Adobe Magento 2 tarkvara vana turvaviga kasutatakse ründekampaanias
Kübereksperdid avalikustasid raporti, milles analüüsiti alates selle aasta jaanuarist toimunud ründeid Magento 2 tarkvara kasutavate e-poodide vastu. Ründekampaaniat tuntakse nimetuse all Xurum ja selle käigus on ära kasutatud turvanõrkust CVE-2022-24086 (Akamai, HN).
CVE-2022-24086-nimelise turvanõrkuse abil saab autentimata ründaja veebilehe kompromiteerida ja kasutada seda edasiseks pahatahtlikuks tegevuseks – näiteks on võimalik veebilehele lisada pahaloomulist koodi, mis suunab külastaja edasi petulehtedele, samuti on oht andmelekkeks.
Raportist järeldus, et ründajad on eelkõige huvi tundnud haavatavate Magento poodide viimase 10 päeva jooksul tehtud tellimuste maksestatistika vastu. Samuti on täheldatud, et mõned veebisaidid on nakatunud lihtsate JavaScripti-põhiste pahavaradega, mis on loodud krediitkaarditeabe kogumiseks ja juhtserverisse edastamiseks (Akamai, HN). Turvanõrkus on parandatud kõigis hiljuti avaldatud Adobe Commerce ja Magento tarkvara versioonides. Raportiga on võimalik tutvuda siin ja tootja teabelehega siin.
WinRARi tarkvaras leiti koodi käivitamise haavatavus
Hiljuti avastati WinRARi arhiveerimistarkvarast turvaauk, mille abil on ründajatel võimalik pahaloomulist koodi käivitada. Turvanõrkust tähistatakse tähisega CVE-2023-40477 ja see on hinnatud suhteliselt kõrge CVSSi[1] skooriga (7.8/10.0). Turvanõrkuse kasutamiseks tuleb ründajal veenda ohvrit avama selle jaoks spetsiaalselt loodud pahaloomulist faili või peab ohver külastama selleks pahaloomulist veebilehte. Tarkvarale on olemas uuendus, mille soovitame esimesel võimalusel rakendada. Rohkem informatsiooni uuenduse kohta saab viidatud linkidelt (ZDI, WinRAR).
Peaaegu kõik VPN-id on haavatavad TunnelCrack-nimeliste rünnakute suhtes
New Yorgi ja KU Leuveni ülikoolide teadlased avastasid mitu turvaviga, mida ründajad saavad kasutajate võrguliikluse lugemiseks või kasutajateabe varastamiseks. Avastatud haavatavusi tähistatakse CVE-2023-36672, CVE-2023-35838, CVE-2023-36673 ja CVE-2023-36671. Esimest kahte nõrkust saab ära kasutada siis, kui ohver loob ühenduse ründaja loodud Wi-Fi või Etherneti võrguga, viimast kahte nõrkust aga saavad kasutada ründajad, kes kasutavad ebausaldusväärset Wi-Fi/Etherneti võrku, või pahatahtlikud internetiteenuse pakkujad (ISP) (HNS, Usenix).
Teadlased testisid paljusid VPN-lahendusi ja avastasid, et enamik Apple’i , Windowsi ning Linuxi seadmetele mõeldud VPNe on ühe või mõlema rünnaku suhtes haavatavad. Windowsi, macOS-i ja iOS-i sisseehitatud VPN-kliendid on samuti haavatavad.
Teadlased on VPN lahenduste tootjatele turvanõrkustest teada andnud ja mõned neist on juba ka parandused rakendanud (HNS, Usenix).
Chrome’i uues versioonis parandati 26 turvanõrkust
Google avaldas uue Chrome’i versiooni 116 Windowsi, macOSi ja Linuxi operatsioonisüsteemidele, milles on võrreldes eelmiste versioonidega parandatud 26 turvanõrkust. Nendes seas on kaheksa kõrge mõjuga haavatavust. Google’i sõnul hakatakse nüüd turvauuendusi väljastama iganädalaselt, et turvavigade parandused jõuaksid kiiremini kasutajateni (SW, Chrome).
Juniperi Networksi võrguseadmeid ohustavad neli turvanõrkust
Võrguseadmeid tootev ettevõte Juniper Networks avalikustas turvauuenduse, et kõrvaldada Junos OS-i J-Webi komponenti mõjutavad turvavead. J-Webi liidese abil saavad kasutajad Junos OS-i seadmeid konfigureerida, hallata ja jälgida.
Turvavigu saab omavahel kombineerida, et käivitada pahaloomulist koodi haavatavates süsteemides ja need mõjutavad kõiki Junos OS-i versioone SRX ja EX seeria mudelitel.
Kasutajatel soovitatakse rakendada vajalikud turvauuendused, et ennetada võimalikke turvanõrkustega seotud ohte. Kui uuendamine ei ole võimalik, soovitab tootja alternatiivsete lahendusmeetmetena J-Webi kasutamine peatada või piirata sellele ligipääsu (HN, Juniper).
[1] Rahvusvaheliselt tuntud turvanõrkuste kriitilisuse määramiseks kasutatav mudel.