Kennisbank
Insights
Alerts!
Kwetsbaarheid verholpen in Windows Paint van Microsoft
Microsoft heeft een kwetsbaarheid verholpen in Windows Paint. De kwetsbaarheid betreft een out-of-bounds read in Microsoft Windows Paint (CWE-125), waardoor een aanvaller onder specifieke omstandigheden willekeurige code kan uitvoeren op het getroffen systeem.
Kwetsbaarheid verholpen in OpenSSH door OpenSSH Project
Het OpenSSH project heeft een kwetsbaarheid verholpen in sshd van OpenSSH versies ouder dan 10.6p2. De kwetsbaarheid treft Linux systemen die gebruikmaken van musl libc en waarop PAM niet wordt gebruikt. De kwetsbaarheid betreft een bypass van de SSH-wachtwoordauthenticatie bij gebruik van wachtwoorden met een lengte van 257 tot 1024 bytes. De oorzaak ligt in de interactie tussen de authenticatieafhandeling van OpenSSH (sshd) en de implementatie van crypt() in musl libc, in omgevingen waarin PAM niet wordt gebruikt. Hierdoor kan een aanvaller onder specifieke omstandigheden de wachtwoordverificatie omzeilen en mogelijk ongeautoriseerde toegang tot het systeem verkrijgen. Misbruik vereist dat aan meerdere voorwaarden wordt voldaan: - Het systeem draait Linux met musl libc, zoals Alpine Linux. - OpenSSH draait zonder PAM. - PasswordAuthentication is ingeschakeld. - Er is een account aanwezig met een * als password hash en minimaal één ander account met een geldige SHA-256 of SHA-512 password hash. De kwetsbaarheid is daarmee beperkt tot specifieke configuraties. Reguliere Debian en Ubuntu installaties, die gebruikmaken van glibc, vallen buiten het beschreven toepassingsgebied. Vanuit securityoogpunt wordt geadviseerd SSH-beheerdiensten niet rechtstreeks aan het internet bloot te stellen. Beperk de toegang waar mogelijk tot vertrouwde netwerken en schakel wachtwoordauthenticatie uit wanneer deze niet noodzakelijk is.
Kwetsbaarheid verholpen in Zyxel product
Zyxel heeft een kwetsbaarheid verholpen in de firmware van de Zyxel GS1900-24E netwerk switch, specifiek in versie 2.90(AAHK.2)C0 en eerder. De kwetsbaarheid betreft een out-of-bounds write in het CGI-programma van de management-interface van het apparaat. Een niet-geauthenticeerde aanvaller met toegang tot de management-interface kan via speciaal vervaardigde HTTP-verzoeken commando's uitvoeren op het systeem. De fout ontstaat door onjuiste bounds checking in de CGI-component, wat kan leiden tot het uitvoeren van commando's. Volgens openbare nieuwsberichten zou de kwetsbaarheid actief als zero-day zijn misbruikt. Het NCSC heeft dit nog niet onafhankelijk kunnen verifiëren. Het is goed gebruik om managementinterfaces in een apart netwerk onder te brengen en deze niet rechtstreeks vanaf het internet bereikbaar te maken.
Kwetsbaarheden verholpen in Google Android en Samsung Mobile
Google heeft kwetsbaarheden verholpen in Android. Samsung heeft de voor Samsung Mobile relevante kwetsbaarheden verholpen in hun producten. De ernstige kwetsbaarheden betreffen onder andere mogelijkheden voor het uitvoeren van willekeurige code op afstand (Remote Code Execution) en het verkrijgen van verhoogde systeemrechten (Privilege Escalation). Hierdoor kunnen aanvallers ongeautoriseerde toegang krijgen tot systeemonderdelen en de controle over het apparaat verkrijgen. Er zijn op dit moment geen berichten bekend over actief misbruik van deze kwetsbaarheden.
Kwetsbaarheid verholpen in WordPress Core
WordPress heeft een kwetsbaarheid verholpen in WordPress Core versies 4.7 tot en met 7.1.3. De kwetsbaarheid maakt misbruik mogelijk van een TOCTOU-racecondition (Time-of-Check to Time-of-Use) tijdens volledige WordPress Core-upgrades. Hierdoor kan een niet-geauthenticeerde aanvaller op afstand code uitvoeren op de server door het korte upgradevenster te misbruiken waarin de stagingdirectories via het web toegankelijk zijn. Voor succesvolle exploitatie moet de aanvaller erin slagen om tijdens dit beperkte upgradevenster de racecondition te benutten. CISA heeft bevestigd dat CVE-2026-119977 actief wordt misbruikt en heeft de kwetsbaarheid op 3 november 2026 toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus.
