Beschrijving

Er is een backdoor (CVE-2024-3094) aangetroffen in de Linux liblzma-bibliotheek (onderdeel van het “XZ Utils” package) voor het comprimeren en decomprimeren van data. Hoewel deze bibliotheek standaard onderdeel uitmaakt van veel Linux-distributies, lijkt het erop dat de backdoored versie hiervan niet verder is gekomen dan de “unstable”, “test”, “rolling” en “experimental” releases van Linux-distributies. Dit is te danken aan het feit dat de backdoor vroegtijdig werd ontdekt door PostgreSQL-ontwikkelaar Anders Freund.

De backdoor maakt het mogelijk om, via de OpenSSH-service op een Linux-systeem, op afstand willekeurige code uit te voeren door gebruik te maken van een, door de aanvaller gegenereerde, digitale sleutel. De backdoor lijkt na een lange voorbereiding op 24 Februari 2024 geïntroduceerd in de broncode van deze bibliotheek, waarna de ontwikkelaar van de programmatuur (“Jia Tan”) en meerdere personages hebben geprobeerd om deze wijziging zo snel als mogelijk op te laten nemen in de productieversies (“stable” releases) van populaire Linux-distributies zoals Ubuntu en Fedora. Gelukkig is dit dus niet gelukt waardoor de daadwerkelijke impact van de backdoor hiermee beperkt lijkt. Het roept echter wel vragen op m.b.t. andere wijzigingen (“commits”) die Jia Tan over de afgelopen jaren heeft voorgesteld en doorgevoerd in open source producten zoals XZ Utils en libarchive. Deze wijzigingen worden op dit moment door veel ontwikkelaars onderzocht en, waar verdacht, weer teruggedraaid.

Kwetsbare versies

De backdoor bevindt zich in de versies 5.6.0 en 5.6.1 van liblzma. Deze versies zijn door Linux-distributies niet opgenomen in productie/stable releases van deze platformen. Volgens de laatste informatie bevatten onderstaande Linux-distributies genoemde versies:

• Kali Linux, indien geüpdatet tussen 26 en 29 Maart 2024 [1];
• openSUSE Tumbleweed en openSUSE MicroOS (beide “rolling” releases), releases tussen 7 en 28 Maart 2024 [2];
• Fedora 41, Fedora Rawhide en Fedora Linux 40 beta [3];
• Debian (testing, unstable en experimental distributies) [4];
• Arch Linux, installatiemedium 2024.03.01, VM images 20240301.218094 en 20240315.221711, en container images die zijn aangemaakt tussen 24 februari 2024 en 28 maart 2024 [5]. Misbruik van de backdoor is hierbij echter niet mogelijk via (Open)SSH.

Oplossingen en tijdelijke mitigaties

De kans dat een organisatie gebruikmaakt van één van bovenstaande Linux-versies die daarnaast ook nog eens internet exposed is via de SSH-service achten wij niet groot. Mocht dit wél het geval zijn, dan is het van belang om het systeem zo snel als mogelijk te isoleren. Volg daarna de aanwijzingen van de betreffende leverancier op.

Detectie

Om te verifiëren óf een systeem gebruikmaakt van een backdoored versie van de genoemde bibliotheek hebben de makers van Kali een script beschikbaar gesteld waarmee dit eenvoudig is vast te stellen [6]. Mocht u twijfelen of een systeem de backdoor bevat, maak dan gebruik van dit script om dit vast te stellen.

Door de manier waarop de backdoor is ingebouwd, is het voor zover nu bekend niet mogelijk om geraakte systemen via netwerkscanners te inventariseren.

Meer informatie

[1] https://www.kali.org/blog/about-the-xz-backdoor/

[2] https://news.opensuse.org/2024/03/29/xz-backdoor/

[3] https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

[4] https://lists.debian.org/debian-security-announce/2024/msg00057.html

[5] https://archlinux.org/news/the-xz-package-has-been-backdoored/

[6] https://www.kali.org/blog/xz-backdoor-getting-started/

[7] https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

[8] https://boehs.org/node/everything-i-know-about-the-xz-backdoor

[9] https://www.tenable.com/blog/frequently-asked-questions-cve-2024-3094-supply-chain-backdoor-in-xz-utils

[10] https://access.redhat.com/security/cve/CVE-2024-3094

[11] https://tukaani.org/xz-backdoor/

[12] https://blog.qualys.com/vulnerabilities-threat-research/2024/03/29/xz-utils-sshd-backdoor

[13] https://linuxiac.com/the-upstream-xz-tarballs-have-been-backdoored/

[14] https://github.com/Midar/xz-backdoor-documentation/wiki

[15] https://tweakers.net/nieuws/220364/5-vragen-over-de-malware-in-compressietool-xz-was-dit-een-achterdeur.html

[16] https://www.rapid7.com/blog/post/2024/04/01/etr-backdoored-xz-utils-cve-2024-3094/

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

A backdoor (CVE-2024-3094) was found in the liblzma Linux library (part of the XZ Utils package), used to compress and decompress data. Although this library is used in many Linux distributions, the backdoored version of it has “only” reached the unstable, test, rolling and experimental releases of these distributions. Early detection of the backdoor by PostgreSQL developer Anders Freud has prevented the acceptance of the backdoor in stable releases.

The backdoor allows the threat actor to compromise a system by calling the OpenSSH service using a preconfigured digital key. The backdoor was introduced in the package on 24 February 2024 after a long time of preparation. Shortly after releasing the backdoor, the developer (“Jia Tan”) and multiple other personas tried to introduce the backdoor as soon as possible in the production (stable) versions of popular Linux distributions such as Ubuntu and Fedora. Luckily, this has not proven to be successful which limits the impact of this incident. It does however raise questions about other changes that Jia Tan has initiated over the years in open source products such as XZ Utils and libarchive. These changes are currently reviewed by many developers and, where appropriate, reverted.

Vulnerable versions

The backdoor is built into liblzma versions 5.6.0 and 5.6.1. The versions were not accepted into the stable releases of Linux distributions. According to the latest information, the Linux distributions below are known to have used these versions:

• Kali Linux, if updated between 26 and 29 March 2024 [1];
• openSUSE Tumbleweed and openSUSE MicroOS (both “rolling” releases), releases between 7 and 28 March 2024 [2];
• Fedora 41, Fedora Rawhide and Fedora Linux 40 beta [3];
• Debian (testing, unstable and experimental distributions) [4];
• Arch Linux, installation medium 2024.03.01, VM images 20240301.218094 and 20240315.221711, and container images created between 24 February 2024 and 28 March 2024 [5]. Exploitation of the backdoor via OpenSSH is however not possible.

Solutions and workarounds

We consider the chances low that organisations run one of the Linux distributions mentioned before on a system that is also exposing its SSH service towards the internet. If this is however the case, it is of upmost importance to isolate the system as soon as possible. Next, follow the instructions as given by the respective vendor.

Detection

To verify if a system is using a backdoored version of the library, the developers of Kali have created a script that will allow you to quickly determine this [6]. If you’re unsure whether or not a backdoored version of the library is in use on a system, we advise you to run this script.

Due to the way the backdoor is built, we do not know of any network scanner that is able to determine impacted systems by running a network scan.

