Patchwork – donderdag 12 november

Het zwaarste nieuws van vandaag raakt MSP’s rechtstreeks. Aanvallers gebruiken ScreenConnect-omgevingen om op grote schaal eigen remote-accessclients te plaatsen bij klanten van ten minste zes MSP’s, en ConnectWise heeft vijf extensies uitgeschakeld. Daarnaast dicht Apache een kritiek lek in de HTTP/2-module van de webserver, brengt Palo Alto Networks een reeks updates voor PAN-OS en GlobalProtect, is de hotfix voor N-able N-central nu beschikbaar en melden Nederlandse onderzoekers zes nieuwe ongepatchte lekken in Danfoss-koelcontrollers.

• Aanvallers zetten via ScreenConnect eigen remote-accessclients neer bij klanten van zes MSP’s
• Kritiek lek in de HTTP/2-module van Apache HTTP Server maakt code uitvoeren zonder inlog mogelijk
• Palo Alto Networks dicht lekken in PAN-OS, Panorama en GlobalProtect
• N-able N-central: hotfix voor de gelekte zero-days nu beschikbaar
• Nederlandse onderzoekers vinden zes nieuwe ongepatchte lekken in Danfoss-koelcontrollers

Aanvallers zetten via ScreenConnect eigen remote-accessclients neer bij klanten van zes MSP’s

Hoe is dit misbruikt?

Volgens Huntress stuurde een aanvaller woensdagavond via Run Command op door de cloud gehoste ScreenConnect-panels commando’s als SYSTEM naar groepen endpoints, zonder bijbehorende inlogactiviteit. Binnen negentig minuten waren alle getroffen systemen geraakt, een derde al in de eerste tien minuten. Het commando installeert een tweede ScreenConnect-client die door de aanvaller wordt beheerd en haalt daarna SCKit binnen, een versleutelde toolkit van zestien bestanden. Die nestelt zich via de geplande taak TrapWatch, die elke tien seconden draait, en neemt de verbindingsplek van de legitieme client over. ConnectWise wijst vijf extensies van derden aan als mogelijke route, maar heeft de manier waarop de aanvallers binnenkwamen nog niet vastgesteld. Volgens BleepingComputer wijst de telemetrie van Huntress ook op gestolen credentials of gekaapte sessies van operators.

Wat kan het gevolg zijn?

De aanvallers krijgen een eigen ingang op beheerde werkplekken en servers, buiten het zicht van de MSP. Huntress vond bovendien code die erop gericht is technici te besmetten: zodra een technicus verbinding maakt met een besmette machine, steelt de toolkit de .aspxauth-sessiecookie, logt daarmee in op het panel en verspreidt een payload via de Shared Toolbox naar elke bereikbare sessie. Dat deel heeft Huntress nog niet werkend gezien. De aanvallers nummeren hun MSP-slachtoffers oplopend, en die reeks begint niet bij één. Er kunnen dus ook eerder al MSP’s getroffen zijn.

Wat moeten IT-beheerders nu doen?

Controleer direct of RMM+ of een van de andere vier extensies is geïnstalleerd, zet ze uit en installeer ze niet opnieuw totdat ConnectWise dat aangeeft. Loop de Run Command- en Toolbox-historie en de auditlogs na op massale activiteit die je niet zelf hebt gestart, ook zonder alerts, en zoek op endpoints naar een tweede ScreenConnect-client, de taak TrapWatch en de map C:\ProgramData\RelayTrap. Maak geen ScreenConnect-sessie naar machines die mogelijk besmet zijn: onderzoek ze via je EDR of een ander out-of-band-kanaal. Beëindig vanaf een schoon apparaat de actieve ScreenConnect-websessies en wijzig de ScreenConnect-credentials. Het uitschakelen van de extensies verwijdert geen malware of persistentie die al op endpoints staat. Huntress publiceert een lijst met indicatoren, waaronder IP-adres 185.99.255[.]28 en de malafide client-ID’s 2588ef5c15954b10 en ed630cc2c873b091.

top ^

Kritiek lek in de HTTP/2-module van Apache HTTP Server maakt code uitvoeren zonder inlog mogelijk

Hoe kan de kwetsbaarheid misbruikt worden?

HTTP/2 laat een client veel verzoeken tegelijk over één verbinding sturen, en mod_http2 verwerkt die met meerdere threads. Volgens Red Hat kan door een fout in de thread-veiligheid de ene thread geheugen van een andere thread aanpassen. Een aanvaller die de webserver kan bereiken, kan daarmee zonder authenticatie commando’s uitvoeren met de rechten van het webserverproces. Het lek is volgens de Apache-advisory onafhankelijk van elkaar gevonden door de OSS Scanner van Anthropic en door Anthony Weems en Simon Scannell van Google Cloud Vulnerability Research.

Wat kan het gevolg zijn?

Apache is een van de meest gebruikte webservers, ook bij hostingpartijen en in appliances. Volgens Wiz staan er in 64 procent van de cloudomgevingen kwetsbare versies, en in 51 procent zijn die vanaf internet bereikbaar, nog zonder rekening te houden met de configuratie. Een geslaagde aanval kan leiden tot volledige overname van de server en toegang tot de data erop. Een publieke exploit is volgens Wiz nog niet beschikbaar.

Wat moeten IT-beheerders nu doen?

