Tag Archives: Adobe

Olulisemad turvanõrkused 2024. aasta 20. nädalal

iOS 17.5 paikab 15 turvanõrkust

Apple avaldas uue iOSi versiooni, milles on parandatud 15 haavatavust. Vead mõjutavad erinevaid rakendusi: Find My, Maps, Notes, Screenshots, Shortcuts, WebKit jt.

Lisaks avaldati ka turvauuendused vanematele iPhone’i ja iPadi seadmetele – mõjutatud on iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation. Turvavead on paigatud tarkvarades iOS 16.7.8, iPadOS 16.7.8 ja macOS Ventura 13.6.7.

Sel aastal on juba kolme Apple’i turvanõrkust õnnestunud kuritarvitada ja seetõttu soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada (9to5mac, Apple, BC).

Google paikas kolmanda Chrome’i nullpäeva turvanõrkuse nädala jooksul

Möödunud nädalal tuli Google Chrome’i veebilehitsejas avalikuks lausa kolm nullpäeva turvanõrkust. Ettevõtte teatel on turvavigasid tähistega CVE-2024-4947, CVE-2024-4671 ja CVE-2024-4761 õnnestunud rünnete läbiviimisel ära kasutada. Sel aastal on Chrome’is avastatud kokku juba seitse nullpäeva turvanõrkust. Kõigil kasutajatel tuleks uuendada Chrome uusimale versioonile 125.0.6422.60 (SA, BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas kokku 35 haavatavust, mis mõjutavad tarkvarasid Adobe Acrobat ja Reader, Adobe Illustrator, Adobe Substance 3D Painter ning Adobe Aero. Mitmed parandatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada. Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud. Kuna kriitilised turvavead mõjutavad ka laialdaselt kasutusel olevaid Adobe Acrobat ja Reader tarkvarasid, siis on oluline tarkvara värskendada. Lisatud lingil on nimekiri kõigist Adobe tarkvarade turvauuendustest (SW).

VMware paikab Pwn2Owni häkkimisvõistlusel leitud haavatavused

VMware paikas neli turvanõrkust (CVE-2024-22267, CVE-2024-22268, CVE-2024-22269 ja CVE-2024-22270), mis võimaldavad ründajal pahatahtlikku koodi käivitada, teenuseid tõkestada ja saada ligipääsu tundlikule infole. Turvavead mõjutavad VMware’i tooteid Workstation (versioonid 17.x) ja Fusion (versioonid 13.x). Haavatavused on paigatud  nimetatud tarkvarade versioonides 17.5.2 ja 13.5.2. Nendel, kel ei ole võimalik tarkvara uuendada, soovitab tootja virtuaalmasinas Bluetoothi toe välja lülitada ja 3D-funktsioon keelata (SW, HN).

Microsoft paikas Windowsi nullpäeva turvanõrkuse

​Microsoft on parandanud nullpäeva haavatavuse, mida kasutati QakBoti ja muude pahavarade levitamiseks Windowsi süsteemidesse. QakBoti on seostatud vähemalt 40 lunavararündega, mis on suunatud ettevõtete, tervishoiuteenuste osutajate ja riigiasutuste vastu üle kogu maailma.

Turvanõrkuse CVE-2024-30051 eduka ära kasutamise korral sai ründaja süsteemitaseme õigused. Kokku paigati 61 turvaviga, mille hulgas oli kolm nullpäeva turvanõrkust ja 27 koodi kaugkäivitamist võimaldavat viga. Ainult üks paigatud viga on hinnatud kriitiliseks ning see mõjutab Microsoft Office SharePointi tarkvara (BC, BC).

Intel paikas oma toodetes 90 turvaviga

Kõige tõsisema mõjuga on kriitiline turvaviga tähisega CVE-2024-22476, mida on hinnatud maksimaalse CVSS skooriga 10/10 ja mille kaudu on võimalik saada kaugteel kõrgemad õigused. Suuremale osale haavatavustest on olemas turvapaigad, aga mõnele on pakutud ka leevendavaid meetmeid. Enamik turvavigadest võib kaasa tuua privileegide suurenemise, teenuste tõkestamise või tundliku teabe avalikustamise (SW).

D-Linki ruuterid on haavatavad seadme ülevõtmise veale

HNAP-i protokolli turvaviga mõjutab D-Linki ruutereid ja annab autentimata ründajale võimaluse juurõigustes pahaloomulisi käske käivitada. Teadurid avaldasid nullpäeva turvanõrkusele kontseptsiooni tõenduse, mis näitab, kuidas nimetatud haavatavust on võimalik ära kasutada. Turvaviga mõjutab D-Linki DIR-X4860 ruutereid ja selle kaudu on võimalik seade üle võtta. Hetkel ei ole veel haavatavusele olemas parandust, samuti ei ole ruuteri tootja vastanud midagi turvavea avastajale. Mõjutatud seadmete kasutajatel on võimalik kaugjuurdepääsu haldusliides ära keelata, et turvanõrkuse mõju vältida.

