|
Security Bulletin
Pinewood Security Bulletin – Multiple vulnerabilities fixed in Fortinet products
8 maart 2023
Een cyberaanval is een poging om ongeautoriseerde toegang te krijgen tot een computer, een computer- of telecommunicatienetwerk of een online-account, of om informatie te verkrijgen of te wijzigen zonder toestemming. Cyberaanvallen kunnen leiden tot verstoringen van de diensten die worden aangeboden, lekken van vertrouwelijke informatie of zelfs de vernietiging van gegevens. In dit artikel zullen we kijken naar hoe cyberaanvallen werken en hoe u zich kunt beschermen tegen deze dreigingen.
Er zijn veel verschillende soorten cyberaanvallen, en ze kunnen op verschillende manieren worden uitgevoerd. De meest voorkomende soorten cyberaanvallen zijn:
Phishing-aanvallen
Dit zijn aanvallen waarbij een aanvaller probeert om vertrouwelijke informatie te verkrijgen door middel van een vervalst e-mailbericht, een link of een formulier. De aanvaller kan proberen om te doen alsof hij of zij van een betrouwbare organisatie is of om te doen alsof er een noodgeval is, zoals een accountvergrendeling of een onverwacht bedrag op een rekening. Als u op de link klikt of de informatie invoert, kan de aanvaller toegang krijgen tot uw gegevens.
Malware-aanvallen
Malware is software die is ontworpen om een computer of netwerk te beschadigen of te verstoren. Er zijn veel verschillende soorten malware, waaronder virussen, Trojaanse paarden, rootkits en ransomware. Malware kan op verschillende manieren worden geïnstalleerd, zoals via een kwaadaardige link of bijlage, of door middel van een zero-day-exploit (een beveiligingslek dat nog niet bekend is bij de softwareontwikkelaar).
DDoS-aanvallen
DDoS staat voor Distributed Denial of Service. Dit zijn aanvallen waarbij een netwerk of server wordt overbelast met verkeer, waardoor het onbruikbaar wordt voor de legitieme gebruikers. DDoS-aanvallen kunnen worden uitgevoerd door middel van malware of door middel van een botnet (een groep geïnfecteerde computers die worden gecontroleerd door een aanvaller). De aanvaller kan het botnet gebruiken om verkeer naar het doelwit te sturen, waardoor het systeem overbelast raakt en niet meer in staat is om legitiem verkeer te verwerken. DDoS-aanvallen kunnen ernstige gevolgen hebben, zoals het tijdelijk onbruikbaar maken van websites of het uitvallen van diensten. Om zich te beschermen tegen DDoS-aanvallen, is het belangrijk om een sterk netwerkbeveiligingsplan te hebben en diensten te gebruiken die specifiek zijn ontworpen om DDoS-aanvallen te detecteren en te blokkeren.
SQL-injectie-aanvallen
SQL staat voor Structured Query Language en is een programmeertaal die wordt gebruikt voor het beheren van databases. Een SQL-injectie-aanval is een aanval waarbij een aanvaller kwaadaardige code injecteert in een SQL-query om toegang te krijgen tot vertrouwelijke gegevens of om wijzigingen aan te brengen aan een database.
Man-in-the-middle-aanvallen
Dit zijn aanvallen waarbij een aanvaller zich bevindt tussen twee communicatiepartners en de communicatie afluistert of wijzigt zonder dat de partijen dit weten. De aanvaller kan bijvoorbeeld proberen om een beveiligde verbinding te onderscheppen en te decoderen, of om wijzigingen aan te brengen aan de informatie die wordt verzonden.
Hoe kan een bedrijf zich beschermen tegen cyberaanvallen?
Er zijn een aantal dingen die u kunt doen om uzelf te beschermen tegen cyberaanvallen:
Gebruik een sterk wachtwoord
Zorg ervoor dat u sterke wachtwoorden gebruikt en deze regelmatig verandert. Gebruik wachtwoordbeheersoftware om uw wachtwoorden te beheren en te genereren.
Zorg voor goede beveiliging van uw netwerk
Zorg ervoor dat uw netwerk goed is beveiligd met firewalls en endpoint-protection. Zorg ervoor dat deze software regelmatig wordt bijgewerkt om te profiteren van de nieuwste beveiligingsupdates.
Wees voorzichtig met links en bijlagen
Klik niet op links en download geen bijlagen van onbekende afzenders. Als u twijfelt, neem dan contact op met de afzender om te controleren of het bericht legitiem is.
Maak regelmatig back-ups
Maak regelmatig back-ups van uw gegevens om ervoor te zorgen dat u deze kunt terughalen in het geval van een aanval. Zorg ervoor dat de back-ups op een beveiligde locatie worden opgeslagen.
