The Dutch HackInfo

Opnieuw is er een bluetooth-slot ontdekt dat gegevens van alle gebruikers blijkt te lekken, waaronder e-mailadres, wachtwoordhash en locatiegegevens van het slot. Daarnaast kan een aanvaller het slot op afstand overnemen en zelf openen of ervoor zorgen dat de gebruiker het slot niet meer kan gebruiken.

Een oplossing is niet beschikbaar, behalve het niet meer gebruik van het slot. Het gaat om de Noke lock, een goedkoop bluetooth-slot dat onder andere via Amazon wordt aangeboden. Gebruikers kunnen het slot via een app en bluetooth-verbinding bedienen. De implementatie van het bluetooth-protocol laat te wensen over, waardoor een aanvaller op 10 meter afstand het slot kan openen.

WhatsApp bevestigt dat het afgelopen dagen aan de kant van servers en gebruikers een fix heeft uitgerold voor een kwetsbaarheid in zijn app. Die kwetsbaarheid maakte het mogelijk om via WhatsApp-bellen spyware te verspreiden om smartphonegebruikers te bespioneren.

De exacte details zijn nog niet bekend, maar de exploit misbruikte het voip-systeem in WhatsApp om binnen te dringen in iOS of Android, zegt Financial Times. Vervolgens zou het mogelijk zijn geweest om smartphonegebruikers te bespioneren. De fix op servers is er sinds vrijdag, terwijl gebruikers vanaf maandag een patch zouden kunnen krijgen. De nieuwste versies in de Play Store en App Store zijn van zaterdag en maandag, maar de changelog vermeldt niets over de fix.

Onderzoekers van onder andere de KU Leuven beschrijven een aanval op de handshake van het wpa3-Personal-protocol waarmee wifi-wachtwoorden te achterhalen zijn. De handshake blijkt enkele ontwerpfouten te bevatten.

De Wi-Fi Alliance heeft een beveiligingsupdate voor wpa3 aangekondigd en bedankt de onderzoekers, Mathy Vanhoef van de New York University Abu Dhabi en Eyal Ronen van de Tel Aviv University en KU Leuven voor de ontdekking en de melding. Dit zorgt er volgens de organisatie voor dat de industrie updates kan voorbereiden voor de brede beschikbaarheid van wpa3-personal. Wpa3 is de opvolger van wpa2 en moet de beveiliging flink verbeteren. De opvolger komt in een personal-versie voor thuisnetwerken en een enterprise-variant met 192bit-encryptie. Wpa2 bleek vatbaar voor een Krack-aanval, wat staat voor Key reinstallation attack. Die aanval werd ook al ontdekt door Mathy Vanhoef.

De Amerikaanse geheime dienst NSA heeft de broncode van Ghidra openbaar gemaakt, een gratis opensourcetool voor het reverse engineeren van software. Via het programma kunnen onderzoekers en reverse engineers software analyseren en onderzoeken.

Als voorbeeld noemt de Amerikaanse geheime dienst het onderzoeken van kwaadaardige code zoals malware. Ook moet het cybersecurityprofessionals een beter besef geven van potentiële kwetsbaarheden in hun netwerken en systemen. Ghidra werd begin maart door de NSA uitgebracht, maar de broncode was op dat moment nog niet beschikbaar. Die is inmiddels via GitHub in te zien, zo laat de Amerikaanse geheime dienst via Twitter weten. Op deze manier kunnen gebruikers controleren dat de tool ook daadwerkelijk op de broncode is gebaseerd.

Zo'n 12.000 Cisco RV-routers zijn kwetsbaar voor aanvallen omdat ze via internet toegankelijk zijn en een ernstig beveiligingslek bevatten en het lijkt erop dat aanvallers inmiddels actief naar kwetsbare apparaten aan het zoeken zijn.

Cisco kwam vorige week met een beveiligingsupdate voor de RV110W Wireless-N VPN Firewall, RV130W Wireless-N Multifunction VPN Router en RV215W Wireless-N VPN Router. Een beveiligingslek in de firmware maakt het mogelijk om de router over te nemen door een speciaal geprepareerd http-verzoek naar de webinterface te versturen. De webinterface is standaard niet via internet toegankelijk, maar wel wanneer remote beheer is ingeschakeld.

Kali heeft begin dit jaar een zogenaamde 'rolling release' uitgebracht, waardoor je steeds over de nieuwste releases van tools kunt beschikken, wat imho in de snel veranderende wereld van cybersecurity een goed idee is. Merkwaardig genoeg is dit OS, dat is ontworpen voor gebruik als security tool, nog steeds zelf inherent onveilig, als je besluit het niet van een Live CD of live USB stick te draaien, maar het wilt installeren op harde schijf of op een persistent USB stick. Het gebruiken van een persistent Kali installatie is natuurlijk logischer, je wilt immers van de voordelen van een rolling release profiteren door de laatste software bij de hand te hebben.