Tag Archives: Atlassian

Olulisemad turvanõrkused 2024. aasta 38. nädalal

Apple avaldas iOSi ja iPadOSi versiooni 18

Uues iOSi versioonis on paigatud vähemalt 33 turvaviga, mille kaudu on võimalik rünnata nii iPhone’i kui ka iPadi seadmeid. Varasemas versioonis olevad turvaaugud võimaldavad ründajal saada ligipääsu tundlikele andmetele või hankida täieliku kontrolli seadme üle.

Lisaks avaldati ka turvauuendustega operatsioonisüsteem macOS Sequoia 15.

Kuigi hetkel ei ole avalikku infot, et parandatud turvanõrkusi oleks reaalselt ära kasutatud, soovitab Apple iOSi ja iPadOSi uuendada esimesel võimalusel versioonile 18 (SW, Apple).

Uuenduse tegemisel soovitame arvestada, et esimestel päevadel peale uuenduste paigaldamist võib seadme aku vastupidavus olla tavapärasest väiksem, kuna peale suuremat versiooniuuendust teeb seade taustategevusi, mis kulutavad energiat (ZD).

Ivanti hoiatab kriitilise turvavea eest Cloud Service Appliance’i tarkvaras

Eelmise nädala blogipostituses kirjutasime, et Ivanti paikas erinevates toodetes hulga turvanõrkusi. 19. septembril andis aga ettevõte teada, et Cloud Services Appliance’i (CSA) versioonis 4.6 (kasutusea lõpus olev tooteversioon) on avastatud uus kataloogihüppe (path traversal) turvanõrkus CVE-2024-8963 (CVSS skoor 9.4/10), mida koos varem leitud turvanõrkusega CVE-2024-8190 (CVSS skoor 7.2/10) rünnakutes aktiivselt ära kasutatakse. Need turvanõrkused koos võimaldavad autentimata ründajal mööduda autentimisest ja käivitada paikamata seadmetes endale sobilikke käske.

Soovitame uuendada Ivanti CSA tarkvara uusimale versioonile ja vältida kasutusea lõpus tarkvara kasutamist (BC).

Atlassian paikas oma sisemajutuses kasutatavates toodetes mitmeid turvavigu

Kolmapäeval avaldas Atlassian mitmed turvauuendused sisemajutuses kasutatavatele Data Center and Serveri versioonidele Bamboo, Bitbucketi, Confluence’i ja Crowdi tarkvaradest. Neli haavatavust, mis tuvastati kõikides nimetatud tarkvarades, võimaldasid ründajal tekitada teenusele teenusetõkestusründe (DoS) seisundi.

Atlassiani tooted on varasemalt olnud rünnakute sihtmärgiks, mistõttu soovitame sisemajutuses Atlassiani tooteid kasutavatel asutustel uuendada tarkvara võimalikult kiiresti viimasele versioonile (SW, Atlassian, Atlassian Server EOL).

VMware parandas kriitilised haavatavused oma tarkvaras

Teisipäeval avaldas VMware vCenter Serveri tarkvara turvauuendused. Parandati kriitiline puhvri ületäitumise turvanõrkus CVE-2024-38812 (CVSS skoor on 9.8/10) ja õiguste vallutuse nõrkus CVE-2024-38813 (CVSS skoor 7.5/10).

Mõjutatud on VMware vCenter Serveri versioonid 7.0 ja 8.0 ning VMware Cloud Foundationi versioonid 4.x ja 5.x. Vead on parandatud vCenter Serveri versioonides 8.0 U3b ja 7.0 U3s, soovitame tarkvara uuendada (SW).

D-Link parandas kriitilised haavatavused kolme populaarse ruuterimudeli püsivaras

D-link parandas kolmes populaarses ruuterimudelis kriitilised turvanõrkused, mis võimaldasid ründajal käivitada endale sobivat koodi või saada ruuterile ligipääs, kasutades püsikodeeritud pääsumandaate (hardcoded credentials).

Parandused on loodud järgmistele mudelitele:

  • COVR-X1870 (non-US) püsivara (firmware) versioon v1.02 ja varasemad;
  • DIR-X4860 püsivara versioon v1.04B04_Hot-Fix ja varasemad;
  • DIR-X5460 püsivara versioon v1.11B01_Hot-Fix või varasem.

