Security Bulletin

Pinewood Security Bulletin – Security Updates available for Adobe ColdFusion

21 juli 2023

For English, see below.

Beschrijving

Adobe ColdFusion bevat kritieke kwetsbaarheden die kunnen leiden tot willekeurige uitvoering van code en omzeiling van beveiligingsfuncties. De kwetsbaarheden omvatten:

CVE-2023-38204: Deserialisatie-fout – Een kritieke fout waarmee een aanvaller zonder authenticatie willekeurige code kan uitvoeren.
CVE-2023-38205: Onjuist toegangsbeheer – Een andere kritieke kwetsbaarheid waarmee een aanvaller beveiligingsfuncties kan omzeilen.
CVE-2023-38206: Onjuist toegangsbeheer – Deze kwetsbaarheid stelt een aanvaller in staat om specifieke beveiligingscontroles te omzeilen.

Van deze kwetsbaarheden is CVE-2023-38205 actief misbruikt bij beperkte aanvallen gericht op Adobe ColdFusion. Belangrijk is dat het hier andere kwetsbaarheden betreft dan gemeld in ons bulletin van maandag 17 juli; dit betekent ook dat de updates die n.a.v. dit bulletin zijn doorgevoerd, geen bescherming bieden tegen deze nieuwe kwetsbaarheden.

Kwetsbare versies

De volgende versies van Adobe ColdFusion zijn kwetsbaar:

ColdFusion 2023: Update 2 en eerdere versies
ColdFusion 2021: Update 8 en eerdere versies
ColdFusion 2018: Update 18 en eerdere versies

Oplossingen en tijdelijke mitigaties

Adobe heeft beveiligingsupdates uitgebracht om de kwetsbaarheden in ColdFusion te verhelpen. Gebruikers wordt sterk aangeraden hun installaties bij te werken naar de volgende versies:

ColdFusion 2023: Update 3
ColdFusion 2021: Update 9
ColdFusion 2018: Update 19

Naast het installeren van de laatste ColdFusion-update, is het ook van belang om de laatste JDK/JRE-versie op het ColdFusion-systeem te installeren. Adobe waarschuwt dat het alleen installeren van de ColdFusion-update onvoldoende beveiliging biedt. Daarnaast is het van belang om de juiste JVM-flag in te stellen via het startscript van de applicatieserver. Hoe dit moet, is afhankelijk van de gebruikte applicatieserver; raadpleeg hiervoor het Adobe Security Bulletin.

Meer informatie

Voor aanvullende informatie verwijzen we naar het officiële Adobe-beveiligingsbulletin:

https://helpx.adobe.com/security/products/coldfusion/apsb23-47.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Adobe ColdFusion has been identified with critical vulnerabilities that may lead to arbitrary code execution and security feature bypass. The vulnerabilities include:

CVE-2023-38204: Deserialization issue – A critical flaw that allows an attacker to execute arbitrary code.
CVE-2023-38205: Improper Access Control – Another critical vulnerability, enabling an attacker to bypass security features.
CVE-2023-38206: Improper Access Control – This flaw allows an attacker to bypass specific security controls.

Among these, CVE-2023-38205 has been actively exploited in the wild in limited attacks targeting Adobe ColdFusion. Note that the vulnerabilities described are different from the vulnerabilities that we reported in our security bulletin of Monday 17 July; as a result, updates that were installed as a follow-up to this bulletin, do not fix the issues that are reported in this latest bulletin.

Vulnerable versions

The following versions of Adobe ColdFusion are affected:

ColdFusion 2023: Update 2 and earlier
ColdFusion 2021: Update 8 and earlier
ColdFusion 2018: Update 18 and earlier

Solutions and workarounds

Adobe has released security updates to address the vulnerabilities in ColdFusion. Users are strongly advised to update their installations to the following fixed versions:

ColdFusion 2023: Update 3
ColdFusion 2021: Update 9
ColdFusion 2018: Update 19

Next to installing the latest ColdFusion update, organisations should also install the latest JDK/JRE version on the ColdFusion-system. Adobe warns that applying the ColdFusion update without a corresponding JDK update will not secure the server. Also make sure that the right JVM flag is set via the startup script of the application server; see the Adobe Security Bulletin(s) on how this should be done for the different application servers supported.

More information

We refer to the official Adobe bulletin for additional information:

https://helpx.adobe.com/security/products/coldfusion/apsb23-47.html

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Security Bulletin

Pinewood Security Bulletin – Multiple vulnerabilities in Adobe ColdFusion

18 juli 2023

For English, see below.

Beschrijving

Adobe heeft recent updates uitgebracht voor ernstige kwetsbaarheden in Adobe ColdFusion, een platform voor het ontwikkelen en aanbieden van dynamische webapplicaties. Voor één van de kwetsbaarheden (CVE-2023-38203) bracht Adobe op zaterdag 15 juli 2023 een noodpatch uit nadat proof-of-concept code voor de kwetsbaarheid online werd gepubliceerd. Deze noodpatch volgde kort op een reguliere security-update (op 11 juli 2023) waarin ook al een (vergelijkbare) ernstige kwetsbaarheid werd verholpen (CVE-2023-29300) en waar inmiddels ook proof-of-concept code voor publiek is gemaakt. In beide gevallen gaat het om een “deserialisatie”-kwetsbaarheid, waarbij een aanvaller malafide code kan uitvoeren door het proces te misbruiken waarbij ColdFusion een geserialiseerd Java-object omzet in de oorspronkelijke vorm.

