Opnieuw hebben aanvallers toegang gekregen tot systemen van een Amerikaanse overheidsinstantie door gebruik te maken van een zes jaar oude kwetsbaarheid in Telerik UI, zo meldt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security. Progress Telerik UI maakt het mogelijk om gebruikersinterface-elementen aan websites en webapplicaties toe te voegen.

Een kwetsbaarheid in de software, aangeduid als CVE-2017-9248, maakt het mogelijk voor aanvallers om de encryptiesleutel via een bruteforce-aanval te achterhalen, waardoor het uploaden en downloaden van willekeurige bestanden, cross-site scripting en andere aanvallen mogelijk zijn. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Softwareontwikkelaar Progress kwam zes jaar geleden met een beveiligingsupdate. Proof-of-concept exploitcode om van de kwetsbaarheid misbruik te maken is sinds januari 2018 beschikbaar.

Afgelopen maart liet het CISA weten dat een andere Amerikaanse overheidsinstantie via een ander Telerik UI-lek (CVE-2019-18935) besmet was geraakt. De instantie maakte gebruik van een vulnerability scanner voor het vinden van kwetsbare software. De scanner detecteerde het beveiligingslek echter niet, omdat Telerik UI in een locatie was geïnstalleerd die het standaard niet controleert.

In april van dit jaar hebben aanvallers gebruikgemaakt van CVE-2017-9248 om de IIS-server van de niet nader genoemde overheidsinstantie te compromitteren door een webshell te uploaden. Daarbij spreekt het CISA over "APT actors" maar geeft geen verdere details. Met advanced persistent threats (APT's) wordt vaak verwezen naar groepen die spionageoperaties uitvoeren.

Of de aanvallers in dit geval ook data hebben gestolen kon het CISA niet vaststellen. "De aanwezigheid van webshells en file uploads duiden erop dat de APT actors toegang en de mogelijkheid hadden om verdere malafide activiteiten uit te voeren", aldus het CISA. Ook is onbekend of de getroffen overheidsinstantie de eigen systemen op kwetsbaarheden controleerde.