Kuna D-Link-i ruuterid on sageli pahavara botnet’ide rünnakute all, soovitame ruuteri püsivara uuendada (BC).

Apache’i HugeGraph-Serveri turvanõrkus on aktiivsete rünnakute all

CISA hoiatab, et Apache’i HugeGraph-Serveri turvanõrkust CVE-2024-27348 (CVSS skoor 9.8), mis võimaldab koodi kaugkäitust, kasutatakse aktiivsete rünnakuteks ära. Antud turvanõrkus on parandatud HugeGraphi versiooniga 1.3.0 aprillis 2024. Soovitame uuendada tarkvara viimasele olemasolevale versioonile (BC).

SolarWinds paikas kriitilised turvanõrkused ARMi tarkvaras

Eelmisel nädalal tegi SolarWinds kaks turvauuendust Access Rights Manageri (ARM) tarkvarale. Kõige kriitilisem neist oli koodi kaugkäitust võimaldav viga tähisega CVE-2024-28991 (CVSS skoor 9.0/10). Mõlemad nõrkused on parandatud ARMi versioonis 2024.3.1.

Teadaolevalt pole õnnestunud neid nõrkuseid ära kasutada, kasutajatel soovitatakse tarkavara uuendada kõige värskemale versioonile (HN).

Olulisemad turvanõrkused 2024. aasta 34. nädalal

Mitmed macOS-ile mõeldud Microsofti rakendused on haavatavad rünnakutele

Cisco Talose teadlased avastasid, et ründajad saavad kuritarvitada macOS-i jaoks mõeldud populaarsete Microsofti rakenduste haavatavusi video- ja heliklippide salvestamiseks, pildistamiseks, andmetele juurdepääsuks ning e-kirjade saatmiseks. Turvavead leiti tarkvarade Microsoft Teams, OneNote, Outlook, Word, Excel ja Powerpoint macOSi jaoks loodud versioonidest. Turvavead võimaldavad ründajatel sisestada rakenduse tööprotsessidesse pahatahtlikku teeki. Hetkel on paigatud Teamsi ja OneNote’i turvavead, kuid Microsofti sõnul ei ole tegemist tõsiste turvavigadega ja nad ei plaani teistes tarkvarades olevaid vigu parandada (HNS, DR).

WordPressi veebilehti ohustab pistikprogrammis olev turvanõrkus

Üle 100 000 WordPressi veebilehe on mõjutatud GiveWP pistikprogrammis olevast kriitilisest haavatavusest tähisega CVE-2024-5932, mille kaudu võib ründaja käivitada suvalist koodi ja kustutada veebilehel olevaid faile. Samuti on võimalik veebileht täielikult üle võtta ja kogu seal olev info kustutada. Haavatavus on hinnatud maksimaalse CVSS skooriga 10/10.

GiveWP puhul on tegemist populaarse annetamise ja raha kogumise pistikprogrammiga, millel on üle 100 000 aktiivse kasutaja.

Viga mõjutab kõiki plugina versioone kuni 3.14.1 ja on parandatud versioonis 3.14.2. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada (SW).

Google paikas Chrome’i veebilehitsejas selle aasta üheksanda nullpäeva turvanõrkuse

Ettevõtte sõnul on turvaviga tähisega CVE-2024-7971 juba rünnetes ära kasutatud. Lisaks nullpäeva turvanõrkusele paigati veel 37 haavatavust. Soovitame uuendada Chrome’i uuele versioonile 128.0.6613.84 esimesel võimalusel. Tegemist on üheksanda Chrome’i nullpäeva turvanõrkusega sel aastal (BC, Chrome).

GitHubi Enterprise Serveris paigati kriitiline turvaviga

Turvaviga tähisega CVE-2024-6800 on hinnatud kriitilise CVSS skooriga 9.5/10 ja see võimaldab ründajal autentimisest mööda minna ning saada administraatori õigused. Viga mõjutab kõiki GitHub Enterprise Serveri versioone kuni 3.14 ja on paigatud versioonides 3.13.3, 3.12.8, 3.11.14 ja 3.10.16. Lisaks nimetatud veale paigati veel kaks keskmise mõjuga haavatavust (CVE-2024-7711 ja CVE-2024-6337). Kõigist kolmest turvaprobleemist teatati GitHubi Bug Bounty programmi kaudu HackerOne’i platvormil.