Werk Apache bij naar 2.4.71 of installeer de gepatchte pakketten van je Linux-distributie zodra die er zijn. Kun je nog niet updaten, beperk dan de Protocols-directive tot http/1.1 en verwijder h2 en h2c uit de configuratie. Gebruik je de losse mod_h2-module van GitHub, stap dan over op een versie nieuwer dan 2.0.42. Vergeet ook appliances en hostingpanels niet die een eigen Apache meeleveren. In 2.4.71 zitten ook fixes voor een crash in mod_md en een kleine overflow in mod_vhost_alias.

top ^

Palo Alto Networks dicht lekken in PAN-OS, Panorama en GlobalProtect

Hoe kunnen de kwetsbaarheden misbruikt worden?

Het belangrijkste lek vraagt geen inlog: volgens de advisory van Palo Alto Networks is het genoeg om verkeer naar of door een dataplane-interface van de firewall te sturen om gevoelige firewall- en sessie-informatie te bemachtigen. Er is geen workaround. Het Panorama-lek vraagt wel beheerdersrechten, maar levert dan rootrechten op het beheerplatform op, dat alle aangesloten firewalls aanstuurt. Bij de GlobalProtect-app voor Windows komt het lek uit de meegeleverde OPSWAT MetaDefender SDK, waarmee een lokale gebruiker SYSTEM-rechten kan krijgen.

Wat kan het gevolg zijn?

Uitgelekte sessie- en configuratiegegevens van een firewall zijn bruikbaar als opstap voor een gerichtere aanval op het netwerk erachter. Palo Alto Networks noemt het risico het grootst voor PA-Series- en VM-Series-firewalls. Een overgenomen Panorama geeft toegang tot het beleid van alle beheerde firewalls, wat zeker bij MSP’s die meerdere klanten vanuit één Panorama beheren veel impact heeft.

Wat moeten IT-beheerders nu doen?

Plan een hotfixronde voor PAN-OS-firewalls en Panorama en kies per onderhoudsreeks de juiste hotfixversie uit de advisories. Voor Cloud NGFW kun je via support een upgrade inplannen. Zorg dat de beheerinterface van Panorama alleen bereikbaar is vanaf vertrouwde interne adressen of een jumphost; Threat Prevention-klanten krijgen beperkte dekking via Threat ID 510045 en 510048, die SSL-decryptie vereisen. Rol GlobalProtect 6.3.3-h3 uit naar Windows-werkplekken via je RMM.

top ^

N-able N-central: hotfix voor de gelekte zero-days nu beschikbaar

Wat is er nieuw?

In de Patchwork van 10 november meldden we dat N-able N-central offline haalde na de publicatie van meer dan dertig zero-days, terwijl een hotfix nog zonder datum was. Die hotfix is er nu. Volgens de release notes van N-able dicht build 2026.4.1.26 zeven lekken met een eigen CVE-nummer. BleepingComputer merkt op dat de hotfix maar een deel van de gelekte zero-days lijkt af te dekken. N-able heeft op 11 november bevestigd dat alle hosted N-central-servers zijn bijgewerkt.

Wat moeten IT-beheerders nu doen?

Upgrade een on-premises N-central-server naar 2026.4.1.26 voordat je hem weer vanaf internet bereikbaar maakt. De hotfix ondersteunt upgrades vanaf 2025.4 en 2026.1 tot en met 2026.4; oudere versies moeten eerst naar een ondersteunde build. Ook bij hosted N-central moet je zelf de agents en probes bijwerken, en wel in die volgorde: eerst de agents, dan de probes. Upgrade je een probe terwijl de agents nog op de oude versie staan, dan stopt onder meer de offline patch cache. Controleer daarnaast logins, rechtenwijzigingen, scripts en remote-controlsessies vanaf 8 november.

top ^

Nederlandse onderzoekers vinden zes nieuwe ongepatchte lekken in Danfoss-koelcontrollers

Hoe kan de kwetsbaarheid misbruikt worden?

Carlo Meijer van het Nederlandse beveiligingsbedrijf Midnight Blue vond zes buffer overflows die vóór de inlog bereikbaar zijn, ook met de strengste instelling voor sessiecontrole. Volgens de onderzoekers komen de fouten grotendeels door onveilig gebruik van strcpy() en ontbreken beschermingen als stack canaries en PIE. Ze werken ook op firmware 5.3.2, de nieuwste versie. Technische details houdt Midnight Blue achter totdat Danfoss een oplossing heeft. Tweakers en Security.nl berichtten erover.

Wat kan het gevolg zijn?

Een aanvaller kan het apparaat volledig overnemen, toegang houden die mogelijk zelfs een fabrieksreset overleeft, of de controller onbruikbaar maken. Het apparaat heeft geen secure boot. Sinds 11 oktober treffen golven van aanvallen in Europa via internet bereikbare koelcontrollers in supermarkten, waarbij ontdooicycli worden gestart. Volgens Midnight Blue leidde dat tot tientallen miljoenen euro’s aan bedorven voedsel en in sommige gevallen tot brand.

Wat moeten IT-beheerders nu doen?

Heb je klanten in retail, horeca of foodproductie, ga dan na of er Danfoss- of andere koelcontrollers vanaf internet bereikbaar zijn, ook via 4G-modems van installateurs. Haal ze achter een VPN, een private APN of hooguit een strikte IP-whitelist. Midnight Blue waarschuwt dat alleen patchen of het aanzetten van strikte sessiecontrole niet voldoende is, en ziet een IP-whitelist als tussenoplossing. Stem dit af met de installateur die de koeling beheert.

top ^

De ICT-wereld is snel. Mis niets.

Het allerlaatste ICT nieuws in jouw mailbox

Aanmelden