Tag Archives: Apple

Olulisemad turvanõrkused 2023. aasta 49. nädalal

Androidi turvauuendused parandavad kriitilise turvavea

Androidi nutiseadmetes paigati 85 turvaviga. Nende hulgas on ka kriitiline koodi kaugkäivitamist võimaldav turvaviga (CVE-2023-40088), mis ei vaja kasutajapoolset tegevust haavatavuse edukaks kuritarvitamiseks. Samuti ei ole haavatavuse kuritarvitamiseks vaja kõrgendatud õiguseid. Teadaolevalt ei ole viga rünnete läbiviimisel veel ära kasutatud, kuid RIA soovitab Androidi nutiseadmete tarkvara uuendada esimesel võimalusel (BC, SA, Android).

Atlassian parandas enda toodetes neli kriitilist turvaviga

Atlassian avaldas parandused nelja kriitilise koodi kaugkäitamise haavatavuse kohta, mis mõjutavad Confluence’i, Jira ja Bitbucketi tarkvaru. Kõik haavatavused said kriitilisuse skooriks vähemalt 9.0/10.0-st ja neid tähistatakse kui CVE-2023-22522, CVE-2023-22523, CVE-2023-22524 ja CVE-2022-1471. RIA soovitab esimesel võimalusel tarkvarad uuendada (HN, Atlassian).

WordPressi administraatoritele saadetakse võltsitud turvauuenduste kirju

WordPressi haldajatele saadetakse võltsitud WordPressi turvateatisi fiktiivse haavatavuse kohta, et nakatada veebilehti pahatahtliku pistikprogrammiga. Kirja sisus on väidetud, et platvormil leiti kriitiline koodi kaugkäivitamist võimaldav viga ja selle parandamiseks tuleks alla laadida turvapaik. Kui lingile vajutada, siis suunatakse kasutaja kurjategijate loodud lehele, mis näeb välja identne õige WordPressi veebilehega (BC).

Lisaks paigati WordPressi uues versioonis 6.4.2 viga, mida on võimalik koos mõne teise haavatavusega ära kasutada pahatahtliku koodi kaugkäivitamiseks. Kõigil WordPressi kasutajatel on soovitatud tarkvara uuendada esimesel võimalusel, kuna haavatavuse tõttu on võimalik saada täielik kontroll veebilehe üle (SA, WordPress).

Tõsine Bluetoothi haavatavus võib lubada seadmetesse alla laadida pahaloomulisi rakendusi

Hiljutine turvahaavatavus CVE-2023-45866 mõjutab Androidi, Linuxi ja Apple’i seadmeid, võimaldades ründajatel sisestada klahvivajutused Bluetoothi turvavea kaudu. See viga võimaldab Bluetoothi levialas asuvatel ründajatel luua ühenduse tuvastatavate seadmetega ilma kasutaja kinnitust vajamata, võimaldades neil teha selliseid toiminguid nagu rakenduste installimine või käskude käivitamine. Haavatavus tuvastati esmalt macOS-is ja iOS-is, mõjutades isegi lukustusrežiimis (Lockdown Mode) olevaid seadmeid. Hiljem tuvastati see ka Androidis ja Linuxis (SW).

Mõjutatud on kõik Androidi versioonid alates versioonist 4.2.2. Google’i sõnul parandavad turvavea 2023. aasta detsembri turvauuendused (SW).

Kuigi Linuxi erinevatele distributsioonidele on parandus olemas juba 2020. aastast, on see tihti vaikimisi seades keelatud. Mõjutatud on Linuxi operatsioonisüsteemi kasutavad seadmed, mis on seatud olekusse avastatav/ühendatav (SW).

Lisaks on macOS ja iOS haavatavad, kui Bluetooth on lubatud ja Magic Keyboard on seadmes rakendatud. Sellisel juhul ei kaitse potentsiaalse ründe eest ka lukustusrežiim (Lockdown Mode) (SW).

