VMware paikas oma toodetes haavatavusi

VMware paikas kaks kriitilist haavatavust, mis mõjutavad vCenter Serveri tarkvara. vCenter Server on haldustarkvara, mida kasutatakse VMware’i virtualiseeritud keskkondade haldamiseks. Mõlemad haavatavused tähistega CVE-2024-37079 ja CVE-2024-37080 on hinnatud kriitilise CVSS skooriga 9.8/10. Eduka ründe korral on võimalik nende abil koodi kaugkäivitada. Haavatavused on paigatud vCenteri versioonides 8.0 ja 7.0, samuti Cloud Foundationi versioonides 5.x ja 4.x.

Lisaks paikas ettevõtte ka kõrge mõjuga turvavea tähisega CVE-2024-37081, mille kaudu on autentimata ründajal võimalik saada juurkasutaja õigused vCenter Serveri tarkvaras.

Kuna erinevad VMware’i tooted on laialdaselt kasutusel, siis on need ka varasemalt osutunud ründajate sihtmärgiks. Nende haavatavuste kaudu on potentsiaalselt võimalik saada ligipääs ettevõtete tundlikule infole, mistõttu on oluline tarkvara värskendada esimesel võimalusel (SCM, SA).

Google avaldas uue Chrome’i versiooni

Google avaldas Chrome’i versiooni 126 Windowsi, Maci ja Linuxi seadmetele, milles on paigatud kuus turvaviga. Parandatud turvanõrkuste seas on neli kõrge mõjuga turvaviga. Üks neist on haavatavus tähisega CVE-2024-6100, mida esitleti TyphoonPWN 2024 häkkimisvõistlusel. Ettevõtte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada.

Soovitame uuendada Chrome’i esimesel võimalusel – Windowsi ja macOSi kasutajad versioonile 126.0.6478.114/115 ning Linuxi kasutajad 126.0.6478.114 (SA, SW).

Atlassian paikas oma toodetes mitmeid kõrge mõjuga haavatavusi

Atlassian parandas mitu kõrge mõjuga haavatavust, mis mõjutavad ettevõtte tarkvarasid Confluence, Crucible ja Jira.

Näiteks Confluence Data Center and Serveri tarkvaras paigati kuus turvaviga, mis on parandatud tarkvara versioonides 8.9.3, 8.5.11 (LTS) ja 7.19.24 (LTS).

Crucible Data Center and Server tuleks uuendada versioonile 4.8.15 või uuemale. Jira Data Center and Serveri vead on paigatud versioonides 9.16.0, 9.16.1, 9.12.8, 9.12.10 (LTS), 9.4.21 ja 9.4.23 (LTS).

Atlassian ei maini, et nimetatud turvanõrkusi oleks õnnestunud kuritarvitada. Soovitame samas kõigil Atlassiani toodete kasutajatel uuendada tarkvara viimasele versioonile, kuna need on olnud varasemalt ründajate sihtmärkideks (SW, SA, Atlassian).

Adobe Commerce’i ja Magento veebilehed on turvanõrkuse tõttu ohus

CosmicStingi-nimeline turvanõrkus mõjutab suurt osa Adobe Commerce’i ja Magento veebilehti – hetkel on arvatavalt ohus miljonid veebilehed. Nimetatud tarkvarasid kasutavad e-poed üle maailma ja kolm neljandikku neist ei ole veel turvauuendusi rakendanud. Haavatavus tähisega CVE-2024-34102 võimaldab koodi käivitada ja on hinnatud kriitilise CVSS skooriga 9.8/10. Sanseci hinnangul on tegemist ühe kriitilisema turvaveaga viimase kahe aasta jooksul, mis mõjutab Magento ja Adobe Commerce’i tarkvarasid.

Viga on paigatud järgmistes tarkvarade versioonides:

• Adobe Commerce 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
• Adobe Commerce Extended Support 2.4.3-ext-8, 2.4.2-ext-8, 2.4.1-ext-8, 2.4.0-ext-8, 2.3.7-p4-ext-8
• Magento Open Source 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
• Adobe Commerce Webhooks Plugin version 1.5.0

Kõigil Adobe Commerce’i ja Magento Open Source’i tarkvarade kasutajatel tuleks teha turvauuendus (BC, Sansec).

Ligikaudu 150 000 ASUSe ruuterit on turvanõrkuse tõttu ohus

Kriitiline turvanõrkus tähisega CVE-2024-3080 tuli avalikuks juuni keskpaigas ja see võimaldab ründajal autentimisest mööda minna. Kirjutasime turvaveast ka siin blogis. Veale on olemas parandus 14. juunist, kuid paljud ASUSe ruuterite kasutajad ei ole veel oma seadme tarkvara uuendanud. Vähemalt 150 000 ruuterit on uuendamata takrvaraga ja seetõttu kriitilisele turvanõrkusele haavatavad (CSD).