FOFA otsingumootori andmetel on hetkel internetile avatud üle 36 500 GitHubi Enterprise Serveri rakenduse, aga ei ole teada, kui paljud neist kasutavad turvanõrkusega versiooni.

Ettevõte soovitab kõigil kasutajatel tarkvara uuendada (BC, SW).

WordPressi pistikprogrammis oleva turvanõrkuse tõttu on üle viie miljoni veebilehe ohus

Turvanõrkus (CVE-2024-28000) mõjutab pistikprogrammiLitespeed Cacheja selle kaudu on võimalik autentimata ründajal saada administraatoriõigused ning võtta veebileht enda kontrolli alla.  Pistikprogrammi on alla laetud enam kui 5 miljonit korda ehk tegemist on väga laialdaselt kasutusel oleva tarkvaraga.

Haavatavus mõjutab kõiki pistikprogrammi versioone kuni 6.3.0.1. Turvanõrkus on paigatud tarkvara versioonis 6.4 ja kõigil kasutajatel tuleks uuendada pistikprogramm kõige uuemale versioonile.

Häkkerid alustasid juba päev pärast tehniliste üksikasjade avalikustamist haavatavuse ärakasutamist rünnete läbiviimisel. Reedese info põhjal oli vaid 30% protsenti kasutajatest pistikprogrammi uuendanud ja kasutas turvapaigatud versiooni. Wordfence’i sõnul tehti vaid ühe ööpäeva jooksul 48 500 ründekatset. See on tänavu teine ​​kord, kui häkkerid on sihikule võtnud LiteSpeed Cache’i plugina. Mais kasutasid ründajad haavatavust CVE-2023-40000, et luua administraatorikontosid ja võtta üle haavatavad veebisaidid (BC, BC).

Atlassian paikas turvavigu tarkvarades Bamboo, Confluence, Crowd ja Jira

Atlassian väljastas turvapaigad üheksa suure mõjuga haavatavuse jaoks enda toodetes Bamboo, Confluence, Crowd ja Jira.

Bamboo Data Center and Serveri tarkvaras paigati kaks suure mõjuga viga, millest üks võimaldab koodi kaugkäivitada. Confluence Data Center and Serveri tootes paigati samuti kaks suure mõjuga haavatavust. Täpsem nimekiri parandatud turvavigadest on Atlassiani kodulehel.

Kasutajatel soovitatakse tarkvara esimesel võimalusel uuendada, kuigi ettevõte ei maini, et neid vigu oleks õnnestunud ära kasutada (SW, Atlassian).

Häkkerid saavad üle võtta Ecovacsi robotseadmeid

Hiljuti tuli avalikuks turvanõrkus, mille kaudu saavad häkkerid luurata Ecovacsi robottolmuimejate ja -muruniidukite omanikke.

Teadlased analüüsisid järgmisi seadmeid: Ecovacs Deebot 900 Series, Ecovacs Deebot N8/T8, Ecovacs Deebot N9/T9, Ecovacs Deebot N10/T10, Ecovacs Deebot X1, Ecovacs Deebot T20, Ecovacs Deebot X2, Ecovacs Goat Z1, Air Ecova, Ecovacs Airbot AVA ja Ecovacs Airbot ANDY.

Eksperdid avastasid mitmeid haavatavusi, mis võimaldavad ründajatel Bluetoothi ​​kaudu seadmete kaameraid ja mikrofone üle võtta. Selgus, et seadmetel ei ole valgustust, mis näitaks, et nende kaamerad ja mikrofonid on sisse lülitatud. Ecovacs on lubanud turvavead paigata (SA, TC).

Olulisemad turvanõrkused 2024. aasta 25. nädalal

VMware paikas oma toodetes haavatavusi

VMware paikas kaks kriitilist haavatavust, mis mõjutavad vCenter Serveri tarkvara. vCenter Server on haldustarkvara, mida kasutatakse VMware’i virtualiseeritud keskkondade haldamiseks. Mõlemad haavatavused tähistega CVE-2024-37079 ja CVE-2024-37080 on hinnatud kriitilise CVSS skooriga 9.8/10. Eduka ründe korral on võimalik nende abil koodi kaugkäivitada. Haavatavused on paigatud vCenteri versioonides 8.0 ja 7.0, samuti Cloud Foundationi versioonides 5.x ja 4.x.