USA valitsusasutuste vastu on üritatud ära kasutada Adobe ColdFusioni kriitilist turvanõrkust

Häkkerid on aktiivselt kasutanud Adobe ColdFusioni kriitilist turvaauku, mille tähistus on CVE-2023-26360, et tungida USA valitsusasutuste serveritesse. See haavatavus võimaldab ründajatel käivitada mis tahes koodi sihtmärgiks valitud serverites, mis kasutavad veebirakenduste arendusplatvormi Adobe ColdFusioni aegunud versioone. Turvaviga kasutati algselt nullpäeva haavatavusena, enne kui Adobe paranduse välja andis.

USA küberjulgeoleku ja infrastruktuuri turvalisuse agentuur (CISA) on liigitanud antud häkkimiskatsed luuretegevuseks, mis tavaliselt hõlmavad teabe kogumist sihitud võrkude ja süsteemide kohta. CISA avalikustas föderaalasutustele ja osariikide teenistustele hoiatuse ja soovitused, et nad rakendaksid oma Adobe ColdFusioni tarkvaradele kohe saadaolevad turvavärskendused (CISA).

Riski maandamiseks ja võimalike ärakasutamiste eest kaitsmiseks soovitatakse ColdFusion uuendada uusimale saadaolevale versioonile. Lisaks soovitatakse rakendada võrgu segmenteerimist, kasutada tulemüüri ja/või veebirakenduste tulemüüri (WAF) ning kasutada nii palju kui võimalik mitmefaktorilist autentimist, et veelgi tugevdada kaitset selliste haavatavuste vastu (CISA).

5Ghoul-nimelised turvanõrkused mõjutavad 5G-modemeid

5Ghoul koondnimetusega haavatavused on turvanõrkused, mis leiti Qualcommi ja MediaTeki valmistatud 5G-modemites. Neid kasutatakse paljudes nutitelefonides, ruuterites ja USB-modemites. Teadlased avastasid 14 erinevat turvaprobleemi, millest kümmet on ka avalikkusega jagatud (SA).

Konkreetsed haavatavused võivad põhjustada teenuste töös tõrkeid või sundida mõjutatud seadmeid kasutama vähem turvalist võrku. Neid saab kuritarvitada haavatavatele seadmetele ilma füüsilist juurdepääsu omamata, imiteerides lihtsalt legitiimset 5G võrgusignaali. Mõned kriitilisemad haavatavused on tähistatud kui CVE-2023-33043, CVE-2023-33044 ja CVE-2023-33042 (SA).

Nii Qualcomm kui ka MediaTek on avaldanud turvahoiatused, mis käsitlevad avalikustatud 5Ghouli haavatavusi. Turvavärskendused tehti seadmemüüjatele kättesaadavaks kaks kuud tagasi. Tarkvara levitamise keerukuse tõttu, eriti Android-seadmetes, võib aga kuluda veidi aega, enne kui parandused turvavärskenduste kaudu lõppkasutajatele jõuavad. See tähendab, et kuigi nende haavatavuste jaoks on paigad olemas, sõltub nende juurutamine üksikutele seadmetele erinevatest teguritest, sealhulgas seadmete tootjatest ja konkreetsetest mõjutatud mudelitest (SA).

Sierra Wirelessi ruuterite turvanõrkused võivad mõjutada kriitilist infrastruktuuri

Turvanõrkused mõjutavad Sierra Wireless OT/IoT ruutereid ja võivad seetõttu ohustada kriitilist infrastruktuuri. Turvanõrkuste abil on võimalik autentimisest mööda minna, käivitada pahatahtlikku koodi ja teenuste tööd häirida. Sierra AirLink ruutereid kasutavad maailmas näiteks mitmed tööstusettevõtted ja hädaabiteenuse pakkujad oma kriitilise tähtsusega süsteemides. Kõigil kasutajatel soovitatakse üle minna ALEOS-i (AirLink Embedded Operating System) versioonile 4.17.0, kus vead on paigatud (BC, Forescout).