Gezien de ernst van de kwetsbaarheden, de beschikbaarheid van proof-of-concept code en het feit dat deze kwetsbaarheden mogelijk zonder gebruikersauthenticatie misbruikt kunnen worden, raadt Pinewood aan zo snel mogelijk de beschikbaar gestelde updates van ColdFusion te installeren. Houd daarbij ook rekening met eventuele kwetsbare ColdFusion-installaties die leveranciers gebruiken voor het ondersteunen van webapplicaties van de organisatie.

Kwetsbare versies

Adobe heeft updates uitgebracht voor ColdFusion 2018, 2021 en 2023. Onderstaande versies van Adobe ColdFusion zijn hierbij kwetsbaar:

Adobe ColdFusion 2018 Update 17 (en eerdere versies)
Adobe ColdFusion 2021 Update 7 (en eerdere versies)
Adobe ColdFusion 2023 Update 1 (en eerdere versies)

Oplossingen

Adobe raadt aan zo snel mogelijk de onderstaande updates van ColdFusion te installeren op kwetsbare servers:

Adobe ColdFusion 2018 Update 18
Adobe ColdFusion 2021 Update 8
Adobe ColdFusion 2023 Update 2

Naast het installeren van de laatste ColdFusion-update, is het ook van belang om de laatste JDK/JRE-versie op het ColdFusion-systeem te installeren. Adobe waarschuwt dat het alleen installeren van de ColdFusion-update onvoldoende beveiliging biedt. Daarnaast is het van belang om de juiste JVM-flag in te stellen via het startscript van de applicatieserver. Hoe dit moet, is afhankelijk van de gebruikte applicatieserver; raadpleeg hiervoor het Adobe Security Bulletin.

Meer informatie

https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Security Operations Centre (SOC). De servicedesk is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Adobe recently released updates for critical vulnerabilities in Adobe ColdFusion, a platform used for developing and running dynamic web applications. One of these vulnerabilities (CVE-2023-38203) was fixed by an emergency patch on Saturday 15 July 2023 which was released after proof-of-concept code for the vulnerability was published online. This emergency patch quickly followed a regular security update (on 11 July 2023) which resolved a (similar) critical vulnerability and for which proof-of-concept code is also available. In both cases, the vulnerability is caused by a “deserialisation”-issue whereby an attacker can execute arbitrary code by exploiting the process of turning a serialised Java-object into its original form.

Given the criticality of the vulnerabilities, the fact that proof-of-concept code is publicly available and that the vulnerabilities may be exploited without user authentication, Pinewood advises to install the ColdFusion updates as soon as possible. Also consider vendors that might run ColdFusion to support web applications of the organization.

Vulnerable versions

Adobe released security updates for ColdFusion 2018, 2021 and 2023. The following versions of Adobe ColdFusion are vulnerable:

Adobe ColdFusion 2018 Update 17 (and earlier versions)
Adobe ColdFusion 2021 Update 7 (and earlier versions)
Adobe ColdFusion 2023 Update 1 (and earlier versions)

Solutions

Adobe advises to install the following updates for ColdFusion as soon as possible:

Adobe ColdFusion 2018 Update 18
Adobe ColdFusion 2021 Update 8
Adobe ColdFusion 2023 Update 2

Next to installing the latest ColdFusion update, organisations should also install the latest JDK/JRE version on the ColdFusion-system. Adobe warns that applying the ColdFusion update without a corresponding JDK update will not secure the server. Also make sure that the right JVM flag is set via the startup script of the application server; see the Adobe Security Bulletin(s) on how this should be done for the different application servers supported.

More information

https://helpx.adobe.com/security/products/coldfusion/apsb23-41.html

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Centre (SOC). The service desk can be contacted at +31 15 251 36 33 and via soc@pinewood.nl.

Webinars

Webinar: Digital Risk Protection

6 juli 2023

In dit webinar gaan we het hebben over onze nieuwe dienst Digital Risk Protection. Je leert hoe Pinewood in samenwerking met FortiNet onder andere het Dark Web en jouw External Attack Surface Management (EASM) in de gaten houdt tegen dreigingen en risico’s. Aan de hand van enkele scenario’s verduidelijken we wat voor jouw organisatie de voordelen zijn van Digital Risk Protection.

siem soc vng gemeente

Tijdens dit webinar bespreken we de volgende punten:

Introductie Digital Risk Protection
EASM
Brand Protection
Adversary Centric Intelligence
Use-cases
Security Operations Center van Pinewood
Q&A

Wat kan en weet je na dit webinar:

Je weet hoe je je beschermt tegen dreigingen op het Dark Web.
Hoe je de aanwezigheid op het Dark Web van jouw organisatie in de gaten houdt en je beschermt tegen externe dreigingen en risico’s.
Je weet wat Digital Risk Protection precies betekent en wat Pinewood hierin kan betekenen.

Schrijf je hieronder in om de opgenomen versie te bekijken:

"*" geeft vereiste velden aan

Wil je meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Webinars

Webinar: Hoe houd je hackers buiten de deur?

5 juli 2023

Als organisatie wil je de weerbaarheid tegen security incidenten zo groot mogelijk maken. Dat kan door securitygovernance in te richten, risico’s te identificeren en maatregelen te nemen. Onderdeel van deze voorbereiding is het checken van je infrastructuur op kwetsbaarheden: de pentest. Deze test zoekt actief naar kwetsbaarheden en geeft inzicht in waar de risico’s zich bevinden. Een pentest is een uitstekend instrument om het aanvalsvlak te verkleinen. Tegelijkertijd zal het de kans op een incident niet helemaal wegnemen. Vandaar dat een organisatie zich ook moet voorbereiden op als er een incident voordoet.

