Tag Archives: Atlassian

Olulisemad turvanõrkused 2024. aasta 23. nädalal

Atlassian paikas suure mõjuga Confluence’i turvavea

Atlassiani tarkvarad Confluence Data Center ja Server on haavatavad suure mõjuga koodi kaugkäivitamise veale tähisega CVE-2024-21683. Viga on hinnatud CVSS skooriga 8.3/10 ja mõjutab kõiki Confluence Data Centeri versioone alates 5.2 kuni 8.9.0.

Turvaviga on võrdlemisi lihtne ära kasutada, kuna see ei vaja kasutajapoolset tegevust, kuid see ei ole hinnatud kriitiliseks, sest enne edukat rünnet on vaja täita mitu eeltingimust:

  • ründaja peab olema Confluence’i sisse logitud;
  • ründajal peab olema piisavalt õigusi, et lisada uusi makrokeeli;
  • pahatahtlikku koodi sisaldav JavaScripti fail tuleb üles laadida kindlasse jaotisesse (Configure Code Macro > Add a new language).

Haavatavus on paigatud Confluence Data Centeri versioonides 8.9.1, 8.5.9 LTS ja 7.19.22 LTS.

Veale on juba avaldatud ka kontseptsiooni tõendus ja seetõttu on eriti oluline kõigil kasutajatel tarkvara uuendada esimesel võimalusel. On tõenäoline, et nimetatud haavatavus satub peagi rünnete sihtmärgiks (HNS, SW).

Androidi seadmetes paigati 37 haavatavust

Androidi nutiseadmetes paigati 37 turvaviga, nende hulgas oli ka mitu kõrge mõjuga haavatavust, mis võivad kaasa tuua õigustega manipuleerimise. Hetkel teadaolevalt ei ole õnnestunud neid turvanõrkusi kuritarvitada. Soovitame Androidi nutiseadmete tarkvara uuendada siiski esimesel võimalusel. Pixeli ega Pixel Watchi seadmetes sel kuul haavatavusi ei parandatud. (SW, Android)

Zyxel paikas turvanõrkused NAS-seadmetes

Zyxel paikas viis kriitilist turvaviga NAS-seadmetes, mis on jõudnud oma kasutusea lõppu. Haavatavused mõjutavad NAS326 seadmeid tarkvara versiooniga V5.21(AAZF.16)C0 ja vanemad ning NAS542 seadmeid tarkvara versiooniga V5.21(ABAG.13)C0 ja vanemad.

Vead on paigatud tarkvara versioonides V5.21(AAZF.17)C0 ja V5.21(ABAG.14)C0. Eduka ründe korral võib autentimata kasutaja käivitada operatsioonisüsteemi käske ja suvalist koodi (HN).

Rünnakud Check Pointi VPNi vastu on tõusnud pärast nullpäeva haavatavuse avalikustamist

Mõned nädalad tagasi tuli avalikuks Check Pointi VPNi nullpäeva turvanõrkus, mida on nüüdseks aktiivselt ära kasutatud. Tegemist on suure mõjuga turvanõrkusega, mille kaudu on võimalik saada ligipääs tundlikule infole ja domeeni administraatori õigused.

Üks monitooringufirma nägi, et eelmisel nädalal prooviti haavatavust tähisega CVE-2024-24919 rünnata enam kui 780-lt erinevalt IP-aadressilt.

Turvanõrkus mõjutab Check Pointi CloudGuard Networki, Quantum Maestro, Quantum Scalable Chassisi, Quantum Security Gateway ja Quantum Sparki seadmete erinevaid tarkvara versioone. Kõik mõjutatud tooted on IPsec VPN-funktsiooniga Check Pointi turvalüüsid. WatchTowri teadurite hinnangul on viga lihtne leida ja väga lihtne ära kasutada, kuna selleks ei ole vaja eriõigusi ega kasutajapoolset sekkumist.

Check Point soovitab kõigil oma klientidel tarkvara uuendada (DR).

