Deze editie draait om firewalls, bedrijfssoftware en servers. Cisco bevestigt dat aanvallers ASA- en FTD-firewalls via de SSL-VPN laten herstarten, aanvallers verkennen een kritiek lek in Oracle E-Business Suite, een kernelfout in de TCP-stack van Linux wacht bij Ubuntu en Red Hat nog op een patch en het GitLab-lek met CVSS 10,0 staat nu in de CISA-catalogus nadat Alpine Linux werd aangevallen.
- Cisco ASA en FTD: aanvallers laten firewalls herstarten via de SSL-VPN
- Oracle E-Business Suite: kritiek SQL-injectielek wordt verkend, Horizon3 publiceert indicatoren
- Linux-kernel: TCP-fout geeft mogelijk root, Ubuntu en Red Hat hebben nog geen patch
- GitLab-lek met CVSS 10,0: nu actief misbruikt en toegevoegd aan de CISA-catalogus
Cisco ASA en FTD: aanvallers laten firewalls herstarten via de SSL-VPN
| Kwetsbaarheid | Logicafout in Cisco Secure Firewall ASA Software en Secure Firewall Threat Defense (FTD) Software bij de Remote Access SSL VPN, wanneer op een tunnelgroep secundaire authenticatie is ingesteld. Een aanvaller zonder inloggegevens kan het apparaat laten herstarten (denial of service) |
| CVE-nummer | CVE-2026-76418 |
| CVSS-score | 8,6 (hoog) |
| Actief misbruikt | Ja, Cisco PSIRT hoorde in oktober 2026 van misbruik. CISA nam het lek op 29 oktober 2026 op in de KEV-catalogus |
| Patch beschikbaar | Ja. ASA: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 en 9.24.10.1. FTD: 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 en 10.1.1 |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens het Cisco-advisory van 28 oktober volstaat een speciaal opgestelde aanvraag bij het verbinden met de SSL remote access VPN. Een geslaagde VPN-login is daarbij niet nodig. Kwetsbaar is een firewall waarop de VPN-loginservice bereikbaar is en waarop secundaire authenticatie is ingesteld op een tunnelgroep. Dat geldt ook voor de standaardgroep DefaultWEBVPNGroup. The Hacker News schrijft dat Cisco geen details geeft over het begin van de aanvallen, de daders of de omvang. Het is al de tweede keer sinds augustus dat Cisco een misbruikte zero-day in de VPN-dienst van deze firewalls repareert.
Wat kan het gevolg zijn?
Voor zover bekend levert dit geen gegevensdiefstal of code-uitvoering op. De aanvaller kan de firewall wel herhaaldelijk laten herstarten, waardoor de remote-toegang van alle gebruikers achter dat apparaat uitvalt. Voor een MSP die voor veel MKB-klanten de VPN beheert, betekent dat uitval op meerdere plekken tegelijk.
Wat moeten IT-beheerders nu doen?
Update naar een van de gefixte releases. Kun je dat niet meteen, controleer dan in de configuratie of secundaire authenticatie op een tunnelgroep staat. Is dat zo, dan kun je die tijdelijk uitschakelen. Cisco ziet dat als noodoplossing die de beveiliging van de VPN verlaagt, en voor de standaardgroep geldt dat uitschakelen van de tunnelgroeplijst alleen helpt als die groep zelf geen secundaire authenticatie gebruikt. Zoek daarnaast in de logboeken naar onverwachte herstarts van ASA- en FTD-apparaten sinds begin oktober.
Oracle E-Business Suite: kritiek SQL-injectielek wordt verkend, Horizon3 publiceert indicatoren
| Kwetsbaarheid | SQL-injectie zonder authenticatie in de Thin Client Framework-servlet van Application Object Library in Oracle E-Business Suite 12.2.3 tot en met 12.2.15, te ketenen tot code-uitvoering op de applicatiehost |
| CVE-nummer | CVE-2026-101767 |
| CVSS-score | 9,8 (kritiek) |
| Actief misbruikt | Ja, in elk geval verkennende pogingen: Defused zag ze op 27 oktober 2026 in zijn EBS-lokaas. Oracle meldt dat aanvallers succesvol waren bij klanten die de patch niet hadden geïnstalleerd |
| Patch beschikbaar | Ja, in de Critical Patch Update van oktober 2026 (20 oktober). Tijdelijke mitigatie: de servlet /OA_HTML/AppsTCFServer uit de URL-allowlist van de firewall halen en de webtier beperken tot vertrouwde netwerken |
Hoe kan de kwetsbaarheid misbruikt worden?
