Tag Archives: Chrome

Olulisemad turvanõrkused 2024. aasta 20. nädalal

iOS 17.5 paikab 15 turvanõrkust

Apple avaldas uue iOSi versiooni, milles on parandatud 15 haavatavust. Vead mõjutavad erinevaid rakendusi: Find My, Maps, Notes, Screenshots, Shortcuts, WebKit jt.

Lisaks avaldati ka turvauuendused vanematele iPhone’i ja iPadi seadmetele – mõjutatud on iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation. Turvavead on paigatud tarkvarades iOS 16.7.8, iPadOS 16.7.8 ja macOS Ventura 13.6.7.

Sel aastal on juba kolme Apple’i turvanõrkust õnnestunud kuritarvitada ja seetõttu soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada (9to5mac, Apple, BC).

Google paikas kolmanda Chrome’i nullpäeva turvanõrkuse nädala jooksul

Möödunud nädalal tuli Google Chrome’i veebilehitsejas avalikuks lausa kolm nullpäeva turvanõrkust. Ettevõtte teatel on turvavigasid tähistega CVE-2024-4947, CVE-2024-4671 ja CVE-2024-4761 õnnestunud rünnete läbiviimisel ära kasutada. Sel aastal on Chrome’is avastatud kokku juba seitse nullpäeva turvanõrkust. Kõigil kasutajatel tuleks uuendada Chrome uusimale versioonile 125.0.6422.60 (SA, BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas kokku 35 haavatavust, mis mõjutavad tarkvarasid Adobe Acrobat ja Reader, Adobe Illustrator, Adobe Substance 3D Painter ning Adobe Aero. Mitmed parandatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada. Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud. Kuna kriitilised turvavead mõjutavad ka laialdaselt kasutusel olevaid Adobe Acrobat ja Reader tarkvarasid, siis on oluline tarkvara värskendada. Lisatud lingil on nimekiri kõigist Adobe tarkvarade turvauuendustest (SW).

VMware paikab Pwn2Owni häkkimisvõistlusel leitud haavatavused

VMware paikas neli turvanõrkust (CVE-2024-22267, CVE-2024-22268, CVE-2024-22269 ja CVE-2024-22270), mis võimaldavad ründajal pahatahtlikku koodi käivitada, teenuseid tõkestada ja saada ligipääsu tundlikule infole. Turvavead mõjutavad VMware’i tooteid Workstation (versioonid 17.x) ja Fusion (versioonid 13.x). Haavatavused on paigatud  nimetatud tarkvarade versioonides 17.5.2 ja 13.5.2. Nendel, kel ei ole võimalik tarkvara uuendada, soovitab tootja virtuaalmasinas Bluetoothi toe välja lülitada ja 3D-funktsioon keelata (SW, HN).

Microsoft paikas Windowsi nullpäeva turvanõrkuse

​Microsoft on parandanud nullpäeva haavatavuse, mida kasutati QakBoti ja muude pahavarade levitamiseks Windowsi süsteemidesse. QakBoti on seostatud vähemalt 40 lunavararündega, mis on suunatud ettevõtete, tervishoiuteenuste osutajate ja riigiasutuste vastu üle kogu maailma.

Turvanõrkuse CVE-2024-30051 eduka ära kasutamise korral sai ründaja süsteemitaseme õigused. Kokku paigati 61 turvaviga, mille hulgas oli kolm nullpäeva turvanõrkust ja 27 koodi kaugkäivitamist võimaldavat viga. Ainult üks paigatud viga on hinnatud kriitiliseks ning see mõjutab Microsoft Office SharePointi tarkvara (BC, BC).

Intel paikas oma toodetes 90 turvaviga

Kõige tõsisema mõjuga on kriitiline turvaviga tähisega CVE-2024-22476, mida on hinnatud maksimaalse CVSS skooriga 10/10 ja mille kaudu on võimalik saada kaugteel kõrgemad õigused. Suuremale osale haavatavustest on olemas turvapaigad, aga mõnele on pakutud ka leevendavaid meetmeid. Enamik turvavigadest võib kaasa tuua privileegide suurenemise, teenuste tõkestamise või tundliku teabe avalikustamise (SW).

D-Linki ruuterid on haavatavad seadme ülevõtmise veale

HNAP-i protokolli turvaviga mõjutab D-Linki ruutereid ja annab autentimata ründajale võimaluse juurõigustes pahaloomulisi käske käivitada. Teadurid avaldasid nullpäeva turvanõrkusele kontseptsiooni tõenduse, mis näitab, kuidas nimetatud haavatavust on võimalik ära kasutada. Turvaviga mõjutab D-Linki DIR-X4860 ruutereid ja selle kaudu on võimalik seade üle võtta. Hetkel ei ole veel haavatavusele olemas parandust, samuti ei ole ruuteri tootja vastanud midagi turvavea avastajale. Mõjutatud seadmete kasutajatel on võimalik kaugjuurdepääsu haldusliides ära keelata, et turvanõrkuse mõju vältida.

