![](https://blog.ria.ee/wp-content/uploads/2024/09/Illu35.jpg)
Google paikas Chrome’i veebilehitsejas taas nullpäeva turvanõrkuse
Tegemist on juba kümnenda sel aastal parandatud nullpäeva turvanõrkusega Chrome’i veebilehitsejas. Google’i teatel on turvaviga tähisega CVE-2024-7965 rünnetes ka ära kasutatud. Uuendusega paigati kokku 37 turvaviga, nende hulgas oli ka eelmisel nädalal avalikuks tulnud nullpäeva turvanõrkus CVE-2024-7971. Kuus turvaviga on hinnatud suure mõjuga haavatavuseks.
Soovitame uuendada Chrome’i uuele versioonile 128.0.6613.84 (Linux) või 128.0.6613.84/.85 (Windows, Mac) esimesel võimalusel.
Eelmisel nädalal avaldati ka uudis, et Google maksab turvanõrkuste avastajatele kuni 250 000 USA dollari suurust preemiat (HN, BC, Chrome, BC).
Miljon WordPressi veebilehte on ohus turvanõrkuse tõttu
Kriitiline turvanõrkus tähisega CVE-2024-6386 mõjutab pistikprogrammi WPML multilingual plugin for WordPress, mis on kasutusel miljonil WordPressi veebilehel. Tegemist on populaarse pluginaga, mille kaudu saab luua 65 erinevas keeles veebilehti. Haavatavuse kaudu on võimalik ründajal pahaloomulist koodi kaugkäivitada ja seeläbi veebileht kompromiteerida. Turvaviga on hinnatud kriitilise CVSS skooriga 9.9/10 ja sellele on olemas ka kontseptsiooni tõendus, mis näitab, kuidas on võimalik turvaviga ära kasutada.
Viga on parandatud tarkvara versioonis 4.6.13. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada (SW, SA).
Cisco paikas mitmeid turvanõrkuseid NX-OS tarkvaras
Cisco paikas oma toodetes kokku kuus haavatavust. Kõige suurema mõjuga on turvaviga tähisega CVE-2024-20446, mis võimaldab autentimata ründajal põhjustada teenusekatkestuse. DHCPv6-sõnumite konkreetsete väljade vale käsitlemine võimaldab ründajal saata pahaloomulisi pakette haavatava seadme IPv6-aadressile. Ettevõte sõnul mõjutab haavatavus vaid Nexus 3000, 7000 ja 9000 seeriate lüliteid ja seda teatud tingimuste täitmisel.
Lisaks paigati kaks keskmise mõjuga viga Application Policy Infrastructure Controlleri (APIC) tarkvaras. Hetkel teadaolevalt ei ole haavatavusi ära kasutatud (SW, Cisco).
Fortra paikas turvavead FileCatalyst Workflow tarkvaras
Fortra parandas FileCatalyst Workflow tarkvaras kaks haavatavust, millest üks on kriitilise mõjuga. Turvaviga tähisega CVE-2024-6633 on hinnatud kriitilise CVSS skooriga 9.8/10 ja selle kaudu on võimalik autentimata ründajal saada andmebaasile juurdepääs, muuta või filtreerida seal olevaid andmeid ning luua uusi administraatorikontosid. Teine paigatud viga tähisega CVE-2024-6632 võimaldab SQL-käsklusi käivitada.
Vead mõjutavad kõiki FileCatalyst Workflow versioone kuni 5.1.6. Fortra soovitab klientidel uuendada FileCatalyst Workflow versioonile 5.1.7 või uuemale. Hetkel ei ole teada, kas nimetatud vigasid on õnnestunud kuritarvitada (SA, SW).