Pentest

Tijdens dit webinar bespreken we de volgende punten:

Wat is een pentest? Welk inzicht geeft het me? En wat moet ik met al die geconstateerde bevindingen doen?
Q&A

Wat kan en weet je na dit webinar:

Na afloop van dit webinar weet je wat de meerwaarde is van een pentest en hoe die in te zetten is. Ook krijg je inzicht in hoe je je kan voorbereiden als zich onverhoopt een incident voordoet.

Bekijk het webinar:

Wil je meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Security Bulletin

Pinewood Security Bulletin – FortiNAC CVE-2023-33299

27 juni 2023

For English, see below.

Beschrijving

Er is een kwetsbaarheid ontdekt in FortiNAC. Deze kwetsbaarheid kan misbruikt worden door een speciale request naar de beheerinterface te sturen waarna willekeurige code uitgevoerd kan worden. Deze code wordt uitgevoerd met root/administrator rechten, waardoor het mogelijk is alle instellingen binnen de FortiNAC aan te passen.
De kwetsbaarheid maakt gebruik van TCP port 1050, standaard staat deze port ingeschakeld op een FortiNAC appliance en deze kan niet worden uitgeschakeld.
Op dit moment wordt de kwetsbaarheid nog niet actief misbruikt en is er nog geen exploit code publiekelijk beschikbaar. Dit wordt op korte termijn verwacht.

Pinewood raadt aan uw FortiNAC zo snel mogelijk naar een niet kwetsbare versie te updaten.

In de volgende versies is de kwetsbaarheid verholpen:

FortiNAC 9.4.3

FortiNAC 9.2.8

FortiNAC 9.1.10

FortiNAC 7.2.2

Mocht updaten niet direct mogelijk zijn, dan kunt u het verkeer richting de FortiNAC beperken. Zorg er dan voor dat TCP poort 1050 niet te benaderen is vanuit andere netwerken door op de firewall verkeer naar TCP poort 1050 tegen te gaan richting de FortiNAC interface.

Kwetsbare versies

De volgende versies van FortiNAC-firmware zijn kwetsbaar:

FortiNAC versie 9.4.0 tot 9.4.2

FortiNAC versie 9.2.0 tot 9.2.7

FortiNAC versie 9.1.0 tot 9.1.9

FortiNAC versie 7.2.0 tot 7.2.1

FortiNAC 8.8 alle versies

FortiNAC 8.7 alle versies

FortiNAC 8.6 alle versies

FortiNAC 8.5 alle versies

FortiNAC 8.3 alle versies

Meer informatie

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft is er geen actie nodig. Pinewood neemt de benodigde maatregelen om uw omgeving te beschermen tegen deze kwetsbaarheden.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

A vulnerability has been found in FortiNAC. The vulnerability can be exploited by sending a special request towards the FortiNAC. Exploiting this vulnerability enables an attacker to run code on the FortiNAC with root/administrator permissions. The attacker will be able to change all setting within the FortiNAC appliance.

The vulnerability lies in TCP port 1050, which is enabled by default and cannot be turned off.

The vulnerability is not yet actively being exploited and exploit code is not publicly available. This is expected to be available shortly.

Therefore Pinewood advises to upgrade your FortiNAC as soon as possible to a non-vulnerable version.

The vulnerability is not present in the following versions:

FortiNAC 9.4.3

FortiNAC 9.2.8

FortiNAC 9.1.10

FortiNAC 7.2.2

When you’re unable to update directly, make sure to limit the traffic to the FortiNAC. Make sure that TCP port 1050 is being blocked for systems outside the FortiNAC network by implementing policies to deny this traffic in your firewall.

Vulnerable versions

The following versions of the FortiNAC software are vulnerable:

FortiNAC version 9.4.0 through 9.4.2

FortiNAC version 9.2.0 through 9.2.7

FortiNAC version 9.1.0 through 9.1.9

FortiNAC version 7.2.0 through 7.2.1

FortiNAC 8.8 all versions

FortiNAC 8.7 all versions

FortiNAC 8.6 all versions

FortiNAC 8.5 all versions

FortiNAC 8.3 all versions

More information

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, no action is required. Pinewood takes the necessary measures to protect your environment from these vulnerabilities.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Security Bulletin

Pinewood Security Bulletin – Potential critical SSL-VPN vulnerability in Fortinet devices

13 juni 2023

Pinewood Security Bulletin – Potential critical SSL-VPN vulnerability in Fortinet devices

For English, see below.

Beschrijving

Volgens diverse bronnen zijn Fortigate-devices kwetsbaar voor een kritieke pre-authenticatie Remote Code Execution (RCE) kwetsbaarheid in de SSL VPN-functionaliteit. Misbruik van deze kwetsbaarheid stelt een aanvaller in staat willekeurige code uit te voeren op getroffen SSL VPN-apparaten zonder voorafgaande authenticatie. De kwetsbaarheid vormt een aanzienlijk risico, zeker ook omdat een eerdere – vergelijkbare – kwetsbaarheid actief misbruikt werd door kwaadwillenden.

Let op: Op het moment van publicatie van dit bulletin heeft Fortinet nog geen gedetailleerde informatie vrijgegeven met betrekking tot CVE-2023-27997. De specifieke details en impact van de kwetsbaarheid zoals beschreven in externe bronnen moeten nog worden bevestigd. Er wordt verwacht dat Fortinet binnenkort aanvullende informatie zal vrijgeven.

