Beveiligingslek in Mozilla VPN kan aanvaller systeemrechten geven
Een kwetsbaarheid in de vpn-software van Mozilla maakt het mogelijk voor een aanvaller die al toegang tot een systeem heeft om systeemrechten te krijgen en zo de machine volledig over te nemen. Mozilla heeft een beveiligingsupdate voor de vpn-software uitgebracht om het probleem te verhelpen. Het is de eerste keer dat een lek in Mozillas vpn-software de impact "high" heeft gekregen.
Het beveiligingslek wordt veroorzaakt doordat Mozilla VPN een OpenSSL-configuratie van een onveilige directory kan laden. Een gebruiker of aanvaller met beperkte rechten en toegang tot het systeem kan dit gebruiken om willekeurige code met systeemrechten op het systeem uit te voeren. Daardoor is het mogelijk om volledige controle over de machine te krijgen. De kwetsbaarheid werd door beveiligingsonderzoeker DoHyun Lee aan Mozilla gerapporteerd.
Mozillas vpn-dienst is door Mozilla zelf ontwikkeld en maakt gebruik van servers van vpn-provider Mullvad. Sinds de lancering heeft Mozilla drie kwetsbaarheden in de cliëntsoftware verholpen. De impact daarvan was echter als "low" en "moderate" bestempeld, wat op een beperkte impact duidt. De nu verholpen kwetsbaarheid, aangeduid als CVE-2022-0517, is het eerste high-lek in de software. Gebruikers wordt aangeraden om te updaten naar Mozilla VPN 2.7.1.De bewering dat de fout in de implementatie een groot gevaar (geprivilegieerde uitvoering kwaadwillende code) oplevert is voorzien van meerdere "kan" uitspraken wat betekent dat de kwetsbaarheid niet zelfstandig dit gevaar oplevert, maar een aanvalsvector oplevert (kan) voor de misbruik van andere kwetsbaarheden (bijv. escalatie privileges).
De melding verwees dan ook naar een analyse naar het vinden van mogelijkheden voor escalatie van privileges.
Vanzelfsprekend betreft dit kwetsbaarheden op het MS Windows platform. De maatschappelijke kosten van de afhankelijkheid van grote delen van onze maatschappij van dat platform blijven hopelijk beperkt in deze oorlogstijd waar veiligheidsgebreken zullen worden uitgebaat. Ik houd mijn hart vast.
De bewering dat de fout in de implementatie een groot gevaar (geprivilegieerde uitvoering kwaadwillende code) oplevert is voorzien van meerdere "kan" uitspraken wat betekent dat de kwetsbaarheid niet zelfstandig dit gevaar oplevert, maar een aanvalsvector oplevert (kan) voor de misbruik van andere kwetsbaarheden (bijv. escalatie privileges).
De melding verwees dan ook naar een analyse naar het vinden van mogelijkheden voor escalatie van privileges.
Vanzelfsprekend betreft dit kwetsbaarheden op het MS Windows platform. De maatschappelijke kosten van de afhankelijkheid van grote delen van onze maatschappij van dat platform blijven hopelijk beperkt in deze oorlogstijd waar veiligheidsgebreken zullen worden uitgebaat. Ik houd mijn hart vast.
Ik oud mijn hart vast, wanneer ik uitspraken als de laatste lees. Gevolg van dit soort ideeën is, dat er wordt gefocust op Windows systemen (goed voor de veiligheid daarvan), maar dat niet wordt gekeken naar de andere omgevingen. Dat kan leiden tot lekken op plaatsen die je niet wil.
De auteur is er trots op dat ie geen bloated code heeft, maar het nadeel is natuurlijk wel dat de code niet doet wat je
nodig hebt en er dus extra puisten op geplakt moeten worden, waarbij het nu kennelijk fout gegaan is.
Dat was te voorkomen geweest door een realistisch VPN te gebruiken waar je niet vanalles bij hoeft te plakken!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
