Een beveiligingslek in software die door managed serviceproviders wordt gebruikt geeft aanvallers op afstand toegang tot opgeslagen domeinbeheerderswachtwoorden. Een volledige beveiligingsupdate is nog niet voorhanden, wel een hotfix. Het gaat om de software N-Central van softwarebedrijf SolarWinds.

Managed serviceproviders kunnen via N-Central de netwerken van hun klanten beheren. In het verleden zijn aanvallers erin geslaagd om bij managed serviceproviders die hun eigen beveiliging niet op orde hadden in te breken en daarvandaan klanten van de provider met ransomware te infecteren. Op 10 oktober 2019 werd een lek in N-Central aan SolarWinds gerapporteerd. Hierdoor kan een aanvaller de configuratie van klanten uitlezen en zo opgeslagen domeinbeheerderswachtwoorden achterhalen.

SolarWinds had negentig dagen de tijd gekregen om de kwetsbaarheid te verhelpen. Het softwarebedrijf kwam niet binnen de gestelde tijd met een update. Vervolgens werd informatie over het beveiligingslek en een tool om daar misbruik van te maken op 21 januari openbaar gemaakt. Niet veel later werden de tool en informatie weer offline gehaald, zo meldt securitybedrijf Huntress.

Tevens was er een screenshot online verschenen hoe kwetsbare servers via zoekmachine Shodan waren te vinden. Volgens de zoekmachine ging het om meer dan vierduizend N-Central-servers van een onbekend aantal managed serviceproviders. Op 24 januari publiceerde SolarWinds mitigatiemaatregelen om wachtwoorden uit N-Central te verwijderen die mogelijk door aanvallers zijn buitgemaakt. Dezelfde dag verscheen ook een hotfix die de auto-import feature tijdelijk uitschakelt. De feature zal met een toekomstige beveiligingsupdate weer worden ingeschakeld.

Securitybedrijf Huntress meldt dat er managed serviceproviders zijn die uit voorzorg alle in N-Central opgeslagen accounts hebben uitgeschakeld. Daarnaast hebben deze providers van elke klant die via de softwaretool wordt beheerd een nieuw wachtwoord ingesteld dat niet aan een domeinaccount is gekoppeld.