Beveiligingslek in Mozilla VPN kan aanvaller systeemrechten geven
Een kwetsbaarheid in de vpn-software van Mozilla maakt het mogelijk voor een aanvaller die al toegang tot een systeem heeft om systeemrechten te krijgen en zo de machine volledig over te nemen. Mozilla heeft een beveiligingsupdate voor de vpn-software uitgebracht om het probleem te verhelpen. Het is de eerste keer dat een lek in Mozillas vpn-software de impact "high" heeft gekregen.
Het beveiligingslek wordt veroorzaakt doordat Mozilla VPN een OpenSSL-configuratie van een onveilige directory kan laden. Een gebruiker of aanvaller met beperkte rechten en toegang tot het systeem kan dit gebruiken om willekeurige code met systeemrechten op het systeem uit te voeren. Daardoor is het mogelijk om volledige controle over de machine te krijgen. De kwetsbaarheid werd door beveiligingsonderzoeker DoHyun Lee aan Mozilla gerapporteerd.
Mozillas vpn-dienst is door Mozilla zelf ontwikkeld en maakt gebruik van servers van vpn-provider Mullvad. Sinds de lancering heeft Mozilla drie kwetsbaarheden in de cliëntsoftware verholpen. De impact daarvan was echter als "low" en "moderate" bestempeld, wat op een beperkte impact duidt. De nu verholpen kwetsbaarheid, aangeduid als CVE-2022-0517, is het eerste high-lek in de software. Gebruikers wordt aangeraden om te updaten naar Mozilla VPN 2.7.1.De bewering dat de fout in de implementatie een groot gevaar (geprivilegieerde uitvoering kwaadwillende code) oplevert is voorzien van meerdere "kan" uitspraken wat betekent dat de kwetsbaarheid niet zelfstandig dit gevaar oplevert, maar een aanvalsvector oplevert (kan) voor de misbruik van andere kwetsbaarheden (bijv. escalatie privileges).
De melding verwees dan ook naar een analyse naar het vinden van mogelijkheden voor escalatie van privileges.
Vanzelfsprekend betreft dit kwetsbaarheden op het MS Windows platform. De maatschappelijke kosten van de afhankelijkheid van grote delen van onze maatschappij van dat platform blijven hopelijk beperkt in deze oorlogstijd waar veiligheidsgebreken zullen worden uitgebaat. Ik houd mijn hart vast.
De bewering dat de fout in de implementatie een groot gevaar (geprivilegieerde uitvoering kwaadwillende code) oplevert is voorzien van meerdere "kan" uitspraken wat betekent dat de kwetsbaarheid niet zelfstandig dit gevaar oplevert, maar een aanvalsvector oplevert (kan) voor de misbruik van andere kwetsbaarheden (bijv. escalatie privileges).
De melding verwees dan ook naar een analyse naar het vinden van mogelijkheden voor escalatie van privileges.
Vanzelfsprekend betreft dit kwetsbaarheden op het MS Windows platform. De maatschappelijke kosten van de afhankelijkheid van grote delen van onze maatschappij van dat platform blijven hopelijk beperkt in deze oorlogstijd waar veiligheidsgebreken zullen worden uitgebaat. Ik houd mijn hart vast.
Ik oud mijn hart vast, wanneer ik uitspraken als de laatste lees. Gevolg van dit soort ideeën is, dat er wordt gefocust op Windows systemen (goed voor de veiligheid daarvan), maar dat niet wordt gekeken naar de andere omgevingen. Dat kan leiden tot lekken op plaatsen die je niet wil.
De auteur is er trots op dat ie geen bloated code heeft, maar het nadeel is natuurlijk wel dat de code niet doet wat je
nodig hebt en er dus extra puisten op geplakt moeten worden, waarbij het nu kennelijk fout gegaan is.
Dat was te voorkomen geweest door een realistisch VPN te gebruiken waar je niet vanalles bij hoeft te plakken!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?