Monthly Archives: July 2024

Olulisemad turvanõrkused 2024. aasta 30. nädalal

Ekraan, mille klaas on ämblikuvõrku meenutavalt katki

WhatsAppi Windowsi versioon laseb Pythoni ja PHP skripte ilma hoiatuseta käivitada

Windowsi WhatsAppi viimases versioonis avastatud turvanõrkus võimaldab saata Pythoni ja PHP manuseid, mis ohvri seadmes ilma hoiatuseta käivituvad (BC). Selleks, et rünnak töötaks, peab ohvril olema Python alla laaditud.

Muude manuste puhul (.EXE, .COM, .SCR jms) annab WhatsApp kasutajale kaks valikut – kas manus avada või see alla laadida. Kui kasutaja tahab manust avada, siis tuleb WhatsAppilt veateade ning kasutaja ainsaks võimaluseks jääb manuse alla laadimine. Seevastu Pythoni ja PHP manuste puhul laseb WhatsApp neid kasutajatel käivitada, ilma et neid enne alla laadima peaks. Nõnda saavad pahalased WhatsAppi kaudu levitada pahavara ning käivitada ohvri seadmes pahaloomulisi skripte.

Küberkurjategijad kasutavad ära valesti konfigureeritud Selenium Gridi servereid krüptoraha kaevandamiseks

Küberkurjategijad kasutavad Selenium Gridi vigast konfiguratsiooni krüptokaevurite levitamiseks. Selenium Grid on populaarne avatud lähtekoodiga veebirakenduste testimise raamistik, mis laseb teha automatiseeritud teste mitmes masinas ja veebilehitsejas.

Selenium Gridil puuduvad aga sissehitatud autentimise mehhanismid, mistõttu on avalikult kättesaadavate seadmete puhul võimalik nende testimise instantssidele ligi saada ning samuti ka faile alla laadida ja skripte käivitada. Selenium on oma dokumentatsioonis selle eest hoiatanud ning soovitanud vajadusel rakendada tulemüüripõhiseid piiranguid. Paljud asutused ei arvestanud selle hoiatusega, mistõttu hakkasid pahalased eelmainitud autentimise puudust ära kasutama krüptokaevurite levitamiseks. Õnnestunud kompromiteerimise puhul juurutavad pahalased XMRig tööriista, mis kaevandab Monero-nimelist krüptoraha.

Docker paikas viie aasta vanused turvanõrkused, mis võimaldasid autentimisest mööda minna

Docker avaldas turvauuendused, et parandada Docker Engine tarkvaras kriitiline haavatavus (CVE-2024-41110), mis võimaldab ründajal teatud olukordades mööda minna volituste kontrolli pistikprogrammidest (AuthZ) (BC).

Seda turvanõrkust (tähisega CVE-2024-41110) võib ära kasutada spetsiaalsete API päringute tegemiseks, mis trikitavad Dockeri daemon’it seda autentimata AuthZ pistikprogrammi edastama. Seda saab ära kasutada näiteks kasutajaõiguste eskaleerimiseks.

Turvanõrkus mõjutab Docker Engine’i versioone v19.03.15, v20.10.27, v23.0.14, v24.0.9, v25.0.5, v26.0.2, v26.1.4, v27.0.3 ja v27.1.0.

Olulisemad turvanõrkused 2024. aasta 29. nädalal

SolarWinds paikas kaheksa kriitilist turvanõrkust tarkvaras Access Right Manager (ARM)

SolarWinds paikas kaheksa kriitilist turvanõrkust oma Access Right Manageri (ARM) tarkvaras – neist kuus võimaldasid mõjutatud seadmetes koodi kaugkäitust (BC). Koodi kaugkäitust võimaldavad turvanõrkused (tähistega CVE-2024-23469, CVE-2024-23466, CVE-2024-23467, CVE-2024-28074, CVE-2024-23471, and CVE-2024-23470) olid kõik hinnatud 9.6/10 kriitilisuse skooriga ning nende abil võisid ründajad mõjutatud seadmetes koodi käivitada, ilma et neil selleks mingeid privileege vaja oleks.

Kaks paigatud turvanõrkust (tähistega CVE-2024-23475 ja CVE-2024-23472) võimaldasid kataloogihüpet, mis lubas autentimata kasutajatel konfidentsiaalsetele failidele ja kaustadele ligi saada ning neid ka kustutada.

Viimane paigatud turvanõrkus, tähisega CVE-2024-23465, võimaldas pahatahtjatel saada ligi domeeni administraatorile Active Directory’s.

Kriitiline Cisco turvanõrkus võimaldab ründajatel lisada SEG seadmetesse juurkasutajaid

Cisco paikas kriitilise turvanõrkuse (tähisega CVE-2024-20401), mis võimaldas ründajatel lisada uusi juurõigustega kasutajaid ning kokku jooksutada Security Email Gateway nutikuid, kasutades pahaloomulisi manuseid sisaldavaid e-kirju (BC).

