Zeer kritieke en actief aangevallen zerodaylek in VPN software Pulse Secure

Gepubliceerd op 20 april 2021 om 20:10
Zeer kritieke en actief aangevallen zerodaylek in VPN software Pulse Secure

Pulse Secure waarschuwt voor een zeer kritiek en actief aangevallen zerodaylek in de vpn-software van het bedrijf waardoor aanvallers op afstand kwetsbare vpn-servers kunnen overnemen. Een beveiligingsupdate is nog niet voorhanden en volgens Pulse Secure vormt het beveiligingslek een zeer groot risico voor organisaties. De kwetsbaarheid, aangeduid als CVE-2021-22893, scoort op een schaal van 1 tot en met 10 wat betreft de impact een maximale score van 10.

Pulse Connect Secure gehackt

Onlangs ontdekte Pulse Secure dat bij een 'beperkt aantal klanten' de Pulse Connect Secure (PCS) vpn-server was gecompromitteerd. Bij het grootste deel van de aanvallen waren drie bekende kwetsbaarheden gebruikt, namelijk CVE-2019-11510, CVE-2020-8243 en CVE-2020-8260. Voor deze beveiligingslekken zijn al beveiligingsupdates beschikbaar.

De aanvallers maakten echter ook gebruik van een onbekende kwetsbaarheid die nu als CVE-2021-22893 wordt aangeduid en het mogelijk maakt om op afstand en zonder authenticatie code op kwetsbare servers uit te voeren. Het beveiligingslek is volgens Pulse Secure tegen een 'zeer beperkt aantal klanten' ingezet. Er wordt nu aan een beveiligingsupdate gewerkt die begin mei moet klaar zijn. Tevens is er een workaround gepubliceerd en een tool waarmee klanten kunnen kijken of hun vpn-server is gecompromitteerd.

Modus operandi

Securitybedrijf Mandiant heeft een blogpost over de aanvallen gepubliceerd. Via de kwetsbaarheid stelen de aanvallers inloggegevens van Pulse Secure vpn-servers, waardoor ze via legitieme accounts zich lateraal binnen aangevallen omgevingen kunnen bewegen. Om toegang tot de vpn-server te behouden maken de aanvallers gebruik van aangepaste Pulse Secure-bestanden en scripts op de vpn-server.

Organisaties die van de vpn-software gebruikmaken wordt opgeroepen om de tijdelijke mitigaties wanneer mogelijk door te voeren. Tevens wordt opgeroepen om de Pulse Secure Integrity Assurance tool te draaien. Wanneer blijkt dat de vpn-server gecompromitteerd is moet er contact met Pulse Secure worden opgenomen.

The Pulse Secure Team Recently Discovered That A Limited Number Of Customers Have Experienced Evidence Of Exploit Behavior On Their Pulse Connect Secure
PDF – 147,0 KB 273 downloads
Threat Research
PDF – 2,6 MB 319 downloads

Bron: fireeye.com, pulsesecure.net, security.nl

 

Tips of verdachte activiteiten gezien? Meld het hier.

Hacking gerelateerde berichten

Beveiligingslek Android: negen op de tien toestellen kwetsbaar

Uit onderzoek van Promon en Google blijkt dat alleen apparaten met Android 10 beschermd zijn tegen het StrandHogg 2.0-lek. Versie Android 9.0 (Pie) en ouder zijn wel kwetsbaar. Meer dan negentig procent van de Android-toestellen draait versie 9.0 of ouder, aldus Google. Negen op de tien toestellen is dus kwetsbaar voor dit lek.

Lees meer »

Gehackte Thuisbezorgd-accounts worden verkocht

Een groeiend aantal gebruikers meldt dat via 'Thuisbezorgd' bestellingen op hun naam en rekening worden gedaan zonder dat zij daarvan weten. Volgens Thuisbezorgd is er geen datalek, maar betreft het credential stuffing. Getroffen accounts worden inmiddels ook online verkocht.

Lees meer »

Nintendo Switch-eigenaars worden gehackt

Onverwachts een mail krijgen dat er met je account is ingelogd terwijl je dat zelf niet bent: een steeds grotere groep Nintendo Switch-eigenaars maakt er melding van. Nintendo roept gebruikers op om een extra beveiliging bij inloggen in te schakelen.

Lees meer »