Patchwork – vrijdag 18 september

Vandaag vier ontwikkelingen die om actie vragen van IT-beheerders en MSP’s. Het meest urgent is een actief misbruikte zero-day in Cisco Secure Email Gateway, waarbij een kwaadaardige e-mail via SQL-injectie in de parsinglogica tot rootrechten op het apparaat kan leiden. Check Point repareerde een even ernstige, vooralsnog niet actief misbruikte kwetsbaarheid in zijn Security Management Server, waarmee ongeauthenticeerde aanvallers via een extreem lange gebruikersnaam code met rootrechten kunnen uitvoeren. Daarnaast brachten de makers van de DNS-resolvers Unbound en BIND 9 vrijwel gelijktijdig kritieke patches uit, en verhielp Docker een sandbox-ontsnapping waarmee code op macOS-ontwikkelmachines buiten zijn eigen projectmap kon komen.

• Actief misbruikte zero-day in Cisco Secure Email Gateway geeft rootrechten via kwaadaardige e-mail
• Ongeauthenticeerde RCE-kwetsbaarheid in Check Point Security Management Server
• Kritieke kwetsbaarheden in DNS-resolvers Unbound en BIND 9 verholpen
• Sandbox-ontsnapping in Docker Sandboxes geeft toegang tot macOS-hostbestanden

Actief misbruikte zero-day in Cisco Secure Email Gateway geeft rootrechten via kwaadaardige e-mail

Hoe wordt de kwetsbaarheid misbruikt?

Cisco Secure Email Gateway (voorheen ESA) filtert inkomende en uitgaande e-mail op spam, phishing en malware voordat berichten het interne netwerk bereiken. Door onvoldoende validatie in de manier waarop het apparaat e-mailinhoud parseert, kan een aanvaller een specifiek geprepareerd bericht sturen met daarin SQL-statements die het apparaat zelf uitvoert; via een constructie als COPY ... TO PROGRAM kan dat vervolgens worden misbruikt om willekeurige systeemcommando’s met rootrechten uit te voeren – zonder dat de aanvaller hoeft in te loggen of dat er interactie van een ontvanger nodig is. Cisco meldt dat het eigen PSIRT deze maand actief misbruik heeft vastgesteld, zonder de omvang van de aanvallen bekend te maken. CISA nam het lek op in de Known Exploited Vulnerabilities-catalogus en gaf Amerikaanse federale instanties tot 17 september de tijd om te patchen.

Wat kan het gevolg zijn?

Secure Email Gateway staat per definitie aan de rand van het netwerk en verwerkt binnenkomende post automatisch, zonder menselijke tussenkomst – precies het soort apparaat dat aanvallers zoeken omdat het inherent vanaf het internet bereikbaar moet zijn. Wie hier rootrechten weet te bemachtigen, heeft een ingang tot de rest van de omgeving en kan bovendien meelezen met alle e-mailverkeer dat via het apparaat loopt. Voor MSP’s die e-mailbeveiliging als dienst aanbieden, raakt dit lek direct het onderdeel van hun dienstverlening dat draait om vertrouwen in wat er wel en niet wordt doorgelaten.

Wat moeten IT-beheerders nu doen?

Update AsyncOS naar de gepatchte versie: 15.5.5-0141, 16.0.4-302 of 16.5.0-780, afhankelijk van de gebruikte release. Doorzoek de mail_logs van elk apparaat in een cluster afzonderlijk op verdachte SQL-statements en controleer netwerk- en firewalllogs op ongebruikelijk uitgaand verkeer vanaf het apparaat, als teken van eventuele eerdere compromittering.

top ^

Ongeauthenticeerde RCE-kwetsbaarheid in Check Point Security Management Server

Hoe kan de kwetsbaarheid misbruikt worden?

De Security Management Server is de centrale console van waaruit beheerders Check Point-firewalls, VPN’s en beveiligingsbeleid voor een hele organisatie configureren. Door een stackoverflow in het inlogproces kan een aanvaller zonder geldige inloggegevens de server laten crashen of, verder uitgewerkt, willekeurige code met rootrechten laten uitvoeren – simpelweg door een inlogverzoek te sturen met een extreem lange gebruikersnaam. Check Point meldt zelf geen aanwijzingen voor misbruik in het wild te hebben; CISA classificeert de exploitatiestatus eveneens als “geen”.

Wat kan het gevolg zijn?

Wie de Management Server overneemt, krijgt in potentie controle over het volledige beveiligingsbeleid van een organisatie – van firewallregels tot VPN-toegang. Voor MSP’s die Check Point-omgevingen voor meerdere klanten vanuit één centraal beheerpunt beheren, zou misbruik van dit lek de sleutel tot al die klantomgevingen tegelijk in handen van een aanvaller kunnen leggen.

Wat moeten IT-beheerders nu doen?

