Monthly Archives: December 2023

Olulisemad turvanõrkused 2023. aasta 51. nädalal

Avastati uus SMTP smugeldamise ründetehnika, mida kasutatakse autentimisprotokollidest mööda pääsemiseks

Teadlased avastasid, et SMTP protokolli (simple mail transfer protocol) võib ära kasutada meili saatja aadressi võltsimiseks nii, et autentimisprotokollid – nagu SPF, DKIM ja DMARC – seda ei tuvasta.

Nimelt saavad ründajad ära kasutada erinevusi selles, kuidas sissetulevad ja väljaminevad SMTP serverid tõlgendavad seda, kus täpsemalt meilis olevate andmete jada lõppeb. Teadlased selgitasid, et kui SMTP serveritel on erinev arusaam sellest, kus sõnumi andmed lõppevad, võivad ründajad nendest piiridest välja murda (SC).

Antud ründetehnika abil võib matkida miljoneid populaarseid domeene, sealhulgas Microsofti, Amazoni, PayPali, eBayd ja teisi. Osad tarnijad, nagu Microsoft ja GMX, on juba vajalikud parandused teinud, et SMTP smugeldamist ennetada. Seevastu Cisco pidas turvanõrkust hoopis featuuriks ning soovitas SMTP smugeldamise vältimiseks Cisco Secure Email Cloud Gateway ja Cisco Secure Email Gateway vaikimisi seadistused ära muuta (CT).

OpenAI väljastas vigase turvapaiga ChatGPT-le

OpenAI väljastas turvapaiga ChatGPTs olevale veale, mille abil oli võimalik lekitada vestlusi ja kasutajaandmeid.

Turvaviga tulenes sellest, et OpenAI väljastas ChatGPTs uue featuuri, mis laseb kasutajatel luua oma versioone ChatGPT-st, mis on mõeldud mingite kindlate eesmärkide täitmiseks (OA). Neid GPT-sid saab jagada ka teiste kasutajatega, andes niimoodi ründajatele võimaluse teha selliseid GPT-sid, mis saadaksid kõik kasutaja poolt sisestatud päringud kolmanda osapoole serverile. Lisaks eelmainitud päringutele saab nii kätte ka kasutaja metaandmeid (ajatemplid, kasutaja ID-d, sessiooni ID-d) ning tehnilisi detaile (IP-aadressid ja UserAgentid).

Teadur, kes selle turvavea avastas ning OpenAI-le edastas, teatas, et turvaviga saab kindlates tingimustes ikka veel ära kasutada (ET) (BC) ning praegu olemasolevatest OpenAI poolt rakendatud lisaturvameetmetest ei piisa, et kliendiandmed ohus ei oleks.

Teadurid avastasid kaks Microsoft Outlooki turvanõrkust, mida saab kombineerida koodi kaugkäituseks

Möödunud nädalal avastati Microsoft Outlookis kaks turvanõrkust, mille kombineerimise korral võib teostada koodi kaugkäitust, ilma et kasutaja peaks ise midagi tegema (DR).  Mõlemat turvanõrkust saab käivitada helifailide abil.

Esimene turvanõrkus CVE-2023-35384 oli avastatud juba märtsis ning selle abil oli ründajatel võimalik Outlookis kasutajaõigusi eskaleerida. Teine haavatavus CVE-2023-36710, mis avastati alles möödunud nädalal, on koodi kaugkäitust võimaldav turvanõrkus, mis tuleneb Windows Media Foundationi featuurist (mis on seotud sellega, kuidas Windows helisid parsib).

Selleks, et neid turvanõrkusi koos ära kasutada, tuleb CVE-2023-35384 suhtes haavatavale Outlooki kliendile saata n-ö meeldetuletus meilile, mis teeb teadete puhul kindlat heli. Ründaja võib teha nii, et meili saanud Outlooki klient päriks eelmainitud teate helina helifaili mingist suvalisest SMB serverist ja mitte turvalistest või usaldatud kohtadest. Ründaja kasutab seda ära, et tema kirja saanud meiliklient päriks pahaloomulist helifaili tema enda serverit, mis viibki koodi kaugkäituseni, CVE-2023-36710 ära kasutades (TT).

Akamai sõnul on mõlemat turvanõrkust võimalik kasutada ka eraldi, küll aga saab nõnda nende abil palju vähem kahju tekitada (DR).

