Dell EMC’s vApp Manager for Unisphere for VMAX blijkt meerdere beveiligingsgaten te bevatten
Dell EMC’s vApp Manager for Unisphere for VMAX, een app om EMC’s storage platformen te beheren, blijkt een zestal zero-day kwetsbaarheden te bevatten. De beveiligingsgaten stellen aanvallers in staat de controle over storage apparaten volledig over te nemen of deze zelfs uit te schakelen. De gaten zijn inmiddels door Dell EMC gedicht.
De problemen zijn ontdekt door beveiligingsbedrijf Digital Defense. De kwetsbaarheden stellen aanvallers die toegang weten te verkrijgen tot netwerkopslagapparatuur in staat malafide Adobe Flash Action Message Format (AMF) berichten te sturen naar de web applicatieserver die op het storagesysteem draait. Het probleem zit in de wijze waarop Unisphere for VMAX het AMF protocol gebruikt om berichten te versturen naar de vijf verschillende interfaces binnen de Unisphere Web application server. In sommige gevallen is authentificatie hierbij niet vereist.
Eigen code uitvoeren op systemen
De kwetsbaarheden zijn ernstig en stellen aanvallers in staat met root privileges ongehinderd commando’s te geven aan het systeem. Aanvallers kunnen de controle over het systeem hierdoor volledig overnemen. Zo kunnen zij een nieuw gebruikersaccount aanmaken waarmee zij in het vervolg ongehinderd en eenvoudig kunnen inloggen op het systeem.
De problemen zijn door Digital Defense gemeld bij Dell EMC, die de beveiligingsgaten inmiddels heeft gedicht. Dell EMC heeft hiervoor security advisories beschikbaar gesteld die uitsluitend voor klanten van het bedrijf toegankelijk zijn. De kwetsbaarheden worden hier door Digital Defense uitgebreid beschreven.
Dossiers
Meer over
Lees ook
Facebook ontkent aanwezigheid backdoor in WhatsApp
Facebook ontkent dat er een backdoor aanwezig is in de communicatiedienst WhatsApp. Hiermee reageert het bedrijf op een kwetsbaarheid die onlangs in het nieuws kwam en aanvallers in theorie de mogelijkheid geeft versleutelde berichten van gebruikers in te zien. De kwetsbaarheid is ontdekt door Tobias Boelter, een computerwetenschapper en promovend1
Britse cybercrimineel gaat slachtoffer helpen beveiliging te verbeteren
Een man uit de Britse hoofdstad Londen is opgepakt voor betrokkenheid bij een cyberaanval op een organisatie uit het Britse Derbyshire wordt niet vervolgd. De man heeft een deal gesloten met de organisatie die hij heeft aangevallen. De aanvaller gaat het slachtoffer helpen diens IT-beveiliging te verbeteren. De 24-jarige man werd opgepakt door de1
D-Link aangeklaagd door FTC wegens beveiliging van routers en camera's
De Taiwanese fabrikant van netwerkapparatuur D-Link is aangeklaagd door de Amerikaanse Federal Trade Commission (FTC). De FTC stelt dat D-Link routers en IP-camera’s die het levert aan consumenten onvoldoende heeft beschermd om de privacy en veiligheid van klanten te waarborgen. De maatregel van de FTC is onderdeel van een campagne die de organisa1