Securitybedrijf Mandiant heeft meer details over de aanvallen. Die vinden volgens het bedrijf sinds halverwege maart plaats. Het beveiligingslek werd in eerste aangezien voor een 'low-risk' denial of service kwetsbaarheid. Mandiant vermoedt dat de aanvaller de patch die op 11 februari uitkwam heeft onderzocht en zo een manier ontdekte om het lek voor remote code execution te gebruiken. Via de kwetsbaarheid installeren de aanvallers backdoors op vpn-servers. bron: https://www.security.nl

Een kwetsbaarheid in WinRAR maakt het mogelijk voor aanvallers om de beveiligingswaarschuwing Mark-of-the-Web te omzeilen, wat kan leiden tot het uitvoeren van willekeurige code op het systeem van de gebruiker. De ontwikkelaars hebben versie 7.11 uitgebracht waarmee de kwetsbaarheid, aangeduid als CVE-2025-31334, is verholpen. Mark-of-the-Web (MOTW) is een beveiligingsfeature van Windows die ervoor zorgt dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is. De kwetsbaarheid zorgt ervoor dat de waarschuwing niet wordt gegeven bij symbolische links die naar een uitvoerbaar bestand wijzen. Wanneer een dergelijke link wordt geopend kan dit tot het uitvoeren van willekeurige code leiden. Het beveiligingslek werd door het Japanse Computer Emergency Response Team Coordination Center (JPCERT/CC) aan WinRAR-ontwikkelaar RARLab gemeld. De Duitse overheid adviseert het tijdig installeren van de beveiligingsupdate. Kwetsbaarheden in WinRAR zijn in het verleden gebruikt bij aanvallen. bron: https://www.security.nl

Microsoft heeft ondersteuning voor hotpatching aan Windows 11 Enterprise toegevoegd, waardoor organisaties beveiligingsupdates kunnen installeren zonder dat het systeem moet worden herstart. Dat laat Microsoft weten. Waar het bij normale updates nodig kan zijn om het systeem te herstarten voordat de patches bescherming bieden, zijn hotpatches na de installatie meteen actief. Daarbij ontvangen systemen via hotpatching dezelfde beveiliging als de maandelijkse beveiligingsupdates tijdens patchdinsdag bieden, aldus Microsoft. "Gebruikers kunnen zonder onderbrekingen blijven werken als de hotpatch-updates worden geïnstalleerd. Hotpatches-updates vereisen niet dat de pc wordt herstart voor het restant van het kwartaal." Hotpatches-updates werken met een 'kwartaalcyclus', aldus Microsoft. In januari, april, juli en oktober installeren systemen de maandelijkse beveiligingsupdates en feature-updates, waarna er een herstart plaatsvindt. De twee maanden daarop ontvangen de systemen de hotpatch-updates, die alleen beveiligingsupdates bevatten en geen herstart vereisen. Hotpatching is beschikbaar voor organisatie met een Microsoft-abonnement dat bestaat uit Windows 11 Enterprise E3, E5, of F3, Windows 11 Education A3 of A5 of een Windows 365 Enterprise abonnement. Tevens moeten de systemen Windows 11 Enterprise, version 24H2 draaien. bron: https://www.security.nl

Vorige maand kregen internetproviders te maken met aanvallen op DrayTek-routers, waardoor de apparaten hun internetverbinding verloren of er een reboot plaatsvond. Volgens DrayTek waren met name oudere modellen het doelwit of apparaten met verouderde firmware. De betreffende firmware-updates waarmee de aanvallen zijn te voorkomen zijn volgens de fabrikant al sinds 2020 beschikbaar. Vorige week stelde DrayTek nog op X dat het probleem mogelijk te maken had met een eerder onthulde kwetsbaarheid van begin maart. Een aantal dagen later verscheen er een nieuw beveiligingsbulletin waarin de fabrikant laat weten dat het een oud probleem betreft en veel van de routers in kwestie end-of-life zijn en niet meer worden ondersteund. "Veel van deze apparaten zijn jaren geleden neergezet en sindsdien niet meer geüpdatet", zo staat in het bulletin. Daarnaast zouden de aanvallen ook te maken hebben met het feit dat SSL VPN en HTTP/HTTPS remote management via de WAN-interface toegankelijk zijn. DrayTek adviseert ook voor deze oudere modellen om de meest recente firmware-update te installeren. Daarnaast wordt aangeraden om niet gebruikte services uit te schakelen. Verder voegt de netwerkfabrikant toe dat het uitschakelen van SSL VPN en Web Management bescherming tegen de aanvallen biedt. Vorige week meldde securitybedrijf GreyNoise nog dat DrayTek-routers het doelwit van aanvallen zijn, waarbij meerdere oudere kwetsbaarheden worden ingezet. bron: https://www.security.nl