Maak gebruik van beveiligingsoplossingen
Er zijn veel verschillende beveiligingsoplossingen beschikbaar, zoals intrusion prevention systems (IPS) en security information and event management (SIEM) software. Deze oplossingen kunnen helpen om cyberaanvallen te detecteren en te voorkomen.
Maak gebruik van een SOC (Security Operations Center)
Een SOC is een team van beveiligingsexperts dat 24/7 beveiligingsincidenten monitort en behandelt. Een SOC kan helpen om cyberaanvallen te detecteren en te voorkomen, en kan ook helpen bij het opsporen van beveiligingslekken en het uitvoeren van incidentenonderzoek. Een SOC maakt gebruik van geavanceerde beveiligingstools en -technieken om de beveiliging van een organisatie te verbeteren en te garanderen dat de organisatie voldoet aan de beveiligingsvoorschriften en -regelgeving. Als u overweegt om een SOC in te zetten, is het belangrijk om te kiezen voor een leverancier met ervaring en een goede reputatie in de branche.
Maak gebruik van multi-factor authenticatie
Multi-factor authenticatie vereist dat een gebruiker naast een wachtwoord ook een andere vorm van verificatie gebruikt, zoals een code die naar een mobiele telefoon wordt verzonden of een biometrische scan. Dit vergroot de beveiliging omdat een aanvaller zowel het wachtwoord als de andere vorm van verificatie zou moeten stelen om toegang te krijgen.
Wees voorzichtig met openbare wifi-netwerken
Openbare wifi-netwerken zijn vaak minder goed beveiligd dan privé-netwerken en kunnen een makkelijk doelwit zijn voor aanvallers. Als u openbare wifi moet gebruiken, zorg ervoor dat u een virtueel privé-netwerk (VPN) gebruikt om uw verbinding te beveiligen.
Zorg ervoor dat uw software is bijgewerkt
Houd al uw software bij, zoals uw besturingssysteem, browsers en andere programma’s. Beveiligingsupdates bevatten vaak patches voor bekende beveiligingslekken en het is belangrijk om deze te installeren om uw systemen te beschermen.
Wees voorzichtig met persoonlijke informatie
Deel alleen vertrouwelijke informatie met betrouwbare bronnen en wees voorzichtig met wie u uw persoonlijke gegevens deelt, zoals uw adres, telefoonnummer en financiële informatie.
Kortom, cyberaanvallen zijn een steeds groter wordend probleem en het is belangrijk om voorbereid te zijn om uzelf te beschermen. Door sterk wachtwoordbeleid te hanteren, goede beveiliging voor uw netwerk te zorgen, voorzichtig te zijn met links en bijlagen, regelmatig back-ups te maken, beveiligingsoplossingen te gebruiken, gebruik te maken van een SOC, multi-factor authenticatie te gebruiken, voorzichtig te zijn met openbare wifi-netwerken, uw software bij te werken en voorzichtig te zijn met persoonlijke informatie, kunt u uzelf beschermen tegen cyberaanvallen en uw bedrijf en klanten beschermen tegen de gevolgen ervan.
Blog & Events
ISO/IEC 27001:2022 – Een nieuw tijdperk voor informatiebeveiliging. Wat verandert er?
8 februari 2023
In de laatste week van oktober 2022 heeft ISO/IEC een nieuwe versie van de veelgebruikte norm voor informatiebeveiliging ISO/IEC 27001 uitgebracht (ISO/IEC 27001:2022). Deze nieuwe ISO versie biedt allerlei organisaties, sectoren en locaties een geüpdatet kader om het steeds complexere dreigingslandschap aan te pakken. Wat zijn de belangrijkste veranderingen en wat zijn de gevolgen voor organisaties die met ISO/IEC 27001 aan de slag gaan? We zetten het allemaal voor je op een rij.
Waarom deze wijziging?
Om bij te blijven bij de veranderingen op het gebied van security wordt de norm om de vijf jaar aangepast. De nieuwe lijst van ISO/IEC 27001:2022 is een soort best practice guide om informatiebeveiliging te verbeteren. Het is de bedoeling dat organisaties door middel van een risicoanalyse zelf maatregelen selecteren. Deze belangrijke update is bedoeld om:
- meer duidelijkheid, focus en verantwoordelijkheid voor informatiebeveiliging binnen een organisatie te bereiken;
- een beter begrip te creëren omtrent de toe te passen beveiligingspraktijken;
- de bestaande controlset te updaten naar aanleiding van de technologische ontwikkelingen;
- een betere aansluiting te vinden tussen proces en implementatie.
