Microsoft paikas oma toodetes 118 haavatavust
Microsoft paikas uuenduste teisipäeva raames 118 haavatavust, mille hulgas oli ka viis nullpäeva turvanõrkust, millest kahte kasutatakse aktiivselt rünnakuteks.
Parandatud turvanõrkused jagunevad järgmiselt:
- 28 õiguste vallutuse (Elevation of Privilege) turvanõrkust
- Seitse turvavahenditest möödumise (Security Feature Bypass) turvanõrkust
- 43 koodi kaugkäituse (Remote Code Execution) turvanõrkust, millest kolm on hinnatud kriitiliseks.
- Kuus teabe paljastamise (Information Disclosure) turvanõrkust
- 26 teenusetõkestuse (Denial of Service) turvanõrkust
- Seitse teeskluse (Spoofing) turvanõrkust
Täpsema nimekirja parandustest leiab viidatud artiklist. Soovitame uuendada Windowsi tarkvara esimesel võimalusel (BC).
Ivanti hoiatab kolme kriitilise turvavea eest
Ivanti andis teada, et ründajad on võtnud sihikule kolm turvaviga, mis mõjutavad Cloud Service Appliance’i (CSA) tarkvara versioone 4.6 ja 5.0.
Ettevõtte sõnul on ründajatel õnnestunud ära kasutada kolme haavatavust (CVE-2024-9379, CVE-2024-9380 ja CVE-2024-9381) nende klientide seadmetes, kes kasutavad tarkvara versiooni CSA 4.6 (patch 518). Juhime tähelepanu, et Ivanti CSA 4.6 on tööea lõpus olev tooteversioon, mille tugi on lõppenud ja mis tuleks uuendada versioonile 5.0.x.
CSA 5.0 on turvavigadest mõjutatud, kuid ei ole teateid nende reaalsest ära kasutamisest.
Tootja soovitab uuendada CSA kõige uuemale versioonile 5.0.2 (HN).
Mozilla paikas nullpäeva nõrkuse, mis on aktiivsete rünnakute all
Mozilla parandas Firefoxi veebilehitseja nullpäeva turvanõrkuse tähisega CVE-2024-9680 (CVSS skoor 9.8). Haavatavuse näol on tegemist mälu järelkasutuse veaga, mis võimaldab ründajal käivitada oma koodi.
Viga on paigatud Mozilla Firefoxi versioonis 131.0.2 ning Firefox ESRi versioonides 115.16.1 ja 128.3.1. Soovitame uuendada Firefoxi tarkvara uusimale versioonile (BC, THN).
GitLab hoiatab kriitilise turvavea eest
GitLab Community Editioni (CE) ja Enterprise Editioni (EE) tarkvarale on antud välja turvauuendus, kus parandatakse mitmeid turvavigasid, sealhulgas kriitiline haavatavus tähisega CVE-2024-9164 (CVSS skoor 9.6/10). Antud turvaviga võimaldab ründajal minna mööda haru turvameetmetest (branch protections) ja käivitada pipeline’is olevaid protsesse. Turvavead on paigatud GitLab Community Editioni (CE) ja Enterprise Editioni (EE) versioonides 17.4.2, 17.3.5 ning 17.2.9.
GitLabi haavatavused on tihti olnud rünnete sihtmärgiks, mistõttu soovitame tarkvara uuendada esimesel võimalusel (BC).
Jenkins paikas mitmed turvavead automatiseerimistööriistas ja pistikprogrammides
Jenkins on välja andnud turvapaigad mitme haavatavuse jaoks, mis mõjutavad nende automatiseerimistööriista ja pistikprogramme. Vead on paigatud Jenkinsi versioonides 2.479 ja LTS 2.462.3. Lisaks parandati haavatavusi kahes pistikprogrammis – OpenId Connect Authentication ja Credentials.
Soovitame mõjutatud tooted uuendada kõige viimasele versioonile (SW).
CISA hoiatab: Fortineti RCE turvaviga on aktiivsete rünnakute all
Fortineti turvaviga CVE-2024-23113 (CVSS skoor 9.8), mis võimaldab autentimata ründajatel käivitada haavatavates süsteemides suvalist koodi ja millest kirjutasime veebruarikuises blogipostituses, on aktiivsete rünnakute all.
Turvaviga mõjutab järgmisi tarkvarasid:
Fortineti FortiOSi versioonid:
- 7.4.0 kuni 7.4.2
- 7.2.0 kuni 7.2.6
- 7.0.0 kuni 7.0.13
FortiProxy:
- 7.4.0 kuni 7.4.2
- 7.2.0 kuni 7.2.8
- 7.0.0 kuni 7.0.14
FortiPAM:
- kuni 1.2.0
- 1.1.0 kuni 1.1.2
- 1.0.0 kuni 1.0.3
FortiSwitchManager:
- 7.2.0 kuni 7.2.3
- 7.0.0 kuni 7.0.3.
Soovitame mõjutatud Fortinet RCE kasutajatel uuendada tarkvara esimesel võimalusel (BC).