Via GitHub zijn vorig jaar 39 miljoen secrets gelekt, zoals credentials, API-keys en tokens, zo heeft het platform voor softwareontwikkelaars bekendgemaakt. Via de gelekte secrets kunnen aanvallers toegang systemen en data krijgen waar ze eigenlijk geen toegang toe zouden moeten hebben. Volgens GitHub zijn gelekte secrets één van de meestvoorkomende, en te voorkomen, oorzaken van beveiligingsincidenten en datalekken. Een groot deel van deze incidenten ontstaat door softwareontwikkelaars die bewust een secret delen of openbaar maken, aldus GitHub. "Ontwikkelaars onderschatten vaak het risico van private exposures, het committen, delen of opslaan van deze secrets op manieren die op het moment gemakkelijk zijn, met in de loop van de tijd voor risico's zorgen." Het platform stelt verder dat aanvallers zeer bedreven zijn om de toegang te gebruiken die ze door 'low risk' secrets weten te krijgen, om vervolgens lateraal naar waardevollere assets te bewegen. "Zelfs zonder het risico van de dreiging van insiders maakt de aanwezigheid van secrets in git history (of waar dan ook) ons kwetsbaar voor toekomstige fouten." Om het lekken tegen te gaan gaan kwam GitHub vorig jaar met standaard 'push protection' voor publieke repositories. Nu laat het platform weten dat organisaties gratis een 'point-in-time scan' kunnen uitvoeren om blootgestelde secrets te vinden. bron: https://www.security.nl

Cisco waarschuwt klanten voor misbruik van twee kritieke kwetsbaarheden in de Smart Licensing Utility en roept organisaties op om de beschikbaar gestelde updates te installeren. Via de Smart Licensing Utility kunnen organisaties hun Cisco-licenties en bijbehorende producten beheren. Via de beveiligingslekken kan een aanvaller toegang tot het onderliggende systeem krijgen. De eerste kwetsbaarheid (CVE-2024-20439) wordt veroorzaakt door een ongedocumenteerd statisch wachtwoord voor een admin-account", legt Cisco uit. Via het hardcoded wachtwoord kan een aanvaller op de applicatie inloggen. Dit kan via de API van de Cisco Smart Licensing Utility applicatie. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. De tweede kwetsbaarheid (CVE-2024-20440) wordt veroorzaakt door 'excessive verbosity' in een debug logbestand. Een aanvaller kan naar een kwetsbaar systeem een speciaal geprepareerd http-request sturen, om zo logbestanden in handen te krijgen die gevoelige data bevatten, waaronder inloggegevens waarmee er toegang tot de API van de applicatie kan worden verkregen. Cisco kwam op 4 september vorig jaar met updates. "Deze twee kwetsbaarheden zijn enigszins met elkaar verbonden. De eerste is één van de vele backdoors waar Cisco producten graag van voorziet. Een eenvoudig vast wachtwoord dat is te gebruiken om toegang te krijgen. De tweede betreft een logbestand dat meer logt dan het zou moeten doen", aldus Johannes Ullrich van het Internet Storm Center. Hij meldde vorige maand dat aanvallers misbruik van het lek maakten. Nu laat ook Cisco weten dat aanvallers proberen om misbruik van de kwetsbaarheden te maken. Klanten worden opgeroepen naar een gepatchte versie van de software te upgraden. bron: https://www.security.nl