Wat ga je merken van deze update?
Organisatie krijgen te maken met nieuwe geautomatiseerde eisen. In het traject van de certificering moet met deze eisen rekening gehouden worden. Certificering volgens vorige norm is niet meer mogelijk, na de overgangsperiode. Organisaties krijgen hier 3 jaar de tijd voor. De veranderingen hebben dus op korte termijn geen impact op de huidige certificering.
Voor de organisaties die nog niet gecertificeerd zijn, maar wel de ambitie hebben dit in de toekomst te realiseren, wordt aanbevolen de meest recente versie als leidraad aan te houden.
Wat is het verschil met de oude versie?
De norm ISO 27001 is geactualiseerd. Het belangrijkste verschil is dat de Annex A in lijn is gebracht met de eerder dit jaar gepubliceerde norm ISO 27002. Daarnaast is een aantal kleine aanpassingen doorgevoerd, die hieronder kort aan bod komen:
4 duidelijke thema’s
De nieuwe versie van de ISO 27001-norm helpt organisaties de controles doeltreffender te beheren door ze te groeperen in vier duidelijke thema’s: Organisatorisch, Persoonsgericht, Technologisch en Fysiek
Cybersecurity en privacybescherming
De titel is aangepast, en verwijst nu ook naar cybersecurity en privacybescherming. In het algemeen zijn de hoofdstukken 4 tot en met 10 niet fundamenteel aangepast (op wat kleine technische aanpassingen na). Er is een aantal nieuwe eisen gesteld in artikels 4.2, 6.2, en 6.3.
Belangen stakeholders
In artikel 4.2 moet een organisatie de relevante belanghebbende partijen identificeren. In aanvulling daarop vereist de nieuwe norm dat een organisatie ook aangeeft hoe de belangen van die stakeholders met het ISMS worden ingevuld.
Doelen
De doelen van informatiebeveiliging en de manier waarop die doelen bereikt zullen worden moeten in lijn met de eisen van artikel 6.2 beschreven worden. Nieuw is nu dat ook moet worden aangegeven hoe de doelen beoordeeld worden, en dat de doelen ook beschreven worden.
Controle wijzigingen ISMS
Als een organisatie wijzigingen wil aanbrengen aan het ISMS, dan moet volgens het nieuwe artikel 6.3 de wijziging uitgevoerd worden op een gecontroleerde wijze, waarbij rekening wordt gehouden met de aanleiding voor de wijziging, de mogelijke gevolgen, de beschikbaarheid van resources en de mogelijke aanpassing van verantwoordelijkheden.
Minder beheersmaatregelen
Annex A van ISO 27001 is in lijn gebracht met ISO 27002:2022. Dat betekent dat de 114 beheersmaatregelen zijn teruggebracht naar 95. Ook verschijnen enkele nieuwe beheersmaatregelen en worden ze anders gegroepeerd. De maatregelen zijn nu gecategoriseerd in vier groepen: organisatorisch, persoonsgericht, fysiek en technisch. De nieuwe maatregelen in ISO 27002:2022 vinden we ook terug in de bijgewerkte Annex:
- Bedreigingsinformatie (5.7);
- Informatiebeveiliging bij het gebruik van cloud diensten (5.23);
- ICT-gereedheid voor bedrijfscontinuïteit (5.30);
- Fysieke beveiligingsmonitoring (7.4);
- Configuratiebeheer (8.9);
- Informatie verwijderen (8.10);
- Gegevensmaskering (8.11);
- Voorkomen van datalekken (8.12);
- Bewaken van activiteiten (8.16);
- Webfiltering (8.23);
- Veilig programmeren (8.28).
Wat is het overgangstermijn?
Voor de transitie naar de nieuwe Annex A geldt een overgangstermijn van drie jaar. In deze periode zijn beide versies geldig en certificeerbaar. Dit betekent dat een snelle overgang naar de nieuwe set met beheersmaatregelen mogelijk is, maar ook dat de volgende audit nog op de oude versie gedaan kan worden. In de tussentijd kunnen organisatie en processen aangepast worden aan de nieuwe beheersmaatregelen. Bestaande certificaten moeten voor 1 november 2025 naar de nieuwe versie zijn overgezet.
Wat zijn de belangrijke eerste stappen?