Volgens Help Net Security ontdekten de Horizon3.ai-onderzoekers Brandon Peterson, Jimi Sebree en Noah King de fout en meldden ze die op 24 juli aan Oracle. Oracle noemt het een eenvoudig te misbruiken lek dat via HTTP bereikbaar is. Een aanvaller die de servlet bereikt, voert SQL uit als de databasegebruiker APPS. Horizon3.ai publiceerde indicatoren van compromittering en Censys telde 2.246 webproperties met E-Business Suite. Dat zijn hostnamen en poorten, dus het aantal unieke systemen ligt lager.
Wat kan het gevolg zijn?
Afhankelijk van de installatie liggen financiële gegevens, salaris, HR en inkoop open voor lezen en wijzigen. Daarna kan de aanvaller commando’s uitvoeren op de applicatiehost. De Critical Patch Update is al elf dagen uit, dus omgevingen die die nog niet hebben ingespeeld, zijn nu het doelwit.
Wat moeten IT-beheerders nu doen?
Controleer bij klanten met Oracle E-Business Suite of de oktober-update is geïnstalleerd. Haal tot die tijd de AppsTCFServer-servlet uit de allowlist en sluit de webtier af voor het internet. Loop de indicatoren van Horizon3.ai na in de logboeken van webtier en database, met name op verdachte aanroepen van /OA_HTML/AppsTCFServer sinds 27 oktober.
Linux-kernel: TCP-fout geeft mogelijk root, Ubuntu en Red Hat hebben nog geen patch
| Kwetsbaarheid | Race condition in het opzetten van IPv4-TCP-verbindingen in de Linux-kernel, met een use-after-free als gevolg. De fout zit in de kernel sinds versie 4.4. IPv6 is niet getroffen |
| CVE-nummer | CVE-2026-98432 |
| CVSS-score | 9,8 volgens het kernel-CVE-team. Red Hat, Oracle en SUSE komen uit op 5,9 tot 8,1 en Amazon op 7,0, omdat de race lastig te winnen is |
| Actief misbruikt | Nee, geen misbruik gemeld en niet in de CISA-catalogus (stand 29 oktober). Wel is er een werkende exploit beschreven door Anthropic, die niet openbaar is |
| Patch beschikbaar | Gedeeltelijk. Kernel 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 en 7.3 bevatten de fix. Debian, Oracle Linux (UEK) en Amazon Linux 2023 hebben gepatcht. Ubuntu en Red Hat nog niet |
Hoe kan de kwetsbaarheid misbruikt worden?
Bij het afronden van een verbinding geeft de kernel de IP-opties van het wachtende verzoek door aan de nieuwe socket zonder ze te kopiëren. Wordt die socket vernietigd terwijl een andere processorkern de opties nog gebruikt, dan leest de kernel vrijgegeven geheugen. Volgens The Hacker News meldde Xinyang Ge van Anthropic de fout. Anthropic schrijft dat zijn AI-model Claude een exploit maakte die in twee fasen eerst de kerneladressen (KASLR) omzeilt en daarna een commando als root uitvoert, in de test na ongeveer 48 minuten plus 5 minuten. Het doelwit was een server met een MPTCP-listener. Of MPTCP uitschakelen helpt, is niet bevestigd, want de CVE-beschrijving en de kernelfix noemen MPTCP niet.
Wat kan het gevolg zijn?
Bijna elke Linux-server met IPv4 valt onder de getroffen reeksen. Red Hat verwacht vooral een kernelcrash, maar geheugencorruptie en daarmee rootrechten zijn in theorie mogelijk. Per 29 oktober is Ubuntu 22.04 tot en met 26.10 in behandeling en hebben Ubuntu 16.04, 18.04 en 20.04 geen fix. Bij RHEL 8, 9 en 10 en OpenShift 4 is de fix uitgesteld. RHEL 7 is niet getroffen. Red Hat noemt geen mitigatie die aan de eigen eisen voldoet.