De Europese Commissie wil dat er technologische oplossingen komen om opsporingsdiensten rechtmatige toegang tot versleutelde data te geven en de Europese regels voor een bewaarplicht worden herzien. Daarnaast zal er dit jaar een "privacybeschermende" oplossing voor online leeftijdsverificatie worden geïntroduceerd. Deze oplossing moet volgens Brussel een essentiële waarborg bieden totdat de Europese Digitale Identiteits-wallet in 2026 beschikbaar komt. De plannen zijn onderdeel van de nieuwe Europese interne veiligheidsstrategie. Als onderdeel van de strategie wordt gesproken over een "Roadmap voor rechtmatige en effectieve toegang tot data voor opsporingsdiensten". Daarnaast staat ook een Technologie Roadmap voor encryptie op de agenda, alsmede een "impact assessment" om de Europese bewaarplichtregels te herzien. In een 'vragen en antwoorden' document over de strategie wordt de vraag gesteld wat de Commissie van plan is op het gebied van encryptie en bewaarplicht. Als antwoord wordt gegeven dat Brussel met een roadmap komt die voor rechtmatige en effectieve toegang tot data moet zorgen. Hierna zal er een assessment plaatsvinden waarbij wordt gekeken naar de impact van bewaarplichtregels op Europees niveau en het opstellen van een Technologie Roadmap over encryptie, om zo technologische oplossingen te vinden en beoordelen waardoor opsporingsdiensten toegang tot versleutelde data kunnen krijgen. Verder is de Europese Commissie van plan om dit jaar een "privacy-protective" oplossing voor online leeftijdsverificatie te introduceren. Deze oplossing wordt omschreven als een "essentiële waarborg" totdat de Europese Digitale Identiteits-wallet in 2026 beschikbaar komt. Verder pleit Brussel voor het omvormen van Europol naar een 'volledig operationeel agentschap' dat zich met grensoverschrijdende, complexe zaken kan gaan bezighouden die een serieuze bedreiging voor de interne veiligheid van de EU vormen. Dit zou van Europol een soort FBI maken, aldus sommige analisten. bron: https://www.security.nl

Microsoft heeft meerdere kwetsbaarheden in opensource-bootloaders GRUB2, U-boot en Barebox gevonden. Het gaat in totaal om een twintigtal beveiligingslekken die inmiddels door de betreffende maintainers zijn verholpen. Een bootloader wordt gebruikt voor het laden van het besturingssysteem. De kwetsbaarheden in de bootloaders zouden het voor aanvallers mogelijk maken om willekeurige code uit te voeren en Secure Boot te omzeilen, aldus Microsoft. "Aanvallers zouden waarschijnlijk fysieke toegang tot het apparaat nodig hebben om de U-boot of Barebox kwetsbaarheden te misbruiken, in het geval van GRUB2, zouden de beveiligingslekken zijn te gebruiken om Secure Boot te omzeilen en stealthy bootkits te installeren of andere beveiligingsmechanismes te omzeilen, zoals BitLocker", zo staat in een analyse over de kwetsbaarheden. "De gevolgen van het installeren van dergelijke bootkits zijn aanzienlijk, aangezien dit aanvallers complete controle over het apparaat kan geven." Voor het vinden van de kwetsbaarheden maakten de onderzoekers gebruik van fuzzing, tools voor het analyseren van code, handmatige code-analyse en de securityversie van chatbot Copilot. Microsoft rapporteerde de problemen aan de drie projecten en werkte met de GRUB2-maintainers samen aan een oplossing. Voor GRUB2 verscheen die op 18 februari. De patches voor U-boot en Barebox werden op 19 februari beschikbaar gemaakt. bron: https://www.security.nl

Een kritieke kwetsbaarheid in printer-drivers van Canon maakt het mogelijk voor een aanvaller om wilekeurige code op het systeem van gebruikers uit te voeren. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.4. De in totaal vijf verschillende drivers worden gebruikt door allerlei productieprinters, multifunctionele printers voor bedrijven en laserprinters. De kwetsbaarheid (CVE-2025-1268) maakt het mogelijk voor aanvallers om willekeurige code uit te voeren als de print door een malafide applicatie wordt verwerkt. De kwetsbaarheid werd gevonden en gerapporteerd door het Microsoft Offensive Research and Security Engineering Team (MORSE). Canon zegt dat drivers die het probleem verhelpen naar de website van de lokale Canon-locatie worden geüpload en klanten de meest recente drivers moeten installeren. Verdere details over het lek of patches geeft Canon niet. bron: https://www.security.nl