De publicatie en implementatie van de nieuwe ISO-normen kan veel vragen oproepen voor organisaties. Pinewood adviseert om de volgende stappen te nemen:
- De beoogde iteratie van de ISO 27001 zou geen rol moeten spelen in de keuze om wel of niet een certificering te behalen. Bepaal als organisatie allereerst wat de prioriteit heeft voor het huidige certificeringstraject. Maak bijvoorbeeld een kosten-batenanalyse;
- Kennis maken met de inhoud en eisen van de nieuwe versies;
- Train het personeel en zorg ervoor dat de belangrijkste veranderingen en eisen worden begrepen;
- Voer een beknopte gap-analyse uit om gebieden te identificeren die aandacht behoeven;
- Neem actie om de gaps op te lossen en om het ISMS te laten voldoen aan de nieuwe eisen.
Hoe kunnen wij ondersteunen?
De consultants van Pinewood staan voor je klaar om te helpen. Neem contact op als u meer informatie wil.
Download hier het whitepaper: Wat zijn de tien stappen voor een succesvolle overgang naar ISO 27001:2022?
Met het toenemende gebruik van digitale technologie worden organisaties steeds vaker het doelwit van cyberaanvallen. Het is daarom belangrijk om ervoor te zorgen dat uw organisatie weerbaar wordt tegen deze risico’s. Maar hoe doet u dat? In deze blog geven we u vier stappen die u kunt volgen om een cyberweerbare organisatie te creëren.
Stap 1: Voer een risicoanalyse uit
Voordat u kunt beginnen met het verbeteren van de cyberweerbaarheid van uw organisatie, is het belangrijk om te weten waar de grootste risico’s liggen. Hiervoor kunt u een risicoanalyse uitvoeren. Dit kan intern worden gedaan door uw IT-team, maar u kunt ook een externe specialist inschakelen om het proces te begeleiden. Tijdens de risicoanalyse worden de zwakke punten van uw organisatie op het gebied van cyberbeveiliging geïdentificeerd.
Zo kunt u assessment laten doen van de cyberweerbaarheid van de organisatie. Tijdens zo’n assessment worden onder andere kritieke activa, systemen en operaties geïdentificeerd, beleid en procedures geëvalueerd en responsbereidheid beoordeeld. Hierdoor krijgt u inzicht in de grootste risico’s en kwetsbaarheden en kunt u strategische beslissingen nemen om deze aan te pakken. Het assessment helpt ook om de organisatiedoelen in balans te brengen met cyberrisico’s en aan aandeelhouders, toezichthouders en rechtspersonen te laten zien dat er due diligence is uitgevoerd om de cyberweerbaarheid veilig te stellen.
Stap 2: Stel een beleid op
Zodra u weet waar de grootste risico’s liggen, kunt u een beleid opstellen om deze risico’s te beheren. Dit beleid kan bestaan uit richtlijnen voor wachtwoordbeheer, toegangscontroles en het opleiden van medewerkers over hoe ze kunnen voorkomen dat ze slachtoffer worden van phishing-aanvallen en andere cyberdreigingen. Zorg ervoor dat het beleid duidelijk is voor alle medewerkers en houd het regelmatig bij om ervoor te zorgen dat het up-to-date blijft.
Het opstellen van een beleid is een belangrijke stap in de richting van een cyberweerbare organisatie. Het beleid dient als basis voor de implementatie van technische en organisatorische maatregelen en de bewustwording van medewerkers. Het beleid dient ook als richtinggevend voor incidentresponse, recovery en continuïteit van de bedrijfsvoering. Daarnaast moet het beleid ook regelmatig worden geëvalueerd en bijgesteld om ervoor te zorgen dat het aansluit op de veranderende risico’s en naleving van wet- en regelgeving.
Stap 3: Investeer in technologie
Investeren in de juiste technologie is dan ook een belangrijke stap in de richting van een cyberweerbare organisatie. Hierbij kan gedacht worden aan het implementeren van firewalls, het gebruik van beveiligde servers en endpoint bescherming. Het is echter belangrijk om te realiseren dat technologie snel verouderd kan raken als het gaat om adequate beveiliging. Dit betekent dat het regelmatig evalueren of de huidige technologie nog voldoet aan de behoeften van de organisatie van groot belang is.
Daarnaast is het ook belangrijk om te investeren in security-oplossingen die geautomatiseerd kunnen werken, zoals next-generation firewalls, intrusion detection & prevention, security informatie- en eventmanagement (SIEM), en cloud-based security-oplossingen. Deze oplossingen zijn in staat om real-time gegevens te analyseren en kunnen daardoor sneller detecteren en reageren op cyberdreigingen.
