Cisco en VMware melden aanwezigheid van SolarWinds-backdoor

[Captain Kirk]

Zowel Cisco als VMware maken gebruik van het SolarWinds Orion Platform en hebben updates voor de software geïnstalleerd die een backdoor bleken te bevatten. Dat hebben beide bedrijven bekendgemaakt. Updates voor het platform werden vanaf maart dit jaar door aanvallers voorzien van een backdoor. Zo'n 18.000 klanten van SolarWinds installeerden de besmette updates, waaronder Cisco en VMware.

"We hebben de getroffen software in een klein aantal labomgevingen en een beperkt aantal endpoints van medewerkers aangetroffen en verwijderd", aldus Cisco. Het netwerkbedrijf voegt toe dat op dit moment er geen gevolgen bekend zijn voor de eigen producten die het aanbiedt. Ook zijn er geen aanwijzingen dat de aanvallers toegang tot klantgegevens hebben gekregen.

VMware laat weten dat de SolarWinds-backdoor ook in de eigen omgeving is aangetroffen. Er zijn echter geen sporen van verder misbruik gevonden. Securitybedrijf FireEye liet weten dat de aanvallers bij zo'n vijftig organisaties en bedrijven via de backdoor aanvullende malware hebben geïnstalleerd. Daarnaast zegt VMware dat het geen meldingen heeft ontvangen over een combinatie van een zerodaylek in VMware Workspace One Acces en de SolarWinds-backdoor.

De NSA waarschuwde onlangs voor een kwetsbaarheid in de VMware-software die actief werd aangevallen voordat een beveiligingsupdate beschikbaar was. Workspace One Access is een platform waarmee organisaties apps op smartphones, tablets en laptops kunnen installeren en beheren. De NSA ontdekte een kwetsbaarheid (CVE-2020-4006) in de software en waarschuwde VMware. Een aanvaller met toegang tot de configuratiemanager op poort 8443 en een geldig wachtwoord voor het beheerdersaccount kan door de kwetsbaarheid op het onderliggende besturingssysteem commando's met onbeperkte rechten uitvoeren.

Om de aanval uit te voeren moet een aanvaller wel over geldige inloggegevens beschikken. Die zouden kunnen worden verkregen door systemen binnen de organisatie via de SolarWinds-backdoor te compromitteren. VMware heeft naar eigen zeggen geen meldingen gekregen dat de backdoor en kwetsbaarheid in combinatie met elkaar zijn gebruikt.

 

bron: https://www.security.nl