Apple avaldas iOSi ja iPadOSi versiooni 18
Uues iOSi versioonis on paigatud vähemalt 33 turvaviga, mille kaudu on võimalik rünnata nii iPhone’i kui ka iPadi seadmeid. Varasemas versioonis olevad turvaaugud võimaldavad ründajal saada ligipääsu tundlikele andmetele või hankida täieliku kontrolli seadme üle.
Lisaks avaldati ka turvauuendustega operatsioonisüsteem macOS Sequoia 15.
Kuigi hetkel ei ole avalikku infot, et parandatud turvanõrkusi oleks reaalselt ära kasutatud, soovitab Apple iOSi ja iPadOSi uuendada esimesel võimalusel versioonile 18 (SW, Apple).
Uuenduse tegemisel soovitame arvestada, et esimestel päevadel peale uuenduste paigaldamist võib seadme aku vastupidavus olla tavapärasest väiksem, kuna peale suuremat versiooniuuendust teeb seade taustategevusi, mis kulutavad energiat (ZD).
Ivanti hoiatab kriitilise turvavea eest Cloud Service Appliance’i tarkvaras
Eelmise nädala blogipostituses kirjutasime, et Ivanti paikas erinevates toodetes hulga turvanõrkusi. 19. septembril andis aga ettevõte teada, et Cloud Services Appliance’i (CSA) versioonis 4.6 (kasutusea lõpus olev tooteversioon) on avastatud uus kataloogihüppe (path traversal) turvanõrkus CVE-2024-8963 (CVSS skoor 9.4/10), mida koos varem leitud turvanõrkusega CVE-2024-8190 (CVSS skoor 7.2/10) rünnakutes aktiivselt ära kasutatakse. Need turvanõrkused koos võimaldavad autentimata ründajal mööduda autentimisest ja käivitada paikamata seadmetes endale sobilikke käske.
Soovitame uuendada Ivanti CSA tarkvara uusimale versioonile ja vältida kasutusea lõpus tarkvara kasutamist (BC).
Atlassian paikas oma sisemajutuses kasutatavates toodetes mitmeid turvavigu
Kolmapäeval avaldas Atlassian mitmed turvauuendused sisemajutuses kasutatavatele Data Center and Serveri versioonidele Bamboo, Bitbucketi, Confluence’i ja Crowdi tarkvaradest. Neli haavatavust, mis tuvastati kõikides nimetatud tarkvarades, võimaldasid ründajal tekitada teenusele teenusetõkestusründe (DoS) seisundi.
Atlassiani tooted on varasemalt olnud rünnakute sihtmärgiks, mistõttu soovitame sisemajutuses Atlassiani tooteid kasutavatel asutustel uuendada tarkvara võimalikult kiiresti viimasele versioonile (SW, Atlassian, Atlassian Server EOL).
VMware parandas kriitilised haavatavused oma tarkvaras
Teisipäeval avaldas VMware vCenter Serveri tarkvara turvauuendused. Parandati kriitiline puhvri ületäitumise turvanõrkus CVE-2024-38812 (CVSS skoor on 9.8/10) ja õiguste vallutuse nõrkus CVE-2024-38813 (CVSS skoor 7.5/10).
Mõjutatud on VMware vCenter Serveri versioonid 7.0 ja 8.0 ning VMware Cloud Foundationi versioonid 4.x ja 5.x. Vead on parandatud vCenter Serveri versioonides 8.0 U3b ja 7.0 U3s, soovitame tarkvara uuendada (SW).
D-Link parandas kriitilised haavatavused kolme populaarse ruuterimudeli püsivaras
D-link parandas kolmes populaarses ruuterimudelis kriitilised turvanõrkused, mis võimaldasid ründajal käivitada endale sobivat koodi või saada ruuterile ligipääs, kasutades püsikodeeritud pääsumandaate (hardcoded credentials).
Parandused on loodud järgmistele mudelitele:
- COVR-X1870 (non-US) püsivara (firmware) versioon v1.02 ja varasemad;
- DIR-X4860 püsivara versioon v1.04B04_Hot-Fix ja varasemad;
- DIR-X5460 püsivara versioon v1.11B01_Hot-Fix või varasem.
Kuna D-Link-i ruuterid on sageli pahavara botnet’ide rünnakute all, soovitame ruuteri püsivara uuendada (BC).
Apache’i HugeGraph-Serveri turvanõrkus on aktiivsete rünnakute all
CISA hoiatab, et Apache’i HugeGraph-Serveri turvanõrkust CVE-2024-27348 (CVSS skoor 9.8), mis võimaldab koodi kaugkäitust, kasutatakse aktiivsete rünnakuteks ära. Antud turvanõrkus on parandatud HugeGraphi versiooniga 1.3.0 aprillis 2024. Soovitame uuendada tarkvara viimasele olemasolevale versioonile (BC).
SolarWinds paikas kriitilised turvanõrkused ARMi tarkvaras
Eelmisel nädalal tegi SolarWinds kaks turvauuendust Access Rights Manageri (ARM) tarkvarale. Kõige kriitilisem neist oli koodi kaugkäitust võimaldav viga tähisega CVE-2024-28991 (CVSS skoor 9.0/10). Mõlemad nõrkused on parandatud ARMi versioonis 2024.3.1.
Teadaolevalt pole õnnestunud neid nõrkuseid ära kasutada, kasutajatel soovitatakse tarkavara uuendada kõige värskemale versioonile (HN).