Netgeari ruuterid sisaldasid XSS-i ja autentimisest möödapääsemist võimaldavaid turvanõrkusi

Netgear palub klienditel oma seadmete püsivara uuendada, et paigata skriptisüsti ja autentimisest möödapääsemist võimaldavaid turvanõrkusi (BC). Antud turvanõrkusi võib ära kasutada kasutajate sessioonide varastamiseks, pahaloomulistele veebilehtedele ümbersuunamiseks ja varjatud andmete varastamiseks.

XSS-i turvanõrkus (PSV-2023-011) mõjutab Netgeari XR1000 Nighthawki ruutereid ning autentimisest möödasaamist võimaldav turvanõrkus mõjutab CAX30 Nighthawk AX6 6-Streami ruutereid.

WordPressi veebilehti ohustab pistikprogrammis olev turvanõrkus

Üle 150 000 WordPressi veebilehe on mõjutatud Modern Events Calendari pistikprogrammis olevast haavatavusest tähisega CVE-2024-5441, mille kaudu võib ründaja laadida pahaloomulisi faile veebilehele ja käivitada suvalist koodi.

Wordfence’i sõnul tuleneb viga sellest, et plugina “set_featured_image” funktsioonis (kasutatakse sündmuste piltide üleslaadimiseks) puudub faili tüübi valideerimise võimalus, mistõttu võib sinna üles laadida ka kahtlaseid .PHP faile (WF).

Viga mõjutab kõiki plugina versioone kuni 7.12.0, milles on haavatavused paigatud. Wordfence’i raporti kohaselt on häkkerid võtnud turvanõrkuse sihikule ja proovivad seda rünnetes ära kasutada. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada (BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas seitse haavatavust, mis mõjutavad tarkvarasid Adobe Premiere Pro, Adobe InDesign ja Adobe Bridge. Ettevõte hoiatas, et mitmed paigatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada ning ohustatud on nii Windowsi kui ka Maci kasutajad.

Mõjutatud on järgmised tooted:

• Adobe Premiere Pro (CVE-2024-34123) — Mõjutatud versioonid: 24.4.1 ja varasemad, 23.6.5 ja varasemad (Windows ja macOS). CVSS 7.0/10.
• Adobe InDesign (CVE-2024-20781, CVE-2024-20782, CVE-2024-20783, CVE-2024-20785) — Mõjutatud versioonid: ID19.3 ja varasemad, ID18.5.2 ja varasemad (Windows ja macOS). (CVSS 7.8/10).
• Adobe Bridge (CVE-2024-34139, CVE-2024-34140). Mõjutatud versioonid:** 13.0.7 ja varasemad, 14.1 ja varasemad (Windows and macOS). (CVSS 7.8).
  
  Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).

Windowsi MSHTML nullpäeva turvanõrkust on juba üle aasta pahavararünnakutes ära kasutatud

Microsoft paikas Windowsi nullpäeva turvanõrkuse, mida on juba 18 kuud ära kasutatud pahaloomuliste skriptide käivitamiseks, vältides Windowsi sisseehitatud turvameetmeid (BC).

Sisult saab selle turvanõrkuse abil sundida ohvri seadet avama mingit pahaloomulist URL-i Internet Exploreri veebilehitsejaga, kasutades mhtml: URI funktsiooni. Nõnda on ründajatel kergem pahavara ohvrite seadmetesse juurutada, kuna Internet Explorer hoiatab pahaloomulistest failidest palju vähemal määral, kui teised veebilehitsejad.

Antud turvanõrkuse (tähisega CVE-2024-3811) avastasid Check Point Researchi teadlased 2024. aasta maikuus ja edastasid info Microsoftile, kuid teadlase sõnul avastasid nad turvanõrkuse ära kasutamise jälgi, mis ulatusid koguni 2023. aasta jaanuarini.