Barracuda paikas uue nullpäeva turvanõrkuse, mida olid ära kasutanud Hiina häkkerid

Barracuda Networksi ESG-des (Email Security Gateway) avastati uus nullpäeva turvanõrkus CVE-2023-7102, mida oli ära kasutanud Hiina rühmitus UNC4841.  Barracuda teavitas, et nad paikasid kõik haavatavad seadmed 21. detsembril, kaasarvatud need, kus turvanõrkust on juba kuritarvitatud SeaSpy ja SaltWateri pahavara juurutamiseks (BC).

Turvanõrkus tulenes Spreadsheet:ParseEcxeli poolt kasutatavast Amavis viiruseskännerist, mis on Barracuda ESG seadmetel rakendatud. Ründajad said seda ära kasutada parameetrite süsti teostamiseks, et haavatavatel seadmetel omavoliliselt koodi käitada.

Barracuda väitis, et nende kliendid midagi tegema ei pea – intsidendi uurimine veel käib ning Barracuda paikab kõik seadmed ise (BA). Sama Hiina häkkerite rühmitus on ka eelnevalt Barracuda ESG seadmeid rünnanud – mais kasutasid nad ära CVE-2023-2868 turvanõrkust küberspionaaži eesmärkidel.

Olulisemad turvanõrkused 2023. aasta 50. nädalal

  • Apple avaldas uue iOSi ja iPadOSi versiooni 17.2

Apple avaldas eelmise nädala alguses uued tarkvara versioonid iOS 17.2 ja iPadOS 17.2, kus on paigatud vähemalt 11 turvaviga. Kõige tõsisema mõjuga on mälupesa sisu muutmise viga ImageIO komponendis, mis võib kaasa tuua pahaloomulise koodi käivitamise. Täpsema loetelu paigatud vigadest leiab Apple’i veebilehelt (Apple).

Ühtlasi tuli välja ka turvauuendus vanematele Apple’i seadmetele. Versioonides iOS 16.7.3 ja iPadOS 16.7.3 on paigatud muuhulgas ka WebKiti veebibrauserimootorit mõjutavad nullpäeva turvanõrkused.

Soovitame Apple’i nutiseadmeid uuendada esimesel võimalusel (SW).

  • Microsoft andis välja oma igakuised turvauuendused

Microsoft parandas kokku 34 haavatavust, nende hulgas oli ka üks nullpäeva turvanõrkus. Parandatud vigadest võimaldavad koodi kaugkäivitada kaheksa haavatavust ja kolm neist on hinnatud kriitilise mõjuga veaks.

Paigatud nullpäeva turvanõrkus tähisega CVE-2023-20588 mõjutab teatud AMD protsessoreid, mis võivad eduka ründe korral tagastada tundlikku infot. Viga tuli avalikuks juba augustis, kuid siis ei avaldatud veale parandust.

Lisaks paigati ka kaheksa turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

  • Adobe paikas oma toodetes 207 turvanõrkust

Adobe hoiatas nii Windowsi kui ka macOSi Adobe toodete kasutajaid pahatahtliku koodi käivitamise, mälulekete ja teenuse tõkestamise rünnete eest. Kokku paigati vähemalt 207 turvaviga, mis mõjutavad erinevaid Adobe tarkvarasid.

Kriitilise mõjuga vead paigati tarkvarades Adobe Illustrator, Substance 3D Sampler ja After Effects. Vead paigati ka tarkvarades Adobe Prelude, Adobe InDesign, Adobe Dimension ja Adobe Animate.

Soovitame kõigil Adobe toodete kasutajatel tarkvara uuendada (SW).

  • Google Chrome’i uues versioonis on parandatud 9 turvanõrkust

Google avaldas Chrome’i versiooni 120.0.6099.109 Windowsi, Maci ja Linuxi seadmetele. Parandatud turvanõrkuste seas on viis kõrge mõjuga ja üks keskmise mõjuga haavatavus. Kõige suurema mõjuga neist on V8 JavaScripti mootorit mõjutav haavatavus.

Ettevõtte ei avaldanud täpsemat infot turvanõrkuste kohta, et enamus kasutajaid jõuaks enne tarkvara uuendada. Hetkel teadaolevalt ei ole turvavigasid õnnestunud kuritarvitada. Google on 2023. aasta jooksul paiganud juba seitse nullpäeva turvanõrkust Chrome’i veebilehitsejas (SW).