More information

[1] https://www.kali.org/blog/about-the-xz-backdoor/

[2] https://news.opensuse.org/2024/03/29/xz-backdoor/

[3] https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

[4] https://lists.debian.org/debian-security-announce/2024/msg00057.html

[5] https://archlinux.org/news/the-xz-package-has-been-backdoored/

[6] https://www.kali.org/blog/xz-backdoor-getting-started/

[7] https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

[8] https://boehs.org/node/everything-i-know-about-the-xz-backdoor

[9] https://www.tenable.com/blog/frequently-asked-questions-cve-2024-3094-supply-chain-backdoor-in-xz-utils

[10] https://access.redhat.com/security/cve/CVE-2024-3094

[11] https://tukaani.org/xz-backdoor/

[12] https://blog.qualys.com/vulnerabilities-threat-research/2024/03/29/xz-utils-sshd-backdoor

[13] https://linuxiac.com/the-upstream-xz-tarballs-have-been-backdoored/

[14] https://github.com/Midar/xz-backdoor-documentation/wiki

[15] https://tweakers.net/nieuws/220364/5-vragen-over-de-malware-in-compressietool-xz-was-dit-een-achterdeur.html

[16] https://www.rapid7.com/blog/post/2024/04/01/etr-backdoored-xz-utils-cve-2024-3094/

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

Er bevinden zich twee ernstige kwetsbaarheden (CVE-2023-42789 en CVE-2023-42790) in de Captive Portal van FortiOS en FortiProxy die kwaadwillenden kunnen misbruiken voor het uitvoeren van willekeurige code. Deze kwetsbaarheden werden vorige maand al verholpen met nieuwe (FortiOS) updates waarover wij eerder al berichtten vanwege een ernstige kwetsbaarheid in sslvpnd. De kans is dan ook aanwezig dat Fortinet-devices niet kwetsbaar zijn vanwege de geïnstalleerde updates.

Voor succesvol misbruik van de kwetsbaarheden, moet aan de volgende voorwaarden zijn voldaan:

• Het device is niet voorzien zijn van de eerder uitgebrachte updates;
• De Captive Portal is op het device geactiveerd;
• De Captive Portal maakt gebruik van form-based authenticatie;
• De aanvaller beschikt over (HTTP-)toegang tot de Captive Portal.

De kwetsbaarheden zijn door Fortinet zelf ontdekt. Er is nog geen exploitcode of actieve uitbuiting bekend.

Kwetsbare versies

De onderstaande versies van FortiOS en FortiProxy bevatten de beschreven kwetsbaarheden:

• FortiOS versie 7.4.0 t/m 7.4.1
• FortiOS versie 7.2.0 t/m 7.2.5
• FortiOS versie 7.0.0 t/m 7.0.12
• FortiOS versie 6.4.0 t/m 6.4.14
• FortiOS versie 6.2.0 t/m 6.2.15
• FortiProxy versie 7.4.0
• FortiProxy versie 7.2.0 t/m 7.2.6
• FortiProxy versie 7.0.0 t/m 7.0.12
• FortiProxy versie 2.0.0 t/m 2.0.13

Oplossingen en tijdelijke mitigaties

Wij raden aan de door Fortinet beschikbare updates zo snel mogelijk te installeren, mocht dit nog niet gedaan zijn. Maak gebruik van één van de onderstaande versies van FortiOS of FortiProxy:

• FortiOS versie 7.4.3 of hoger
• FortiOS versie 7.2.7 of hoger
• FortiOS versie 7.0.14 of hoger
• FortiOS versie 6.4.15 of hoger
• FortiOS versie 6.2.16 of hoger
• FortiProxy versie 7.4.1 of hoger
• FortiProxy versie 7.2.7 of hoger
• FortiProxy versie 7.0.13 of hoger
• FortiProxy versie 2.0.14 of hoger

Meer informatie

• https://www.fortiguard.com/psirt/FG-IR-23-328

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft is er geen actie nodig. Pinewood neemt de benodigde maatregelen om uw omgeving te beschermen tegen deze kwetsbaarheden.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Two critical vulnerabilities (CVE-2023-42789 and CVE-2023-42790) were reported in the Captive Portal of FortiOS and FortiProxy that allow malicious actors to execute arbitrary code on vulnerable devices. These vulnerabilities were already addressed last month with new updates for FortiOS. Pinewood reported about these updates at that time, due to a serious vulnerability in sslvpnd that these updates fixed. It is therefore possible that Fortinet devices are not vulnerable due to the installed updates.

For successful exploitation of the vulnerabilities, the following conditions must be met:

• The device has not been updated with the aforementioned updates from February 2024;
• The Captive Portal is activated on the device;
• The Captive Portal uses form-based authentication;
• The attacker has (HTTP) access to the Captive Portal.

The vulnerabilities were internally discovered by Fortinet. There is no exploit code or active exploitation known yet.

Vulnerable versions

The following versions of FortiOS and FortiProxy are vulnerable:

• FortiOS version 7.4.0 to 7.4.1
• FortiOS version 7.2.0 to 7.2.5
• FortiOS version 7.0.0 to 7.0.12
• FortiOS version 6.4.0 to 6.4.14
• FortiOS version 6.2.0 to 6.2.15
• FortiProxy version 7.4.0
• FortiProxy version 7.2.0 to 7.2.6
• FortiProxy version 7.0.0 to 7.0.12
• FortiProxy version 2.0.0 to 2.0.13

Solutions and workarounds

We recommend installing the updates available from Fortinet as soon as possible if this has not already been done. Use one of the following versions of FortiOS or FortiProxy:

• FortiOS version 7.4.3 or above
• FortiOS version 7.2.7 or above
• FortiOS version 7.0.14 or above
• FortiOS version 6.4.15 or above
• FortiOS version 6.2.16 or above
• FortiProxy version 7.4.1 or above
• FortiProxy version 7.2.7 or above
• FortiProxy version 7.0.13 or above
• FortiProxy version 2.0.14 or above

More information

• https://www.fortiguard.com/psirt/FG-IR-23-328

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, no action is required. Pinewood takes the necessary measures to protect your environment from these vulnerabilities.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

Microsoft heeft tijdens de laatste maandelijkse patchronde zowel een ernstige kwetsbaarheid in Microsoft Exchange (CVE-2024-21410) als in Microsoft Outlook (CVE-2024-21413) verholpen. Door deze twee kwetsbaarheden te combineren, kunnen aanvallers een succesvolle NTLM-relayaanval uitvoeren waarbij ze verbinding kunnen maken met een Exchange-server van de organisatie met de rechten van een aangevallen slachtoffer.

Microsoft geeft nu aan dat de kwetsbaarheid in Microsoft Exchange al actief misbruikt wordt. Ook het uitbuiten van de kwetsbaarheid in Microsoft Outlook lijkt eenvoudig en details hierover zijn beschreven door CheckPoint. Misbruik bestaat eruit dat een slachtoffer een e-mail opent en vervolgens een malafide link benadert. Na het openen van de link krijgt de aanvaller een authenticatiepoging vanuit de gebruiker in handen die hij vervolgens kan doorzetten (“relayen’) naar een kwetsbare Exchange-server om namens de gebruiker in te loggen.