Stap 4: Onderhoud een culturele verandering
Voor de effectiviteit van cybersecurity is het belangrijk om een cultuur van cyberweerbaarheid binnen uw organisatie te creëren. Dit kan worden gedaan door middel van het opleiden van medewerkers over hoe ze cyberdreigingen kunnen voorkomen en het aanmoedigen van een veiligheidsbewustzijn op het werk. Zoek manieren om de medewerkers te betrekken bij het beleid voor cyberweerbaarheid, bijvoorbeeld door middel van trainingen en oefeningen.
Een ander belangrijk aspect van het behouden van een culturele verandering is het ontwikkelen van een plan voor hoe te reageren op een cyberincident. Dit kan bestaan uit het opstellen van richtlijnen voor hoe te reageren op een cyberincident, het opleiden van medewerkers over wat ze moeten doen als er een incident plaatsvindt en het werken met externe specialisten om te helpen bij het herstellen van de systemen na een aanval.
Stap 5: Monitoren en bijstellen
Nadat deze vier stappen zijn gezet, is het belangrijk om de cyberbeveiliging van uw organisatie continu te monitoren en bij te stellen. Dit kan door middel van regelmatige controles, zoals penetration testing en security audits, om ervoor te zorgen dat de technologie up-to-date is en de beleidsmaatregelen effectief zijn.
Het is ook belangrijk om de laatste ontwikkelingen en trends op het gebied van cyberbeveiliging te blijven volgen, zoals nieuwe dreigingen en technologieën, en deze in overweging te nemen bij het bijstellen van de beveiligingsmaatregelen. Ook kan het een goed idee zijn om regelmatig interne oefeningen te doen, zoals incident simulations, om ervoor te zorgen dat medewerkers voorbereid zijn op een eventueel incident. Door deze vijf stappen te volgen, kunt u ervoor zorgen dat uw organisatie zo cyberweerbaar mogelijk is.
Wilt u meer weten of hulp bij het cyberweerbaarder maken van uw organisatie? Neem dan contact met ons op voor een vrijblijvend advies gesprek.
| Pinewood Security Bulletin – ManageEngine critical vulnerability – CVE-2022-47966
For English, see below Beschrijving Recentelijk is een kwetsbaarheid in Zoho ManageEngine-producten aan het licht gekomen, welke door het NCSC is ingeschaald als high/high. Het betreft CVE-2022-47966, een kwetsbaarheid die op afstand – en zonder authenticatie – kan worden uitgebuit voor het uitvoeren van willekeurige code. Afhankelijk van het specifieke ManageEngine product is deze kwetsbaarheid uitbuitbaar als SAML single-sign-on momenteel ingeschakeld is, of ooit ingeschakeld is geweest. De kwetsbaarheid maakt het mogelijk om op afstand willekeurige code uit te voeren met systeemrechten. Op deze manier kan een kwetsbaar systeem volledig worden overgenomen en kwaadaardige software worden geïnstalleerd zoals ransomware. Hoewel er op dit moment nog geen melding is gemaakt van actief misbruik, hebben onderzoekers van Horizon3 aangegeven binnenkort voorbeeldcode uit te geven waarmee deze kwetsbaarheid kan worden misbruikt. Het uitbrengen van deze code vergroot de kans op – grootschalig – misbruik van deze kwetsbaarheid. Kwetsbare versies Updates voor kwetsbare producten zijn in oktober en november van 2022 uitgebracht. Producten die kwetsbaar zijn als SAML SSO momenteel is ingeschakeld: Access Manager Plus | 4307 en eerder Analytics Plus | 5140 en eerder Application Control Plus | 10.1.2220.17 en eerder Browser Security Plus | 11.1.2238.5 en eerder Device Control Plus | 10.1.2220.17 en eerder Endpoint Central | 10.1.2228.10 en eerder Endpoint Central MSP | 10.1.2228.10 en eerder Endpoint DLP | 10.1.2137.5 en eerder Key Manager Plus | 6400 en eerder OS Deployer | 1.1.2243.0 en eerder PAM 360 | 5712 en eerder Password Manager Pro | 12123 en eerder Patch Manager Plus | 10.1.2220.17 en eerder Remote Access Plus | 10.1.2228.10 en eerder Remote Monitoring and Management (RMM) | 10.1.40 en eerder Vulnerability Manager Plus | 10.1.2220.17 en eerder
Producten die kwetsbaar zijn als SAML SSO ooit is ingeschakeld: Active Directory 360 | 4309 en eerder ADAudit Plus | 7080 en eerder ADManager Plus | 7161 en eerder ADSelfService Plus | 6210 en eerder Asset Explorer | 6982 en eerder ServiceDesk Plus | 14003 en eerder ServiceDesk Plus MSP | 13000 en eerder SupportCenter Plus | 11017 tot 11025