  • Ligi 40% Log4J rakendustest kasutab haavatavat tarkvara

Umbes 38% rakendustest, mis kasutavad Apache Log4j teeki, on haavatavuste tõttu ohus. Nende hulgas on ka endiselt rakendusi, mis on haavatavad kaks aastat tagasi paigatud kriitilisele turvanõrkusele Log4Shell. Kuna Log4Shell haavatavus mõjutab väga paljusid tarkvarasid ning seda oli lihtne kuritarvitada, siis muutus see kiirelt ründajate sihtmärgiks.

Rakenduste turvalisusega tegeleva ettevõte Veracode’i raporti alusel on endiselt paljud organisatsioonid jätnud tarkvara uuendamata ja on seetõttu ohus erinevatele Log4j turvanõrkuste rünnetele. Ettevõte kogus 90 päeva jooksul andmeid 3866 organisatsioonist ja enam kui 38 000 erinevast rakendusest. Selle tulemusel selgus, et suur hulk rakendusi kasutab endiselt haavatavaid versioone tarkvarast (BC).

Olulisemad turvanõrkused 2023. aasta 49. nädalal

Androidi turvauuendused parandavad kriitilise turvavea

Androidi nutiseadmetes paigati 85 turvaviga. Nende hulgas on ka kriitiline koodi kaugkäivitamist võimaldav turvaviga (CVE-2023-40088), mis ei vaja kasutajapoolset tegevust haavatavuse edukaks kuritarvitamiseks. Samuti ei ole haavatavuse kuritarvitamiseks vaja kõrgendatud õiguseid. Teadaolevalt ei ole viga rünnete läbiviimisel veel ära kasutatud, kuid RIA soovitab Androidi nutiseadmete tarkvara uuendada esimesel võimalusel (BC, SA, Android).

Atlassian parandas enda toodetes neli kriitilist turvaviga

Atlassian avaldas parandused nelja kriitilise koodi kaugkäitamise haavatavuse kohta, mis mõjutavad Confluence’i, Jira ja Bitbucketi tarkvaru. Kõik haavatavused said kriitilisuse skooriks vähemalt 9.0/10.0-st ja neid tähistatakse kui CVE-2023-22522, CVE-2023-22523, CVE-2023-22524 ja CVE-2022-1471. RIA soovitab esimesel võimalusel tarkvarad uuendada (HN, Atlassian).

WordPressi administraatoritele saadetakse võltsitud turvauuenduste kirju

WordPressi haldajatele saadetakse võltsitud WordPressi turvateatisi fiktiivse haavatavuse kohta, et nakatada veebilehti pahatahtliku pistikprogrammiga. Kirja sisus on väidetud, et platvormil leiti kriitiline koodi kaugkäivitamist võimaldav viga ja selle parandamiseks tuleks alla laadida turvapaik. Kui lingile vajutada, siis suunatakse kasutaja kurjategijate loodud lehele, mis näeb välja identne õige WordPressi veebilehega (BC).

Lisaks paigati WordPressi uues versioonis 6.4.2 viga, mida on võimalik koos mõne teise haavatavusega ära kasutada pahatahtliku koodi kaugkäivitamiseks. Kõigil WordPressi kasutajatel on soovitatud tarkvara uuendada esimesel võimalusel, kuna haavatavuse tõttu on võimalik saada täielik kontroll veebilehe üle (SA, WordPress).

Tõsine Bluetoothi haavatavus võib lubada seadmetesse alla laadida pahaloomulisi rakendusi

Hiljutine turvahaavatavus CVE-2023-45866 mõjutab Androidi, Linuxi ja Apple’i seadmeid, võimaldades ründajatel sisestada klahvivajutused Bluetoothi turvavea kaudu. See viga võimaldab Bluetoothi levialas asuvatel ründajatel luua ühenduse tuvastatavate seadmetega ilma kasutaja kinnitust vajamata, võimaldades neil teha selliseid toiminguid nagu rakenduste installimine või käskude käivitamine. Haavatavus tuvastati esmalt macOS-is ja iOS-is, mõjutades isegi lukustusrežiimis (Lockdown Mode) olevaid seadmeid. Hiljem tuvastati see ka Androidis ja Linuxis (SW).

Mõjutatud on kõik Androidi versioonid alates versioonist 4.2.2. Google’i sõnul parandavad turvavea 2023. aasta detsembri turvauuendused (SW).