D-Linki seadmetes olevad vead võivad olla suureks turvariskiks. Varasemalt on teada, et neid on kasutatud nii robotvõrgustike loomiseks kui ka tundlike andmete varastamiseks. Lisaks on ettevõte ise sattunud küberründe ohvriks, mille käigus paljastati nende lähtekood ja klientide andmed (DR, SSD, BC).

Olulisemad turvanõrkused 2024. aasta 7. nädalal

Oht DNS-serveritele – teadurid leidsid 20 aastat vana disainivea DNSSECi spetsifikatsioonis

Teadurid avastasid uue DNS-iga seotud haavatavuse, mis sai nimeks KeyTrap. Vea (CVE-2023-50387) näol on tegemist Domain Name System Security Extensionsi (DNSSEC) disainiveaga. DNSSEC võimaldab tagada, et internetist domeeninime otsimisel saadav teave on autentne ja seda ei ole rikutud. Teisisõnu aitab lahendus suunata kasutajaid legitiimsetele veebilehtedele. KeyTrapi-nimelist turvanõrkust kasutades on võimalik peatada kõikide haavatavate DNSSECi kontrollivate DNS-serverite töö. See tähendab omakorda seda, et veebilehed, meiliserverid jms, mis nendest DNSSECi teenustest sõltuvad, ei pruugi tavapäraselt enam töötada. KeyTrapi rünnak võib vea avastanud teadlaste hinnangul mõjutada ka populaarseid avalikke DNSSECi valideerimisteenuste pakkujaid (Google ja Cloudflare). Täpsemalt saab turvanõrkuse kohta lugeda viidatult linkidelt (SW, TR, BC).

Microsoft parandas väga kriitilise turvanõrkuse

Microsoft parandas igakuiste tooteparanduste raames 73 haavatavust, nende hulgas kaks nullpäeva turvanõrkust. 73-st parandatud turvaveast hinnati viis haavatavust kriitiliseks. Üheks olulisemaks parandatud turvaveaks on haavatavus tähisega CVE-2024-21413 (tuntud ka kui MonikerLink), mis seab ohtu kõik aegunud Outlooki tarkvara kasutavad kasutajad. See võimaldab ründajal mööda minna “Office Protected View” turvaseadistusest. Ründaja võib ohvrile saata teatud kujul e-kirja ja kui ohver kasutab haavatavat versiooni tarkvarast ning kirja loeb, võib tema masinas käivituda halbade kokkusattumiste tagajärjel pahavara. Samuti on ründajal võimalik varastada ohvriga seotud NTLM-räsisid, mida on potentsiaalselt võimalik edasistes küberrünnetes kuritarvitada. Täpsema nimekirja parandustest leiab lisatud linkidelt (CP, BC, HN).

Adobe parandas enda toodetel vähemalt 30 turvanõrkust

Adobe on välja andnud värskendused, et parandada vähemalt 30 turvanõrkust mitmes laialdaselt kasutatavas tarkvaras, sealhulgas Adobe Acrobat, Reader, Commerce, Magento Open Source jpt. Need vead võivad lubada ründajatel käivitada kahjulikku koodi, turvameetmetest mööda minna või häirida rakenduste tööd. Adobe soovitab kasutajatel need värskendused kiiresti rakendada, et kaitsta end võimalike rünnakute eest. Ettevõtte sõnul ei ole hetkel informatsiooni, et turvanõrkusi oleks suudetud ära kasutada ka reaalsete rünnakute jaoks (SW, Adobe).

Zoomi tarkvaras parandati seitse turvaviga, sh üks kriitiline turvanõrkus

Zoom on parandanud oma Windowsi rakendustes kriitilise turvavea, mille abil võivad häkkerid saada ohvri arvutis kõrgemad õigused. Turvaviga tähistatakse kui CVE-2024-24691 ja see mõjutab mitut Windowsile mõeldud Zoomi rakendust, sealhulgas töölaua- ja VDI-kliente ning Meeting SDK-d. Täpsema nimekirja mõjutatud tarkvaraversioonidest leiab viidatud lingilt. Konkreetse turvavea ärakasutamiseks on vaja kasutajapoolset tegevust, näiteks seda, et kasutaja klõpsaks pahaloomulisel lingil. Lisaks sellele kriitilisele haavatavusele parandatakse Zoomi uusima värskendusegaka kuus muud turvanõrkust. Ettevõte soovitab tarkvara kasutajatel rakendada uuendused esimesel võimalusel (BC, Zoom).