Olulisemad turvanõrkused 2023. aasta 48. nädalal

  • Apple paikas kaks nullpäeva turvanõrkust

Apple on avalikustanud erakorralised turvavärskendused, et kõrvaldada kaks nullpäeva turvaauku, mida on ettevõtte sõnul rünnetes aktiivselt ära kasutatud (SA).

Mõlemad haavatavused on seotud WebKitiga ja mõjutavad iPhone’i, iPadi ja Maci seadmeid. Haavatavusi saab ära kasutada tundliku teabe varastamiseks või suvalise pahaloomulise koodi käivitamiseks mõjutatud seadmes (SA).

Apple on kõrvaldanud nullpäeva turvanõrkused iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2 ja Safari 17.1.2 versioonides. Soovitatav on nimetatud tarkvarad uuendada esimesel võimalusel (SA).

Sel aastal on ettevõte paiganud juba 20 nullpäeva haavatavust (BC).

  • CACTUS-nimeline lunavarakampaania kasutab hiljuti avastatud turvavigu

CACTUS-nimeline lunavarakampaania kasutab hiljuti avalikustatud turvavigu pilvanalüütika ja äriteabe platvormis Qlik Sense, et saada esmane juurdepääs sihtmärgiks valitud keskkondadele. Analüütikute hinnangul kuritarvitatakse viimase kolme kuu jooksul avalikustatud platvormi turvanõrkuseid, sealhulgas haavatavusi CVE-2023-41265 ja CVE-2023-41266 (THN).

Pärast mõjutatud süsteemidesse sisse tungimist, kasutavad ründajad Qlik Sense Scheduler teenust, et täiendavaid pahaloomulisi tööriistu sinna alla laadida. Rünnete käigus on muudetud ka süsteemiga seotud administraatorikontode paroole. Rünnete lõpetuseks krüpteeritakse failid CACTUS-nimelise lunavaraga (AW).

Konkreetse tarkvara arendaja on kõikidele turvanõrkustele avalikustanud ka parandused, rohkem infot leiate tootja kodulehelt (Qlik).

  • LogoFAIL turvanõrkused ohustavad miljoneid arvuteid

Hiljuti UEFIs (Unified Extensible Firmware Interface) avastatud LogoFAIL-nimelised haavatavused kujutavad miljonite arvutite jaoks kriitilist turvaohtu. Need haavatavused mõjutavad sadu tarbija- ja ettevõtteklassi x86- ja ARM-mudeleid erinevatelt tarnijatelt, sealhulgas Intelilt, Acerilt ja Lenovolt. LogoFAIL turvanõrkuste mõju on märkimisväärne, kuna see võib potentsiaalselt lubada mõjutatud süsteemid üle võtta, hoolimata arvutitele paigaldatud kaitsemeetmetest. Nende haavatavuste laialdane levik on tekitanud ekspertides muret laiemalt, mitte ainult üksikute tarnijate kontekstis. Turvauuendused avaldatakse eeldatavasti 6. detsembril (DR).

  • VMware parandas üle kahe nädala paikamata olnud kriitilise turvanõrkuse Cloud Director tarkvaras

VMware parandas hiljuti Cloud Directori tarkvaral kriitilise autentimisest möödapääsemist võimaldava haavatavuse, mis oli olnud turvapaigata üle kahe nädala pärast selle avalikustamist 14. novembril (BP).

Cloud Director on platvorm, mis võimaldab administraatoritel hallata mitmes kohas asuvaid andmekeskusi virtuaalsete andmekeskustena (VDC). Autentimisest möödaviimise turvaviga, mis on identifitseeritud kui CVE-2023-34060, mõjutab ainult neid seadmeid, mis töötavad versiooniga VCD Appliance 10.5 ning mis uuendati sellele versioonile vanemalt versioonilt (BP).