Kwetsbare versies

De volgende versies van FortiOS-firmware zijn naar verwachting kwetsbaar:

FortiOS firmware-versies 6.0.16 en eerder
FortiOS firmware-versies 6.2.14 en eerder
FortiOS firmware-versies 6.4.12 en eerder
FortiOS firmware-versies 7.0.11 en eerder
FortiOS firmware-versies 7.2.4 en eerder

Oplossingen en tijdelijke mitigaties

Fortinet heeft op vrijdag 9 juni 2023 nieuwe firmware-versies uitgebracht die deze kwetsbaarheid vermoedelijk verhelpen. Het betreft onderstaande firmware-versies:

FortiOS firmware versie 6.0.17
FortiOS firmware versie 6.2.15
FortiOS firmware versie 6.4.13
FortiOS firmware versie 7.0.12
FortiOS firmware versie 7.2.5

Pinewood raadt aan bovenstaande versies van FortiOS z.s.m. uit te rollen op kwetsbare devices, zeker indien op deze devices de SSL-VPN-functionaliteit is ingeschakeld.

Detectie van mogelijk misbruik

Op het moment van schrijven zijn er nog geen gevallen van actief misbruik bekend. De verwachting is echter dat malafide actoren op korte termijn een expoit voor de kwetsbaarheid zullen ontwikkelen waarop grootschalig misbruik mogelijk wordt.

Vermoedelijk zal een Fortinet-device een crash registreren op het moment dat succesvol misbruik van de kwetsbaarheid plaatsvindt. Het is daarom verstandig om de Fortinet-logging te controleren op de aanwezigheid van een melding zoals hieronder:

logdesc=”Application crashed” and msg=”[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]”

Wees ervan bewust dat een logregel zoals hierboven kan duiden op succesvol misbruik, maar niet per definitie hoeft te betekenen dat er succesvol misbruik heeft plaatsgevonden.

Het Pinewood SOC SOC (Security Operations Center) monitoort de aangesloten Fortinet-devices van klanten op de aanwezigheid van betreffende logregel.

Meer informatie

http://olympecyberdefense.fr/1193-2/

https://www.ncsc.nl/actueel/advisory?id=NCSC-2023-0282

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft is er geen actie nodig. Pinewood neemt de benodigde maatregelen om uw omgeving te beschermen tegen deze kwetsbaarheden.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

According to various sources, Fortigate devices are vulnerable to a critical pre-authentication Remote Code Execution (RCE) vulnerability in the SSL VPN functionality. Exploiting this vulnerability allows an attacker to execute arbitrary code on affected SSL VPN devices without prior authentication. The vulnerability poses a significant risk, especially considering that a previous similar vulnerability was actively exploited by malicious actors.

Please note: At the time of publishing this bulletin, Fortinet has not yet released detailed information regarding CVE-2023-27997. The specific details and impact of the vulnerability as described in external sources are yet to be confirmed. It is expected that Fortinet will release additional information soon.

Vulnerable versions

The following versions of FortiOS firmware are expected to be vulnerable:

FortiOS firmware versions 6.0.16 and earlier
FortiOS firmware versions 6.2.14 and earlier
FortiOS firmware versions 6.4.12 and earlier
FortiOS firmware versions 7.0.11 and earlier
FortiOS firmware versions 7.2.4 and earlier

Solutions and workarounds

Fortinet released new firmware versions on Friday, June 9, 2023, which are expected to address this vulnerability. The following firmware versions are involved:

FortiOS firmware version 6.0.17
FortiOS firmware version 6.2.15
FortiOS firmware version 6.4.13
FortiOS firmware version 7.0.12
FortiOS firmware version 7.2.5

Pinewood recommends deploying the above versions of FortiOS as soon as possible on vulnerable devices, especially if the SSL-VPN functionality is enabled on these devices.

Detection of possible misuse

At the time of writing, there are no known cases of active exploitation. However, it is expected that malicious actors will develop an exploit for the vulnerability in the near future, enabling widespread abuse.=

When successful exploitation of the vulnerability occurs, a Fortinet device is likely to register a crash. Therefore, it is advisable to check the Fortinet logs for the presence of a notification similar to the following:

logdesc=”Application crashed” and msg=”[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]”

Please be aware that a log entry like the one above may indicate successful exploitation but does not necessarily mean that exploitation has occurred.

Pinewood’s SOC (Security Operations Center) monitors the connected Fortinet devices of its customers for the presence of the mentioned log entry.

More information

http://olympecyberdefense.fr/1193-2/

https://www.ncsc.nl/actueel/advisory?id=NCSC-2023-0282

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, no action is required. Pinewood takes the necessary measures to protect your environment from these vulnerabilities.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

We zien het steeds vaker in het nieuws. Een organisatie is getroffen door datadiefstal. Hoe kan het zo zijn dat een infrastructuur door iemand van buitenaf betreden wordt? In de meeste gevallen gebeurt dit door een kwetsbaarheid binnen de infrastructuur welke niet is opgevallen. Had dit voorkomen kunnen worden? In 99% van de gevallen is dit zeker te voorkomen. Hiervoor dien je natuurlijk wel te weten waar deze kwetsbaarheid zich bevindt en wat je kunt doen om deze op te lossen. Hier gebruiken we Vulnerability management systemen voor.

Wat is Vulnerability management?

Vulnerability management betekent eigenlijk niks anders als je kwetsbaarheden beheren. Dit houdt in dat je in kaart brengt waar en welke risico’s er in jouw infrastructuur leven. Want hoe beter je je kwetsbaarheden kent, hoe beter je je ervoor kunt beveiligen. Het doel van vulnerability management is om de algehele blootstelling aan risico’s van een organisatie te verkleinen, door zoveel mogelijk beveiligingsproblemen te verhelpen. Dit kan een uitdagende taak zijn, afhankelijk van het aantal potentiële beveiligingsproblemen en de beperkte resources die beschikbaar zijn voor herstel. Vulnerability management moet een continu proces zijn, om op de hoogte te blijven van nieuwe en opkomende bedreigingen en veranderende omgevingen.

