Signal-kloon TeleMessage SGNL gebruikte kwetsbare Spring Boot Actuator
Bepaalde versies van TeleMessage SGNL, een versleutelde berichtenapp die specifiek is ontworpen voor overheidsorganisaties en grote bedrijven, zijn kwetsbaar voor cyberaanvallen. Een oude versie van Spring Boot Actuator werd in de app gebruikt, terwijl deze bekende kwetsbaarheden bevat.
Hiervoor waarschuwt het IT-beveiligingsbedrijf GreyNoise. TeleMessage is een Amerikaans bedrijf dat aangepaste versies aanbiedt van chatapplicaties zoals Signal, WhatsApp, Telegram en WeChat. De variant op Signal heet TeleMessage SGNL. GreyNoise waarschuwt dat bepaalde versies van TeleMessage SGNL kwetsbaar zijn voor CVE-2025-48927.
CVE-2025-4892 omvat een kwetsbaarheid die kwaadwillenden in staat stelt om, via het "/heapdump" endpoint, een snapshot van het heap memory in handen te krijgen. Het gaat om ongeveer 150 MB aan data, die onder meer gebruikersnamen, wachtwoorden en andere gevoelige informatie in plaintext kan omvatten. GreyNoise wijst erop dat het "/heapdump" endpoint in meest recente versies van Spring Boot niet meer publiek bereikbaar is. TeleMessage SGNL maakte echter gebruik van een verouderde versie van Spring Boot.
GreyNoise meldt in totaal 11 IP-adressen te hebben geregistreerd die hebben geprobeerd CVE-2025-48927 te exploiteren. In totaal hebben 2.009 IP-adressen in de afgelopen 90 maanden scans uitgevoerd op Spring Boot Actuator-endpoints. 1.582 IP-adressen richtte zich daarbij specifiek op /health endpoints, vermoedelijk om kwetsbare Spring Boot-implementaties op te sporen.
Het project wordt goed bijgehouden.
https://molly.im/
https://github.com/mollyim/mollyim-android/releases
https://www.privacyguides.org/en/real-time-communication/#molly-android
Maar dit werkt niet wanneer Signal al op die tweede telefoon staat met een ander account/telefoonnummer?
- Tip: voeg Molly toe onder 'opslagplaatsen' in F-Droid. Beschik je sneller over nieuwe updates.
Goed, ik moest dus even iets opzoeken om een beetje een indruk te krijgen van waar dit nou weer over gaat ;-).
Maar dit werkt niet wanneer Signal al op die tweede telefoon staat met een ander account/telefoonnummer?
- Tip: voeg Molly toe onder 'opslagplaatsen' in F-Droid. Beschik je sneller over nieuwe updates.
Ook is contact met andere Signal-gebruikers mogelijk.
U zou het ze kunnen vragen via support@molly.im
Ik gebruik zelf Obtainium en houd Molly (ook automatisch) up to date via deze link:
https://github.com/mollyim/mollyim-android/releases
Obtainium is hier verkrijgbaar:
https://github.com/ImranR98/Obtainium/releases
Via Obtainium kan men direct vanaf de bron downloaden.
Er is overigens een discussie gaande op het GrapheneOS forum over F-Droid, Obtainium en meer.
https://discuss.grapheneos.org/d/18731-f-droid-vulnerability-allows-bypassing-certificate-pinning
Maar dit werkt niet wanneer Signal al op die tweede telefoon staat met een ander account/telefoonnummer?
- Tip: voeg Molly toe onder 'opslagplaatsen' in F-Droid. Beschik je sneller over nieuwe updates.
Ja, ik gebruik momenteel Signal op mijn telefoon en Molly als linked device op mijn Android tablet. Maar Molly linken aan een andere Molly kan ook.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Netwerkbeheerder Netwerk Services
Ministerie van Binnenlandse Zaken
Betrouwbaarheid, optimale beveiliging en innovatie: eisen die we stellen aan onze infrastructuur die het belangrijke werk van de AIVD en de MIVD mogelijk maakt. Zorg jij ervoor dat gebruikers altijd op de systemen kunnen rekenen en dat er geen staatsgeheim ontsnapt?
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?