Aanvallers maken actief misbruik van een kwetsbaarheid in CrushFTP, software voor het opzetten van ftp-servers, zo meldt The Shadowserver Foundation. Via het beveiligingslek kan een ongeauthenticeerde aanvaller toegang tot de server krijgen. Updates zijn beschikbaar, maar op internet zijn nog ruim duizend kwetsbare servers te vinden, waaronder vijftig in Nederland, aldus The Shadowserver Foundation op basis van eigen onderzoek. De eerste versie van CrushFTP dateert van 1998. De software ondersteunt verschillende protocollen, zoals ftp, ftps, sftp, http, https, WebDAV en WebDAV SSL. Volgens de ontwikkelaars maakt de kwetsbaarheid het mogelijk voor aanvallers om ongeauthenticeerde toegang te krijgen als er een http- of https-poort van de ftp-server toegankelijk is. Verdere details zijn niet gegeven, behalve dat het probleem is verholpen in CrushFTP versie 10.8.4+ en versie 11.3.1+. Inmiddels is er ook proof-of-concept exploitcode beschikbaar om misbruik van de kwetsbaarheid te maken. The Shadowserver Foundation, een stichting die zich inzet voor de bestrijding van cybercrime, zegt dat aanvallers nu van deze exploitcode misbruik maken. Details over de aanvallen zijn niet beschikbaar. Ook heeft de kwetsbaarheid nog altijd geen CVE-nummer waarmee die te identificeren is. Gisteren werden op internet nog meer dan duizend kwetsbare CrushFTP-servers geteld. Beheerders van deze servers worden opgeroepen om naar de laatste versie te updaten. bron: https://www.security.nl

Mozilla waarschuwt gebruikers van Firefox voor een kritieke kwetsbaarheid in de Windowsversie van de browser en heeft updates uitgebracht om het probleem te verhelpen. Het oorspronkelijke probleem dat aanwezig was in Google Chrome is actief misbruikt bij aanvallen. Eerder vandaag riep het Tor Project gebruikers van Tor Browser op, dat op Firefox is gebaseerd, om de beschikbaar gestelde noodpatch meteen te installeren. Eerder deze week waarschuwde Google gebruikers van Chrome voor een actief misbruikte kwetsbaarheid in de Windowsversie van de browser. Via het beveiligingslek (CVE-2025-2783) is het mogelijk om uit de sandbox-beveiliging van Google Chrome te breken. De kwetsbaarheid werd zeer waarschijnlijk met een ander beveiligingslek gecombineerd om zo willekeurige code op de systemen van gebruikers uit te voeren. Misbruik vond al plaats voordat een patch beschikbaar was. Nadat Google het probleem had gepatcht ontdekten Firefox-ontwikkelaars dat een soortgelijk probleem ook in Mozilla's browser aanwezig is. Dit beveiligingslek wordt aangeduid als CVE-2025-2857. In de beschrijving staat dat de kwetsbaarheid tot een 'sandbox escape' kan leiden. De impact is echter als kritiek beoordeeld. Dit houdt volgens de beschrijving van Mozilla in dat een aanvaller code op het systeem van de gebruiker kan uitvoeren, waarbij alleen het bezoeken van een gecompromitteerde of besmette website of het te zien krijgen van besmette advertenties volstaat. Mozilla heeft het beveiligingslek verholpen in Firefox 136.0.4, Firefox ESR 115.21.1 en Firefox ESR 128.8.1. Updaten kan via de automatische updatefunctie of Mozilla.org. bron: https://www.security.nl

Het Tor Project heeft een noodpatch voor de Windowsversie van Tor Browser uitgebracht en roept gebruikers op om die meteen te installeren. Tor Browser 14.0.8 wordt omschreven als een 'Windows only emergency release' die 'zeer urgente' Firefox-beveiligingsupdates bevat. Er wordt vervolgens gewezen naar de beveiligingsbulletins van Mozilla. De laatste advisories dateren echter van 4 maart en betreffen onder andere een kritieke kwetsbaarheid waardoor aanvallers code op systemen kunnen uitvoeren. In de change log wordt echter gesproken over security fixes van Firefox ESR 128.8.1. Deze versie staat nog niet in het overzicht vermeld. Dagelijks maken miljoenen mensen gebruik van Tor Browser om hun privacy te beschermen en gecensureerde websites te bezoeken. De browser bestaat uit Firefox ESR en software om verbinding met het Tor-netwerk te maken. In het verleden zijn kwetsbaarheden in Firefox onder andere gebruikt voor het ontmaskeren van Tor Browser-gebruikers. Het Tor Project geeft geen verdere informatie over de 'emergency release' en de reden waarom gebruikers van de Windowsversie van Tor Browser meteen zouden moeten updaten naar versie 14.0.8. Dit kan via de automatische updatefunctie en TorProject.org. bron: https://www.security.nl