Hoe doet een Vulnerability Management systeem dit?

Een vulnerability managementsysteem heeft een zogenoemde scanner die de gegevens verzameld. Het proces gaat in het kort als volgt:

De scanner gaat elke gedefinieerde asset eerst af met een reconnaissance fase. Dit is een fase waar eerst alle informatie over deze asset wordt verzameld, ook wel footprinting genoemd.

Dit zijn gegevens zoals het operating system en welke soorten connectie protocollen er open staan en ook de software wat mogelijk op deze asset geïnstalleerd staat. Daarnaast worden de versie nummers opgehaald. In deze fase wordt er dus zoveel mogelijk informatie verzameld over deze asset.

Vervolgens worden de resultaten tegen een database vergeleken waarin alle bekende kwetsbaarheden staan voor bepaalde versies software en protocollen. Ook kan het systeem deze kwetsbaarheid testen op de asset om er zeker van te zijn dat het geen false positive is. Hiermee bevestigt het systeem dat deze kwetsbaarheid te misbruiken is.

We krijgen dan een overzicht te zien welke kwetsbaarheden er binnen deze asset leeft en hoe we dit kunnen oplossen om te voorkomen dat er misbruik van gemaakt wordt.

Waarom is het belangrijk om Vulnerability Management te hebben?

Hiermee kunnen we kwetsbaarheden in kaart brengen en deze oplossen voordat er misbruik van gemaakt wordt. Als je niet weet waar je kwetsbaarheden binnen je infrastructuur ligt, kan je deze moeilijk oplossen. Maatregelen treffen om zoveel mogelijk veilig te blijven doormiddel van EDR of antivirus oplossingen is goed, maar als de software binnen je infrastructuur niet meer veilig is en je bent hier niet van op de hoogte, loop je mogelijk een risico dat je een indringer een mogelijkheid geeft om je infrastructuur binnen te treden.

Voordelen van vulnerability management

Hieronder staan enkele voordelen van vulnerability management:

Verminderen van risico’s: Door kwetsbaarheden proactief te identificeren en te behandelen, kan de kans op beveiligingslekken worden verminderd. Dit helpt organisaties om hun IT-systemen en -infrastructuur beter te beschermen tegen aanvallen en cybercriminaliteit.
Efficiëntie: Vulnerability management stelt organisaties in staat om de beveiligingsrisico’s van hun IT-systemen en -infrastructuur te prioriteren op basis van de ernst van de kwetsbaarheden. Dit stelt organisaties in staat om hun beperkte middelen en tijd efficiënter in te zetten en prioriteit te geven aan de belangrijkste kwetsbaarheden.
Compliance: Veel organisaties hebben te maken met beveiligingsregelgeving en compliance-eisen, zoals de GDPR (AVG) of ISO 27001. Vulnerability management helpt organisaties om aan deze eisen te voldoen door kwetsbaarheden te identificeren en aan te pakken.
Kostenbesparing: Door kwetsbaarheden proactief te identificeren en te behandelen, kunnen organisaties de kosten van datalekken en andere beveiligingsincidenten verminderen. Dit kan ook helpen om de kosten van beveiligingsinvesteringen in de toekomst te verminderen.
Betrouwbaarheid: Het identificeren en aanpakken van kwetsbaarheden verbetert de betrouwbaarheid van IT-systemen en -infrastructuur. Dit kan helpen om de continuïteit van bedrijfsprocessen te waarborgen en downtime te voorkomen.

Kortom, vulnerability management is een belangrijk onderdeel van een effectieve IT-beveiligingsstrategie. Het kan organisaties helpen om hun IT-systemen en -infrastructuur veiliger, efficiënter en betrouwbaarder te maken.

Wat kan Pinewood hierin betekenen voor jouw organisatie?

Bij Pinewood werken we al langere tijd met Vulnerability management as a service voor onze klanten. Wij zijn een managed security service provider voor Rapid7 producten. Onze engineers zijn dus gecertificeerd en gespecialiseerd voor de producten die wij leveren en gebruiken van Rapid7.

Wij kunnen jouw organisatie helpen met het in kaart brengen van kwetsbaarheden binnen jouw infrastructuur, het advies en begeleiding hierin geven voor een veiligere infrastructuur, en natuurlijk jouw organisatie een stuk veiliger maken in dit digitale tijdperk.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

TikTok is een van de snelst groeiende social media platformen ter wereld. Via de app kunnen gebruikers video’s maken en delen. Het sociale media platform is gigantisch populair maar brengt helaas ook risico’s met zich mee. Wat zijn deze risico’s en welke maatregelen zouden alle organisaties moeten nemen als het gaat om het beveiligen van zakelijke mobiele telefoons? Lees hier alles over in dit blog.

De kwetsbaarheden van TikTok

Het beveiligingsrisico rondom het gebruik van TikTok heeft twee oorzaken: Ten eerste verzamelt TikTok veel persoonlijke informatie van gebruikers, zoals locatiegegevens, browser geschiedenis en zoekopdrachten. Die informatie wordt gecombineerd met informatie over je gebruik van de app; aan de hand van welke filmpjes je wel- en niet leuk vindt en met de al gegeven informatie wordt een zo specifiek mogelijk profiel opgebouwd van gebruikers. Hiermee kunnen hele gerichte advertenties aangeboden worden.