Oplossing en workarounds Pinewood volgt het advies van ManageEngine om de kwetsbare versies bij te werken naar de meest recente, niet-kwetsbare versie. Deze staan beschreven op https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html. Naast het advies op kwetsbare versies uit te faseren, adviseert Pinewood ook om kwetsbare apparaten te onderzoeken op sporen van misbruik. Detectie van mogelijk misbruik De onderzoekers van Horizon3 hebben Indicators of Compromise (IoC’s) vrijgegeven om te kunnen onderzoeken of een compromittatie mogelijk al heeft plaatsgevonden. Hierin worden de logs van twee producten beschreven: ManageEngine ServiceDesk Plus 14003 en ManageEngine Endpoint Central 10.1.2228.10. De onderzoekers geven daarbij aan dat andere kwetsbare ManageEngine producten mogelijk dezelfde IoC-logs bevatten, maar dat hebben ze nog niet kunnen bevestigen. De logs van deze producten zijn te vinden in de “logs” folder van de installatiefolder, bijvoorbeeld C:\Program Files\ManageEngine\ServiceDesk\logs. De benoemde IoC binnen de logs is als volgt: [tijd]|[datum]|[SYSERR]|[INFO]|[59]: com.adventnet.authentication.saml.SamlException: Signature validation failed. SAML Response rejected| Een dergelijke logregel wordt veroorzaakt omdat een aanvaller een SAML request moet maken met een ongeldige signature om de kwetsbaarheid uit te buiten. Meer informatie NCSC advisory: https://advisories.ncsc.nl/advisory?id=NCSC-2023-0023 DTC post: https://www.digitaltrustcenter.nl/nieuws/kans-op-misbruik-kwetsbaarheid-zoho-manageengine Horizon3 IoC onderzoek: https://www.horizon3.ai/manageengine-cve-2022-47966-iocs/ ManageEngine patch-lijst: https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html Vragen Voor vragen m.b.t. dit issue kunt u contact opnemen met de Pinewood Servicedesk (015 261 36 33) of via e-mail soc@pinewood.nl. =====ENGLISH VERSION======== Description Recently, a vulnerability in Zoho ManageEngine products has come to light, which has been classified by the NCSC as high/high. It concerns CVE-2022-47966, a vulnerability that can be exploited remotely and without authentication to execute arbitrary code. Depending on the specific ManageEngine product, this vulnerability is exploitable if SAML single-sign-on is currently enabled or has ever been enabled. The vulnerability allows for the remote execution of arbitrary code with system privileges. In this way, a vulnerable system can be completely taken over and malicious software can be installed, such as ransomware. Although there is currently no report of active abuse, researchers from Horizon3 have indicated that they will release sample code soon that can be used to exploit this vulnerability. The release of this code increases the likelihood of large-scale abuse of this vulnerability. Vulnerable versions Updates for vulnerable products were released in October and November of 2022. Products that are vulnerable if SAML SSO is currently enabled: Access Manager Plus | 4307 and earlier Analytics Plus | 5140 and earlier Application Control Plus | 10.1.2220.17 and earlier Browser Security Plus | 11.1.2238.5 and earlier Device Control Plus | 10.1.2220.17 and earlier Endpoint Central | 10.1.2228.10 and earlier Endpoint Central MSP | 10.1.2228.10 and earlier Endpoint DLP | 10.1.2137.5 and earlier Key Manager Plus | 6400 and earlier OS Deployer | 1.1.2243.0 and earlier PAM 360 | 5712 and earlier Password Manager Pro | 12123 and earlier Patch Manager Plus | 10.1.2220.17 and earlier Remote Access Plus | 10.1.2228.10 and earlier Remote Monitoring and Management (RMM) | 10.1.40 and earlier Vulnerability Manager Plus | 10.1.2220.17 and earlier
