Olulisemad turvanõrkused 2024. aasta 11. nädalal

Illustratsioon: palju pisikesi tehnilisi detaile, keskel suuremalt avatud ekraaniga sülearvuti ning monitor

100 000 WordPressi veebilehte on turvanõrkuse tõttu ohus

Kõrge mõjuga turvanõrkus CVE-2024-2123 mõjutab pistikprogrammi “Ultimate member” ning eduka ründe korral on võimalik haavatud veebilehele pahaloomulisi skripte sisestada. Turvaauku on võimalik ära kasutada ründajal, kellel ei ole lehel õigusi. Ründe läbiviimisel saab ta endale administraatoriõigused lisada.

“Ultimate member” võimaldab WordPressi administraatoril hallata kasutajate registreeringuid, sisselogimisi, profiile ja rolle.

Pistikprogrammi kasutab umbes 200 000 WordPressi veebilehte ja eeldatavasti on pooled neist paikamata versiooniga. Viga on parandatud tarkvara versioonis 2.8.4. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada (SW).

Microsoft paikas oma toodetes 60 haavatavust

Microsoft parandas kokku 60 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvavigadest on vaid kaks haavatavust hinnatud kriitilise mõjuga veaks – need mõlemad mõjutavad Microsoft Hyper-V virtualiseerimislahendust.  Turvavead tähistega CVE-2024-21407 ja CVE-2024-21408 võivad eduka ründe korral kaasa tuua koodi käivitamise ja teenuste tõkestamise. Lisaks paigati ka neli turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud linkidelt. Ükski parandatud turvavigadest ei olnud nullpäeva turvanõrkus (BCSA).

TeamCity turvanõrkuseid kasutatakse ära lunavararünnete läbiviimisel

Märtsi alguses tulid avalikuks turvavead TeamCity tarkvaras, mille kaudu on võimalik autentimisest mööda minna ja saada ohvri serveris administraatoriõigused. Kirjutasime neist haavatavustest ka siin blogis.

Turvavea avastasid Rapid7 teadurid, kes avalikustasid haavatavuste täpsema tehnilise info vaid paar tundi pärast seda, kui tarkvaratootja JetBrains oli jõudnud vead paigata. See aga tõi kaasa ründelaine – kohe pärast vea avalikustamist võtsid ründajad need sihikule ja hakkasid otsima turvapaikamata tarkvarasid.

LeakIX-nimeline projekt, mis otsib veebist haavatavaid ja valesti konfigureeritud süsteeme, nägi massilist turvavigade ärakasutamist. Nende hinnangul lõid petturid kontosid vähemalt 1400 korral. Lisaks kasutas TeamCity haavatavust tähisega CVE-2024-27198 ligipääsu saamiseks ka lunavararühmitus nimega BianLian, kes on varem rünnanud kriitilise infrastruktuuri taristut.

JetBrains on ka ise öelnud, et mitmed nende kliendid on teavitanud kompromiteeritud serveritest ja krüpteeritud failidest (SW, GS, TR).

QNAP paikas NAS-seadmete kriitilise mõjuga turvanõrkuse

QNAP paikas kriitilise turvavea tähisega CVE-2024-21899, mille kaudu on ründajal võimalik saada ligipääs NAS-seadmele. Ettevõtte sõnul mõjutab haavatavus QTS, QuTS hero ja QuTScloud tooteid. Lisaks paigati ka turvavead tähistega CVE-2024-21900 ja CVE-2024-21901, mis võivad kaasa tuua pahaloomulise koodi käivitamise. QNAP ei maini oma teavituses, et turvanõrkusi oleks õnnestunud rünnete läbiviimisel ära kasutada, kuid QNAP-toodete turvavead on varem olnud rünnete all ja seetõttu on kõigil kasutajatel soovitatav tarkvara uuendada (SW).

Fortinet paikas taas oma toodetes kriitilisi haavatavusi

Fortinet avaldas turvauuenduse, millega paigatakse FortiOSi, FortiProxy ja FortiClientEMSi tarkvarades olevad kriitilised koodi käitamise haavatavused. Turvaviga tähisega CVE-2023-42789 on hinnatud kriitilise CVSS skooriga 9.3/10 ja selle kaudu on võimalik saata kompromiteeritud seadmele pahaloomulisi HTTP-päringuid. Viga mõjutab Fortineti FortiOSi versioone 7.4.0 kuni 7.4.1, 7.2.0 kuni 7.2.5, 7.0.0 kuni 7.0.12, 6.4.0 kuni 6.4.14, 6.2.0 kuni 6.2.15 ning FortiProxy versioone 7.4.0, 7.2.0 kuni 7.2.6, 7.0.0 kuni 7.0.12, 2.0.0 kuni 2.0.13.

