Microsoft paikas oma toodetes 51 haavatavust
Microsoft parandas kokku 51 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvanõrkustest on vaid üks hinnatud kriitilise mõjuga veaks.
Paigati ka üks nullpäeva turvanõrkus tähisega CVE-2023-50868, mis on seotud DNSSECi valideerimisega. Lisaks paigati seitse turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).
Adobe paikas kriitilised turvavead oma tarkvarades
Adobe paikas oma toodetes kokku 166 turvaviga. Näiteks parandati üle kümne kriitilise ja olulise turvavea tarkvarades Adobe Commerce, Magento Open Source ja Adobe Commerce Webhooks Plugin.
Lisaks paigati ka mitmeid haavatavusi, mis mõjutavad tarkvarasid Adobe Photoshop, Adobe Audition, Adobe Media Encoder, Adobe FrameMaker Publishing Server, Adobe Commerce, Adobe ColdFusion, Adobe Substance 3D Stager, Adobe Creative Cloud Desktop ja Adobe Acrobat Android.
Ettevõte hoiatab, et turvanõrkuste ärakasutamine võib kaasa tuua suvalise koodi käivitamise Windowsi ja macOSi platvormidel. Adobe’i teatel pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).
Nvidia paikas suure mõjuga GPU-draiverite turvanõrkused
NVIDIA avalikustas turvauuendused, millega parandatakse kokku kümme haavatavust GPU-draiverite ja virtuaalse GPU (vGPU) tarkvarades. Nende hulgas on suure mõjuga vead, mis võimaldavad ründajal koodi käivitada, teenuse tööd häirida ja õigustega manipuleerida. Vead mõjutavad nii Windowsi kui ka Linuxi operatsioonisüsteeme. Turvavead on paigatud GPU-draiveri tarkvara versioonides R555, R550, R535 ja R470 ning kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik (SW, Nvidia).
Fortinet paikas FortiOSi koodi käivitamise turvavea
Fortinet paikas oma toodetes mitmeid haavatavusi, mille hulgas ka suure mõjuga koodi käivitamise viga tähisega CVE-2024-23110. Ettevõtte sõnul võimaldab turvaviga autentimata ründajal suvalist koodi või käsklusi käivitada. Viga mõjutab FortiOSi versioone 6.x ja 7.x ning on parandatud FortiOS versioonides 6.2.16, 6.4.15, 7.0.14, 7.2.7 ja 7.4.3.
Ettevõte parandas ka keskmise mõjuga haavatavuse tähisega CVE-2024-26010, mis mõjutab tarkvarasid FortiOS, FortiProxy, FortiPAM ja FortiSwitchManager. Selle kaudu on samuti võimalik ründajatel kaugelt suvalist koodi või käsklusi käivitada.
Soovitame kõigil Fortineti toodete kasutajatel tarkvara uuendada, kuna varasemalt on nende tarkvarade turvanõrkused olnud tihti ründajate sihtmärgiks (SW).
Apple paikas Vision Pro turvanõrkuse
Apple paikas eelmisel nädalal visionOSi turvanõrkuse tähisega CVE-2024-27812, mis mõjutab nende Vision Pro virtuaalreaalsuse peakomplekti. Tegemist võib olla esimese haavatavusega, mis taolisi seadmeid mõjutab. Nimetatud turvaviga koos paljude teistega on paigatud visionOSi versioonis 1.2.
VisionOS 1.2 parandab peaaegu kaks tosinat turvaauku. Suurem osa neist mõjutab komponente, mida visionOS jagab teiste Apple’i toodetega, nagu iOS, macOS ja tvOS. Haavatavused võivad kaasa tuua suvalise koodi käivitamise, teabe avaldamise, õigustega manipuleerimise ja teenuste tõkestamise (SW, Apple).
Google hoiatab Pixeli nutiseadmete turvanõrkuse eest
Google andis välja turvauuenduse, millega paigatakse 50 haavatavust Pixeli seadmetes. Ettevõtte teatel on nende hulgas ka nullpäeva turvanõrkus tähisega CVE-2024-32896, mida on õnnestunud rünnetes ära kasutada. Turvaviga võimaldab õigustega manipuleerida ja seda on hinnatud kõrge mõjuga haavatavuseks.
Google on märkinud, et nad näevad turvavea ärakasutamist sihitud rünnetes. Lisaks nimetatud nullpäeva turvaveale paigati veel mitmeid kriitilisi haavatavusi.
Turvauuendus on saadaval järgmistele Pixeli seadmetele: Pixel 5a with 5G, Pixel 6a, Pixel 6, Pixel 6 Pro, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 8, Pixel 8 Pro, Pixel 8a ja Pixel Fold. Kõigil kasutajatel soovitatakse Pixeli seadmed uuendada versioonile 2024-06-05 (BC, HN, Android).
Ivanti turvanõrkusele avaldati kontseptsiooni tõendus
Teadurid avalikustasid kontseptsiooni tõenduse (proof-of-concept), mis näitab kuidas on võimalik Ivanti Endpoint Manageri tarkvaras olevat turvaviga tähisega CVE-2024-29824 rünnetes ära kasutada. Tõenäoliselt suurendab see rünnete arvu, mis nimetatud haavatavust ära kasutavad.
Haavatavus võimaldab autentimata ründajal käivitada pahaloomulisi SQLi käsklusi ja on seetõttu hinnatud kriitilise CVSS skooriga 9.8/10. Turvaveale on olemas parandus juba maikuust. Sel aastal on avalikuks tulnud mitmeid Ivanti nullpäeva turvanõrkusi ja ründajad on need ka korduvalt sihikule võtnud. Seetõttu soovitame kõigil Ivanti toodete kasutajatel tarkvara uuendada esimesel võimalusel (DR).
ASUS paikas ruuterites kriitilise turvavea
Turvaviga tähisega CVE-2024-3080 on hinnatud kriitilise CVSS skooriga 9.8/10, kuna see võimaldab ründajal autentimisest mööda minna. Turvaviga mõjutab seitset ASUSe ruuterit: XT8 (ZenWiFi AX XT8), XT8_V2 (ZenWiFi AX XT8 V2), RT-AX88U, RT-AX58U, RT-AX57, RT-AC86U ja RT-AC68U. Lisaks paigati veel teine kriitiline haavatavus tähisega CVE-2024-3912, mille kaudu on võimalik pahaloomulist tarkvara üles laadida.
Ettevõte soovitab kõigil ASUSe ruuterite kasutajatel tarkvara uuendada. Kui see ei ole võimalik, siis tuleks tagada, et konto ja WiFi-paroolid oleksid tugevad (SA, BC).