PHP paikas kriitilise turvavea, mis võimaldab koodi kaugkäivitada

Teadurid avastasid kriitilise koodi kaugkävitamise turvavea tähisega CVE-2024-4577 PHP-programmeerimiskeeles. Haavatavus mõjutab miljoneid servereid üle maailma ja võimaldab autentimata ründajal saada kontroll serveri üle. Turvaviga esineb kõigis PHP versioonides alates 5.x.

Erinevad küberturbega tegelevad ettevõtted on juba oma monitooringutes näinud katseid turvavea kuritarvitamiseks. Turvaveale on ka avaldatud kontseptsiooni tõendus, mis tõenäoliselt suurendab ründekatseid. Kuna tegemist on väga laialdaselt kasutusel oleva programmeerimiskeelega, siis võib eeldada, et turvauuenduste rakendamine võtab kaua aega ja suur hulk süsteeme on veel pikalt rünnakute suhtes haavatavad.

Turvaveale on olemas parandus alates 6. juunist ja kõigil kasutajatel soovitatakse PHP uuendada versioonidele 8.3.8, 8.2.20 ja 8.1.29. Kui ei ole võimalik tarkvara uuendada, siis on olemas ka leevendavad meetmed, mis on kirjeldatud lisatud lingil (SA, BC).

Synnovisi lunavararünnak häiris Londoni haiglate tööd

Mitmed Londoni suuremad haiglad kuulutasid välja kriitilise intsidendi pärast seda, kui küberrünnak tõi kaasa operatsioonide katkestamise ja erakorraliste patsientide mujale suunamise. Intsident mõjutas haiglaid, mille partneriks on Synnovis, kes pakub neile patoloogiateenuseid. Synnovist tabas lunavararünnak, mistõttu pidid haiglad end oma teenuspakkuja serverite küljest lahti ühendama.

NHSi (National Health Service) sõnul kiirabi ja erakorraline meditsiiniabi pakkumine jätkub, kuid nende töö on samuti häiritud, sest kiire vereanalüüsi teenus ei ole saadaval.

Ühendkuningriigi küberameti National Cyber Security Centre’i (NCSC) sõnul on ründe taga Vene päritolu küberrühmitus (BBC, BC, BC).

Olulisemad turvanõrkused 2024. aasta 17. nädalal

Joonis: ahastuses arst töölaua taga, tema monitori ekraanil on lunavarateade.

Atlassian paikas mitmeid turvavigu oma toodetes

Atlassian parandas seitse kõrge mõjuga haavatavust, mis mõjutavad ettevõtte erinevaid tooteid nagu Bamboo Data Center, Confluence Data Center ja Jira. Eduka ründe korral on võimalik saada ligipääs ohvri süsteemidele ja Atlassiani tarkvarades olevale infole. Soovitame kõigil Atlassiani toodete kasutajatel uuendada tarkvara viimasele versioonile, kuna need on olnud varasemalt ründajate sihtmärkideks. Nimekirja parandatud haavatavustest ja turvapaigatud versioonidest leiab Atlassiani kodulehelt (Atlassian).

Cisco hoiatab: kaks nullpäeva turvanõrkust, mida on rünnete läbiviimisel ära kasutatud

Cisco hoiatas eelmisel nädalal, et riikliku taustaga küberrühmitused on ära kasutanud nende tarkvaras olevaid nullpäeva turvanõrkusi. Turvanõrkused tähistega CVE-2024-20353 ja CVE-2024-20359 mõjutavad Cisco tulemüüride tarkvarasid Adaptive Security Appliance (ASA) ja Firepower Threat Defense (FTD) ning nende kaudu on saadud ligipääs valitsusasutuste võrkudele. Ründeid on alustatud juba eelmise aasta juulis ning Cisco sai neist teada selle aasta jaanuaris.