Lisaks paigati ka teine kriitiline turvaviga CVE-2023-48788, mis võimaldab ründajal käivitada SQLi käske. Viga mõjutab FortiClientEMS versioone 7.2 ja 7.0. Kõigil Fortineti toodete kasutajatel tuleks tarkvara uuendada. Fortineti haavatavusi on ära kasutatud nii lunavararünnakute kui ka küberspionaaži läbiviimisel. Näiteks avaldas Fortinet veebruaris, et Hiina päritolu rühmitus on kasutanud just FortiOSi turvavigasid ning saanud nende abil ligipääsu Hollandi kaitseministeeriumi võrgule (SA, BC).

Cisco paikas ruuterite turvavead

Cisco paikas mitmeid haavatavusi ruuterite tarkvaras. Nende hulgas oli kolm kõrge mõjuga turvaviga, mis mõjutavad Cisco IOS XR tarkvara ja võivad kaasa tuua nii õigustega manipuleerimise kui ka teenuste tõkestamise.

Kõrge mõjuga turvavead on tähistega CVE-2024-20318, CVE-2024-20320 ja CVE-2024-20327. Vead mõjutavad erinevaid Cisco ruuterite seeriaid – näiteks Cisco 8000 ja 5700 seeria, NCS 540 ja ASR 9000. Turvavead on parandatud IOS XR tarkvara uues versioonis (SA, Cisco).

Olulisemad turvanõrkused 2024. aasta 10. nädalal

Apple paikas kaks uut nullpäeva turvanõrkust

Apple avaldas turvauuenduse, millega paigatakse kaks iOS tarkvara nullpäeva turvanõrkust, mida on juba rünnete läbiviimisel kuritarvitatud. Turvanõrkused (CVE-2024-23225 ja CVE-2024-23296) võimaldavad ründajal turvaseadistusest mööda minna.

Turvavead mõjutavad järgmisi Apple’i seadmeid:

  • iPhone XS ja uuemad, iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation
  • iPad Pro 12.9-inch 2nd generation ja uuemad, iPad Pro 10.5-inch, iPad Pro 11-inch 1st generation ja uuemad, iPad Air 3rd generation ja uuemad, iPad 6th generation ja uuemad ning iPad mini 5th generation ja uuemad.

Vead on parandatud tarkvarades iOS 17.4, iPadOS 17.4, iOS 16.76 ja iPad 16.7.6 ning kõigil kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik. Sel aastal on Apple paiganud kolm nullpäeva turvanõrkust. Apple’i turvanõrkusi on varasemalt kasutatud sihitud rünnete läbiviimiseks ja seetõttu on seadmete tarkvara oluline uuendada (BC, Apple).

Androidi tarkvarauuendus parandab kriitilise koodi kaugkäituse vea

Androidi nutiseadmetes paigati 38 turvaviga, nende hulgas oli kaks kriitilist haavatavust tähistega CVE-2024-0039 ja CVE-2024-23717, mis võivad kaasa tuua pahaloomulise koodi kaugkäivitamise ja õigustega manipuleerimise. Kriitilised turvavead mõjutavad Androidi versioone 12, 12L, 13 ja 14.

Lisaks paigati veel 50 haavatavust Pixeli nutiseadmetes – nende hulgas oli ka 16 kriitilist viga. Hetkel teadaolevalt ei ole turvavigasid õnnestunud kuritarvitada, kuid soovitame Androidi nutiseadmete tarkvara uuendada esimesel võimalusel (SW, Android).

Hikvision paikas kõrge mõjuga turvanõrkuse oma tarkvaras

Hiina videovalveseadmete tootja Hikvision teatas, et on paiganud kaks turvaviga tarkvaras HikCentral Professional. Nimetatud tarkvara kasutatakse erinevate turvasüsteemide haldamiseks. Nendest on suurema mõjuga turvaviga tähisega CVE-2024-25063, mille kaudu võib ründaja saada volitamata juurdepääsu teatud veebiaadressidele. Viga mõjutab HikCentral Professionali versiooni 2.5.1 ja vanemaid.

Hikvision soovitab kõigil oma klientidel tarkvara värskendada, kuna varasemalt on nende toodete turvaauke pahatahtlike rünnakute käigus ära kasutatud (SW).

