The Dutch HackInfo

Door een kwetsbaarheid in de plug-in ThemeGrill Demo Importer loopt een groot aantal WordPress-sites het risico op verwijdering van inhoud. Onder bepaalde omstandigheden kunnen aanvallers beheerdersrechten verkrijgen.

WebARX, een beveiligingsbedrijf dat gespecialiseerd is in WordPress, meldt na onderzoek dat de versies 1.3.4 tot en met 1.6.1 van ThemeGrill Demo Importer kwetsbaar zijn. De kwetsbaarheid zat daarmee ongeveer drie jaar in de code. Aanvallers kunnen bepaalde code sturen naar WordPress-sites met de plug-in en zo de database terugzetten naar de beginstatus, waardoor alle inhoud verwijderd wordt.

Door een ernstig beveiligingslek in software van Philips Hue-lampen konden hackers de lampen overnemen en verkeer op het verbonden wifinetwerk afluisteren. Het lek werd ontdekt door onderzoekers van Check Point Security.

Eerder toonden onderzoekers al aan dat ze de lampen van Philips konden overnemen. Ze konden de lampen aan of uitzetten en van kleur veranderen. Nu is het ze ook gelukt om via dit beveiligingslek toegang te krijgen tot andere apparaten binnen een wifinetwerk.

Digitale videorecorders, netwerkvideorecorders en ip-camera's met een chip van Hisilicon bevatten een backdoor waardoor de apparaten op afstand kunnen worden overgenomen, zo claimt onderzoeker Vladislav Yarmak. Hij heeft details over het lek openbaar gemaakt zonder dat de fabrikant een update beschikbaar heeft kunnen stellen. Wel zijn er mitigatiemaatregelen die gebruikers kunnen nemen.

Wanneer de apparaten via internet toegankelijk zijn is het mogelijk om via tcp-poort 9530 een commando te versturen dat ervoor zorgt dat Telnet wordt ingeschakeld. Vervolgens is het mogelijk om via een aantal standaardwachtwoorden als root op de camera of recorder in te loggen en zo volledige controle te krijgen, aldus Yarmak. De vereiste wachtwoorden zijn uit de firmware van de apparaten te verkrijgen of via een bruteforce-aanval te achterhalen.

Kali heeft begin dit jaar een zogenaamde 'rolling release' uitgebracht, waardoor je steeds over de nieuwste releases van tools kunt beschikken, wat imho in de snel veranderende wereld van cybersecurity een goed idee is. Merkwaardig genoeg is dit OS, dat is ontworpen voor gebruik als security tool, nog steeds zelf inherent onveilig, als je besluit het niet van een Live CD of live USB stick te draaien, maar het wilt installeren op harde schijf of op een persistent USB stick. Het gebruiken van een persistent Kali installatie is natuurlijk logischer, je wilt immers van de voordelen van een rolling release profiteren door de laatste software bij de hand te hebben.