WordPressi pistikprogrammis oleva turvanõrkuse tõttu on üle viie miljoni veebilehe ohus
Turvanõrkus tähisega CVE-2023-40000 mõjutab pistikprogrammiLitespeed Cacheja selle kaudu on võimalik autentimata ründajal saada kõrgemad õigused ning ligipääs tundlikule
infole. Pistikprogrammi on alla laetud enam kui viis miljonit korda ehk tegemist on väga laialdaselt kasutusel oleva tarkvaraga. Litespeed Cache abil on võimalik veebilehe jõudlust parandada. Turvanõrkus on paigatud juba eelmise aasta oktoobris tarkvara versioonis 5.7.0.1 ja kõigil kasutajatel tuleks uuendada pistikprogramm kõige uuemale versioonile. Hetkel on selleks 6.1.
Turvanõrkuse täpsema kirjelduse leiab Patchstacki postitusest (HN, SA).
Populaarses WordPressi pistikprogrammis avastati kriitiline turvaviga
Eelmisel nädalal avaldati ka teine suure mõjuga WordPressi turvaviga. Üle 200 000 WordPressi veebilehe on mõjutatud Ultimate Memberi pistikprogrammis olevast haavatavusest, mille kaudu võib autentimata ründaja käivitada SQL-päringuid ja saada ligipääsu andmebaasile. See on plugin, mis võimaldab WordPressi administraatoril hallata kasutajate registreeringuid, sisselogimisi, profiile ja rolle.
Viga tähistatakse CVE-2024-1071 ja seda on hinnatud kriitilise CVSS skooriga 9.8/10. Haavatavus mõjutab kõiki pistikprogrammi versioone kuni 2.8.3, kus turvaviga on paigatud. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada. Defianti andmeil on vähemalt ühel korral proovitud haavatavust ka ära kasutada (SW).
Zyxel paikas mitu turvanõrkust oma tulemüüri seadmetes
Ettevõte paikas neli turvanõrkust, mis võimaldavad ründajal koodi kaugkäivitada ja teenuseid tõkestada. Zyxel parandas turvavead tähistega CVE-2023-6397, CVE-2023-6398, CVE-2023-6399 ja CVE-2023-6764. Haavatavused mõjutavad Zyxeli tulemüüriseadmeid ATP, USG FLEX, USG FLEX 50(W)/USG20(W)-VPN ja USG FLEX H. Turvavead on paigatud ja tootja soovitab kõigil kasutajatel teha tarkvarauuenduse esimesel võimalusel (SW, Zyxel).
Sel aastal on oodata turvanõrkuste kasvu
Coalitioni aruanne näitab, et 2024. aastal on kasvab avaldatud turvanõrkuste arv neljandiku võrra. Eeldatavalt avalikustatakse sel aastal ligi 35 000 erinevat CVE tähisega turvanõrkust ehk igal kuul võime oodata 2900 uut haavatavust. Kuna erinevate turvavigade kuritarvitamine on üks enamlevinud ründevektoritest, siis võib haavatavuste arvu tõus suurendada ka rünnete arvu.
Lisaks tuli aruandes välja ka see, et unikaalsete IP-aadressite poolt läbiviidud avatud kaugtöölauaprotokolli (RDP) skaneerimised on kasvanud 59% võrra.
Paljud lunavararünded viiakse läbi just internetile avatud kaugtöölauaühenduse kaudu. (HNS)
Teadur avastas kriitilise turvanõrkuse Facebookis
Kriitilise turvanõrkuse kaudu oli potsentsiaalselt võimalik üle võtta ükskõik milline Facebooki konto. Viga avaldus parooli lähtestamise ajal, kui kasutaja valis parooli taastamiseks “Send Code via Facebook Notification” ehk uue koodi saatmise Facebooki teavituse kaudu. Teadur teavitas veast selle aasta 30. jaanuaril ning turvaviga paigati juba 2. veebruaril. Meta sõnul oli tegemist väga suure mõjuga turvaveaga, mille abil oleks saanud ilma kasutajapoolse tegevuseta kontosid kompromiteerida (SA).
Eksperdid hoiatavad Androidi vastu suunatud rünnete tõusu eest
Kaspersky avalikustas oma iga-aastase nutiseadmete ohtude analüüsi, mille kohaselt 2023. aastal suurenes mobiilseadmete vastu suunatud rünnete arv võrreldes eelmise aastaga 52%. Raporti alusel viidi eelmisel aastal läbi 33.8 miljonit rünnet mobiilseadmete vastu. Kõige enam kasutati rünnete läbviimisel pahaloomulist reklaamvara.
Kaspersky sõnul kasutavad küberkurjategijad pahavara levitamiseks erinevaid taktikaid – kasutatakse nii ametlikke kui ka võltsitud rakenduste poode. Näiteks laeti Google Play poodi üles pahatahtlikke rakendusi ja lisaks tuvastati WhatsAppi ning Telegrami võltsinguid, mille eesmärgiks oli kasutajate andmete varastamine.
Kaspersky tõi ka välja mitmeid soovitusi, kuidas on võimalik ohtusid ennetada: