Kwaadwillenden buiten een zerodaylek (CVE-2023-20198) in Cisco IOS XE-systemen op grote schaal uit. Duizenden systemen zijn inmiddels van malware voorzien. Hiervoor waarschuwt VulnCheck, dat een internetscan uitvoerde.
CVE-2023-20198 is een kwetsbaarheid die aanvallers de mogelijkheid geeft Cisco IOS XE volledig over te nemen.
Het besturingssysteem draait op switches en routers van het bedrijf. Aanvallers kunnen via het lek een account met 'privilege 15' aanmaken en zo de controle over het systeem overnemen. Dit maakt het mogelijk een implant te installeren, die communicatie met het gecompromitteerde systeem mogelijk maakt.
Het securitybedrijf VulnCheck heeft een scanner beschikbaar gemaakt waarmee beheerders van Cisco IOS XE-systemen kunnen controleren of hun apparaten zijn voorzien van een implant. Het bedrijf noemt het van groot belang vast te stellen of systemen gecompromitteerd zijn en actie te ondernemen indien een implant is ontdekt.
Een beveiligingsupdate van Cisco voor het probleem is nog altijd niet voorhanden, wel een mitigerende maatregel die systemen kan beschermen.
Alles bij de bron; Security
Bioscoopketen Vue heeft klanten gewaarschuwd voor een datalek in de webomgeving waarbij mogelijk persoonsgegevens zijn getroffen.
Het gaat om naam, geslacht, e-mailadres, geboortedatum, postcode, adresgegevens, foto, wachtwoordhashes, bankrekeningnummer en ticketbestelgegevens. Afgelopen zomer meldde RTL Nieuws op basis van een tip van een ethisch hacker dat Vue de privégegevens van honderdduizenden klanten lekte.
Via een kwetsbaarheid in de website kon de broncode worden ingezien. Via de broncode werd informatie gevonden die toegang gaf tot de database van de bioscoopketen en de dienst die de betalingen verwerkt. Daarnaast bleek de website kwetsbaar voor SQL-injection.
Getroffen klanten hebben vandaag een e-mail ontvangen waarin Vue waarschuwt dat hun gegevens mogelijk zijn getroffen. Wat betreft de gebruikte kwetsbaarheden zijn die inmiddels verholpen. "Ook hebben wij extra beveiligingsverbeteringen doorgevoerd bij onze website en app, en extra beveiligingscontroles en monitoring geïmplementeerd", zo laat Vue verder weten.
Alles bij de bron; Security
Een ethisch hacker waarschuwde het openbaar vervoersbedrijf Arriva vorige week voor een datalek in het contactformulier op de Arriva-website. De hacker kon daardoor alles zien wat 195.000 mensen op het formulier hadden ingevuld. Arriva vroeg in het formulier niet alleen naar de voornaam, achternaam en het e-mailadres. Maar ook om bijvoorbeeld het telefoonnummer en de geboortedatum.
Beleidsadviseur Rejo Zenger van privacyorganisatie Bits of Freedom; "Ik snap niet dat bedrijven zoveel gegevens vragen. Dat betekent dat je ook meer gegevens moet beschermen."
"Een bedrijf heeft jouw geboortedatum, geslacht, foto, socialemedia-accounts of wat voor andere persoonsgegevens in principe niet nodig voor het doel van een contactformulier", zegt Schenkel van de AP. Het bedrijf mag die gegevens dan ook niet opvragen. Behalve als het een goede of logische reden heeft om die gegevens aan je te vragen.
Als je verplicht wordt om op een website meer gegevens in te vullen dan in jouw ogen nodig is, dan kun je daar volgens Zenger op twee manieren mee omgaan. "Je kunt kijken of je het bedrijf kunt bellen. In dat geval bepaal je zelf welke gegevens je verstrekt."
Anders kun je bewust foutieve informatie invullen. Zenger: "Als ik een handleiding van een product opvraag bij een bedrijf, hebben ze in mijn ogen mijn telefoonnummer of geboortedatum niet nodig. Als die wel worden gevraagd, vul ik daar iets willekeurigs in."
Alles bij de bron; NU
In september 2021 maakte de HAN bekend dat het was getroffen door een datalek waarbij persoonsgegevens in handen van een aanvaller waren gekomen. De aanvaller eiste losgeld van de onderwijsinstelling, anders zou hij de gestolen data publiceren. Uit het onderzoek dat naar de aanval werd ingesteld bleek dat de aanvaller toegang tot een server had gekregen waarop persoonlijke informatie stond.
Het ging om ruim 530.000 unieke mailadressen, alsmede zo'n 15.000 "meer privacygevoelige gegevens", waaronder politieke voorkeur, BSN-nummer, niet versleutelde wachtwoorden, paspoort- en identiteitskaartnummers en meldingen over functiebeperkingen en studievertragingen.
Van een oud-student is mogelijk een formulier met zeer vertrouwelijke gegevens en medische info rond zijn studievertraging buitgemaakt. Hij eiste een vergoeding van duizend euro voor opgelopen immateriële schade en een schuldbekentenis van de onderwijsinstelling, maar die wilde daar niet in mee gaan. Wel kreeg hij een studentpsycholoog aangeboden. De oud-student vond het aanbod 'misplaatst', omdat hij dan opnieuw gevoelige gegevens met zijn voormalige hogeschool moet delen. Daarop spande hij een rechtszaak aan.
De aanvaller kon de gegevens stelen door middel van SQL-injection, een probleem dat al sinds 1998 bekend is, maar nog altijd voorkomt omdat webontwikkelaars onveilig programmeren en organisaties hun applicaties niet laten controleren.
De rechter merkt op dat de hogeschool slecht gereageerd heeft op de klacht van de student dat het webformulier verouderd was en er geen sprake van een passende technische maatregel is, zoals de AVG vereist. Hierop stelde de hogeschool dat het formulier sinds 2018 online staat en niet eerder is gecompromitteerd.
De oud-student eiste een vergoeding wegens immateriële schade. Volgens de rechter heeft het lekken van de persoonsgegevens van de oud-student niet tot schade geleid. Het lekken van de bijzondere persoonsgegevens (medische gegevens) wel. Daarbij speelt mee dat de oud-student zelf zeer zorgvuldig met zijn medische gegevens omging. Hij deelde zijn gegevens alleen met de hogeschool, omdat die hem verzekerde dat zijn verhaal veilig was.
Gezien het feit dat het om gevoelige medische gegevens gaat, het verlies aan controle over de gegevens blijvend is, afgezet tegen de omstandigheid dat niet is gebleken dat het datalek tot concrete negatieve gevolgen heeft geleid, komt de kantonrechter op een schadebedrag van driehonderd euro uit.
Alles bij de bron; Security
De Technische Universiteit Eindhoven heeft een 1,3 uit de vijf mogelijke punten gekregen voor de omgang op de universiteit met de privacyregels. Dat blijkt het het rapport van de Functionaris Gegevensbescherming.
Het rapport over 2022 werd dinsdagmiddag behandeld door de universiteitsraad.
Volgens Functionaris Gegevensbescherming (FG) ontbreekt het vooral aan volwassenheid in de omgang met data. De FG ziet ook positieve punten, zoals bewustzijn rond privacyregels. Gehoopt wordt dan ook dat dat leidt tot een echt ‘privacy-cultuur’ op de universiteit. Ook ziet de FG dat steeds vaker de goede raad van privacy-professionals wordt gevraagd, maar niettemin wordt nog altijd onvoldoende gehoor gegeven aan privacywetgeving.
Ook wordt in het rapport teruggekeken naar het grote datalek van campuskaarten van de universiteit. “Hoewel de universiteit dit datalek correct heeft afgehandeld, bleek de verwerking tussen de TU/e en ID-Ware zelf niet in overeenstemming met de AVG. Door het lage volwassenheidsniveau van de TU/e was de omvang van het incident zo excessief”, aldus de FG.
De universiteit wil eind 2025 de omgang met privacyregels hebben verbeterd, tegen die tijd moet de universiteit drie van de vijf punten weten te behalen.
Alles bij de bron; Studio040
NXP heeft persoonlijke gegevens van klanten gelekt die een account op NXP.com hadden aangemaakt. Dat blijkt uit een e-mail die het bedrijf naar getroffen klanten heeft gestuurd. Via een account is het mogelijk om technische content te bekijken en community support te krijgen. Het datalek deed zich op 11 juli voor, aldus de het bericht. Hoe de gegevens konden worden gestolen laat NXP niet weten.
De chipmaker stelt in een reactie dat het om namen, e-mailadressen, adresgegevens, zakelijke telefoonnummers, mobiele telefoonnummers, bedrijfsnamen, functietitel en omschrijving en communicatievoorkeuren gaat. De e-mail die NXP naar getroffen klanten stuurde werd drie weken geleden al door meerdere X-gebruikers gedeeld.
Alles bij de bron; Security
Weggeefforum Freecycle.org heeft de gegevens van meer dan zeven miljoen gebruikers gelekt. Het gaat om gebruikersnamen, met MD5 gehashte wachtwoorden en e-mailadressen die sinds juni op internet te koop worden aangeboden. Het forum telt meer dan vijfduizend stadsgroepen, waaronder ook in Nederland.
De aanvaller die de data aanbiedt stelt dat het om meer dan zeven miljoen gebruikers gaat, terwijl Freecycle claimt meer dan negen miljoen gebruikers te hebben. Vorige week meldde Freecycle dat het slachtoffer van een datalek was geworden.
Alles bij de bron; Security
RTL Nieuws ontdekte dat er een ‘ernstig lek’ bestond bij het Kadaster, het register met informatie over huizen en percelen. Iedereen met een koophuis staat erin, net zoals elk stukje grond in Nederland.
‘Miljoenen woonadressen’ waren zomaar voor iedereen binnen handbereik. ‘De gevoelige informatie is goud waard voor criminelen en andere kwaadwillenden’, stelde RTL. ‘Een groot gevaar voor bedreigde journalisten, activisten en politici’, voegde Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens (AP), voor de zekerheid toe....
Maar wacht ..... het probleem is genuanceerder.
Het Kadaster biedt de mogelijkheid om te zoeken op ‘object’, een adres bijvoorbeeld. Iedereen heeft het recht deze gegevens op te vragen. Zonder restricties, behalve een kleine betaling. Maar voor wie ook andersom wil zoeken – op naam – is een drempel opgeworpen: daarvoor is een zakelijk account met een KvK-inschrijving vereist. Het was mogelijk een nep-account aan te maken door een KvK-nummer van iemand anders in te vullen. De controle was minimaal, zag RTL.
Dit ‘lek’ en de ophef erover werpen echter een schaduw over het werkelijke probleem. Want het ‘besloten gedeelte’, bedoeld voor makelaars en notarissen, is in de praktijk helemaal niet besloten. Er bestaan dertigduizend professionele Kadaster-accounts, en dat zijn behalve makelaars ook financiële instellingen, media en zelfs bakkers en slagerijen. Zij kunnen van iedereen met een koophuis of eigen grond zeer persoonlijke gegevens opvragen. Onbeperkt én rechtmatig.
Dát is een doorn in het oog van de Autoriteit Persoonsgegevens. Opvragen zou volgens voorzitter Wolfsen alleen nog mogelijk moeten zijn als iemand een gerechtvaardigd belang heeft, zoals een notaris of een buurman die wil weten waar de kadastrale grenzen lopen...
...Naast het Kadaster, het Handelsregister en het Ubo bestaan er nog zeker zestig openbare registers met persoonsgegevens.
Wie nu een overdrachtsakte opvraagt bij het Kadaster, krijgt direct álles te zien: hoogte van de hypotheek, paspoortnummer, burgerlijke staat, naam en geboortedatum partner. Berlee: ‘Dit kan allemaal relevante informatie zijn in een bepaald geval, maar is veelal veel meer dan je daadwerkelijk nodig hebt. Het is alles of niets.’ Wolfsen: ‘Dat leidt tot nieuwsgierigheid. Tot misbruik. Tot het opvragen van allerlei gegevens die niet noodzakelijk zijn. De norm is: wat privé is, moet privé blijven.’
Daarom wil AP-voorzitter Wolfsen dat het Kadaster en andere registers de toegang gaan beperken, wat de wet sinds 1838 ook voorschrijft. ‘Het Kadaster moet gaan voldoen aan de AVG, dat is de hogere wet’, zegt Wolfsen. ‘Hoe het Kadaster nu gegevens deelt, is niet meer van deze tijd. We ontdekken nu dat het altijd fout is geweest.’
Alles bij de bron; Volkskrant
Vue is getroffen door een datalek. Zowel bankrekeningnummer, voorletter, achternaam, woonadres, geboortedatum en e-mailadres van honderdduizenden klanten bleken via internet vrij toegankelijk voor onbevoegden. Dit aangezien security-keys die de bestanden toegankelijk maakte op de website van de keten bleken te staan.
Programmeur Sten Lankreijer ontdekte het lek en trok hierover aan de bel bij het bedrijf. De website bleek een tweetal kwetsbaarheden te bevatten. Zo was de broncode van de website toegankelijk, wat het mogelijk maakt de werking van de website te analyseren. Hieruit bleek dat een functie om afbeeldingen te verkleinen een kwetsbaarheid bevat, die het mogelijk maakte aanvullende toegang te verkrijgen.
Het tweede beveiligingsproblemen zit in de inlogpagina van de Vue-database. Een aanvaller kon hierop een SQL-injectie uitvoeren, wat het mogelijk maakte ongewilde programmeercode in te zien.
Een woordvoerder meldt dat de problemen inmiddels zijn verholpen.
Alles bij de bron; DutchIT
Een lek bij het Kadaster zorgt ervoor dat iedereen toegang kan krijgen tot het afgeschermde deel van de database van de instantie. Tik een naam in, dan krijg je het bijbehorende adres – ook van politici en beroemdheden.
Door het lek kan je daadwerkelijk een voor- en achternaam invoeren, en krijg je de adresgegevens van die persoon, zolang die een koophuis heeft. In adressen uit het Kadaster wordt ook actief gehandeld in bijvoorbeeld criminele Telegram-groepen. Inmiddels heeft het Kadaster actie ondernomen, op last van de Autoriteit Persoonsgegevens.
Maar het belangrijkste euvel is niet opgelost: het blijft voor iedereen met een professioneel account mogelijk om in de database te zoeken op naam. Uiteindelijk moet die professionele zoekfunctie worden beperkt tot specifieke beroepsgroepen, zoals notarissen en gerechtsdeurwaarders. Daar is echter een wetswijziging voor nodig. Er moet dan worden vastgesteld wie er toegang tot de gegevens mag hebben, waar nu een grijs gebied bestaat.
Alles bij de bron; Bright