Chinese inmenging op bedrijfsvoering

Voor de meeste bedrijven lijkt het risico en de impact van Chinese inmenging op de bedrijfsvoering maar gering. Het is wel belangrijk voor bedrijven om na te denken over de beveiliging van mobiele telefoons die zakelijk worden gebruikt. Spionage is niet het enige beveiligingsrisico gerelateerd aan mobiele telefoons.

Als mobiele telefoons onvoldoende beveiligd zijn kan er een datalek ontstaan: zonder dat medewerkers er bewust van zijn laten zij bijvoorbeeld zakelijke gegevens back-uppen naar Cloud-oplossingen als Dropbox of Google Drive. Zo raken organisaties de grip kwijt waar hun gegevens opgeslagen staan. Er zijn ook voorbeelden van phishing of ceo-fraude via Whatsapp om wachtwoorden te ontfutselen of betalingen te laten goedkeuren. Om je als organisatie tegen dit soort risico’s te beschermen moet er een beleid worden opgesteld waarin het veilig omgaan met mobiele apps wordt beschreven. Je kan daarnaast denken aan technische maatregelen als het implementeren van containerization of het beperken van toegestane apps om deze risico’s verder in te perken.

Containerization is één van de oplossingen

Containerization is een technologie waarmee bedrijven de zakelijke gegevens en apps kunnen scheiden van de persoonlijke gegevens en apps op het mobiele apparaat. Dit wordt vaak toegepast als er sprake is van een Bring Your Own Device (‘BYOD’)-beleid. Doordat alle zakelijke gegevens in een beveiligde container worden geplaatst die wordt versleuteld en alleen toegankelijk is met een specifieke pincode, wachtwoord of biometrische gegevens blijft de data beschermd, ook al gebruiken medewerkers hun eigen privé toestel. Als de e-mails op een telefoon binnen de specifieke applicatie in zo’n container staan, kan bijvoorbeeld worden ingesteld dat zakelijke e-mails en bijlages niet op de algemene opslag van de telefoon worden opgeslagen. Dit kan door andere apps dan niet meer worden benaderd. Op die manier wordt voorkomen dat automatische back-ups naar Onedrive, Dropbox, Google Drive of iCloud van zakelijke gegevens plaatsvinden. Als het apparaat verloren of gestolen wordt is de data eveneens beschermd vanwege de encryptie, vaak kunnen de apps op dat moment op afstand worden verwijderd.

Dit is een flexibele oplossing waarbij de eindgebruikers veel controle houden over hun (privé-) toestel, de maatregelen om zakelijke gegevens te beschermen worden beperkt tot de data zelf.
Zou een medewerker Tiktok of andere software privé gebruiken zijn er technische beperkingen waardoor de toegang tot zakelijke gegevens technisch is geblokkeerd.

Zakelijk en privé gescheiden houden

De overheid kiest er echter voor om voortaan alléén toegestane apps op zakelijke mobiele telefoons toe te staan.
Door alleen goedgekeurde apps toe te staan, kunnen organisaties ervoor zorgen dat alleen betrouwbare apps worden gebruikt waar geen risico is op spionage of andere beveiligingsrisico’s. Ook wordt op die manier beperkt dat gevoelige informatie via onveilige apps wordt gedeeld en zou beargumenteerd kunnen worden dat medewerkers minder snel afgeleid zullen raken omdat ze geen spelletjes of andere afleidende apps op hun werktoestel kunnen installeren.

Als dit beleid wordt toegepast op BYOD levert dit vaak veel weerstand op, medewerkers raken dan de controle over hun eigen toestel kwijt. Je ziet deze maatregel dus eigenlijk alleen bij zakelijke toestellen die door de werkgever zelf worden uitgegeven en beheerd, en ook dan levert dat weerstand op. Medewerkers lopen daardoor vaak rond met zowel een zakelijk en een privé toestel.

Advies van Pinewood

Pinewood adviseert daarom ook als eerste te bepalen welke risico’s specifiek van toepassing zijn op de organisatie en de huidige manier waarop medewerkers een zakelijke telefoon gebruiken. Op basis van je risico’s kan je vervolgens een beleid opstellen waarin de juiste maatregelen worden vastgesteld:

Welk gedrag van medewerkers verwacht wordt
Welke technische maatregelen daarbij geïmplementeerd moeten worde

Onze Pinewood Security Consultants kunnen organisaties verder ondersteunen bij het bepalen van de relevante risico’s en maatregelen om je hiertegen te beschermen.

Arthur van Vliet

Sales Manager

06 – 53 93 88 38

arthur.vanvliet@pinewood.nl

Tijdens de cybersecurity-summit CPX360 op de High Tech Campus in Eindhoven werden de Check Point Partner Awards uitgereikt. Pinewood viel in de prijzen als ‘Best Overall Partner of the Year’.

“Pinewood is al sinds de jaren ‘90 partner van Check Point. Ze zijn begonnen als specialist van Check Point op Sun Solaris. Later ontwikkelden ze zich tot een allround beveiligingspartner, met focus op kwaliteit en samenwerking. Pinewood heeft de afgelopen jaren het Check Point-portfolio omarmd en was een van de eerste partners in Nederland die grote deals binnenhaalde op basis van Harmony. In combinatie met hun eigen SIEM-SOC-service zijn ze in staat om het volledige Check Point-portfolio te verkopen, implementeren en beheren. We zijn verheugd om de ‘Best Overall Partner of the Year’ award uit te reiken aan Pinewood”, aldus Arthur van Uden, Country Manager Benelux bij Check Point.