Ettevõte avaldas turvauuendused ja kutsub kõiki kasutajaid esimesel võimalusel tarkvara uuendama. Ühtlasi soovitab Cisco kõigil administraatoritel vaadata üle süsteemi logid, kas seal on näha planeerimata taaskäivitusi, konfiguratsiooni muudatusi või õiguste lisamist. (BC).

Google paikas kriitilise turvanõrkuse Chrome’i veebilehitsejas

Google avaldas Chrome’i versiooni 124.0.6367.78 Windowsi, Maci ja Linuxi seadmetele, milles on paigatud neli turvaviga. Parandatud turvanõrkuste seas on ka kriitilise mõjuga haavatavus tähisega CVE-2024-4058 ja kaks kõrge mõjuga turvaviga. Kuna vähesed Chrome’i turvavead liigitatakse kriitiliseks, siis võib eeldada, et tegemist on kas koodi kaugkäivitamist võimaldava või liivakastist (sandbox) möödamineku veaga.

Ettevõte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada. Soovitame uuendada Chrome’i esimesel võimalusel (SW, Chrome).

MITRE avalikustas, et nende süsteemidesse saadi ligipääs Ivanti turvanõrkusi kasutades

MITRE Corporation andis teada, et nad sattusid riikliku taustaga küberrühmituse ohvriks. Rünne viidi läbi, kasutades Ivanti Connect Secure’i tarkvas olevaid nullpäeva turvanõrkusi. Veebruaris õnnetus ka ühe Eesti riigiasutuse võrku sisse tungida, kasutades Ivanti tarkvaras olnud haavatavusi. MITRE puhul saadi ligipääs nende uuringute ja prototüüpide jaoks loodud võrgule nimega „Nerve“. Ettevõtte turvalisusega tegelev üksus alustas viivitamatult intsidendi uurimist, eemaldas kurjategijate ligipääsud võrgust ja kaasas ka asutusevälised eksperdid.

MITRE vastu suunatud ründe käigus kasutati ära turvavigasid tähistega CVE-2023-46805 (CVSS skoor 8,2) ja CVE-2024-21887 (CVSS skoor: 9,1), mis võimaldasid ründajal autentimisest mööda minna ja seejärel nakatunud süsteemis suvalisi käske käivitada.

MITRE tegevjuhi sõnul ei ole ükski organisatsioon taolise küberründe eest lõplikult kaitstud, olenemata sellest, kui ranged turvanõuded on kasutusele võetud. Ettevõte jagas ka soovitusi, kuidas oma võrku kaitsta:

  • Monitoorige VPNi võrgus toimuvat liiklust ning jälgige, et seal midagi ebatavalist ei juhtuks.
  • Jälgige kasutajate tegevusi ja seal toimuvaid kõrvalekaldeid.
  • Segmenteerige võrguliiklus.
  • Jälgige, et ligipääs võrgule oleks piiratud ja toimuks regulaarne turvauuenduste paigaldamine (HN, SA, HNS).

Itaalia Synlab peatas pärast lunavararünnakut oma tegevuse

Synlabi Itaalia haru tabas lunavararünnak, mistõttu nad pidid kõik IT-süsteemid võrgust lahti ühendama. Seetõttu tuli ka ajutiselt peatada kõigi meditsiiniteenuste pakkumine, nende hulgas ka kõik laborianalüüsid ja proovivõtud.

Synlab on rahvusvaheline ettevõte, mis pakub tervishoiuteenuseid 30 riigis üle maailma, sealhulgas ka Eestis. Itaalias on Synlabi võrgustikus 380 laborit ja meditsiinikeskust. Hetkel soovitatakse klientidel suhelda vaid telefoni teel, kuna meililiiklus ei toimi tavapäraselt. Ettevõte proovib süsteeme taastada varukoopiast, kuid ei ole teada, kui kiiresti see õnnestub. Hetkel ei ole veel ükski lunavararühmitust võtnud ründe eest vastutust (BC).