Kwetsbare versies

De volgende versies van Microsoft Exchange zijn kwetsbaar voor CVE-2024-21410 indien Extended Protection for Authentication (EPA) hierop nog niet is ingeschakeld:

• Microsoft Exchange Server 2019 Cumulative Update 14 en eerder
• Microsoft Exchange Server 2016 Cumulative Update 23 en eerder

De volgende versies van Microsoft Outlook zijn kwetsbaar voor CVE-2024-21413:

• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions

Oplossingen en tijdelijke mitigaties

Microsoft heeft updates voor Microsoft Exchange en Microsoft Outlook uitgebracht om deze kwetsbaarheden te verhelpen.

De updates voor Microsoft Exchange zorgen ervoor dat Extended Protection for Authentication (EPA) wordt ingeschakeld op alle Exchange servers. Deze functionaliteit is in augustus 2022 al geïntroduceerd met updates voor Exchange, maar werd nog niet standaard geactiveerd. De nieuwste updates voor Exchange zorgen ervoor dat EPA standaard wel wordt geactiveerd. Mocht een organisatie de EPA-functionaliteit al eerder zelf hebben ingeschakeld, dan zijn de Exchange servers niet kwetsbaar.

Hoewel er geen specifieke workarounds voor deze kwetsbaarheden zijn te implementeren, bestaan er wel een aantal best practices die uitbuiting van dit soort kwetsbaarheden bemoeilijken en die mogelijk al door de organisatie zijn geïmplementeerd:

• Sta alleen essentiële verbindingen toe vanuit de infrastructuur naar het internet. Specifiek voor deze kwetsbaarheid is het van belang dat vanuit het netwerk géén verbindingen over 445/tcp naar (onvertrouwde) externe IP-adressen worden toegestaan. Sta bij gebruik van Azure Files alleen 445/tcp naar externe IP-adressen voor Azure Files toe. Houd er rekening mee dat deze poort mogelijk wél geopend is op het moment dat een gebruiker niet verbonden is met het bedrijfsnetwerk. Dergelijke beperkingen moet men daarom ook afdwingen via de lokale (Windows) firewall.
• Maak gebruik van maatregelen als SMB signing, LDAP signing, LDAP channel binding en HTTP Extended Protection for Authentication (EPA). Deze maatregelen voorkomen een succesvolle ‘NTLM relay’-aanval, maar voorkomen niet dat de Net-NTLMv2 wachtwoordhash uitlekt.
• Zorg ervoor dat de WebDAV-client op systemen is uitgeschakeld of van systemen is verwijderd. Dit voorkomt dat de uitgaande verbinding over een andere poort dan 445/tcp uitgevoerd kan worden. De WebDAV-client is alleen geïnstalleerd op werkplekken, niet op servers. De-installeren is mogelijk via de optie “ add/remove programs”  of via een centrale policywijziging. De WebDAV-client staat standaard uitgeschakeld, maar kan door verschillende omstandigheden automatisch ingeschakeld worden.

Meer informatie

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413
• https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

During the latest Patch Tuesday, Microsoft released updates to resolve vulnerabilities in both Microsoft Exchange (CVE-2024-21410) and Microsoft Outlook (CVE-2024-21413). By combining these two vulnerabilities, an attacker is able to conduct a successful NTLM relaying attack, thereby accessing a vulnerable Exchange server of the organization using the authentication information of the victim.

Microsoft has now indicated that the vulnerability in Microsoft Exchange is already actively exploited by threat actors. Although Microsoft does not indicate that the Outlook vulnerability is actively exploited as well, exploitation seems quite trivial and details have been provided by CheckPoint. In an exploitation scenario, a victim will open an e-mail and will then open a malicious link inside this e-mail. After opening the link, the attacker will see an authentication attempt originating from the user, which he will then automatically relay to the vulnerable Exchange server to login to this server using the victim’s authentication information.

Vulnerable versions

The following versions of Microsoft Exchange are vulnerable for CVE-2024-21410 if Extended Protection for Authentication is not yet enabled:

• Microsoft Exchange Server 2019 Cumulative Update 14 and previous versions
• Microsoft Exchange Server 2016 Cumulative Update 23 and previous versions

The following versions of Microsoft Outlook are vulnerable for CVE-2024-21413:

• Microsoft 365 Apps for Enterprise for 64-bit Systems
• Microsoft 365 Apps for Enterprise for 32-bit Systems
• Microsoft Office 2016 (64-bit edition)
• Microsoft Office 2016 (32-bit edition)
• Microsoft Office 2019 for 32-bit editions
• Microsoft Office 2019 for 64-bit editions
• Microsoft Office LTSC 2021 for 32-bit editions
• Microsoft Office LTSC 2021 for 64-bit editions

Solutions and workarounds

Microsoft released updates for Microsoft Exchange and Microsoft Outlook to resolve these vulnerabilities.

The updates for Microsoft Exchange will result in the activation of Extended Protection for Authentication (EPA) on these servers. This functionality was already introduced in August 2022, but was not activated by default. By installing the latest updates, EPA is activated by default. If an organization already activated EPA before, these Exchange servers are not vulnerable to the NTLM relaying attack.

Although there are no specific workarounds for this vulnerability, there are several best practices that make exploitation of this vulnerability more difficult and that may already have been implemented by the organization:

• Allow only essential connections from the infrastructure to the internet. Specifically for this vulnerability, it is important that no connections over 445/tcp to (untrusted) external IP addresses are allowed from the network. If you’re using Azure Files, make sure that 445/tcp towards external IP addresses is only allowed for Azure Files. Note that this port may be open when a user is not connected to the corporate network. Such restrictions must therefore also be enforced through the local (Windows) firewall.
• Use measures such as SMB signing, LDAP signing, LDAP channel binding, and HTTP Extended Protection for Authentication (EPA). These measures prevent a successful “NTLM relay” attack, but do not prevent the Net-NTLMv2 password hash from leaking.
• Ensure that the WebDAV client is disabled or removed from systems. This prevents the outbound connection from being performed on a port other than 445/tcp. The WebDAV client is only installed on workstations, not on servers. You can deinstall the client by using the “ add/remove programs”  option of Windows or by creating a central policy. The WebDAV client is disabled by default, but may be automatically enabled due to various circumstances.

More information

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413
• https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

De Nederlandse Militaire Inlichtingen en Veiligheidsdienst (MIVD) heeft een bericht uitgebracht waarin het misbruik van een FortiOS-kwetsbaarheid uit 2022 (CVE-2022-42475) beschrijft. In het geval van de door MIVD waargenomen aanval, werd de kwetsbaarheid uitgebuit om een Remote Access Trojan (RAT) te installeren op een kwetsbaar Fortigate-device.