Google heeft de Titan Security Keys nu ook beschikbaar gemaakt in Nederland en verschillende andere landen. De Titan is een fysieke beveiligingssleutel die werkt via usb en nfc en maakt gebruik van een protocol dat op standaard public key-cryprografie is gebaseerd. Het apparaatje kost 35 euro. Een gebruiker die zijn beveiligingssleutel voor een website wil gebruiken moet dit eerst instellen. Tijdens het instellen registreert de gebruiker een publieke sleutel. Bij het inloggen vraagt de website vervolgens om een cryptografische handtekening die bewijst dat de gebruiker de eigenaar is van de privésleutel die bij de publieke sleutel hoort. Hierdoor werkt de beveiligingssleutel alleen op de website waarvoor die is geregistreerd. "De Titan-beveiligingssleutel werkt als een 2e slot bovenop je wachtwoord. Zo voorkom je phishing en zorg je dat hackers geen toegang kunnen krijgen tot je online accounts, zoals Gmail", aldus Google. De eerste versie van de fysieke beveiligingssleutel werd in 2018 in de Verenigde staten gelanceerd. De nieuwste versies zijn ook in staat om passkeys voor websites en accounts op te slaan. bron: https://www.security.nl

Mozilla heeft een vpn-extensie voor de Windowsversie van Firefox gelanceerd waarmee gebruikers kunnen aangeven voor welke sites er geen vpn-verbinding moet worden gebruikt en kan er per website een verschillende vpn-locatie worden ingesteld. Volgens Mozilla heeft het de extensie ontwikkeld na feedback van gebruikers. Eén van de meest gehoorde klachten was dat mensen vanwege problemen met het bezoeken van bepaalde websites stopten met het gebruik van een vpn. De extensie laat gebruikers daarom instellen voor welke websites er geen vpn-verbinding moet worden gebruikt, wat bijvoorbeeld het invoeren van captcha's en andere problemen moet voorkomen. Voor deze sites zal er een melding in de adresbalk verschijnen, zodat gebruikers weten dat de vpn-verbinding niet actief is. De tweede feature van de extensie zorgt ervoor dat gebruikers per website een andere vpn-locatie kunnen instellen, wat volgens Mozilla moet helpen bij het bezoeken van 'regiospecifieke content'. Mozilla stelt verder dat de vpn-extensie in de toekomst ook beschikbaar komt voor de Linux- en macOS-versies van Firefox. De vpn-dienst, waarvoor een betaald abonnement is vereist, is door Mozilla zelf ontwikkeld en maakt gebruik van servers van vpn-provider Mullvad. bron: https://www.security.nl

De makers van OpenSSL hebben de eerste publieke bètaversie van OpenSSL 3.5 aangekondigd. Volgens de ontwikkelaars bevat die 'belangrijke nieuwe functies', waaronder support van quantumbestendige encryptie-algoritmes. OpenSSL behoort tot de meestgebruikte software voor het versleutelen van internetverbindingen. Websites maken er bijvoorbeeld gebruik van om het verkeer van en naar bezoekers te versleutelen. OpenSSL 3.5 biedt ondersteuning voor het QUIC (Quick UDP Internet Connection) netwerkprotocol, alsmede verschillende quantumbestendige encryptie-algoritmes. Het gaat om ML-KEM, ML-DSA en SLH-DSA, die vorig jaar nog door het Amerikaanse National Institute of Standards and Technology (NIST) als encryptiestandaarden werden gekozen. Verder is de 'TLS supported groups list' aangepast en bevat nu de quantumbestendige encryptie-algoritmes en geeft hier ook de voorkeur aan. Verder is het standaard encryption cipher voor de req, cms en smime toepassingen veranderd van des-ede3-cbc naar aes-256-cbc. Een volledig overzicht van alle aanpassingen en nieuwe features is te vinden in de aankondiging. Het gaat hier nog wel om een 'alpha release' van OpenSSL 3.5, wat een zeer vroege testversie is. bron: https://www.security.nl