Uus Androidi troojan võimaldab ründajatel saada kontroll kasutaja seadme üle

Teadurid avastasid uue Androidi panganduse troojani, mis suudab jäädvustada kõik seadmes toimuvad sündmused alates kasutaja tegevustest, kuvatavast teabest ja kasutaja käivitatavatest rakendustest.

Troojan nimetusega Brokewell võimaldab varastada nii tundlikke andmeid kui ka saada kontrolli kasutaja seadme üle. Brokewelli levitatakse võltsitud tarkvarauuenduste kaudu – näiteks võib kasutajale tunduda, et ta hakkab Chrome’i veebilehitsejat värskendama. Soovitame tarkvara alla laadida ainult ametlikest rakenduste poodidest – kas Google Play või App Store. Google on kinnitanud, et Google Play Protect kaitseb kasutajaid automaatselt selle pahavara teadaolevate versioonide eest (SW, BC).

Olulisemad turvanõrkused 2024. aasta 12. nädalal

Atlassian paikas oma toodetes mitmeid turvavigu

Atlassian parandas kümneid haavatavusi, mis mõjutavad ettevõtte erinevaid tooteid, nagu Bamboo, Bitbucket, Confluence ja Jira.

Kõige tõsisema mõjuga neist on kriitiline turvaviga tähisega CVE-2024-1597, mis võimaldab ründajal käivitada pahaloomulisi SQL-käske Bamboo Data Centeri and Serveri tarkvaras.

Haavatavus on hinnatud maksimaalse CVSS skooriga 10.0/10. See mõjutab Bamboo Data Centeri and Serveri versioone 8.2.1, 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 ja 9.5.0. Viga on paigatud sama tarkvara versioonides 9.6.0 (LTS), 9.5.2, 9.4.4 ja 9.2.12 (LTS).

Lisaks paigati veel mitmeid turvavigu teistes tarkvarades. Näiteks parandati 20 kõrge mõjuga haavatavust JIRA tarkvaras, mida kasutavad paljud asutused ja ettevõtted ka Eestis. Täpse nimekirja turvavigadest ja paigatud versioonidest leiab siit. Ettevõte soovitab kõigil kasutajatel Atlassiani tarkvarad uuendada viimasele versioonile (SA, SW).

WordPressi pistikprogrammi kriitiline haavatavus võimaldab veebilehe ülevõtmist

Kriitiline turvanõrkus (CVE-2024-2172) mõjutab miniOrange’i pistikprogramme Malware Scanner ja Web Application Firewall. Haavatavus on hinnatud kriitilise CVSS skooriga 9.8/10 ning WordPressi veebilehtede administraatoritel soovitatakse need plugin’ad ära kustutada. Arendaja on mõlema pistikprogammi allalaadimise peatanud ning neid ei hakata tulevikus enam kasutajatele pakkuma.

Haavatavuste kaudu on võimalik autentimata ründajal hankida administraatoriõigused ja seejärel veebileht üle võtta. Administraatorina on võimalik lisada veebilehele erinevaid pahaloomulisi faile, muuta seal olevaid postitusi ja suunata kasutaja mõnele teisele veebilehele. Neid pistikprogramme kasutab umbes 10 000 WordPressi veebilehte (HN, SA).

Enam kui 133 000 Fortineti seadet on ohus kuu aja eest paigatud turvanõrkuse tõttu

Turvanõrkus tähisega CVE-2024-21762 mõjutab Fortineti FortiOSi ja FortiProxy tarkvarasid ning vea kuritarvitamiseks on avaldatud mitmeid kontseptsiooni tõendusi. Tegemist on haavatavusega, mis võimaldab autentimata ründajal koodi kaugkäivitada ja on hinnatud kriitiliseks skooriga 9.6/10. Turvaviga on parandatud juba kuu aega tagasi, kuid Shadowserveri monitooringu andmeil on endiselt ligi 133 000 paikamata seadet.

Varasemalt on Fortineti seadmete haavatavused olnud mitmete häkkerirühmituste sihtmärgiks, samuti on need jõudnud kõige sagedamini ärakasutatud haavatavuste loenditesse.