Naar aanleiding van de berichtgeving heeft Pinewood diverse vragen ontvangen. Een aantal zaken is hierbij belangrijk te benoemen:

• De misbruikte kwetsbaarheid was bekend en is in November 2022 door Fortinet verholpen middels updates. Op dat moment gaf Fortinet al aan dat er actief misbruik werd gemaakt van de kwetsbaarheid.
• De aanval die de MIVD beschrijft vond plaats in 2023, dus na het bekend worden van de kwetsbaarheid en het beschikbaar komen van updates. De MIVD geeft tevens aan dat het vermoedelijk om een gerichte aanval gaat waarbij de betreffende malware naar alle waarschijnlijkheid alleen is geïnstalleerd bij een selecte groep aan slachtoffers.
• Pinewood heeft ten tijde van het bekend worden van de kwetsbaarheid een security bulletin uitgebracht met het advies de door Fortinet uitgebrachte updates te installeren.
• Voor klanten met een Managed Security Services contract heeft Pinewood destijds direct actie ondernomen om de kwetsbaarheid weg te nemen.
• Het Pinewood SOC heeft destijds detectieregels geïmplementeerd teneinde misbruik van de kwetsbaarheid te kunnen detecteren.

Indien Fortigate devices ten tijde van het bekend worden van de kwetsbaarheid voorzien zijn van de updates, is er geen aanleiding te denken dat deze via de beschreven campagne zijn gecompromitteerd.

Kwetsbare versies

De kwetsbaarheid is verholpen met updates voor FortiOS 7.2, 7.0, 6.4 en 6.2 series. Deze zijn uitgebracht tussen 1-22 november 2022. Onderstaande versies van FortiOS bevatten de kwetsbaarheid:

• FortiOS 7.2.0 – 7.2.2
• FortiOS 7.0.0 – 7.0.8
• FortiOS 6.4.0 – 6.4.10
• FortiOS 6.2.0 – 6.2.11
• FortiOS-6K7K 7.0.0 – 7.0.7
• FortiOS-6K7K 6.4.0 – 6.4.9
• FortiOS-6K7K 6.2.0 – 6.2.11
• FortiOS-6K7K 6.0.0 – 6.0.14

Oplossingen en tijdelijke mitigaties

Installeer de laatste versie van FortiOS om de kwetsbaarheid te verhelpen.

Detectie van mogelijk misbruik

De incidentbeschrijving die de MIVD heeft uitgebracht bevat diverse controles om te achterhalen of een Fortigate is gecompromitteerd tijdens de betreffende campagne. Een uitgebreide beschrijving hiervan is terug te vinden in het MIVD-bulletin. Samengevat komt het erop neer dat een aantal commando’s via de Fortigate CLI moeten worden uitgevoerd:

• Controleer of de bestanden /bin/smartctl of /data/bin/smartctl bestaan door het uitvoeren van onderstaande commando’s:fnsysctl ls -la /bin
  fnsysctl ls -la /data/bin

  Indien de betreffende bestanden bestaan en de timestamps hierop aangeven dat deze bestanden een stuk nieuwer zijn dan andere bestanden in dezelfde directories, bestaat het vermoeden dat deze zijn aangepast. Noot: het MIVD-rapport beschrijft ook dat als smartctl geen symlink is, dit een indicatie vormt dat het bestand is aangepast. Dit lijkt echter niet op te gaan voor recente Fortigate devices.

• Controleer welke TCP-verbindingen er vanuit de Fortigate bestaan door het uitvoeren van het onderstaande commando:diagnose sys tcpsock
  
  Indien er uitgaande verbindingen te zien zijn is het zaak te onderzoeken richting welke IP-adressen dit gebeurt (en of verbindingen met deze IP-adressen verwacht zijn). Zeker indien de verbindingen zijn opgezet vanuit het proces httpsd bestaat het vermoeden dat het hier om malafide verbindingen gaat.
• Controleer op de aanwezigheid van httpsd-processen. Het is bekend dat de malware deze procesnaam gebruikt om haar aanwezigheid te verbergen. Voer hiertoe de volgende commando’s uit:Voor het opvragen van alle process ID’s (PID’s) van processen genaamd httpsd:
  diagnose sys process pidof httpsd

  Voor het tonen van procesinformatie van verdachte PID‘s:
  diagnose sys process dump <PID>

  Indien de Gid van een dergelijk proces 90 is of als er processen te zien met deleted verwijzingen naar /data2/httpsd of /data2/.bd.key/preload.so, is het systeem volgens de MIVD zeker besmet met de gevonden malware. Tip: voer bovenstaand commando uit met achtereenvolgens de toevoegingen | grep -i Gid en | grep -i data om een beter overzicht te krijgen.

• Controleer op verwijzingen naar /lib/preload.so in PID 1 door het uitvoeren van onderstaand commando:diagnose sys process dump 1

Indien in de uitvoer van dit commando deleted verwijzingen terug te vinden zijn naar /lib/preload.so vormt dit een sterke indicatie van de aanwezigheid van de malware.

Daarnaast heeft Fortinet ten tijde van het bekend worden van de kwetsbaarheid ook een aantal checks beschreven die kunnen worden uitgevoerd om te controleren of een device mogelijk gecompromitteerd is:

• Controleer of er applicatie crashes zijn geregistreerd van de sslvpnd daemon rond de tijd dat het systeem kwetsbaar was. Doe dit door het uitvoeren van onderstaand commando:diagnose debug crashlog read | grep -i sslvpn
• Controleer op de aanwezigheid van onderstaande bestanden:/data/lib/libips.bak

/data/lib/libgif.so

/data/lib/libiptcp.so

/data/lib/libipudp.so

/data/lib/libjepg.so

/var/.sslvpnconfigbk

/data/etc/wxd.conf

/flash

• Controleer op de aanwezigheid van verdachte uitgaande verbindingen. Deze check was ook al beschreven in de lijst met checks vanuit het MIVD-rapport.

Meer informatie

• https://www.ncsc.nl/actueel/nieuws/2024/februari/6/nieuwe-malware-benadrukt-aanhoudende-interesse-in-edge-devices
• https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear
• https://advisories.ncsc.nl/advisory?id=NCSC-2022-0763
• https://www.fortiguard.com/psirt/FG-IR-22-398
• https://olympecyberdefense.fr/vpn-ssl-fortigate/ (FR)

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft zal Pinewood aanvullende controles uitvoeren op Fortigate devices.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

The Dutch Ministry of Defence (MOD) released a report in which they describe the exploitation of a vulnerability in FortiOS from 2022 (CVE-2022-42475). In the case of the incident that was found by the MOD, this vulnerability was exploited to install a Remote Access Trojan (RAT) on a vulnerable Fortigate device.

Pinewood received several questions from customers as a result of this report. The following facts are important to take into consideration:

• The vulnerability that was exploited was already known and was fixed via FortiOS updates released by Fortinet in November 2022.
• The attack described by the MOD took place in 2023, so after details about the vulnerability emerged and after updates were released. The MOD also reports that the attack seems to be targeted whereby the malware was probably only installed on the devices of a select group of victims.
• At the time of the update, Pinewood released a security bulletin urging all Fortinet users to install the updates released by Fortinet.
• At the time of the update, Pinewood installed updates on Fortigate devices of customers with a Managed Security Service contract.
• The Pinewood SOC implemented additional detection rules at the time of the update to be able to detect exploitation of the vulnerability.

If Fortigate devices were patched at the time that the updates were released, there is no reason to believe that these devices were compromised during the campaign.