Antud turvanõrkus tuleneb vigasest meilimanuste käsitlemisest, kui failianalüüs ja sisufiltrid on sisse lülitatud. Ründajad said seda ära kasutada ükskõik millise mõjutatud süsteemi failide väljavahetamiseks, mis omakorda võimaldas neil lisada uusi juurõigustega kasutajaid, teha koodi kaugkäitust või teostada permanentset ummistusrünnakut.  

Cisco SSM On-Premi haavatavus võimaldab kasutajate paroole muuta

Cisco paikas kriitilise turvanõrkuse, mis võimaldas ründajatel haavatavates Cisco Smart Software Manager On-Prem litsensiserverites kõikide kasutajate (kaasa arvatud administraatorite) paroole muuta (BC). See haavatavus mõjutab lisaks ka SSM On-Prem installatsioone enne 7.0 versiooni.

Antud haavatavus, tähisega CVE-2024-20419, tuleneb verifitseerimata paroolimuudatuse nõrkusest SSM On-Premi autentimissüsteemis. Ründajad saavad haavatavust ära kasutada, saates spetsiaalseid HTTP-päringuid mõjutatud seadmetesse. Nõrkuse ärakasutamise korral on võimalik määrata mõjutatud süsteemi kasutajatele uusi paroole ilma originaalmandaate teadmata.

Olulisemad turvanõrkused 2024. aasta 28. nädalal

Netgeari ruuterid sisaldasid XSS-i ja autentimisest möödapääsemist võimaldavaid turvanõrkusi

Netgear palub klienditel oma seadmete püsivara uuendada, et paigata skriptisüsti ja autentimisest möödapääsemist võimaldavaid turvanõrkusi (BC). Antud turvanõrkusi võib ära kasutada kasutajate sessioonide varastamiseks, pahaloomulistele veebilehtedele ümbersuunamiseks ja varjatud andmete varastamiseks.

XSS-i turvanõrkus (PSV-2023-011) mõjutab Netgeari XR1000 Nighthawki ruutereid ning autentimisest möödasaamist võimaldav turvanõrkus mõjutab CAX30 Nighthawk AX6 6-Streami ruutereid.

WordPressi veebilehti ohustab pistikprogrammis olev turvanõrkus

Üle 150 000 WordPressi veebilehe on mõjutatud Modern Events Calendari pistikprogrammis olevast haavatavusest tähisega CVE-2024-5441, mille kaudu võib ründaja laadida pahaloomulisi faile veebilehele ja käivitada suvalist koodi.

Wordfence’i sõnul tuleneb viga sellest, et plugina “set_featured_image” funktsioonis (kasutatakse sündmuste piltide üleslaadimiseks) puudub faili tüübi valideerimise võimalus, mistõttu võib sinna üles laadida ka kahtlaseid .PHP faile (WF).

Viga mõjutab kõiki plugina versioone kuni 7.12.0, milles on haavatavused paigatud. Wordfence’i raporti kohaselt on häkkerid võtnud turvanõrkuse sihikule ja proovivad seda rünnetes ära kasutada. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada (BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas seitse haavatavust, mis mõjutavad tarkvarasid Adobe Premiere Pro, Adobe InDesign ja Adobe Bridge. Ettevõte hoiatas, et mitmed paigatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada ning ohustatud on nii Windowsi kui ka Maci kasutajad.

Mõjutatud on järgmised tooted:

  • Adobe Premiere Pro (CVE-2024-34123) — Mõjutatud versioonid: 24.4.1 ja varasemad, 23.6.5 ja varasemad (Windows ja macOS). CVSS 7.0/10.
  • Adobe InDesign (CVE-2024-20781, CVE-2024-20782, CVE-2024-20783, CVE-2024-20785) — Mõjutatud versioonid: ID19.3 ja varasemad, ID18.5.2 ja varasemad (Windows ja macOS). (CVSS 7.8/10).
  • Adobe Bridge (CVE-2024-34139, CVE-2024-34140). Mõjutatud versioonid:** 13.0.7 ja varasemad, 14.1 ja varasemad (Windows and macOS). (CVSS 7.8).

    Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).

Windowsi MSHTML nullpäeva turvanõrkust on juba üle aasta pahavararünnakutes ära kasutatud

Microsoft paikas Windowsi nullpäeva turvanõrkuse, mida on juba 18 kuud ära kasutatud pahaloomuliste skriptide käivitamiseks, vältides Windowsi sisseehitatud turvameetmeid (BC).

Sisult saab selle turvanõrkuse abil sundida ohvri seadet avama mingit pahaloomulist URL-i Internet Exploreri veebilehitsejaga, kasutades mhtml: URI funktsiooni. Nõnda on ründajatel kergem pahavara ohvrite seadmetesse juurutada, kuna Internet Explorer hoiatab pahaloomulistest failidest palju vähemal määral, kui teised veebilehitsejad.

Antud turvanõrkuse (tähisega CVE-2024-3811) avastasid Check Point Researchi teadlased 2024. aasta maikuus ja edastasid info Microsoftile, kuid teadlase sõnul avastasid nad turvanõrkuse ära kasutamise jälgi, mis ulatusid koguni 2023. aasta jaanuarini.