Lisaks paikas ettevõtte ka kõrge mõjuga turvavea tähisega CVE-2024-37081, mille kaudu on autentimata ründajal võimalik saada juurkasutaja õigused vCenter Serveri tarkvaras.

Kuna erinevad VMware’i tooted on laialdaselt kasutusel, siis on need ka varasemalt osutunud ründajate sihtmärgiks. Nende haavatavuste kaudu on potentsiaalselt võimalik saada ligipääs ettevõtete tundlikule infole, mistõttu on oluline tarkvara värskendada esimesel võimalusel (SCM, SA).

Google avaldas uue Chrome’i versiooni

Google avaldas Chrome’i versiooni 126 Windowsi, Maci ja Linuxi seadmetele, milles on paigatud kuus turvaviga. Parandatud turvanõrkuste seas on neli kõrge mõjuga turvaviga. Üks neist on haavatavus tähisega CVE-2024-6100, mida esitleti TyphoonPWN 2024 häkkimisvõistlusel. Ettevõtte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada.

Soovitame uuendada Chrome’i esimesel võimalusel – Windowsi ja macOSi kasutajad versioonile 126.0.6478.114/115 ning Linuxi kasutajad 126.0.6478.114 (SA, SW).

Atlassian paikas oma toodetes mitmeid kõrge mõjuga haavatavusi

Atlassian parandas mitu kõrge mõjuga haavatavust, mis mõjutavad ettevõtte tarkvarasid Confluence, Crucible ja Jira.

Näiteks Confluence Data Center and Serveri tarkvaras paigati kuus turvaviga, mis on parandatud tarkvara versioonides 8.9.3, 8.5.11 (LTS) ja 7.19.24 (LTS).

Crucible Data Center and Server tuleks uuendada versioonile 4.8.15 või uuemale. Jira Data Center and Serveri vead on paigatud versioonides 9.16.0, 9.16.1, 9.12.8, 9.12.10 (LTS), 9.4.21 ja 9.4.23 (LTS).

Atlassian ei maini, et nimetatud turvanõrkusi oleks õnnestunud kuritarvitada. Soovitame samas kõigil Atlassiani toodete kasutajatel uuendada tarkvara viimasele versioonile, kuna need on olnud varasemalt ründajate sihtmärkideks (SW, SA, Atlassian).

Adobe Commerce’i ja Magento veebilehed on turvanõrkuse tõttu ohus

CosmicStingi-nimeline turvanõrkus mõjutab suurt osa Adobe Commerce’i ja Magento veebilehti – hetkel on arvatavalt ohus miljonid veebilehed. Nimetatud tarkvarasid kasutavad e-poed üle maailma ja kolm neljandikku neist ei ole veel turvauuendusi rakendanud. Haavatavus tähisega CVE-2024-34102 võimaldab koodi käivitada ja on hinnatud kriitilise CVSS skooriga 9.8/10. Sanseci hinnangul on tegemist ühe kriitilisema turvaveaga viimase kahe aasta jooksul, mis mõjutab Magento ja Adobe Commerce’i tarkvarasid.

Viga on paigatud järgmistes tarkvarade versioonides:

  • Adobe Commerce 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
  • Adobe Commerce Extended Support 2.4.3-ext-8, 2.4.2-ext-8, 2.4.1-ext-8, 2.4.0-ext-8, 2.3.7-p4-ext-8
  • Magento Open Source 2.4.7-p1, 2.4.6-p6, 2.4.5-p8, 2.4.4-p9
  • Adobe Commerce Webhooks Plugin version 1.5.0

Kõigil Adobe Commerce’i ja Magento Open Source’i tarkvarade kasutajatel tuleks teha turvauuendus (BC, Sansec).

Ligikaudu 150 000 ASUSe ruuterit on turvanõrkuse tõttu ohus

Kriitiline turvanõrkus tähisega CVE-2024-3080 tuli avalikuks juuni keskpaigas ja see võimaldab ründajal autentimisest mööda minna. Kirjutasime turvaveast ka siin blogis. Veale on olemas parandus 14. juunist, kuid paljud ASUSe ruuterite kasutajad ei ole veel oma seadme tarkvara uuendanud. Vähemalt 150 000 ruuterit on uuendamata takrvaraga ja seetõttu kriitilisele turvanõrkusele haavatavad (CSD).