Vulnerable versions

The vulnerability was patched with new versions of the 7.2, 7.0, 6.4 and 6.2 series. These were released between 1 and 22 November 2022. The following versions of FortiOS are vulnerable:

• FortiOS 7.2.0 – 7.2.2
• FortiOS 7.0.0 – 7.0.8
• FortiOS 6.4.0 – 6.4.10
• FortiOS 6.2.0 – 6.2.11
• FortiOS-6K7K 7.0.0 – 7.0.7
• FortiOS-6K7K 6.4.0 – 6.4.9
• FortiOS-6K7K 6.2.0 – 6.2.11
• FortiOS-6K7K 6.0.0 – 6.0.14

Solutions and workarounds

Install the latest version of FortiOS to fix the vulnerability.

Detection of possible misuse

The MOD report describes several ways to see if a Fortigate device was also compromised by the same campaign. An extensive write up of the steps can be found in the MOD report. Basically, a number of commands must be executed via the Fortigate CLI:

• Check if the files /bin/smartctl or /data/bin/smartctl exist on the device by executing the following commands:fnsysctl ls -la /bin
  fnsysctl ls -la /data/bin

  If the files do exist and the timestamp on the files indicate that these are newer than the majority of other files, it is likely that the binary was tampered with. Note: the MOD report also states that smartctl not being a symlink is an indication that the file was tampered with. However, this does not seem to be an indication on recent Fortigate devices.

• Check which TCP connections are made from the Fortigate to external IP’s using the following command:diagnose sys tcpsock
  
  If outgoing connections are found, it is important to check which IP addresses are involved (and if connections towards these IP addresses are expected). Especially if connections are made from the process httpsd, these connections are considered suspicious.
• Check for the existence of processes named httpsd. It is known that the malware uses this process name to hide its existence. To do so, execute the following commands:To request the process IDs  (PIDs) of all processes named httpsd:
  diagnose sys process pidof httpsd
  
  To display process information for all suspicious PIDs:
  diagnose sys process dump <PID>
  
  If the Gid of a suspicious process is 90 or if processes are found using deleted entries towards /data2/httpsd or /data2/.bd.key/preload.so, the device is probably infected with the malware (according to the MOD). Note: you can execute the command with the additions | grep -i Gid and | grep -i data to filter out the relevant data.
• Check all references to /lib/preload.so in PID 1 by executing the following command:diagnose sys process dump 1
  
  If (deleted) references to /lib/preload.so are found, this should be considered a strong indication that the malware was deployed on the device.

In addition, Fortinet already described a set of checks at the time that the vulnerability was disclosed. These checks also help to determine if a device was compromised:

• Check for application crashes of the sslvpnd daemon around the time that the system was vulnerable. You can do so by issuing the following command:diagnose debug crashlog read | grep -i sslvpn
• Check for the existence of the following files:/data/lib/libips.bak

/data/lib/libgif.so

/data/lib/libiptcp.so

/data/lib/libipudp.so

/data/lib/libjepg.so

/var/.sslvpnconfigbk

/data/etc/wxd.conf

/flash

• Check for suspicious outgoing connections. This check was already described in the list of checks from the MOD report.

More information

• https://www.ncsc.nl/actueel/nieuws/2024/februari/6/nieuwe-malware-benadrukt-aanhoudende-interesse-in-edge-devices
• https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear
• https://advisories.ncsc.nl/advisory?id=NCSC-2022-0763
• https://www.fortiguard.com/psirt/FG-IR-22-398
• https://olympecyberdefense.fr/vpn-ssl-fortigate/ (FR)

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, Pinewood will conduct additional checks on Fortigate devices.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.

Beschrijving

Er bevindt zich een ernstige kwetsbaarheid (CVE-2023-22527) in Atlassian Confluence Data Center en Server die kwaadwillenden kunnen misbruiken om op afstand willekeurige code uit te voeren op het kwetsbare systeem. Om misbruik te kunnen maken van de kwetsbaarheden hoeft een aanvaller zich niet te authenticeren, wat de kans op misbruik sterk vergroot.

Pinewood verwacht op korte termijn aanvalscode aangezien het type kwetsbaarheid (template injection) ook in het verleden vaak eenvoudig misbruikt is.

Kwetsbare versies

De kwetsbaarheid bevindt zich in versies van beide producten die voor 5 december 2023 zijn uitgebracht. Indien op het systeem een reguliere update van ná die datum is geïnstalleerd, is de kwetsbaarheid niet meer aanwezig. De onderstaande versies van Confluence Server en Data Center bevatten de genoemde kwetsbaarheid:

• 8.0 (alle versies)
• 8.1 (alle versies)
• 8.2 (alle versies)
• 8.3 (alle versies)
• 8.4 (alle versies)
• 8.5.0 t/m 8.5.3

Cloud-installaties, herkenbaar aan het atlassian.net-domein, zijn niet (meer) kwetsbaar.

Oplossingen en tijdelijke mitigaties

De kwetsbaarheid is verholpen in onderstaande versies die al december 2023 zijn uitgebracht:

• Confluence Server en Data Center 8.5.4
• Confluence Data Center 8.6.0
• Confluence Data Center 8.7.1

Er zijn geen tijdelijke mitigaties bekend die misbruik van de kwetsbaarheid kunnen voorkomen.

Detectie van mogelijk misbruik

Atlassian geeft aan dat het lastig is om alle tekenen van mogelijk misbruik te beschrijven vanwege het feit dat er meerdere manieren voor misbruik bestaan.

Meer informatie

• https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22527-1332810917.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

A critical vulnerability (CVE-2023-22527) was fixed in Atlassian Confluence Data Center and Server, which an attacker can exploit for remote code execution. Exploitation does not require authentication to the server, which increases the likelihood of exploitation.

Pinewood expects exploit code in the short term as this type of vulnerability (template injection) has proven to be easily exploitable in the past.

Vulnerable versions

The vulnerability exists in versions of the products released before 5 December 2023. If a regular update is installed on the system that was released after this date, the vulnerability is already patched. The following versions of Confluence Server and Data Center are impacted by the vulnerability:

• 8.0 (all versions)
• 8.1 (all versions)
• 8.2 (all versions)
• 8.3 (all versions)
• 8.4 (all versions)
• 8.5.0 up to and including 8.5.3

Cloud installations, identified by the atlassian.net domain, are not vulnerable (anymore).

Solutions and workarounds

The vulnerability is fixed in the following versions of Confluence which were already released in December 2023:

• Confluence Server and Data Center 8.5.4
• Confluence Data Center 8.6.0
• Confluence Data Center 8.7.1

Detection of possible misuse

Atlassian states that the possibility of multiple entry points, along with chained attacks, makes it difficult to list all possible indicators of compromise.

More information

• https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22527-1332810917.html

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 750 1331 and via soc@pinewood.nl.

Beschrijving

Er bevinden zich twee ernstige kwetsbaarheden in Ivanti Connect Secure (ICS) (voorheen bekend als Pulse Connect Secure), Ivanti Policy Security en Ivanti ZTA gateways. Deze kwetsbaarheden bevinden zich in alle ondersteunde versies van deze producten. De kwetsbaarheden stellen een kwaadwillende in staat om een systeem over te nemen en zich toegang te verschaffen tot het netwerk. De kwetsbaarheden werden reeds op kleine, gerichte schaal misbruikt voordat Ivanti de kwetsbaarheden heeft kunnen verhelpen.