Kriitilised TeamCity turvanõrkused ohustavad tarkvara tarneahelat

TeamCity näol on tegemist ettevõtte tarkvaraarenduse platvormiga, mida kasutab enam kui 30 000 organisatsiooni üle maailma. TeamCity kliendid on näiteks Citibank, Nike ja Ferrari. Haavatavused tähistega CVE-2024-27198 ja CVE-2024-27199 võimaldavad ründajal

autentimisest mööda minna ja saada ohvri serveris administraatoriõigused. Vead on paigatud TeamCity versioonis 2023.11.4 ja tootja kutsub üles kõiki kasutajaid tarkvara uuendama. Kui seda ei ole võimalik teha, siis tuleks ajutiselt peatada serveri ligipääs internetile.

Kurjategijad on asunud kiirelt nimetatud haavatavusi kuritarvitama. Internetile avatud serveritesse on loodud sadu uusi kasutajaid ja LeakIX andmete põhjal on kompromiteeritud juba 1400 seadet. CISA on lisanud turvavea CVE-2024-27198 ärakasutatud turvanõrkuste kataloogi.

2023. aasta lõpus teavitasid mitmed riigid, et kremlimeelne rühmitus APT29 kasutab sarnast TeamCity haavatavust rünnete läbiviimisel ja see võib kaasa tuua tarneahelaründeid.  (DR, HNS, TeamCity, BC).

Kriitiline Fortineti turvaviga võib mõjutada 150 000 internetile avatud seadet

Turvanõrkus tähisega CVE-2024-21762 mõjutab Fortineti FortiOSi ja FortiProxy tarkvarasid. Tegemist on haavatavusega, mis võimaldab autentimata ründajal koodi kaugkäivitada ja on hinnatud kriitiliseks skooriga 9.6/10. Turvaviga on parandatud veebruaris, kuid sel nädalal teatasid Shadowserveri teadurid, et endiselt on paikamata ligi 150 000 seadet (BC, SA).

Cisco paikas VPNi seadmeid mõjutavad turvavead

Ettevõte parandas kaks kõrge mõjuga haavatavust Cisco Secure Clienti tarkvaras. Turvaviga tähisega CVE-2024-20337 võimaldab autentimata ründajal varastada kasutaja identsustõendi (token) ja luua seejärel kasutaja õigustega VPNi ühenduse. Viga on paigatud Secure Clienti versioonides 4.10.08025 ja 5.1.2.42. Hetkel teadaolevalt ei ole veel haavatavusi õnnestunud ära kasutada (SW, HNS).

Häkkerid ründavad WordPressi veebilehti pistikprogrammi vea kaudu

Rünnetes kasutatakse ära juba eelmisel aastal paigatud turvaviga Popup Builderi pistikprogrammis. Turvaviga kannab tähist CVE-2023-6000 ning see mõjutab pistikprogrammi versiooni 4.2.3 ja vanemaid. Hetkel on juba enam kui 3300 WordPressi veebilehele lisatud pahaloomulist koodi.

Popup Builderi kasutajatel tuleks uuendada pistikprogramm versioonile 4.2.7. WordPressi statistika alusel on enam kui 80 000 kasutajat, kes ei ole nimetatud pluginat uuendanud ja on seetõttu potentsiaalsed ründe sihtmärgid.

Kõigil WordPressi veebilehtede haldajatel tuleks regulaarselt pluginaid uuendada, kuna nende kaudu viiakse tihti ründeid läbi (BC).

Olulisemad turvanõrkused 2024. aasta 9. nädalal

WordPressi pistikprogrammis oleva turvanõrkuse tõttu on üle viie miljoni veebilehe ohus

Turvanõrkus tähisega CVE-2023-40000 mõjutab pistikprogrammiLitespeed Cacheja selle kaudu on võimalik autentimata ründajal saada kõrgemad õigused ning ligipääs tundlikule

infole. Pistikprogrammi on alla laetud enam kui viis miljonit korda ehk tegemist on väga laialdaselt kasutusel oleva tarkvaraga. Litespeed Cache abil on võimalik veebilehe jõudlust parandada. Turvanõrkus on paigatud juba eelmise aasta oktoobris tarkvara versioonis 5.7.0.1 ja kõigil kasutajatel tuleks uuendada pistikprogramm kõige uuemale versioonile. Hetkel on selleks 6.1.

Turvanõrkuse täpsema kirjelduse leiab Patchstacki postitusest (HN, SA).