Products that are vulnerable if SAML SSO has ever been enabled: Active Directory 360 | 4309 and earlier ADAudit Plus | 7080 and earlier ADManager Plus | 7161 and earlier ADSelfService Plus | 6210 and earlier Asset Explorer | 6982 and earlier ServiceDesk Plus | 14003 and earlier ServiceDesk Plus MSP | 13000 and earlier SupportCenter Plus | 11017 to 11025 Solutions and workarounds Pinewood is following the advice of ManageEngine to update the vulnerable versions to the latest, non-vulnerable version. These are described on https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html. In addition to the advice to phase out vulnerable versions, Pinewood also advises to investigate vulnerable devices for signs of abuse. Detection of possible abuse The researchers from Horizon3 have released Indicators of Compromise (IoCs) to investigate whether a compromise may have occurred. This includes the logs of two products: ManageEngine ServiceDesk Plus 14003 and ManageEngine Endpoint Central 10.1.2228.10. The researchers indicate that other vulnerable ManageEngine products may contain the same IoC logs, but they have not yet been able to confirm this. The logs of these products can be found in the “logs” folder of the installation folder, for example C:\Program Files\ManageEngine\ServiceDesk\logs. The specified IoC within the logs is as follows: [time]|[date]|[SYSERR]|[INFO]|[59]: com.adventnet.authentication.saml.SamlException: Signature validation failed. SAML Response rejected| In order for an attacker to execute this RCE, they will need to craft a SAML request with an invalid signature hence the exception. Extra info NCSC advisory (dutch): https://advisories.ncsc.nl/advisory?id=NCSC-2023-0023 DTC post (dutch): https://www.digitaltrustcenter.nl/nieuws/kans-op-misbruik-kwetsbaarheid-zoho-manageengine Horizon3 IoC research: https://www.horizon3.ai/manageengine-cve-2022-47966-iocs/ ManageEngine patch list: https://www.manageengine.com/security/advisory/CVE/cve-2022-47966.html Questions For questions related to these vulnerabilitie(s), please contact the Pinewood Servicedesk (015- 251 3633) or via e-mail soc@pinewood.nl. |
De laatste jaren zien we in Europa een flinke stijging van het aantal cyberaanvallen en cyberincidenten. Cyberrisico’s kosten Nederlandse bedrijven en overheden namelijk miljarden per jaar. Vooral phishing, malware en ransomware vormen een groot probleem. Nu we met zijn allen vooral digitaal werken, is cybersecurity een basisvoorwaarde in plaats van een optie. Het is daarom cruciaal voor bedrijven om voorop te blijven lopen en zichzelf te beschermen tegen mogelijke aanvallen.
Cyberveiligheid gaat verder dan technische oplossingen zoals een firewall, een antivirusprogramma en back-ups. Er is ook een beleidsmatige kant, met mensen als soms een van de zwakkere schakels. Hoe bouw je dit proces op? Hoe creëer je een cultuur van cyberveilig handelen? Welke stappen doorloop je bij een cyberaanval? En ben je veilig in 2023? Dit bepaal je allemaal in een cybersecurityplan.
Tijdens dit webinar bespreken we de volgende punten om je hiermee verder te helpen:
- Best practices voor het identificeren van kwetsbaarheden
- De nieuwste beveiligingsmaatregelen
- Dreigingen van 2023
- NIS2 wetgeving
- Advies voor het creëren van een incident responsplan
- Q&A
Bekijk hier het webinar:
Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.
Tegenwoordig moeten je werknemers overal en altijd veilig toegang hebben tot bedrijfsdata. Het thuis- en mobiele werken heeft voor een run gezorgd op het gebruik van VPN-diensten. Tóch kan een VPN-toegang niet zo veilig zijn als je denkt, en voorziet het niet altijd van volledig inzicht en controle. Hoe zit dit eigenlijk? En wat is hiervoor de beste oplossing?
Tijdens dit webinar zullen de cyber experts Marc Scheper (Pinewood) en Ruud Everts (Fortinet) ingaan op het concept van Zero Trust Network Access (ZTNA). Zij laten je zien hoe Fortinet ZTNA jouw organisatie kan helpen om zowel op kantoor als op mobiel veilig thuis te werken.
Topics:
- Introductie
- Wat is Zero Trust Network Access?
- Hoe kunnen de functionaliteiten van ZTNA je helpen?
- Technische demo met FortiClient en FortiGates
- Hoe helpen wij je op weg?
- Q&A
Bekijk hier het webinar:
Aan het einde van dit webinar weet je precies hoe je jouw organisatie kunt beschermen tegen cyberbedreigingen als malware, phishing-aanvallen en ongeoorloofde toegang tot networkresources, om uiteindelijk ervoor te zorgen dat jouw data veilig blijft. En het mooiste is nog, naast de FortiGate en FortiClient licenties die je wellicht al hebt, is er niets anders nodig dan de juiste configuratie!
Wilt u meer weten of een advies op maat? Neem dan contact met ons op voor een vrijblijvend advies gesprek.
