Monthly Archives: October 2023

Kriitiline turvanõrkus CVE-2023-22518 Confluence’i tarkvaras

Lühikirjeldus

30. oktoobril avalikustas Atlassian, et Confluence’i tarkvara mõjutab kriitiline turvanõrkus CVE-2023-22518 (CVSS 9.1/10.0). Atlassiani kinnitusel võib autentimata ründaja haavatavuse abil põhjustada klientide Confluence’ides andmekadu (Atlassian). Samas ei ole ettevõtte hinnangul ründajal siiski võimalik turvanõrkuse abil haavatavatest süsteemidest andmeid välja viia.  Hetkel ei ole teada, et turvanõrkust oleks aktiivselt juba kuritarvitatud. Samuti ei ole 31. oktoobri seisuga ühtegi turvanõrkuse kontseptsiooni tõendust (PoCi) avalikustatud, mis tavaliselt turvavigade kuritarvitamise aktiivsust tõstab.

Milliseid süsteeme haavatavus mõjutab?

Atlassiani sõnul on turvavea vastu haavatavad kõik Confluence Serveri ja Data Centeri versioonid, millel ei ole turvapaika rakendatud. Mõjutatud ei ole Atlassian Cloudi kasutavad Confluence’id[1].

Vastumeetmed ja soovitused

1) Esimesel võimalusel uuendada Confluence ühele järgnevatest versioonidest:

7.19.16 või hilisem;
8.3.4 või hilisem;
8.4.4 või hilisem;
8.5.3 või hilisem;
8.6.1 või hilisem.

2) RIA ei soovita hoida Confluence’i avalikul kujul internetist kättesaadavana, kuna see tõstab oluliselt küberründe toimumise tõenäosust. Seetõttu soovitame Confluence Server ja Data Center süsteemidele piirata internetist avalik ligipääs. Kui teie organisatsioon ise Confluence’i halduse eest ei vastuta, pöörduge selle sooviga teenusepakkuja poole.

3) Kompromiteerimise kahtluse korral palume teavitada CERT-EE-d, kirjutades meiliaadressile cert@cert.ee.

Atlassiani ametlik ohuteavitus:

https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html

[1] Kui te pääsete Confluence’ile ligi domeeni atlassian.net kaudu, on see majutatud Atlassiani pilvekeskkonnas ja sellisel juhul ei ole teie Confluence selle turvanõrkuse suhtes haavatav.

Olulisemad turvanõrkused 2023. aasta 43. nädalal

  • Apple avaldas turvauuendused iOSi ja macOSi tarkvaradele

Apple avaldas eelmisel nädalal turvauuendused iOSi ja macOSi tarkvaradele. iOSi tarkvaras paigati 21 ja macOSi tarkvaras 44 haavatavust. Turvanõrkused lubavad ründajatel potentsiaalselt käivitada pahaloomulist koodi, haavatavates süsteemides õigusi suurendada või varastada süsteemidest tundlikku informatsiooni. Hetkel ei ole haavatavusi teadaolevalt rünnetes ära kasutatud. RIA soovitab nõrkustega seotud Apple’i seadmed uuendada iOS 17.1, iPadOS 17 ja macOS Sonoma 14.1 (SW, Apple, Apple).

  • Firefoxil ja Chrome’il paigati kõrge mõjuga turvanõrkused

Mozilla avaldas Firefoxi uue versiooni tähisega 119, milles on parandatud 11 turvanõrkust, nende hulgas kolm kõrge mõjuga haavatavust. Vigade tõttu võib haavatava sirviku kasutaja sattuda ohvriks clickjacking-nimelisele rünnakule. Samuti parandavad turvauuendused kaks haavatavust, mis lubavad ründajal potentsiaalselt käivitada pahaloomulist koodi. Lisaks avaldati ka turvapaigad tarkvaradele Firefox ESR 115.4 ja Thunderbird 115.4.1. Teisipäeval teavitas ka Google, et on paiganud Chrome’i veebilehitseja versioonis 118.0.5993.117 kaks turvanõrkust. RIA soovitab nii Firefoxi kui ka Chrome’i veebilehitsejad uuendada esimesel võimalusel (SW, Mozilla, Chrome).

  • Citrix hoiatab kriitilise turvanõrkuse eest

Citrix hoiatas eelmisel nädalal turvanõrkuse (CVE-2023-4966) eest, mis mõjutab NetScaler ADC ja Gateway seadmeid ning mida on juba rünnete läbiviimisel kuritarvitatud. Veale avalikustati turvaparandus kaks nädalat tagasi. Rünnakute suhtes haavatavad NetScaleri seadmed peavad olema konfigureeritud lüüsina (VPN virtuaalserver, ICA puhverserver, CVPN, RDP puhverserver) või AAA virtuaalserverina. Nõrkust on võimalik autentimata ründajal kaugelt ära kasutada.

Hiljuti avaldatud ülevaatest selgus, et ründajad on haavatavust kuritarvitanud sessioonide varastamiseks, et kaheastmelisest autentimisest mööda pääseda. Tootja soovitab haavatavad seadmed paigata esimesel võimalusel (BC, Netscaler, Mandiant).

  • VMware’i tarkvaras olev viga laseb autentimisest mööda minna

VMware’i hoiatas kliente Aria Operations for Logs nimelises tarkvaras peituva turvanõrkuse (CVE-2023-34051) eest, mis võimaldab ründajal autentimisest mööda minna ja käivitada pahatahtlikku koodi. Veale on avaldatud ka kontseptsiooni tõendus, mis võib kaasa tuua rünnete kasvu. Viga on parandatud Aria Operations for Logs versioonis 8.14 (SA, VMware). RIA soovitab kõigil mõjutatud tarkvara kasutajatel uuendada see esimesel võimalusel.

