Certificaatautoriteit eMudhra gebruikte het getal 4 als sleutel

Bij eMudhra blijkt het vertrouwen in het internet aan een getal van één cijfer te hebben gehangen, en netwerkapparatuur van Arista wordt al aangevallen terwijl de update net uit is. Daarnaast vroeg de ACM aan energieleveranciers waarom ze bij de grote cloudbedrijven blijven, en Apple liet zien wat Siri AI in Europa nog niet doet.

eMudhra koos als sleutel het getal 4

Cloudflare hoorde op 19 oktober van acht extreem zwakke sleutels van de certificaatautoriteit eMudhra. Waar een getal van 115 cijfers hoorde te staan, stond voor één sleutel het getal 4, de andere zeven waren 56, 66, 115, 155, 156, 230 en 237. Volgens Cloudflare zijn de bijbehorende privésleutels uit de openbare certificaten zelf terug te rekenen, zodat iedereen certificaten voor willekeurige domeinen kan maken die een niet-gepatchte client accepteert die Certificate Transparency niet afdwingt.

eMudhra stapt uit de handel in openbare certificaten en wijt het aan een fout in een script voor het genereren van sleutels. Dat script is nog niet gedeeld. Cloudflare zegt dat eerdere gehackte autoriteiten, zoals DigiNotar, TÜRKTRUST en Trustwave, minder breed uit te buiten waren, en publiceerde nu een vervolg over misbruik en over hoe snel bezoekers hun systemen bijwerken. Zelf paste het bedrijf de proxies voor verbindingen naar klanten binnen uren aan. Eerder meldden we al dat Home Assistant OS 18.4 de eMudhra-certificaten uit de vertrouwde lijst haalt.

Bron: Cloudflare

Arista-lek wordt actief misbruikt, Dell en Linux volgen

Arista heeft een SQL-injectie in VeloCloud Orchestrator On-Prem verholpen (CVE-2026-114625, CVSS 9,9). Het NCSC schrijft dat Arista actief misbruik bevestigt. Een account met de laagste rol, Enterprise Read Only, is genoeg om operatorrechten te krijgen, en de functie staat standaard open zonder instelling om dat te beperken. Gehoste VCO-instanties zijn al gepatcht, wie de software zelf draait moet updaten en nagaan of er al iemand binnen is geweest.

Dell dichtte in PowerProtect Data Domain vier kwetsbaarheden met een score van 9,8 die zonder inloggen op afstand te misbruiken zijn, plus drie in Data Domain Management Center (9,6, 9,6 en 9,1). Voor de Linux-kernel meldt het NCSC een race condition in de IPv4 TCP-stack en een fout in de controle van checksum-gegevens, PwnEscape genoemd, waarmee een gastmachine uit zijn virtuele machine kan breken. Grootschalig misbruik acht het NCSC daarbij niet waarschijnlijk.

Bron: NCSC over Arista, NCSC over Dell, NCSC over de Linux-kernel

Energieleveranciers blijven bij Microsoft, Amazon en Google

De ACM stuurde een vragenlijst naar alle Nederlandse energieleveranciers en sprak IT-professionals bij tien van hen. De meeste willen hun digitale autonomie versterken, maar kiezen op kosten, functies en integratie met hun eigen systemen, en blijven bij één of enkele hyperscalers. Europese alternatieven schieten volgens de leveranciers vaak tekort in gebruiksgemak en functionaliteit.

Wie wel overstapte naar een Europees alternatief, is tevreden over kosten, functies en flexibiliteit, al verliep de overstap soms moeizaam. De ACM wijst op de Data Act, die overstappen makkelijker moet maken en waarop zij toezicht houdt. Bestuurslid Manon Leijten zegt: “Het is goed dat digitale autonomie op de agenda staat.” Bedrijven die worden tegengehouden bij een overstap kunnen dat bij de ACM melden. Dat sluit aan op wat we over het Haagse Merlon en de Amerikaanse CLOUD Act schreven.

Bron: ACM

Siri AI krijgt vijf talen erbij, maar niet in de EU

Met de 27.2-updates van 26 oktober werkt Siri AI ook in het Frans, Japans, Koreaans, Portugees en Spaans. Chinees (traditioneel), Noors, Turks en Vietnamees volgen volgens Apple voor het einde van het jaar. Nederlands staat niet op de lijst, en op iOS, iPadOS en watchOS is Siri AI in de EU helemaal niet beschikbaar. Apple zegt constructief met de EU te werken om een weg vooruit te vinden.

De functie draait in bèta en sommige onderdelen die op servermodellen leunen, hebben een dagelijkse limiet. Meer gebruik wil Apple later tegen betaling aanbieden. Voor Nederlandse gebruikers verandert er dus voorlopig niets.

Bron: Apple

MacBook Pro krijgt een aanraakscherm

Apple presenteerde op 28 oktober een MacBook Pro van 14 en 16 inch met een tandem-oledscherm, PROLED XDR genoemd, en voor het eerst aanraakbediening op de Mac. Volgens Apple haalt het scherm tot 2000 nits piekhelderheid, en de laptop draait op M5 Pro of M5 Max met tot 128 GB geheugen en 16 TB opslag. De Dynamic Island komt naar de Mac. Een dag eerder introduceerde Apple al een 14-inch model met de nieuwe M6-chip en het bestaande Liquid Retina XDR-scherm, dat volgens het bedrijf tot 30 procent snellere graphics geeft dan de M5.

Beide modellen kunnen worden voorbesteld en komen op 6 november in de winkel. Het zijn productclaims van Apple, onafhankelijke metingen ontbreken nog.

Bron: Apple over de MacBook Pro met PROLED XDR, Apple over de 14-inch met M6

Google krijgt antwoord van een TPU in een baan om de aarde

Google lanceerde op 1 oktober een prototypesatelliet voor Project Suncatcher, een onderzoek naar rekenkracht voor AI in de ruimte. Deze week kwam de eerste reactie van een TPU van datacenterklasse in een baan: Google stuurde via een grondstation een opdracht naar het open model Gemma 4 aan boord, dat een haiku over de ruimte terugstuurde bij een overvlucht van Spitsbergen.

Het bedrijf test nu hoe de chips omgaan met hitte en straling. Twee onderling verbonden satellieten staan voor 2027 op de planning. Of rekenen in de ruimte ooit rendabel wordt, zegt de blogpost niet.

Bron: Google