Microsoft "bestraft" wegens oude lekken
Microsoft, HP en IBM zijn allemaal "bestraft" omdat ze beveiligingslekken te lang hebben laten zitten. Vorig jaar kondigde beveiligingsbedrijf TippingPoint aan dat het leveranciers wil aansporen om kwetsbaarheden eerder op te lossen. Het bedrijf koopt via het Zero Day Initiative beveiligingslekken van onderzoekers en hackers, rapporteert die vervolgens aan de betreffende leverancier en verwerkt een update in de eigen producten, zodat klanten eerder beschermd zijn dan de rest van de populatie.
Ondanks te zijn gewaarschuwd laten veel leveranciers de lekken gewoon zitten. Om daar verandering in te brengen hanteert TippingPoint sinds vorig jaar een deadline van zes maanden, waarna het details over de kwetsbaarheid vrijgeeft. In het geval van Microsoft gaat het om vijf lekken in Office 2003 en Office 2007, waardoor een aanvaller kwetsbare systemen kan overnemen. Hiervoor moet het slachtoffer wel een kwaadaardig bestand of website openen.
De lekken ware rond juli vorig jaar aan Microsoft gerapporteerd. Aangezien de softwaregigant de 'patch-deadline' niet haalde, is TippingPoint tot publicatie overgegaan. In het geval van IBM gaat het om negen geopenbaarde lekken, terwijl HP vier kwetsbaarheden te verwerken kreeg.
En de niet Microsoft vulns zijn vaak een stuk ouder (veel meer dan 180 dagen), authentication is niet altijd nodig en sommigen geven SYSTEM access, en exploits zijn zo te zien niet erg lastig te maken, voorbeelden:
ZDI-11-059: CA ETrust Secure Content Manager Common Services Transport Remote Code Execution Vulnerability
Authentication is not required to exploit this vulnerability.
The specific flaw exists in the eTrust Common Services Transport (ECSQdmn.exe) running on port 1882. When making a request to this service a user supplied DWORD value is used in a memory copy operation. Due to the lack of bounds checking an integer can be improperly calculated leading to a heap overflow. If successfully exploited this vulnerability will result in a remote system compromise with SYSTEM credentials.
2008-05-23 - Vulnerability reported to vendor
ZDI-11-045: IBM Lotus Domino IMAP/POP3 Non-Printable Character Expansion Remote Code Execution Vulnerability
Authentication is not required to exploit this vulnerability.
The specific flaw exists within the POP3 and IMAP services while processing malformed e-mails. The vulnerable code expands specific non-printable characters within a "mail from" command without allocating adequate space. By providing enough of these characters, memory can be corrupted leading to arbitrary code execution under the context of the SYSTEM user.
2008-08-26 - Vulnerability reported to vendor
ZDI-11-057: Hewlett-Packard Data Protector Cell Manager Service Authentication Bypass Vulnerability
User interaction is not required to exploit this vulnerability.
The specific flaw exists within the Cell Manager Service which listens by default on a random TCP port. The crs.exe process fails to properly validate supplied username, domain, and hostname credentials. A remote attacker can leverage this flaw to execute code on all Data Protector clients.
2009-01-26 - Vulnerability reported to vendor
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.