  • Riikliku taustaga küberrühmitus kuritarvitab Roundcube’i meiliteenuse turvanõrkust

Hiljuti avaldatud raportist selgus, et küberspionaaži poolest tuntud riikliku taustaga küberrühmitus on oktoobris kuritarvitanud XSS-i turvanõrkust, mis peitub Roundcube’i meiliserveri tarkvaras. Raport kajastab, kuidas antud rühmitus on sihtinud Euroopa valitsusasutusi ja erinevaid mõttekodasid. Ründajatel on võimalik spetsiaalselt koostatud e-kirja abil käivitada Roundcube’i kasutaja brauseris suvalist JavaScripti koodi.

Raporti autorite hinnangul on küberrühmitus üritanud turvanõrkust ära kasutada selleks, et ligi pääseda haavatavat tarkvara kasutava kasutaja e-kirjadele. Turvanõrkus on paigatud Roundcube’i versioonides 1.4.15, 1.5.5 ja 1.6.4 (ESET, SW).

Olulisemad turvanõrkustega seotud uudised 2023. aasta 42. nädalal

Cisco paikas IOS XE tarkvara kriitilised turvanõrkused

Eelmisel nädalal avalikustati turvanõrkus (CVE-2023-20198), mis mõjutab Cisco IOS XE tarkvara veebiliidest (webUI) ja mis on hinnatud kriitilise CVSS skooriga 10.0/10.0, kuna selle kaudu on võimalik saada täielik kontroll ohvri võrguseadme üle. Nädala lõpus avaldati info ka teise nullpäeva turvanõrkuse (CVE-2023-20273) kohta, mida on samuti rünnetes kuritarvitatud.

Nädala jooksul oli üle maailma enam kui 50 000 pahavaraga nakatunud seadet, kuid laupäeval toimus nakatunud seadmete arvu järsk langus. Teadurid arvavad, et ründajad leidsid viisi, kuidas nakatunud seadmete infot võrgu skaneerimisel varjata.

Mõlemale veale on alates 22. oktoobrist olemas parandus ja ettevõtte soovitab turvapaigad rakendada esimesel võimalusel. Viga on paigatud Cisco IOS XE tarkvara versioonis 17.9.4a. Kui mingil põhjusel ei ole võimalik tarkvara uuendada, siis tuleks HTTP-serveri funktsioon kõigis internetiühendusega seadmetes keelata (SW, BC, BC, Cisco, RIA).

Oracle paikas 387 turvanõrkust oma toodetes

Parandatud turvanõrkuste hulgas oli üle 40 kriitilise haavatavuse. Kokku paigati üle 200 turvavea, mida on võimalik kuritarvitada kaugelt ja ilma autentimata. Turvavead mõjutavad mitmeid erinevaid Oracle tooteid, näiteks Oracle Financial Services, Oracle Communications, Fusion Middleware ja MySQL.

Kõige enam vigasid ehk kokku 103 haavatavust paigati tarkvaras Oracle Financial Services. Lisaks avaldati ka Oracle’i Linuxi turvapaigad 61 veale (Oracle).

Täpsema nimekirja paigatud turvavigadest leiab lisatud linkidelt ja Oracle soovitab kõigil kasutajatel tarkvara uuendada. Ettevõtte sõnul saavad nad aeg-ajalt teateid oma klientidelt, kes ei ole tarkvara uuendanud ja on seetõttu langenud küberrünnaku ohvriks (SW, Oracle).

Signal eitab väiteid nullpäeva turvanõrkuse kohta oma platvormil

Oktoobri keskpaigas hakkas erinevatel platvormidel liikuma info, et Signali tarkvaras on nullpäeva turvanõrkus. Viga mõjutab väidetavalt „Generate Link Previews“ erifunktsiooni ja võimaldab võtta üle nakatanud seade.

Signali meeskond uuris väidet ja nende sõnul see ei vasta tõele. Ka USA küberturvalilisuse agentuur CISA teatas, et neil ei ole infot Signali nullpäeva turvanõrkuse olemasolu kohta.

Kuna tegemist on väga populaarse sõnumivahetustarkvaraga, siis Signali turvanõrkused on atraktiivseks sihtmärgiks küberkurjategijatele. Signalit kasutavad lisaks eraisikutele ka paljud asutused ja seetõttu võib seadme kompromiteerimine võimaldada ligipääsu tundlikule infole (BC, SA, Twitter).

Küberkurjategijad kasutavad ära kriitilist turvaviga WordPressi pistikprogrammis

Turvanõrkus (CVE-2023-5360) leiti pistikprogrammis “Royal Elementor“, mida kasutab enam kui 200 000 WordPressi veebilehte. Haavatavuse tõttu võib autentimata ründaja laadida veebilehele pahaloomulise sisuga faile ja see on hinnatud kriitilise CVSS skooriga 9.8/10.0. Haavatavust kuritarvitades võib lisaks faili üleslaadimisele ka pahatahtlikku koodi käivitada ja selle tulemusel veebilehe kompromiteerida.

Küberturbe ettevõtete Wordfence and WPScan sõnul on turvaviga rünnete läbiviimisel kasutatud juba alates augustikuust ja alates 3. oktoobrist on rünnete maht kasvanud.

Turvanõrkus mõjutab pistikprogrammi versioone kuni 1.3.78. Kõik kasutajad peaksid uuendama tarkvara versioonile 1.3.79, kus viga on parandatud. Lisaks tarkvara uuendamisele peaks ka üle kontrollima, ega veebilehele ole lisatud nakatunud faile (BC).