Kellel ei ole võimalik kohe turvaparandust rakendada, pakub VMware ka ajutisi kaitsemeetmeid. Täpsemalt saab nende kohta lugeda tootja kodulehelt (VMware).

  • Zyxel parandas enda seadmete kolm kriitilist haavatavust

Zyxel avalikustas hiljuti turvapaigad, et parandada 15 haavatavust, mis mõjutavad võrguga ühendatud salvestusseadmeid (network-attached storage), tulemüüre ning  pääsupunkte (acces point) (THN).

15 turvanõrkuse seas parandati kolm kriitilist viga, mille abil on võimalik autentimisest mööda pääseda. Lisaks 15 haavatavusele parandas Zyxel hiljuti veel üheksa turvaviga, mida sai kasutada süsteemifailidele ja administraatori logidele juurdepääsuks ning teenusetõkestusrünnete tekitamiseks (THN).

Arvestades, et Zyxeli seadmed on sageli ründajate sihikul, on mõjutatud seadmete kasutajatel tungivalt soovitatav turvariskide leevendamiseks rakendada uusimaid värskendusi (THN).

  • Google parandas Chrome’il nullpäeva turvanõrkuse

Google andis hiljuti välja turvavärskenduse, et parandada Google Chrome’i kriitiline nullpäeva haavatavus, mida on rünnakutes juba ka ära kasutatud (BP).

Haavatavuse CVE-2023-6345 edukas kuritarvitamine võimaldab ründajal häirida ohvri brauseri tööd või käivitada seal suvalist koodi. Turvanõrkus on parandatud Windowsi kasutajatele mõeldud brauseri versioonis 119.0.6045.199/.200 ning Maci ja Linuxi kasutajatele mõeldud versioonis 119.0.6045.199. Kasutajatel on soovitatav rakendada uusimad värskendused, et leevendada võimalikke turvariske ja tagada nende tarkvara kiire värskendamine (BP).

  • Teadlased avastasid kuus Bluetoothi mõjutavat haavatavust koondnimetusega BLUFFS

Eurecomi teadlased on välja töötanud kuus uut rünnakut, mille koondnimetus on “BLUFFS”, mis võivad murda Bluetoothi seansside saladust, võimaldades seadmes esineda kellegi teisena ja Man-in-the-middle (MitM) tüüpi rünnakuid (BP).

Rünnakud kasutavad ära kaht varem tundmatut Bluetoothi standardi viga, mis on seotud sellega, kuidas seansivõtmed tuletatakse andmete dekrüpteerimiseks. Need vead ei ole spetsiifilised riist- või tarkvarakonfiguratsioonidele, vaid on hoopis arhitektuursed, mis tähendab, et need mõjutavad Bluetoothi põhitasandil (BP).

Rünnaku õnnestumiseks peab ründav seade olema kahe haavatava Bluetooth-seadme traadita levialas, mis käivitavad krüpteerimisprotseduuri (BP).

Turvanõrkuseid jälgitakse identifikaatori CVE-2023-24023 järgi ja need mõjutavad Bluetoothi põhispetsifikatsiooni 4.2–5.4. BLUFFS mõjutab 2014. aasta detsembris välja antud Bluetooth 4.2 ja kõiki versioone kuni uusima, 2023. aasta veebruaris välja antud Bluetooth 5.4 (BP).

Olulisemad turvanõrkused 2023. aasta 43. nädalal

  • Apple avaldas turvauuendused iOSi ja macOSi tarkvaradele

Apple avaldas eelmisel nädalal turvauuendused iOSi ja macOSi tarkvaradele. iOSi tarkvaras paigati 21 ja macOSi tarkvaras 44 haavatavust. Turvanõrkused lubavad ründajatel potentsiaalselt käivitada pahaloomulist koodi, haavatavates süsteemides õigusi suurendada või varastada süsteemidest tundlikku informatsiooni. Hetkel ei ole haavatavusi teadaolevalt rünnetes ära kasutatud. RIA soovitab nõrkustega seotud Apple’i seadmed uuendada iOS 17.1, iPadOS 17 ja macOS Sonoma 14.1 (SW, Apple, Apple).