Mozilla belooft bedrijven een stabielere versie van Firefox door een alternatief voor dll-injectie te bieden. Third-party software op Windows heeft verschillende manieren om hun code in andere, actieve processen te injecteren. Vaak wordt dit gedaan door antivirussoftware, maar het kan ook het gevolg zijn van hardware drivers, screenreaders, banksoftware en ook malware. In zakelijke omgevingen gaat het vaak ook om Data Loss Prevention (DLP) software. Via dergelijke software controleren bedrijven of hun medewerkers geen gevoelige informatie lekken. "DLP-software maakt meestal gebruik van dll-injectie om applicaties zoals Firefox te monitoren op activiteiten die privédata kunnen lekken. Dit geldt alleen voor specifieke operaties die gevoelige informatie kunnen lekken, zoals het uploaden van bestanden, copy-and-paste, drag-and-drop en printen", aldus Mozilla. Dll-injection kan volgens Mozilla voor allerlei problemen zorgen, zoals crashes, incompatibiliteitsproblemen, het omzeilen van beveiligingsmaatregelen en ander 'onverwacht gedrag'. Wanneer zakelijke gebruikers tegen dergelijke problemen aanlopen en dit bij hun it-afdeling melden, kan de it-afdeling een bugmelding bij Mozilla doen of met de DLP-leverancier samenwerken. Volgens Mozilla kan het lastig zijn om te bepalen of het probleem door externe software is veroorzaakt of bij de browser ligt. Wanneer blijkt dat het probleem bij een externe leverancier ligt waarschuwt Mozilla deze partij, zodat die aan een oplossing kan werken. In de tussentijd zitten de zakelijke gebruikers met de problemen en kiezen misschien een andere browser, aldus de Firefox-ontwikkelaar. Om dit probleem tegen te gaan zal Firefox vanaf versie 138 ook de Content Analysis SDK gaan ondersteunen. Het gaat hier om een door Google ontwikkeld protocol dat de browser met de DLP-software laat communiceren. Het biedt DLP-software een alternatief voor dll-injectie, waardoor er minder code in de browser wordt geïnjecteerd. Dat moet volgens Mozilla de stabiliteit voor gebruikers verbeteren. De browser zal aan gebruikers laten zien wanneer de SDK wordt gebruikt. Daarnaast is de SDK alleen te gebruiken in Firefox-configuraties die gebruik van een Firefox Enterprise Policy maken. Firefox 138 staat gepland voor 29 april. bron: https://www.security.nl

Google waarschuwt gebruikers van Chrome voor een actief misbruikte kwetsbaarheid in de Windowsversie van de browser en heeft updates uitgebracht om het probleem te verhelpen. Het beveiligingslek werd ongeveer een week geleden door antivirusbedrijf Kaspersky gevonden, dat vermoedt dat het voor spionagedoeleinden werd gebruikt. De kwetsbaarheid (CVE-2025-2783) bevindt zich in het Mojo-onderdeel van Chrome, wat een verzameling runtime libraries is. Via het lek kan een aanvaller uit de sandbox van de browser breken. Het is niet mogelijk om via alleen deze kwetsbaarheid code op het onderliggende systeem uit te voeren. Hiervoor zou een tweede beveiligingslek zijn vereist. Google geeft geen verdere details, maar Kaspersky doet dit wel. De onderzoekers waren naar eigen zeggen zeer verbaasd over het lek. "Het laat aanvallers de Google Chrome sandbox-beveiliging omzeilen alsof het niet bestaat. De oorzaak was een logische fout op de kruising van de Google Chrome sandbox en het Windows-besturingssysteem." De virusbestrijder zegt meer details bekend te maken als het grootste deel van de Chrome-gebruikers up-to-date is. Het onderzoek naar de aanval via de Chrome-kwetsbaarheid is nog gaande, maar de onderzoekers vermoeden op basis van de gebruikte 'geraffineerde malware' dat de aanvallers spionage als doel hadden. Voor de aanval maakten de aanvallers gebruik van een malafide e-mail. Het bericht deed zich voor als een uitnodiging voor een wetenschappelijk forum en was gericht aan mediapublicaties en onderwijsinstellingen in Rusland, aldus Kaspersky. De link in de e-mail wees naar een malafide website die gebruikmaakte van CVE-2025-2783 en een tweede kwetsbaarheid die remote code execution mogelijk maakt. De onderzoekers zeggen dat het ze niet is gelukt deze tweede kwetsbaarheid te achterhalen. Op basis van de nu beschikbare informatie stelt Kaspersky dat de aanval het werk is van een APT (advanced persistent threat)-groep. Gebruikers worden aangeraden om te updaten naar 134.0.6998.178. De browser zal zich automatisch updaten, maar dit kan enkele dagen duren. Het uitvoeren van een handmatige update is dan ook de snelste manier om beschermd te zijn. bron: https://www.security.nl