Installeer de LivePatch-fix uit advisory sk1000155 per direct; op systemen met automatische updates ingeschakeld is de bescherming al actief. Controleer de installatie met het commando cplp list. Voor R82.20 is nog geen Jumbo Hotfix-oplossing beschikbaar – beperk daar de toegang tot de beheerinterface extra streng. Zorg er sowieso voor dat de Management Server nooit rechtstreeks vanaf het internet bereikbaar is en beperk toegang tot bekende interne IP-adressen.

top ^

Kritieke kwetsbaarheden in DNS-resolvers Unbound en BIND 9 verholpen

Twee veelgebruikte open source DNS-resolvers kregen deze week vrijwel gelijktijdig kritieke beveiligingsupdates.

Hoe kunnen de kwetsbaarheden misbruikt worden?

Unbound is een van de meest gebruikte open source recursieve DNS-resolvers, vaak ingezet op resolvers binnen bedrijfsnetwerken en bij internetproviders. Een heap overflow in de DNSSEC-validatiecode wordt getriggerd zodra een resolver een DNSKEY-record verwerkt met een compression pointer die naar de eigen data van dat record verwijst – een aanvaller die een kwaadwillende DNS-zone beheert, kan dat zo prepareren dat een kwetsbare resolver crasht of mogelijk willekeurige code uitvoert. Onderzoekers Yuqi Qiu en Xiang Li van de AOSP Lab van Nankai University meldden het lek in augustus; een van de acht bijkomende kwetsbaarheden in dezelfde release werd gerapporteerd door Ben Morris van Anthropic. Vrijwel gelijktijdig bracht de Internet Systems Consortium (ISC) BIND 9.20.29 en 9.21.26 uit, met patches voor veertien kwetsbaarheden. De ernstigste daarvan laat een ongeauthenticeerde aanvaller de named-daemon crashen door een ongeldige SIG(0)-signature te sturen over DNS-over-HTTPS en de verbinding vroegtijdig te verbreken; de overige dertien lekken variëren van cache-poisoning via ongeldige DNSSEC-bewijzen tot geheugen- en cpu-uitputting.

Wat kan het gevolg zijn?

DNS-resolvers vormen een fundamentele bouwsteen van vrijwel elke internetverbinding – een crash, of in het geval van Unbound mogelijk code-uitvoering, kan de naamresolutie voor een hele organisatie of provider platleggen. Voor MSP’s die zelf DNS-infrastructuur beheren, of wier klanten daarvan afhankelijk zijn, is dit precies het soort onopvallend achtergrondsysteem dat bij patchrondes makkelijk over het hoofd wordt gezien.

Wat moeten IT-beheerders nu doen?

Update Unbound naar versie 1.26.1 en BIND 9 naar 9.20.29 of 9.21.26, afhankelijk van de gebruikte tak. Voor Unbound zijn losse patches beschikbaar voor wie niet meteen kan upgraden; voor BIND 9 zijn geen workarounds beschikbaar, dus is updaten de enige optie. Let op: BIND 9.18 bereikte in juni het einde van de ondersteuning en krijgt geen patch meer – installaties die nog op die tak draaien, kunnen het beste zo snel mogelijk naar een ondersteunde versie worden geüpgraded.

top ^

Sandbox-ontsnapping in Docker Sandboxes geeft toegang tot macOS-hostbestanden

Hoe kan de kwetsbaarheid misbruikt worden?

Docker Sandboxes is de functie waarmee ontwikkelaars – vaak in combinatie met AI-codeerassistenten – code in een geïsoleerde omgeving laten draaien zonder dat die direct toegang heeft tot de rest van het systeem. Door een fout in de virtio-fs hostserver, die bestanden tussen sandbox en host deelt, kan kwaadaardige code binnen de sandbox via symlink-manipulatie alsnog buiten de eigen projectmap komen en bestanden elders op de macOS-host lezen én wijzigen. Beveiligingsonderzoeker Oren Yomtov van accomplish.ai ontdekte het lek; een tweede, gerelateerde kwetsbaarheid (CVE-2026-79994, gevonden door Jurre van Bergen van ThreatNotify) maakte het bovendien mogelijk de Unix-socket-relay van de sandbox te omzeilen.

Wat kan het gevolg zijn?

Het hele idee achter een sandbox is dat code die erin draait – bijvoorbeeld gegenereerd of aangestuurd door een AI-assistent – niet bij de rest van het systeem kan. Deze kwetsbaarheden ondermijnen precies die aanname: in potentie kan sandbox-code op een macOS-ontwikkelmachine bestanden buiten de sandbox lezen of aanpassen, tot en met gevoelige configuratie- en inloggegevens op de host.

Wat moeten IT-beheerders nu doen?

Update Docker Desktop met de Sandboxes-functie naar versie 0.42.0 of hoger (de actuele versie is 0.43.0). Is updaten nog niet direct mogelijk, gebruik dan de clone-modus in plaats van directe read-write-koppelingen naar de hostmap, en vermijd het delen van gevoelige mappen met een sandbox.

top ^

De ICT-wereld is snel. Mis niets.

Het allerlaatste ICT nieuws in jouw mailbox

Aanmelden