Lisaks tuli eelmisel nädalal ka info teisest Fortineti turvaveast, mida on õnnestunud rünnete läbiviimisel kuritarvitada. Turvaviga tähisega CVE-2023-48788 mõjutab Fortineti FortiClient Enterprise Management Serveri (EMS) tarkvara ning kuna selle vea kohta avaldati samuti kontseptsiooni tõendus, siis hakati seda ka üsna pea ära kasutama (TR, SA).

TeamCity turvanõrkused on ründajate sihtmärgiks

Eelmisel nädalal kirjutasime blogis samal teemal, kuid nüüdseks on selgunud, et TeamCity haavatavuste kaudu viiakse läbi veelgi enam erinevaid ründeid. Hiljuti avalikuks tulnud turvavead TeamCity tarkvaras on sattunud küberrühmituste sihtmärgiks – nende kaudu viiakse läbi lunavararündeid (BianLian ja Jasmin), seatakse üles krüptokaevureid (XMRig) ja hangitakse kaugligipääs ohvri seadmetele (Spark RAT).  

Rünnete läbiviimisel kasutatakse haavatavust tähisega CVE-2024-27198, mis on parandatud TeamCity versioonis 2023.11.4. Kuna veale on internetis avaldatud kontseptsiooni tõendus (proof of concept) ja rünnete katsed aina sagenevad, siis on eriti oluline tarkvara uuendada (HN, SA, TM).

Fujitsu avastas oma IT-süsteemidest pahavara

Jaapani tehnikatootja Fujitsu avastas, et mitmed nende IT-süsteemid on pahavaraga nakatunud ja ühtlasi on varastatud klientide andmeid.  Fujitsu on maailmas suuruselt kuues IT-teenuste pakkuja, kus töötab 124 000 inimest ja firma aastakäive on 23,9 miljardit dollarit. Nende toodete hulka kuuluvad nii erinev arvutitehnika kui ka teenused, näiteks: serverid ja salvestussüsteemid, tarkvara, telekommunikatsiooniseadmed, pilvelahendus ja IT-nõustamisteenuseid.

Eelmisel nädalal avalikuks tulnud küberintsident mõjutab nii ettevõtte sisemisi süsteeme kui ka klientide andmeid. Pahavara avastati mitmes arvutis ja samuti on tõendeid selle kohta, et nende klientide tundlikke andmeid on alla laetud. Kohe, kui intsidendist teada saadi, eemaldati nakatunud arvutid võrgust ja hakati uurima, kuidas pahavara süsteemi pääses.

See ei ole paraku esimene kord, kui Fujitsu süsteemidesse häkiti. 2021. aasta mais kasutati Fujitsu ProjectWEB tarkavara ja tungiti selle kaudu mitme Jaapani valitsusasutuse infosüsteemidesse. Ründe käigus saadi ligipääs 76 000 meiliaadressile ja tundlikule infole. Varastatud andmed hõlmasid tundlikku teavet valitsussüsteemide ja Narita rahvusvahelise lennujaama lennujuhtimisandmete kohta (BC).

Pahavarakampaania mõjutab 39 000 WordPressi veebilehte

Pahavarakampaania nimega Sign1 on viimase kuue kuu jooksul nakatanud üle 39 000 WordPressi veebilehe, põhjustades külastajatele soovimatuid ümbersuunamisi ja hüpikaknaid. Kampaania käigus lisati pahavara nii HTMLi elementidesse kui ka pistikprogrammidesse. Ligipääs WordPressi veebilehele saadi kas jõuründe või pistikprogrammide haavatavuste ärakasutamise abil.

Oma veebilehe kaitsmiseks tuleks kasutada tugevat administraatoriparooli ja regulaarselt uuendada pistikprogrammid kõige uuemale versioonile. Samuti võiks eemaldada kõik üleliigsed lisamoodulid (add-ons), mida ei kasutata ja mille kaudu võivad ründed toimuda (BC).