Security Bulletin
Pinewood Security Bulletin – FortiOS critical vulnerability in SSL-VPN – FG-IR-22-398 – CVE-2022-42475
27 december 2022
| UPDATE: Pinewood Security Bulletin – FortiOS critical vulnerability in SSL-VPN – FG-IR-22-398 – CVE-2022-42475
For English, see below
|
Security Bulletin
Pinewood Security Bulletin – Microsoft Exchange 0-Day Kwetsbaarheden
22 december 2022
| UPDATE: Pinewood Security Bulletin – Microsoft Exchange 0-Day Kwetsbaarheden
For English, see below Update Uit een recent onderzoek van CrowdStrike is gebleken dat de eerder aanbevolen mitigerende maatregelen omtrent twee 0-day kwetsbaarheden in Microsoft Exchange kunnen worden omzeild en dus niet langer bescherming bieden tegen het misbruik van CVE-2022-41080 en CVE-2022-41082. Tevens lijkt deze nieuwe aanvalsmethodiek momenteel actief te worden toegepast in recente Play ransomware incidenten. Beschrijving Er zijn twee actief misbruikte 0-Day kwetsbaarheden voor verschillende versies van Microsoft Exchange Server bekend. Een 0-Day kwetsbaarheid is een kwetsbaarheid die onbekend is voor de ontwikkelaar van de betreffende software en waar geen beveiligingsupdate voor beschikbaar is. De eerste kwetsbaarheid die gekenmerkt wordt als CVE-2022-41040 is een Server-Side Request Forgery (SSRF) kwetsbaarheid die een aanvaller in staat stelt om een onbedoelde functionaliteit van een kwetsbare webapplicatie aan te roepen. De tweede kwetsbaarheid die gekenmerkt wordt als CVE-2022-41082 stelt een aanvaller in staat om Remote Code Execution (RCE) uit te voeren wanneer deze toegang heeft tot PowerShell. Belangrijk om te weten is dat een potentiële aanvaller geauthentiseerd op de kwetsbare Exchange Server dient te zijn alvorens de kwetsbaarheden in kwestie kunnen worden misbruikt. Kwetsbare versies Onderstaande producten van Microsoft zijn getroffen door de eerdergenoemde kwetsbaarheden:
Gebruikers van Microsoft Exchange Online hoeven geen actie te ondernemen. Oplossing en workarounds Pinewood adviseert dringend om eventuele kwetsbare Microsoft Exchange Servers zo spoedig mogelijk te voorzien van de meest recente beveiligingsupdate. Indien de Microsoft Exchange Server tot op heden kwetsbaar is en ter bescherming gebruik heeft gemaakt van de eerder aanbevolen mitigerende maatregelen is het raadzaam om het door CrowdStrike ontwikkelde PowerShell script Rps_Http-IOC.ps1 uit te voeren om eventuele indicators of compromise aan het licht te brengen. Bronvermelding
Vragen Voor vragen m.b.t. dit issue kunt u contact opnemen met de Pinewood Servicedesk (015 261 36 33) of via e-mail soc@pinewood.nl. =====ENGLISH VERSION======== Update CrowdStrike recently discovered a new exploit method to abuse the two 0-Day vulnerabilities in Microsoft Exchange, bypassing the previously recommended URL rewrite mitigations for both CVE-2022-41080 and CVE-2022-4108. The discovery was part of recent CrowdStrike Services into several Play ransomware intrusions where the common entry vector was confirmed to be Microsoft Exchange. Description Two actively exploited 0-Day vulnerabilities in Microsoft Exchange have been reported. A 0-Day vulnerability is a vulnerability that was previously unknown to the developers of the software in question and has no security update available. The first vulnerability, identified as CVE-2022-41040, is a Server-Side Request Forgery (SSRF) vulnerability which allows an attacker to invoke unintended functionality of a vulnerable web application. The second vulnerability identified as CVE-2022-41082 allows an attacker to perform Remote Code Execution (RCE) when PowerShell is accessible. Do note that authenticated access to the vulnerable Exchange Server is necessary to successfully exploit either of the two vulnerabilities. Vulnerable versions The following products of Microsoft are vulnerable for the vulnerabilities in question:
Customers of Microsoft Exchange Online do not need to take any action. Solutions and workarounds Pinewood strongly recommends updating vulnerable Microsoft Exchange Servers with the latest security update as soon as possible. If the Microsoft Exchange Server is currently vulnerable and has used the previously recommended mitigation measures to protect it, it is recommended that you run the PowerShell script Rps_Http-IOC.ps1 developed by CrowdStrike to reveal any possible indicators of compromise. Extra info
Questions For questions related to these vulnerabilitie(s), please contact the Pinewood Servicedesk (015 261 36 33) or via e-mail soc@pinewood.nl. |
Security Bulletin
Pinewood Security Bulletin – FortiOS critical vulnerability in SSL-VPN
13 december 2022
| Pinewood Security Bulletin – FortiOS critical vulnerability in SSL-VPN
For English, see below
|
