ServiceNow dicht lek waardoor klantgegevens zonder wachtwoord opvraagbaar waren
Een fout in een API-configuratie van ServiceNow stelde onbevoegden in staat om zonder authenticatie klantgegevens op te vragen. Het bedrijf heeft een beveiligingsupdate uitgerold en onderzoekt nog welke gegevens precies zijn geraadpleegd.
Kernpunten
- ServiceNow ontdekte afwijkende activiteiten terug te voeren op een kwetsbaarheid in een API-configuratie.
- Aanvallers konden onder bepaalde omstandigheden zonder authenticatie klantgegevens opvragen.
- Het bedrijf heeft een beveiligingsupdate uitgerold en heeft klanten over het incident geïnformeerd.
- Onderzoek naar de exacte omvang van de geraadpleegde gegevens loopt nog.
ServiceNow heeft klanten gewaarschuwd voor een beveiligingsincident waarbij onbevoegden gegevens uit klantomgevingen konden opvragen. Dat meldt Techzine op basis van berichtgeving van BleepingComputer.
Het cloudplatform voor bedrijfssoftware ontdekte afwijkende activiteiten die terug te voeren waren op een misconfiguratie in een API — een koppelvlak waarmee softwaresystemen met elkaar communiceren. Door die fout konden aanvallers onder bepaalde omstandigheden toegang krijgen tot klantdata zonder dat zij zich hoefden te authenticeren, dat wil zeggen zonder gebruikersnaam of wachtwoord.
ServiceNow heeft inmiddels een beveiligingsupdate uitgerold. Het bedrijf onderzoekt nog welke gegevens precies zijn ingezien.
Wat betekent dit voor de BeNeLux?
Organisaties die het platform gebruiken, doen er verstandig aan de communicatie van ServiceNow over dit incident te volgen en na te gaan of hun omgeving door de update is gedekt.