  • Firefoxil ja Chrome’il paigati kõrge mõjuga turvanõrkused

Mozilla avaldas Firefoxi uue versiooni tähisega 119, milles on parandatud 11 turvanõrkust, nende hulgas kolm kõrge mõjuga haavatavust. Vigade tõttu võib haavatava sirviku kasutaja sattuda ohvriks clickjacking-nimelisele rünnakule. Samuti parandavad turvauuendused kaks haavatavust, mis lubavad ründajal potentsiaalselt käivitada pahaloomulist koodi. Lisaks avaldati ka turvapaigad tarkvaradele Firefox ESR 115.4 ja Thunderbird 115.4.1. Teisipäeval teavitas ka Google, et on paiganud Chrome’i veebilehitseja versioonis 118.0.5993.117 kaks turvanõrkust. RIA soovitab nii Firefoxi kui ka Chrome’i veebilehitsejad uuendada esimesel võimalusel (SW, Mozilla, Chrome).

  • Citrix hoiatab kriitilise turvanõrkuse eest

Citrix hoiatas eelmisel nädalal turvanõrkuse (CVE-2023-4966) eest, mis mõjutab NetScaler ADC ja Gateway seadmeid ning mida on juba rünnete läbiviimisel kuritarvitatud. Veale avalikustati turvaparandus kaks nädalat tagasi. Rünnakute suhtes haavatavad NetScaleri seadmed peavad olema konfigureeritud lüüsina (VPN virtuaalserver, ICA puhverserver, CVPN, RDP puhverserver) või AAA virtuaalserverina. Nõrkust on võimalik autentimata ründajal kaugelt ära kasutada.

Hiljuti avaldatud ülevaatest selgus, et ründajad on haavatavust kuritarvitanud sessioonide varastamiseks, et kaheastmelisest autentimisest mööda pääseda. Tootja soovitab haavatavad seadmed paigata esimesel võimalusel (BC, Netscaler, Mandiant).

  • VMware’i tarkvaras olev viga laseb autentimisest mööda minna

VMware’i hoiatas kliente Aria Operations for Logs nimelises tarkvaras peituva turvanõrkuse (CVE-2023-34051) eest, mis võimaldab ründajal autentimisest mööda minna ja käivitada pahatahtlikku koodi. Veale on avaldatud ka kontseptsiooni tõendus, mis võib kaasa tuua rünnete kasvu. Viga on parandatud Aria Operations for Logs versioonis 8.14 (SA, VMware). RIA soovitab kõigil mõjutatud tarkvara kasutajatel uuendada see esimesel võimalusel.

  • Riikliku taustaga küberrühmitus kuritarvitab Roundcube’i meiliteenuse turvanõrkust

Hiljuti avaldatud raportist selgus, et küberspionaaži poolest tuntud riikliku taustaga küberrühmitus on oktoobris kuritarvitanud XSS-i turvanõrkust, mis peitub Roundcube’i meiliserveri tarkvaras. Raport kajastab, kuidas antud rühmitus on sihtinud Euroopa valitsusasutusi ja erinevaid mõttekodasid. Ründajatel on võimalik spetsiaalselt koostatud e-kirja abil käivitada Roundcube’i kasutaja brauseris suvalist JavaScripti koodi.

Raporti autorite hinnangul on küberrühmitus üritanud turvanõrkust ära kasutada selleks, et ligi pääseda haavatavat tarkvara kasutava kasutaja e-kirjadele. Turvanõrkus on paigatud Roundcube’i versioonides 1.4.15, 1.5.5 ja 1.6.4 (ESET, SW).