De makers van ftp-serversoftware CrushFTP waarschuwen gebruikers via e-mail voor een nieuw beveiligingslek waardoor aanvallers ongeauthenticeerde toegang tot de ftp-server kunnen krijgen. Een beveiligingsupdate is beschikbaar, een CVE-nummer om de kwetsbaarheid mee aan te duiden nog niet, zo meldt securitybedrijf Rapid7. Vorig jaar waarschuwde CrushFTP nog voor een ander beveiligingslek waar aanvallers actief misbruik van maakten. De eerste versie van CrushFTP dateert van 1998. De software ondersteunt verschillende protocollen, zoals ftp, ftps, sftp, http, https, WebDAV en WebDAV SSL. Volgens de e-mailwaarschuwing maakt de kwetsbaarheid het mogelijk voor aanvallers om ongeauthenticeerde toegang te krijgen als er een http- of https-poort van de ftp-server toegankelijk is. Verdere details zijn niet gegeven, behalve dat het probleem is verholpen in CrushFTP v11.3.1+. In een summiere online advisory wordt gemeld dat ook versie 10.x kwetsbaar is. Gebruikers van deze versie moeten updaten naar versie 10.8.4+. bron: https://www.security.nl

Verschillende kritieke kwetsbaarheden in de Ingress Nginx Controller voor Kubernetes maken het mogelijk voor ongeauthenticeerde aanvallers om op afstand kwetsbare Kubernetes-clusters over te nemen, zo stellen Kubernetes en securitybedrijf Wiz. Er zijn beveiligingsupdates uitgebracht om de problemen te verhelpen. Kubernetes is een opensourcesysteem voor het automatiseren van de uitrol en het beheer van applicaties die in containers draaien. Kubernetes-clusters worden vaak in een cloudomgeving gehost. Ingress is een Kubernetes feature om een pod of pods toegankelijk voor het internet te maken. Een pod kan één of meerdere applicatiecontainers bevatten. Kubernetes-gebruikers kunnen bepalen hoe hun applicaties beschikbaar zijn voor het netwerk, waarbij een ingress controller het verkeer naar de juiste service routeert. Er zijn verschillende ingress controllers, waaronder ingress-nginx. Met een aandeel van meer dan veertig procent is het een zeer populaire controller voor Kubernetes-clusters. Ingress-nginx vertaalt de vereisten van Ingress-objecten naar een configuratie voor de nginx-webserver. Nginx gebruikt die configuratie om requests naar verschillende applicaties die binnen de Kubernetes-cluster draaien te accepteren en routeren. De ontdekte beveiligingslekken raken specifiek de admission controller van ingress-nginx. Die heeft als doel om inkomende ingress objecten te valideren voordat ze worden uitgerold. De onderzoekers ontdekten dat het mogelijk is om via het netwerk een malafide object naar de admission controller te versturen. Dit object injecteert vervolgens een nginx-configuratie die het mogelijk maakt om code uit te voeren. De impact van de kwetsbaarheden is op een schaal van 1 tot en met 10 voor de gevaarlijkste kwetsbaarheid (CVE-2025-1974) beoordeeld met een 9.8. "De verhoogde rechten van de admission controller en onbeperkte netwerktoegang zorgen voor een kritiek escalatiepad. Door dit lek te misbruik kan een aanvaller willekeurige code uitvoeren en toegang tot alle cluster secrets krijgen, waardoor de volledige cluster is over te nemen", aldus de onderzoekers. Een aanvaller moet wel eerst toegang tot het podnetwerk van de cluster krijgen, maar dat is volgens de onderzoekers niet zo lastig als gedacht. Kubernetes bevestigt dit. "Gecombineerd met de andere kwetsbaarheden houdt CVE-2025-1974 in dat alles op het podnetwerk een goede kans heeft om je Kubernetes-cluster over te nemen, zonder dat inloggegevens of admintoegang zijn vereist. In veel voorkomende gevallen is het podnetwerk voor alle workloads in je cloud VPC toegankelijk, of zelfs voor iedereen die met je bedrijfsnetwerk is verbonden. Dit is een zeer ernstige situatie." De onderzoekers stellen verder op basis van eigen analyse dat 43 procent van de cloudomgevingen kwetsbaar voor deze kwetsbaarheden is. Zo werden meer dan 6500 clusters gevonden, waaronder van Fortune 500-bedrijven, waarvan kwetsbare admission controllers vanaf het publieke internet toegankelijk zijn, en daardoor risico op aanvallen lopen. Microsoft is inmiddels voor de vijf kwetsbaarheden (CVE-2025-1098, CVE-2025-1974, CVE-2025-1097, CVE-2025-24514 en CVE-2025-24513) met waarschuwingen gekomen en adviseert klanten die de kwetsbare controller voor hun Azure Kubernetes Service (AKS) clusters gebruiken om de patches te installeren. Amazon en Google Cloud zijn ook met advisories gekomen. bron: https://www.security.nl