“Met deze award wordt stilgestaan bij de goede samenwerking die we al jaren met Check Point hebben. Mooi om bevestiging daarvan te krijgen in deze vorm. De gezamenlijke inspanningen hebben al bij veel klanten tot succes geleid, waardoor ik verwacht dat we ook in de toekomst dit partnerschap zullen koesteren en verder zullen uitbreiden. De producten die Check Point ontwikkelt en aanbiedt, zijn bij veel van onze klanten een welkome aanvullingen op andere security-maatregelen. In combinatie met onze brede security-expertise, de managed services en ons eigen SOC levert dit passende oplossingen op om mensen en middelen te beschermen”, aldus Sebastiaan Kors, CEO van Pinewood.

Over Pinewood

Pinewood is een 100% Nederlands bedrijf en sinds 1994 specialist in cybersecurity en informatiebeveiliging. Dankzij specialistische kennis, in combinatie met een analytische aanpak van technische vraagstukken, heeft Pinewood een zeer sterke naam verworven. Pinewood richt zich niet alleen op IT, maar ook op uw business. Door de business en IT-security bij elkaar te brengen is Pinewood in staat om passende maatregelen te nemen om organisaties maximaal te beveiligen tegen ongewenste digitale indringers. Vanuit het hoogwaardige en volledig Nederlandse Security Operations Center (SOC) worden dag en nacht de kritische infrastructuren van zorginstellingen, ziekenhuizen en middelgrote ondernemingen bewaakt. Als Nederlandse security-dienstverlener wil Pinewood maximaal bijdragen aan een veiliger digitaal Nederland. Zonder concessies en volkomen transparant.

Security Bulletin

Pinewood Security Bulletin – Critical vulnerability in Microsoft Outlook

16 maart 2023

Pinewood Security Bulletin – Critical vulnerability in Microsoft Outlook

For English, see below.

Beschrijving

Microsoft heeft een update uitgebracht voor Microsoft Outlook die een ernstige kwetsbaarheid in deze e-mailclient verhelpt. De kwetsbaarheid stelt een kwaadwillende in staat om authenticatiegegevens van een gebruiker – in de vorm van een Net-NTLMv2-hash – buit te maken, zonder dat daarvoor gebruikersinteractie is vereist. Dat houdt in dat de kwetsbaarheid misbruikt kan worden door alleen een malafide e-mail te versturen naar een slachtoffer.

Bij succesvol misbruik zal Outlook een verbinding maken met een externe UNC-lokatie, onder controle van de aanvaller. Bij het maken van deze verbinding zal de client automatisch proberen in te loggen als de eindgebruiker, waarbij de gebruikersnaam en de Net-NTLMv2 wachtwoordhash bekend worden op de server van de aanvaller. Daarnaast kan de authenticatiepoging overgenomen worden en doorgezet worden naar een legitieme server om namens de gebruiker in te loggen via een zogeheten ‘NTLM relay’-aanval.

Kwetsbare Versies

De kwetsbaarheid bevindt zich in onderstaande Microsoft-producten:

Microsoft 365 Apps for Enterprise for 32-bit Systems
Microsoft 365 Apps for Enterprise for 64-bit Systems
Microsoft Office 2019 for 32-bit editions
Microsoft Office 2019 for 64-bit editions
Microsoft Office LTSC 2021 for 64-bit editions
Microsoft Outlook 2013 RT Service Pack 1
Microsoft Outlook 2013 Service Pack 1 (32-bit editions)
Microsoft Outlook 2013 Service Pack 1 (64-bit editions)
Microsoft Outlook 2016 (64-bit edition)

Oplossingen en tijdelijke mitigaties

Microsoft heeft updates voor de kwetsbare producten uitgebracht waarmee deze kwetsbaarheid kan worden verholpen. Organisaties wordt dan ook aangeraden zo spoedig mogelijk deze update uit te rollen naar clients.

Hoewel er geen specifieke workarounds voor deze kwetsbaarheid zijn te implementeren, bestaan er wel een aantal best practices die uitbuiting van deze kwetsbaarheid bemoeilijken en die mogelijk al door de organisatie zijn geïmplementeerd:

Sta alleen essentiële verbindingen toe vanuit de infrastructuur naar het internet. Specifiek voor deze kwetsbaarheid is het van belang dat vanuit het netwerk géén verbindingen over 137/udp, 138/udp, 139/tcp en 445/tcp naar (onvertrouwde) externe IP-adressen worden toegestaan. Hou er wel rekening mee dat dit niet zomaar mogelijk is bij gebruik van Azure Files en dat deze poorten mogelijk wél geopend zijn op het moment dat een gebruiker niet verbonden is met het bedrijfsnetwerk. Dergelijke beperkingen moet men daarom ook afdwingen via de lokale (Windows) firewall.
Maak gebruik van maatregelen als SMB signing, LDAP signing, LDAP channel binding en HTTP Extended Protection for Authentication (EPA). Deze maatregelen voorkomen een succesvolle ‘NTLM relay’-aanval, maar voorkomen niet dat de Net-NTLMv2 wachtwoordhash uitlekt.
Zorg ervoor dat de WebDAV-client op systemen is uitgeschakeld of van systemen is verwijderd. Dit voorkomt dat de uitgaande verbinding over een andere poort dan 445/tcp uitgevoerd kan worden. De WebDAV-client is alleen geïnstalleerd op werkplekken, niet op servers. De WebDAV-client staat standaard uitgeschakeld, maar kan door verschillende omstandigheden automatisch ingeschakeld worden.