De eerste kwetsbaarheid (CVE-2023-46805) stelt een kwaadwillende in staat om de authenticatie op het systeem te omzeilen, zelfs als het systeem is ingesteld voor het afdwingen van multifactorauthenticatie. De tweede kwetsbaarheid (CVE-2024-21887) betreft een commandinjectie-kwetsbaarheid die een aanvaller in staat stelt om willekeurige commando’s op het systeem uit te voeren. Normaal gesproken is deze tweede kwetsbaarheid alleen te misbruiken door een geauthenticeerde beheerder, maar in combinatie met de eerste kwetsbaarheid is het mogelijk om deze kwetsbaarheid uit te buiten zonder authenticatie.

Kwetsbare versies

Alle ondersteunde versies van Ivanti Connect Secure, Ivanti Policy Security en Ivanti ZTA gateways bevatten de kwetsbaarheden. Ook niet-ondersteunde versies zijn mogelijk kwetsbaar. Onderstaande lijst toont de versies die in ieder geval kwetsbaar zijn en waarvoor Ivanti in de komende weken updates zal uitbrengen:

• 9.1
• 22.1
• 22.2
• 22.3
• 22.4
• 22.5
• 22.6

Misbruik

Volgens Ivanti maken aanvallers op dit moment op zeer beperkte schaal misbruik van deze kwetsbaarheid. Misbruik zou te herkennen zijn aan het feit dat een legitiem CGI-bestand (compcheck.cgi) is aangepast en JavaScript is toegevoegd aan de Web SSL VPN code op het systeem, teneinde de inloggegevens van gebruikers te kunnen onderscheppen. In totaal zouden minder dan 10 klanten van het bedrijf door de aanval geraakt zijn. Nu details m.b.t. deze kwetsbaarheid bekend zijn geworden, is de kans groot dat ook andere actoren zullen proberen om de details van deze kwetsbaarheid te achterhalen (en te misbruiken).

Oplossingen en tijdelijke mitigaties

Ivanti heeft aangegeven dat het in de komende weken (in de periode 22 januari t/m 19 februari) patches zal uitbrengen voor de verschillende versies van de kwetsbare producten. Om in de tussentijd misbruik van de kwetsbaarheid te voorkomen, is het essentieel om een mitigerende workaround door te voeren. Deze workaround bestaat uit het toepassen van een XML-bestand op kwetsbare systemen. Zie het artikel van Ivanti voor instructies voor het toepassen van deze XML.

Detectie van mogelijk misbruik

Ivanti raadt aan gebruik te maken van de Ivanti Integrity Checker Tool (ICT) om de integriteit van een systeem te verifiëren. Daarnaast zijn er door Volexity aanvullende indicatoren beschikbaar gesteld – waaronder IP-adressen en domeinnamen – die kunnen helpen om eventueel misbruik te herkennen.

Meer informatie

• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/Download-Links-Related-to-CVE-2023-46805-and-CVE-2024-21887 (authenticatie vereist)
• https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Two critical vulnerabilities were reported in Ivanti Connect Secure (ICS) (formerly known as Pulse Connect Secure), Ivanti Policy Security and Ivanti ZTA gateways. The vulnerabilities exist in all supported versions of these products. The vulnerabilities allow a malicious actor to take over a system and gain access to the network. An unknown threat actor was already exploiting these vulnerabilities on a small, targeted scale before Ivanti could address them.

The first vulnerability (CVE-2023-46805) allows a malicious actor to bypass system authentication, even if the system is configured to enforce multi-factor authentication. The second vulnerability (CVE-2024-21887) is a command injection vulnerability that enables an attacker to execute arbitrary commands on the device. Normally, this second vulnerability can only be exploited by an authenticated administrator, but when combined with the first vulnerability, it is possible to exploit this vulnerability without authentication.

Vulnerable versions

All supported versions of Ivanti Connect Secure and Ivanti Policy Security gateways are vulnerable. Unsupported versions may also be vulnerable. The list below shows the versions that are reported vulnerable and for which Ivanti will release updates in the coming weeks:

• 9.1
• 22.1
• 22.2
• 22.3
• 22.4
• 22.5
• 22.6

Exploitation

According to Ivanti, attackers are currently exploiting these vulnerabilities on a very limited scale. Exploitation can be identified by the modification of a legitimate CGI file (compcheck.cgi) and the addition of JavaScript to the Web SSL VPN code on the device, allowing interception of user login credentials. In total, fewer than 10 customers of the company are believed to have been affected by the attack. Now that details about this vulnerability are known, there is a high likelihood that other actors will attempt to discover and exploit the vulnerability details.

Solutions and workarounds

Ivanti has stated that it will release patches for the various versions of the vulnerable products in the coming weeks (between January 22 and February 19). To prevent exploitation of the vulnerability in the meantime, it is essential to implement a mitigating workaround. This workaround involves applying an XML file to vulnerable devices. Refer to Ivanti’s article for instructions on applying this XML.

Detection of possible misuse

Ivanti recommends using the Ivanti Integrity Checker Tool (ICT) to verify the integrity of a device. Additionally, Volexity has provided additional indicators, including IP addresses and domain names, that can help identify potential exploitation.

More information

• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/Download-Links-Related-to-CVE-2023-46805-and-CVE-2024-21887 (authenticatie vereist)
• https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 251 36 33 and via soc@pinewood.nl.

Beschrijving

Er bevindt zich een kritieke kwetsbaarheid (CVE-2023-22518) in Atlassian Confluence Server en Atlassian Confluence Data Center waarvan aanvallers op dit moment actief misbruik maken. De kwetsbaarheid maakt het mogelijk om zonder authenticatie een reset uit te voeren van de Atlassian-database en een nieuw beheeraccount aan te maken. Het lijkt niet mogelijk om via deze kwetsbaarheid gevoelige informatie uit de bestaande Atlassian-database te verkrijgen. Atlassian heeft op 31 oktober 2023 patches uitgebracht voor deze kwetsbaarheid waarvoor nu ook exploitcode is verschenen.

Op basis van de publiek beschikbare aanvalscode is de inschatting van Pinewood dat de kwetsbaarheid eenvoudig te gebruiken is. Hiermee is de kans groot dat kwetsbare en via het internet bereikbare installaties via deze kwetsbaarheid gecompromitteerd worden of al gecompromitteerd zijn.

Let op: het betreft hier een andere kwetsbaarheid dan de kwetsbaarheid waarover wij op 12 oktober 2023 een security bulletin verstuurden (CVE-2023-22515).

Kwetsbare versies

De onderstaande versies van Confluence Server en Data Center bevatten de genoemde kwetsbaarheid:

• 7.19.0 t/m 7.19.15
• 8.0 (alle versies)
• 8.1 (alle versies)
• 8.2 (alle versies)
• 8.3.0 t/m 8.3.3
• 8.4.0 t/m 8.4.3
• 8.5.0 t/m 8.5.2

Op basis van de door Atlassian aangeleverde omschrijving lijken alle versielijnen kwetsbaar te zijn, maar zijn er voor een aantal van deze versielijnen (8.0, 8.1, 8.2) nog geen updates beschikbaar.