Een groot aantal klanten van Oracle Cloud is slachtoffer van een datalek geworden, zo stelt securitybedrijf CloudSEK. Oracle ontkent en stelt dat er geen inbraak in de clouddienst heeft plaatsgevonden. Vorige week verscheen op een internetforum een bericht van iemand die claimde zes miljoen records uit Oracle Cloud te hebben gestolen. Het zou onder andere gaan om JKS-bestanden, versleutelde SSO- en LDAP-wachtwoorden, key files en enterprise manager JPS keys. Volgens het bericht was de data afkomstig van 140.000 'tenants' van Oracle Cloud. De aanvaller claimde het subdomein login.us2.oraclecloud.com te hebben gecompromitteerd. Vervolgens zou er misbruik zijn gemaakt van een kwetsbaarheid in Oracle Fusion Middleware voor het verder compromitteren van servers en het stelen van de data. Tegenover CNBC stelde Oracle dat er geen inbraak op Oracle Cloud had plaatsgevonden en de gepubliceerde credentials niet voor Oracle Cloud waren en Oracle Cloud-klanten niet te maken hadden gekregen met een inbraak op hun cloudomgeving of diefstal van data. CloudSEK berichtte over de aanval en heeft inmiddels een uitgebreidere analyse van de situatie gepubliceerd. Daarin stelt het securitybedrijf dat aanvallers erin zijn geslaagd een SSO-endpoint te compromitteren om zo gevoelige SSO- en LDAP-data van 140.000 gebruikers te stelen. Het securitybedrijf baseert dit naar eigen zeggen op verschillende aanwijzingen, waaronder dat het gebruikte domein een productie SSO-setup was en de domeinen die de aanvaller deelde daadwerkelijk van klanten zijn. Daarnaast wordt er ook gewezen naar een uitgebreidere dataset die de aanvaller in de tussentijd heeft gedeeld. bron: https://www.security.nl

Internetproviders wereldwijd zijn de afgelopen dagen getroffen door aanvallen die kwetsbare DrayTek-routers laten rebooten. "Wij ontvangen diverse meldingen van onstabiele KPN verbindingen in combinatie met Draytek hardware. Na contact met KPN en de Nederlandse Draytek leverancier kunnen we het volgende melden: Er wordt wereldwijd misbruik gemaakt op DrayTek routers met een verouderde firmware waarbij de kans bestaat dat de routers herstarten", zo meldt internetbedrijf IP One. Ook Internet Diensten Texel geeft deze boodschap. "De verschillende verbindingen die uitgevallen zijn zorgt bij bij ons voor grote drukte op de helpdesk. Om iedereen zo vlot mogelijk te kunnen helpen kunnen wij u helaas niet telefonisch te woord staan", zo laat het bedrijf verder weten. "We zien het momenteel enkel voorkomen met de Draytek 2133 en niet de andere modellen, echter het probleem kan zich wel voordoen met andere types", stelt internetbedrijf Weserve. "Sommige klanten ondervinden problemen met het opnieuw opstarten van hun routers. Dit heeft betrekking tot kwetsbaarheden die begin 2024 zijn gemeld en gepatcht", zo laat DrayTek-importeur Xpert Data weten. Het probleem betreft een groot aantal modellen. Naast Nederlandse internetproviders melden ook buitenlandse ISP's melden problemen. DrayTek spreekt zelf over een kwetsbaarheid, maar niet over actief misbruik. De fabrikant adviseert voor ongepatchte routers om de opties remote access en SSL VPN uit te schakelen. Daarnaast wordt aangeraden om in het geval van 'te oude' routers een nieuw model aan te schaffen. bron: https://www.security.nl