Detectie van mogelijk misbruik

Controle van Exchange-items

Aangezien de kwetsbaarheid al (op beperkte schaal) misbruikt werd voordat deze door Microsoft kon worden verholpen, raadt Microsoft aan om een controle uit te voeren op beschikbare Exhange-informatie om te zien of deze kwetsbaarheid al eerder is misbruikt. Deze controle biedt Microsoft aan in de vorm van een Powershell-script dat controleert of mail-, kalender- of taakitems een UNC-pad bevatten. Het script en informatie over hoe dit te gebruiken is, is terug te vinden op Github: https://github.com/microsoft/CSS-Exchange/blob/a4c096e8b6e6eddeba2f42910f165681ed64adf7/docs/Security/CVE-2023-23397.md

Uitgaande 445/tcp-verbindingen

Volgens Microsoft is specifiek het blokkeren van 445/tcp een mitigerende maatregel die kan voorkomen dat NTLM-gegevens worden verstuurd naar externe file shares. Het Pinewood SOC monitoort bij SOC-klanten al enige tijd op toegestane verbindingen naar externe IP-adressen over 445/tcp en meldt eventuele bijzonderheden die hierbij worden ontdekt. Houd er rekening mee dat misbruik mogelijk ook kan plaatsvinden via andere poorten of via bijvoorbeeld thuisnetwerken waardoor deze maatregel niet alle exploitatiepogingen zal helpen detecteren.

Meer informatie

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/

http://aka.ms/smbintercept

https://support.microsoft.com/nl-nl/topic/voorkomen-dat-smb-verkeer-later-wordt-verbonden-en-het-netwerk-binnenkomt-of-verlaat-c0541db7-2244-0dce-18fd-14a3ddeb282a

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Microsoft has released an update for Microsoft Outlook that addresses a serious vulnerability in this email client. The vulnerability allows a malicious actor to steal a user’s authentication credentials – in the form of a Net-NTLMv2 hash – without requiring any user interaction. This means that the vulnerability can be exploited simply by sending a malicious email to a victim.

If successfully exploited, Outlook will establish a connection with an external UNC location under the control of the attacker. During this connection, the client will automatically attempt to log in as the end user, revealing the username and Net-NTLMv2 password hash to the attacker’s server. Additionally, the authentication attempt can be intercepted and forwarded to a legitimate server in a so-called “NTLM relay” attack, allowing the attacker to log in on behalf of the user.

Vulnerable versions

The vulnerability can be exploited in the following Microsoft-products:

Microsoft 365 Apps for Enterprise for 32-bit Systems
Microsoft 365 Apps for Enterprise for 64-bit Systems
Microsoft Office 2019 for 32-bit editions
Microsoft Office 2019 for 64-bit editions
Microsoft Office LTSC 2021 for 64-bit editions
Microsoft Outlook 2013 RT Service Pack 1
Microsoft Outlook 2013 Service Pack 1 (32-bit editions)
Microsoft Outlook 2013 Service Pack 1 (64-bit editions)
Microsoft Outlook 2016 (64-bit edition)

Solutions and workarounds

Microsoft has released updates for the vulnerable products that address this vulnerability. Organizations are advised to roll out this update to clients as soon as possible.

Although there are no specific workarounds for this vulnerability, there are several best practices that make exploitation of this vulnerability more difficult and that may already have been implemented by the organization:

Allow only essential connections from the infrastructure to the internet. Specifically for this vulnerability, it is important that no connections over 137/udp, 138/udp, 139/tcp, and 445/tcp to (untrusted) external IP addresses are allowed from the network. Note, however, that this may not be feasible when using Azure Files, and these ports may be open when a user is not connected to the corporate network. Such restrictions must therefore also be enforced through the local (Windows) firewall.
Use measures such as SMB signing, LDAP signing, LDAP channel binding, and HTTP Extended Protection for Authentication (EPA). These measures prevent a successful “NTLM relay” attack, but do not prevent the Net-NTLMv2 password hash from leaking.
Ensure that the WebDAV client is disabled or removed from systems. This prevents the outbound connection from being performed on a port other than 445/tcp. The WebDAV client is only installed on workstations, not on servers. The WebDAV client is disabled by default, but may be automatically enabled due to various circumstances.

Detection of possible misuse

Check the Exchange-Items

As the vulnerability was already being exploited (albeit on a limited scale) before Microsoft could fix it, Microsoft recommends checking available Exchange information to see if this vulnerability has already been exploited. Microsoft offers this verification in the form of a Powershell script that checks whether mail, calendar, or task items contain a UNC path. The script and information on how to use it can be found on Github: https://github.com/microsoft/CSS-Exchange/blob/a4c096e8b6e6eddeba2f42910f165681ed64adf7/docs/Security/CVE-2023-23397.md

Outgoing 445/tcp connections

According to Microsoft, specifically blocking 445/tcp is a mitigating measure that can prevent NTLM data from being sent to external file shares. The Pinewood SOC has been monitoring allowed connections to external IP addresses over 445/tcp for SOC clients for some time and reports any anomalies that are discovered. Keep in mind that exploitation may also occur through other ports or through home networks, so this measure will not detect all exploitation attempts.

More information

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397

https://www.mdsec.co.uk/2023/03/exploiting-cve-2023-23397-microsoft-outlook-elevation-of-privilege-vulnerability/

http://aka.ms/smbintercept

https://support.microsoft.com/nl-nl/topic/voorkomen-dat-smb-verkeer-later-wordt-verbonden-en-het-netwerk-binnenkomt-of-verlaat-c0541db7-2244-0dce-18fd-14a3ddeb282a

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.