Populaarses WordPressi pistikprogrammis avastati kriitiline turvaviga

Eelmisel nädalal avaldati ka teine suure mõjuga WordPressi turvaviga. Üle 200 000 WordPressi veebilehe on mõjutatud Ultimate Memberi pistikprogrammis olevast haavatavusest, mille kaudu võib autentimata ründaja käivitada SQL-päringuid ja saada ligipääsu andmebaasile. See on plugin, mis võimaldab WordPressi administraatoril hallata kasutajate registreeringuid, sisselogimisi, profiile ja rolle.

Viga tähistatakse CVE-2024-1071 ja seda on hinnatud kriitilise CVSS skooriga 9.8/10. Haavatavus mõjutab kõiki pistikprogrammi versioone kuni 2.8.3, kus turvaviga on paigatud. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada. Defianti andmeil on vähemalt ühel korral proovitud haavatavust ka ära kasutada (SW).

Zyxel paikas mitu turvanõrkust oma tulemüüri seadmetes

Ettevõte paikas neli turvanõrkust, mis võimaldavad ründajal koodi kaugkäivitada ja teenuseid tõkestada. Zyxel parandas turvavead tähistega CVE-2023-6397, CVE-2023-6398, CVE-2023-6399 ja CVE-2023-6764. Haavatavused mõjutavad Zyxeli tulemüüriseadmeid ATP, USG FLEX, USG FLEX 50(W)/USG20(W)-VPN ja USG FLEX H. Turvavead on paigatud ja tootja soovitab kõigil kasutajatel teha tarkvarauuenduse esimesel võimalusel (SW, Zyxel).

Sel aastal on oodata turvanõrkuste kasvu

Coalitioni aruanne näitab, et 2024. aastal on kasvab avaldatud turvanõrkuste arv neljandiku võrra. Eeldatavalt avalikustatakse sel aastal ligi 35 000 erinevat CVE tähisega turvanõrkust ehk igal kuul võime oodata 2900 uut haavatavust. Kuna erinevate turvavigade kuritarvitamine on üks enamlevinud ründevektoritest, siis võib haavatavuste arvu tõus suurendada ka rünnete arvu.

Lisaks tuli aruandes välja ka see, et unikaalsete IP-aadressite poolt läbiviidud avatud kaugtöölauaprotokolli (RDP) skaneerimised on kasvanud 59% võrra.

Paljud lunavararünded viiakse läbi just internetile avatud kaugtöölauaühenduse kaudu.  (HNS)

Teadur avastas kriitilise turvanõrkuse Facebookis

Kriitilise turvanõrkuse kaudu oli potsentsiaalselt võimalik üle võtta ükskõik milline Facebooki konto. Viga avaldus parooli lähtestamise ajal, kui kasutaja valis parooli taastamiseks “Send Code via Facebook Notification” ehk uue koodi saatmise Facebooki teavituse kaudu. Teadur teavitas veast selle aasta 30. jaanuaril ning turvaviga paigati juba 2. veebruaril. Meta sõnul oli tegemist väga suure mõjuga turvaveaga, mille abil oleks saanud ilma kasutajapoolse tegevuseta kontosid kompromiteerida (SA).

Eksperdid hoiatavad Androidi vastu suunatud rünnete tõusu eest

Kaspersky avalikustas oma iga-aastase nutiseadmete ohtude analüüsi, mille kohaselt 2023. aastal suurenes mobiilseadmete vastu suunatud rünnete arv võrreldes eelmise aastaga 52%. Raporti alusel viidi eelmisel aastal läbi 33.8 miljonit rünnet mobiilseadmete vastu. Kõige enam kasutati rünnete läbviimisel pahaloomulist reklaamvara.

Kaspersky sõnul kasutavad küberkurjategijad pahavara levitamiseks erinevaid taktikaid – kasutatakse nii ametlikke kui ka võltsitud rakenduste poode. Näiteks laeti Google Play poodi üles pahatahtlikke rakendusi ja lisaks tuvastati WhatsAppi ning Telegrami võltsinguid, mille eesmärgiks oli kasutajate andmete varastamine.

Kaspersky tõi ka välja mitmeid soovitusi, kuidas on võimalik ohtusid ennetada:

  • rakendusi tuleks alla laadida ainult ametlike tootjate poodidest ja veebilehtedelt
  • rakendada turvasätteid ja kasutada usaldusväärseid turvalahendusi
  • uuenda regulaarselt nii operatsioonisüsteemi tarkvara kui ka erinevaid rakendusi (ISM, SL).