Kuigi Linuxi erinevatele distributsioonidele on parandus olemas juba 2020. aastast, on see tihti vaikimisi seades keelatud. Mõjutatud on Linuxi operatsioonisüsteemi kasutavad seadmed, mis on seatud olekusse avastatav/ühendatav (SW).

Lisaks on macOS ja iOS haavatavad, kui Bluetooth on lubatud ja Magic Keyboard on seadmes rakendatud. Sellisel juhul ei kaitse potentsiaalse ründe eest ka lukustusrežiim (Lockdown Mode) (SW).

USA valitsusasutuste vastu on üritatud ära kasutada Adobe ColdFusioni kriitilist turvanõrkust

Häkkerid on aktiivselt kasutanud Adobe ColdFusioni kriitilist turvaauku, mille tähistus on CVE-2023-26360, et tungida USA valitsusasutuste serveritesse. See haavatavus võimaldab ründajatel käivitada mis tahes koodi sihtmärgiks valitud serverites, mis kasutavad veebirakenduste arendusplatvormi Adobe ColdFusioni aegunud versioone. Turvaviga kasutati algselt nullpäeva haavatavusena, enne kui Adobe paranduse välja andis.

USA küberjulgeoleku ja infrastruktuuri turvalisuse agentuur (CISA) on liigitanud antud häkkimiskatsed luuretegevuseks, mis tavaliselt hõlmavad teabe kogumist sihitud võrkude ja süsteemide kohta. CISA avalikustas föderaalasutustele ja osariikide teenistustele hoiatuse ja soovitused, et nad rakendaksid oma Adobe ColdFusioni tarkvaradele kohe saadaolevad turvavärskendused (CISA).

Riski maandamiseks ja võimalike ärakasutamiste eest kaitsmiseks soovitatakse ColdFusion uuendada uusimale saadaolevale versioonile. Lisaks soovitatakse rakendada võrgu segmenteerimist, kasutada tulemüüri ja/või veebirakenduste tulemüüri (WAF) ning kasutada nii palju kui võimalik mitmefaktorilist autentimist, et veelgi tugevdada kaitset selliste haavatavuste vastu (CISA).

5Ghoul-nimelised turvanõrkused mõjutavad 5G-modemeid

5Ghoul koondnimetusega haavatavused on turvanõrkused, mis leiti Qualcommi ja MediaTeki valmistatud 5G-modemites. Neid kasutatakse paljudes nutitelefonides, ruuterites ja USB-modemites. Teadlased avastasid 14 erinevat turvaprobleemi, millest kümmet on ka avalikkusega jagatud (SA).

Konkreetsed haavatavused võivad põhjustada teenuste töös tõrkeid või sundida mõjutatud seadmeid kasutama vähem turvalist võrku. Neid saab kuritarvitada haavatavatele seadmetele ilma füüsilist juurdepääsu omamata, imiteerides lihtsalt legitiimset 5G võrgusignaali. Mõned kriitilisemad haavatavused on tähistatud kui CVE-2023-33043, CVE-2023-33044 ja CVE-2023-33042 (SA).

Nii Qualcomm kui ka MediaTek on avaldanud turvahoiatused, mis käsitlevad avalikustatud 5Ghouli haavatavusi. Turvavärskendused tehti seadmemüüjatele kättesaadavaks kaks kuud tagasi. Tarkvara levitamise keerukuse tõttu, eriti Android-seadmetes, võib aga kuluda veidi aega, enne kui parandused turvavärskenduste kaudu lõppkasutajatele jõuavad. See tähendab, et kuigi nende haavatavuste jaoks on paigad olemas, sõltub nende juurutamine üksikutele seadmetele erinevatest teguritest, sealhulgas seadmete tootjatest ja konkreetsetest mõjutatud mudelitest (SA).

Sierra Wirelessi ruuterite turvanõrkused võivad mõjutada kriitilist infrastruktuuri

Turvanõrkused mõjutavad Sierra Wireless OT/IoT ruutereid ja võivad seetõttu ohustada kriitilist infrastruktuuri. Turvanõrkuste abil on võimalik autentimisest mööda minna, käivitada pahatahtlikku koodi ja teenuste tööd häirida. Sierra AirLink ruutereid kasutavad maailmas näiteks mitmed tööstusettevõtted ja hädaabiteenuse pakkujad oma kriitilise tähtsusega süsteemides. Kõigil kasutajatel soovitatakse üle minna ALEOS-i (AirLink Embedded Operating System) versioonile 4.17.0, kus vead on paigatud (BC, Forescout).