ESET paikas Windowsile mõeldud tarkvaral kõrge mõjuga turvavea

ESET, kes arendab seadmetele viirusetõrjetarkvara, parandas Windowsi arvutitele mõeldud tarkvaral tõsise turvavea. Nimelt võimaldab CVE-2024-0353 tähisega haavatavus ründajatel saada volitamata juurdepääsu kohtadele, kuhu nad ei tohiks pääseda. Haavatavus leiti tarkvara sellest osast, mis kontrollib internetiga seotud võrguliiklust. Täpsem nimekiri mõjutatud tarkvaradest on toodud viidatud linkidel. Ettevõte soovitab rakendada parandused esimesel võimalusel. Viirusetõrjetarkvarades peituvad turvavead on üsna ohtlikud, kuna need tarkvarad vajavad enda tööks süsteemis tavaliselt kõrgendatud õiguseid. See tähendab, et kui ründajal õnnestub viirusetõrjetarkvara kompromiteerida, on tal potentsiaalselt võimalik kõrgendatud õigustega jätkata pahaloomulist tegevust süsteemis, suurendades ohtu lõppkasutajale (SA, ESET).   

Olulisemad turvanõrkused 2023. aasta 50. nädalal

  • Apple avaldas uue iOSi ja iPadOSi versiooni 17.2

Apple avaldas eelmise nädala alguses uued tarkvara versioonid iOS 17.2 ja iPadOS 17.2, kus on paigatud vähemalt 11 turvaviga. Kõige tõsisema mõjuga on mälupesa sisu muutmise viga ImageIO komponendis, mis võib kaasa tuua pahaloomulise koodi käivitamise. Täpsema loetelu paigatud vigadest leiab Apple’i veebilehelt (Apple).

Ühtlasi tuli välja ka turvauuendus vanematele Apple’i seadmetele. Versioonides iOS 16.7.3 ja iPadOS 16.7.3 on paigatud muuhulgas ka WebKiti veebibrauserimootorit mõjutavad nullpäeva turvanõrkused.

Soovitame Apple’i nutiseadmeid uuendada esimesel võimalusel (SW).

  • Microsoft andis välja oma igakuised turvauuendused

Microsoft parandas kokku 34 haavatavust, nende hulgas oli ka üks nullpäeva turvanõrkus. Parandatud vigadest võimaldavad koodi kaugkäivitada kaheksa haavatavust ja kolm neist on hinnatud kriitilise mõjuga veaks.

Paigatud nullpäeva turvanõrkus tähisega CVE-2023-20588 mõjutab teatud AMD protsessoreid, mis võivad eduka ründe korral tagastada tundlikku infot. Viga tuli avalikuks juba augustis, kuid siis ei avaldatud veale parandust.

Lisaks paigati ka kaheksa turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

  • Adobe paikas oma toodetes 207 turvanõrkust

Adobe hoiatas nii Windowsi kui ka macOSi Adobe toodete kasutajaid pahatahtliku koodi käivitamise, mälulekete ja teenuse tõkestamise rünnete eest. Kokku paigati vähemalt 207 turvaviga, mis mõjutavad erinevaid Adobe tarkvarasid.

Kriitilise mõjuga vead paigati tarkvarades Adobe Illustrator, Substance 3D Sampler ja After Effects. Vead paigati ka tarkvarades Adobe Prelude, Adobe InDesign, Adobe Dimension ja Adobe Animate.

Soovitame kõigil Adobe toodete kasutajatel tarkvara uuendada (SW).

  • Google Chrome’i uues versioonis on parandatud 9 turvanõrkust

Google avaldas Chrome’i versiooni 120.0.6099.109 Windowsi, Maci ja Linuxi seadmetele. Parandatud turvanõrkuste seas on viis kõrge mõjuga ja üks keskmise mõjuga haavatavus. Kõige suurema mõjuga neist on V8 JavaScripti mootorit mõjutav haavatavus.

Ettevõtte ei avaldanud täpsemat infot turvanõrkuste kohta, et enamus kasutajaid jõuaks enne tarkvara uuendada. Hetkel teadaolevalt ei ole turvavigasid õnnestunud kuritarvitada. Google on 2023. aasta jooksul paiganud juba seitse nullpäeva turvanõrkust Chrome’i veebilehitsejas (SW).

  • Ligi 40% Log4J rakendustest kasutab haavatavat tarkvara

Umbes 38% rakendustest, mis kasutavad Apache Log4j teeki, on haavatavuste tõttu ohus. Nende hulgas on ka endiselt rakendusi, mis on haavatavad kaks aastat tagasi paigatud kriitilisele turvanõrkusele Log4Shell. Kuna Log4Shell haavatavus mõjutab väga paljusid tarkvarasid ning seda oli lihtne kuritarvitada, siis muutus see kiirelt ründajate sihtmärgiks.

Rakenduste turvalisusega tegeleva ettevõte Veracode’i raporti alusel on endiselt paljud organisatsioonid jätnud tarkvara uuendamata ja on seetõttu ohus erinevatele Log4j turvanõrkuste rünnetele. Ettevõte kogus 90 päeva jooksul andmeid 3866 organisatsioonist ja enam kui 38 000 erinevast rakendusest. Selle tulemusel selgus, et suur hulk rakendusi kasutab endiselt haavatavaid versioone tarkvarast (BC).