Cloud-installaties, herkenbaar aan het atlassian.net-domein, zijn niet (meer) kwetsbaar.

Oplossingen en tijdelijke mitigaties

Atlassian heeft onderstaande versies van Confluence Server en Data Center uitgebracht om de betreffende kwetsbaarheid te verhelpen:

• 7.19.16 (en nieuwer)
• 8.3.4 (en nieuwer)
• 8.4.4 en nieuwer)
• 8.5.3 (en nieuwer)

Voor zover bekend is de kwetsbaarheid (nog) niet opgelost met updates voor de 8.0, 8.1 en 8.2 versielijnen. Atlassian adviseert dan ook gebruik te maken van een Long Term Support (LTS) versie van Confluence Server en/of Data Center (de 7.19 en 8.5 versielijnen).

Aangezien misbruik van de kwetsbaarheid leidt tot het verlies van de Atlassian-database is het tevens raadzaam om te zorgen voor een actuele backup van de database om hier in het geval van een succesvolle aanval op terug te kunnen vallen.

Detectie van mogelijk misbruik

Aangezien misbruik van de kwetsbaarheid zal leiden tot een reset van de Atlassian-database, zal misbruik van een productiesysteem zeker niet onopgemerkt blijven. Atlassian geeft aan dat de volgende signalen kunnen duiden op succesvol misbruik van deze kwetsbaarheid:

• Verlies van data of sterk aangepaste data.
• Verlies van toegang tot de URL waarop de Atlassian-instance draait.
• Onmogelijkheid om met bekende credentials te authenticeren.
• Aanwezigheid van verdachte bestanden in de folder <confluence-local-home>/temp.

Daarnaast bevatten diverse logbestanden op een gecompromitteerde server mogelijk aanwijzingen van het misbruik. Een overzicht van deze bestanden en de inhoud waarop men dient te zoeken, is terug te vinden in de FAQ van Atlassian.

Meer informatie

• https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22518-1311474094.html

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center (SOC). Het Pinewood SOC is bereikbaar via +31 15 251 36 33 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Attackers are actively exploiting a critical vulnerability (CVE-2023-22518) in Atlassian Confluence Server and Atlassian Confluence Data Center. The vulnerability allows an attacker to reset the instance database and to create a new administrative account. It seems the vulnerability does not allow an attacker to gain access to the contents of the current database. Atlassian released patches for this vulnerability on October 31, 2023. Exploit code for this vulnerability was also recently published.

Based on the public Proof-of-Concept (PoC) code, Pinewood estimates that the vulnerability is easy to exploit. With this, there is a high probability that vulnerable and Internet-accessible installations will be compromised via this vulnerability or have already been compromised.

Note: the vulnerability described in this bulletin is a different one than the vulnerability that we described in a previous security bulletin on October 12, 2023 (CVE-2023-22515).

Vulnerable versions

The following versions of Confluence Server and Data Server contain the listed vulnerability:

• 7.19.0 up to and including 7.19.15
• 8.0 (all versions)
• 8.1 (all versions)
• 8.2 (all versions)
• 8.3.0 up to and including 8.3.3
• 8.4.0 up to and including 8.4.3
• 8.5.0 up to and including 8.5.2

Based on the information from Atlassian, all version lines seem to be affected, but for some of these (8.0, 8.1, 8.2) no updates were released (yet).

Cloud installations, identified by the atlassian.net domain, are not vulnerable (anymore).

Solutions and workarounds

Atlassian has released the below versions of Confluence Server and Data Center to fix the affected vulnerability:

• 7.19.16 (and newer)
• 8.3.4 (and newer)
• 8.4.4 (and newer)
• 8.5.3 (and newer)

As far as we know, the vulnerability has not (yet) been fixed in the 8.0, 8.1 and 8.2 version lines.

Because successful exploitation leads to a reset of the Atlassian database, we recommend to make sure that an up-to-date backup of this database is available to restore any data from.

Detection of possible misuse

Because successful exploitation of this vulnerability will lead to a reset of the Atlassian database, this will surely be detected in a production environment. Atlassian describes the following symptoms that indicate exploitation of this vulnerability:

• Observation of significant data loss.
• Not able to connect to your instance’s URL anymore.
• Not able to properly authenticate to the instance anymore.
• If able to authenticate, the instance won’t have any content created and/or different content than it originally had.
• Suspicious files and/or directories created under <confluence-local-home>/temp folder.

In addition, several log files on a compromised server may contain signs of the compromise. For a full list of log files and the contents that administrators should look for, see the FAQ released by Atlassian on this vulnerability.

More information

• https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html
• https://confluence.atlassian.com/kb/faq-for-cve-2023-22518-1311474094.html

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center (SOC). The Pinewood SOC can be contacted at +31 15 750 1331 and via soc@pinewood.nl.

Beschrijving

Cisco heeft updates uitgebracht voor een ernstige kwetsbaarheid in de WebUI-functie van Cisco IOS XE Software die een aanvaller in staat stelt om op afstand (en zonder authenticatie) volledige controle te verkrijgen over een getroffen apparaat. Naast de eerdere kwetsbaarheid die al bekend was (CVE-2023-20198), blijken aanvallers ook misbruik te maken van een aanvullende kwetsbaarheid (CVE-2023-20273) voor het installeren van een malafide implant op kwetsbare devices.

Aanvallers maken al enige tijd misbruik van deze kwetsbaarheden waardoor de kans op compromittatie van een device dat met de WebUI-functie bereikbaar is vanaf het internet, groot is.

Kwetsbare versies

De kwetsbaarheid bevindt zich in alle devices met onderstaande Cisco IOS XE versies:

• 17.9.4 ouder dan 17.9.4a
• 17.6.6 ouder dan 17.6.6a
• 17.3.8 ouder dan 17.3.8a
• 16.12.10 ouder dan 16.12.10a

Misbruik van de kwetsbaarheid vanaf internet is alleen mogelijk indien de WebUI-functie bereikbaar is vanaf het internet, in de regel via poort 80/tcp (HTTP) of 443/tcp (HTTPS). Om te bepalen of de WebUI is ingeschakeld voor een systeem, kan op het systeem het commando “show running-config | include ip http server|secure|active” uitgevoerd worden om te controleren of één van beide opdrachten aanwezig is in de globale configuratie.

Als het “ip http server” commando aanwezig is en de configuratie ook “ip http active-session-modules none” bevat, is de kwetsbaarheid niet te misbruiken via HTTP.

Als het “ip http secure-server” aanwezig is en de configuratie ook “ip http secure-active-session-modules none” bevat, kan de kwetsbaarheid niet via HTTPS worden uitgebuit.

Oplossingen en tijdelijke mitigaties

Cisco heeft IOS versie 17.9.4a (voor Routing/SDWAN en IOT) uitgebracht om de kwetsbaarheid met CVE-2023-20198 te verhelpen. Wij raden aan om deze update z.s.m. te installeren op kwetsbare devices. Cisco heeft aangegeven binnenkort ook met updates te komen voor Cisco IOS XE 17.6.6, 17.3.8 en 16.12.10. Wij raden aan de beschikbaarheid hiervan te monitoren via de website van Cisco.

Daarnaast is het advies om – als best practice – de WebUI uit te schakelen of in ieder geval niet bereikbaar te laten zijn vanaf het internet. Het uitschakelen van de WebUI is mogelijk met de commando’s “no ip http server” en “no ip http secure-server” in de globale configuratiemodus. Gebruik na het uitschakelen van de HTTP-serverfunctie het commando “copy running-configuration startup-configuration” om de configuratie op te slaan.

Detectie van mogelijk misbruik

Nieuwe user accounts

Het is bekend dat aanvallers bij het misbruiken van de kwetsbaarheden een reeks aan accounts aanmaken. Controleer op kwetsbare devices daarom in ieder geval of de gebruikers “cisco_support”, “cisco_tac_admin” of “cisco_sys_manager” zijn aangemaakt. Het is bekend dat de aanvallers deze accounts in sommige gevallen later ook weer hebben verwijderd, waardoor het ontbreken ervan geen definitieve indicatie vormt dat aanvallers geen misbruik hebben gemaakt van dit systeem. Controleer daarom ook de logging van het device op de aanwezigheid van deze gebruikersnamen (of andere verdachte gebruikersnamen).

Aanwezigheid van implant

Daarnaast is het mogelijk te controleren of aanvallers een malafide implant op het device hebben geplaatst. Maak hiervoor gebruik van het curl-commando i.c.m. onderstaande aanroep (vervang hierin DEVICEIP door het IP-adres van het device dat men wil controleren, vervang https:// door http:// indien de WebUI op HTTP is geactiveerd):

“curl -k -X POST “https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1”

Indien bovenstaand commando een hexadecimale string retourneert, is de implant zeer waarschijnlijk aanwezig en is het device gecompromitteerd. Daarnaast geeft het commando alleen een resultaat wanneer de aanvaller de webserver op het device een herstart heeft gegeven na de compromittatie.

Installatie van de implant is ook zichtbaar in de logging van het device. Controleer daarom op de aanwezigheid van logregels van het type “%WEBUI-6-INSTALL_OPERATION_INFO” om te zien of hier verdachte activiteiten terug te vinden zijn.

Communicatie vanaf verdachte IP-adressen

Volgens Cisco hebben de aanvallers gebruikgemaakt van drie verschillende IP-adressen om aanvallen uit te voeren. Communicatie vanaf deze IP-adressen vormt daarom een indicatie van mogelijk misbruik. Het betreft de IP-adressen 5.149.249[.]74, 154.53.56[.]231 en 154.53.63[.]93. Het Pinewood SOC heeft deze indicatoren opgenomen in de monitoring en heeft tevens een historische controle uitgevoerd op de logging van aangesloten SOC-klanten.

Meer informatie

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• Cisco – Software Fix Availability for Cisco IOS XE Software Web UI Privilege Escalation Vulnerability – CVE-2023-20198
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• NCSC-NL – NCSC-2023-0526: Kwetsbaarheid verholpen in Cisco IOS XE

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Cisco released updates for a serious vulnerability in the WebUI feature of Cisco IOS XE Software that allows an unauthenticated remote attacker to take full control of an affected device. In addition to the previously known vulnerability (CVE-2023-20198), attackers are exploiting an additional vulnerability (CVE-2023-20273) to install a malicious implant on vulnerable devices.

Attackers have been abusing these vulnerabilities for some time, which means there is a high risk of compromise of a device that is accessible from the internet with the WebUI function enabled.

Vulnerable versions

The vulnerability is present in all devices with the following Cisco IOS XE versions:

• 17.9.4 before 17.9.4a
• 17.6.6 before 17.6.6a
• 17.3.8 before 17.3.8a
• 16.12.10 before 16.12.10a

Abuse of the vulnerability from the internet is only possible if the WebUI function is accessible from the internet, usually via port 80/tcp (HTTP) or 443/tcp (HTTPS). To determine if the WebUI is enabled for a system, run the command “show running-config | include ip http server|secure|active” to check whether either command is present in the global configuration.

If the “ip http server” command is present and the configuration also contains “ip http active-session-modules none”, the vulnerability cannot be exploited via HTTP.

If the “ip http secure-server” is present and the configuration also includes “ip http secure-active-session-modules none”, the vulnerability cannot be exploited via HTTPS.

Solutions and workarounds

Cisco has released IOS version 17.9.4a (for Routing/SDWAN and IOT) to address the CVE-2023-20198 vulnerability. We recommend installing this update on vulnerable devices as soon as possible. Cisco has indicated that it will soon also release updates for Cisco IOS XE 17.6.6, 17.3.8 and 16.12.10. We recommend monitoring its availability via the Cisco website.

In addition, it is advisable – as a best practice – to disable the WebUI or at least make it inaccessible from the internet. Disabling the WebUI is done by setting “no ip http server” and “no ip http secure-server” in global configuration mode. After disabling the HTTP server feature, use the command “copy running-configuration startup-configuration” to save the configuration.

Detection of possible misuse

New user accounts

When exploiting the vulnerabilities, attackers are known to create a range of accounts. Therefore, check the user accounts “cisco_support”, “cisco_tac_admin” or “cisco_sys_manager” have been created on vulnerable devices. It is known that in some cases the attackers deleted these accounts afterwards, so their absence is not a definitive indication that attackers have not abused this system. Therefore, also check the logging of the device for the presence of these usernames (or other suspicious usernames).

Presence of implant

In addition, it is possible to check whether attackers have placed a rogue implant on the device. To do this, use the curl command in combination with the call below (replace DEVICEIP with the IP address of the device you want to check, replace https:// with http:// if the WebUI is activated on HTTP):

“curl -k -X POST “https[:]//DEVICEIP/webui/logoutconfirm.html?logon_hash=1”

If the command above returns a hexadecimal string, the implant is most likely present and the device has been compromised. In addition, the command only produces a result if the attacker has restarted the web server on the device after the compromise.

Installation of the implant is also visible in the logging of the device. Therefore, check for the presence of logs of type “%WEBUI-6-INSTALL_OPERATION_INFO” to see if any suspicious activity can be found here.

Communication from suspicious IP addresses

According to Cisco, the attackers used three different IP addresses to carry out the attacks. Communication from these IP addresses is therefore an indication of possible abuse. This concerns the IP addresses 5.149.249[.]74, 154.53.56[.]231 and 154.53.63[.]93. The Pinewood SOC has added these indicators to its detection platform and also checked historical log files of its SOC customers for the presence of these indicators.

More information

• Cisco Security Advisory – Cisco IOS XE Software Web UI Privilege Escalation Vulnerability
• Cisco – Software Fix Availability for Cisco IOS XE Software Web UI Privilege Escalation Vulnerability – CVE-2023-20198
• Cisco Talos Intelligence Blog – Active exploitation of Cisco IOS XE Software Web Management User Interface vulnerabilities
• CISA Alert – Cisco Releases Security Advisory for IOS XE Software Web UI
• NCSC-NL – NCSC-2023-0526: Kwetsbaarheid verholpen in Cisco IOS XE

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.