Wat moeten IT-beheerders nu doen?
Installeer waar mogelijk de gefixte kernel en herstart het systeem. Maak een lijst van servers met Ubuntu, RHEL en Amazon Linux 2, want daar is nog geen patch, en volg de CVE-pagina’s van Ubuntu en Red Hat. Blokkeer tot die tijd waar dat kan inkomend verkeer van onbetrouwbare netwerken naar niet-publieke diensten, en zet servers met MPTCP bovenaan de lijst.
GitLab-lek met CVSS 10,0: nu actief misbruikt en toegevoegd aan de CISA-catalogus
| Kwetsbaarheid | Integer overflow in de reguliere-expressiemotor Onigmo (Ruby) in GitLab Community en Enterprise Edition. Een gemanipuleerde regex in een CI/CD-configuratie geeft een aanvaller zonder inloggegevens code-uitvoering op de GitLab-server |
| CVE-nummer | CVE-2026-97229 |
| CVSS-score | 10,0 (kritiek) |
| Actief misbruikt | Ja. CISA nam het lek op 29 oktober 2026 op in de KEV-catalogus. Alpine Linux zag op 20 en 21 oktober aanvalspogingen op zijn eigen GitLab-server |
| Patch beschikbaar | Ja, GitLab-patch van 12 oktober en patch release 19.4.2. Bij een eigen Ruby is ook Ruby 3.3.13, 3.4.12 of 4.0.9 (of nieuwer) nodig |
In de Patchwork van maandag 26 oktober stond een ander GitLab-lek met CVSS 10,0 in dezelfde regex-motor. Het nieuws van vandaag is dat het eerdere lek van 12 oktober nu in het wild wordt misbruikt en dat de GitLab-update alleen niet altijd volstaat.
Hoe is dit misbruikt?
Volgens het incidentbericht van Alpine Linux installeerde het project op 13 oktober per vergissing GitLab 19.3.4 in plaats van 19.3.5, dat de fix bevatte. Op 20 en 21 oktober stuurde een nieuw geregistreerd account gemanipuleerde CI-configuraties naar de server. De GitLab-werkprocessen crashten acht keer en in vier gevallen kwam de aanvaller een stap verder, maar de volgende stap mislukte. De aanvaller downloadde ook de GitLab-containerimage, waarschijnlijk om de exploit op de exacte build af te stemmen. Alpine vond geen bewijs van code-uitvoering, kan die niet uitsluiten en bouwde de server daarom opnieuw op, met nieuwe wachtwoorden en nieuwe geheime sleutels. Een geslaagde aanval laat volgens Alpine geen crash en geen spoor in de weblogs achter. Security.nl beschrijft het incident ook.
Wat kan het gevolg zijn?
Met een geslaagde aanval komt een aanvaller bij wachtwoordhashes, 2FA-geheimen, CI/CD-variabelen, runner-tokens, persoonlijke toegangstokens en privérepositories. Voor een MSP of ontwikkelteam zijn juist die CI/CD-geheimen waardevol, want ze geven toegang tot klantomgevingen. In de KEV-opmerking staat dat ook andere producten dezelfde onderliggende Ruby-fout kunnen hebben.
Wat moeten IT-beheerders nu doen?
Controleer bij zelf gehoste GitLab zowel de GitLab-versie als de Ruby-versie. In officiële GitLab-pakketten en -images zit de Ruby-fix al, maar bij een zelfgebouwde installatie of een image met eigen Ruby is die nodig, zoals beschreven in de Ruby-aankondiging. Is de server van buiten bereikbaar en stond hij in de dagen na 12 oktober nog op een kwetsbare versie, behandel hem dan als mogelijk gecompromitteerd: vervang tokens, geheimen en wachtwoorden en zoek in de logboeken naar workercrashes en nieuwe accounts.
Het bericht Patchwork – vrijdag 30 oktober verscheen eerst op MSP Business.
Read more here: https://mspbusiness.com/security-en-privacy/patchwork-vrijdag-30-oktober/
