Comodo's Forum wordt gehackt nadat het bedrijf niet op tijd een beveiligingspatch aanbrengt

Op deze pagina's kunnen we vaak zeggen hoe belangrijk software-updates zijn, niet alleen vanwege de nieuwe functies en prestatieverbeteringen, maar ook vanwege de beveiligingspatches. Op maandag gaf Comodo, dat ironisch genoeg een beveiligingsbedrijf is, ons een verhaal dat illustreert wat er zou kunnen gebeuren wanneer de genoemde patches niet meer dan vier dagen worden vertraagd. Voordat we het probleem echter uitdiepen, moeten we vermelden dat het incident niet echt zo gruwelijk is.

Niet de grootste bres ter wereld

Comodo publiceerde een korte beveiligingsmelding dat op 29 september onbekende hackers toegang kregen tot een database die de informatie van zijn forumgebruikers bevatte. In totaal werden 245.000 records geopend, die elk een naam, een e-mailadres, het meest recente IP-adres van de gebruiker en een "gecodeerd" wachtwoord bevatten.

In het licht van andere recente beveiligingsincidenten, kunnen sommigen in de verleiding komen om deze specifieke inbreuk als onbeduidend te classificeren. De hoeveelheid gegevens die in gevaar is gebracht, is inderdaad niet zo groot, en hoewel de kennisgeving een beetje schaars is over details, zijn er weinig redenen om aan te nemen dat bijzonder gevoelige informatie is blootgesteld.

Dat gezegd hebbende, is het feitelijke mechanisme van de inbraak zorgwekkend, omdat het laat zien dat een herkenbare naam in de cybersecurity-industrie geen updatebeleid heeft opgezet dat het (en zijn gebruikers) veilig kan houden.

Een gepatcht vBulletin-beveiligingslek lag aan de onderkant van het datalek

Op 23 september heeft een anonieme beveiligingsonderzoeker in het openbaar een eerder onbekend beveiligingslek in de vijfde versie van vBulletin, een populaire software op het internetforum, openbaar gemaakt in PHP. Bijgehouden als CVE-2019-16759, is de fout vrij eng om een paar zeer goede redenen.

Ten eerste, hoewel het als een 'zero-day kwetsbaarheid' werd bestempeld, wisten sommige mensen ervan lang voordat het openbaar werd gemaakt. Zoals het register destijds meldde, zeiden experts dat exploitaties al jaren op de ondergrondse markt waren. Met andere woorden, cybercriminelen hebben relatief eenvoudig toegang tot de code die duizenden vBulletin-forums kan schaden.

Bovendien is de aanval niet bijzonder moeilijk om uit te voeren. Het exploiteren van het gat omvat een paar regels Python-code die in een HTTP POST-verzoek worden geplaatst. Die lijnen zijn nu openbaar beschikbaar.

Last but not least, het feit dat CVE-2019-16759 een externe bug is voor het uitvoeren van code betekent dat het hackers de kans geeft om min of meer te doen wat ze willen na een succesvolle exploit.

Omdat de bug zo gevaarlijk is, hebben de ontwikkelaars van vBulletin vrij snel een patch samengesteld. Op 25 september, vier dagen voor de aanval op Comodo, werden fixes voor alle kwetsbare versies vrijgegeven en veiligheidsexperts drongen er bij iedereen op aan om de patches met spoed te installeren. Comodo lette niet op en de resultaten zijn nu duidelijk. Het bedrijf beloofde vanaf nu een strikt updatebeleid te maken en te volgen, en gebruikers kunnen alleen maar hopen dat het zijn woord houdt. Ze kunnen ook hopen dat de volgende keer dat het te maken krijgt met een beveiligingsincident, de mededelingen een beetje duidelijker zijn.

Comodo veroorzaakt enige verwarring met de kennisgeving van datalek

De kennisgeving van datalek werd gepubliceerd op https://forums.comodo.com/ (de forums gewijd aan Comodo en zijn producten), en de 425 duizend records die erin worden vermeld, zijn van mensen die dat specifieke forum hebben gebruikt. De moderator die de kennisgeving publiceerde, deed geen poging om het feit te verbergen dat de aanvallers CVE-2019-16759 misbruikten om de gegevens te stelen, en dit liet nogal wat mensen perplex staan. Zoals sommige gebruikers snel hebben opgemerkt, is https://forums.comodo.com/ gebouwd met Simple Machines Forum, een andere software voor internetberichten die niets te maken heeft met vBulletin.

De moderators moesten vervolgens uitleggen dat de aanvallers https://forum.itarian.com/ daadwerkelijk hadden gehackt, een ander forum dat eigendom is van Comodo en is gebouwd op vBulletin. Aangezien https://forum.itarian.com/ en https://forums.comodo.com/ op dezelfde server worden gehost, kregen de hackers toegang tot niet één maar twee databases. Degene vol met https://forum.itarian.com/ gebruikers had blijkbaar iets meer dan 45 duizend mensen in zich.

Zelfs met de tweede database is de inbreuk niet bijzonder gruwelijk. Dat gezegd hebbende, het onthult wel een ongelukkige waarheid over de huidige staat van cyberveiligheid. Net als het ongebreidelde wachtwoordhergebruik onder beveiligingsexperts, laat dit incident zien dat zelfs professionals niet bereid zijn hun eigen advies te vertrouwen en de meest elementaire beveiligingsprincipes te volgen.