D-Linki seadmetes olevad vead võivad olla suureks turvariskiks. Varasemalt on teada, et neid on kasutatud nii robotvõrgustike loomiseks kui ka tundlike andmete varastamiseks. Lisaks on ettevõte ise sattunud küberründe ohvriks, mille käigus paljastati nende lähtekood ja klientide andmed (DR, SSD, BC).

Olulisemad turvanõrkused 2024. aasta 19. nädalal

Androidi Xiaomi seadmetes avastati mitu turvaauku

Androidi kasutavate Xiaomi seadmete erinevates rakendustes ja süsteemikomponentides leiti 20 turvaviga. Turvaaukude ärakasutamine võib kaasa tuua erinevad pahaloomulised tegevused ja ligipääsu seadmes olevatele failidele ning kontoandmetele.

Turvavead mõjuvad järgmisi rakendusi ja komponente:

  • Gallery (com.miui.gallery)
  • GetApps (com.xiaomi.mipicks)
  • Mi Video (com.miui.videoplayer)
  • MIUI Bluetooth (com.xiaomi.bluetooth)
  • Phone Services (com.android.phone)
  • Print Spooler (com.android.printspooler)
  • Security (com.miui.securitycenter)
  • Security Core Component (com.miui.securitycore)
  • Settings (com.android.settings)
  • ShareMe (com.xiaomi.midrop)
  • System Tracing (com.android.traceur)
  • Xiaomi Cloud (com.miui.cloudservice)

Xiaomi seadmete kasutajatel soovitatakse uuendada tarkvara (HN, OS).

Citrix paikas kõrge mõjuga turvanõrkuse

Citrix parandas turvanõrkuse, mis mõjutab NetScaler ADC ja Gateway seadmeid. Uut turvaviga võrreldakse eelmisel aastal avalikuks tulnud haavatavusega, mida nimetati “CitrixBleed”, kuna ka selle kaudu on võimalik autentimata ründajal saada ligipääs tundlikule infole. Küll aga ei ole uus turvaviga nii suure mõjuga. Kõigil kasutajatel soovitatakse NetScaler uuendada versioonile 13.1-51.15 või veel värskemale (DR, BF).

Häkkerid on võtnud sihikule WordPressi pistikprogrammi

Turvanõrkus (CVE-2023-40000) mõjutab pistikprogrammi Litespeed Cache ja selle kaudu on võimalik saada administraatoriõigused ning kontroll veebilehe üle. Viga on paigatud juba eelmisel aastal, kuid endiselt kasutab ligi kaks miljonit veebilehte turvanõrkusega versiooni.

Viimasel ajal on näha olnud mitmeid katseid nimetatud turvavea kuritarvitamiseks – häkkerid skaneerivad võrku ja otsivad veebilehti, mis kasutavad pistikprogrammi turvapaikamata versiooni. Ohus on kõik veebilehed, mis kasutavad Litespeed Cache’i versiooni 5.7.0.1 või vanemat.

Soovitame kõigil WordPressi veebilehtede administraatoritel pistikprogramme regulaarselt uuendada. Samuti tasuks jälgida, et lehele ei oleks loodud uusi administraatorikontosid ja mittevajalikud komponendid oleks eemaldatud (BC).

Enam kui 50 000 Tinyproxy serverit on ohus kriitilise turvavea tõttu

Ligikaudu 52 000 internetile avatud Tinyproxy serverit on haavatavad turvavea tõttu, mis võimaldab pahaloomulist koodi kaugkäivitada. Haavatavus tähisega CVE-2023-49606 on hinnatud kriitilise CVSS skooriga 9.8/10 ning see mõjutab Tinyproxy versioone 1.11.1 ja 1.10.0. Viga on paigatud versioonis 1.11.2. Kasutajatel soovitatakse tarkvara uuendada ja jälgida, et Tinyproxy teenus ei oleks internetis avalikult kättesaadav (BC, HN).

Androidi tarkvarauuendus parandab kriitilise vea

Androidi nutiseadmetes paigati 26 turvaviga, nende hulgas oli kriitiline haavatavus tähisega CVE-2024-23706, mis võib kaasa tuua õigustega manipuleerimise. Lisaks paigati ka haavatavusi Pixeli seadmetes. Soovitame Androidi nutiseadmete tarkvara uuendada esimesel võimalusel. Hetkel teadaolevalt ei ole õnnestunud haavatavusi kuritarvitada (SW, Android).

VPNi rakendused on haavatavad turvanõrkusele TunnelVision

Teadurid avastasid uue ründemeetodi, mis sai nimeks TunnelVision ja mille tõttu on pea kõik VPNi teenuste pakkujad ohus. TunnelVisioni abil suunatakse kogu võrguliiklus ümber ründaja kaudu, kes saab võrgus toimuvat liiklust nii jälgida, muuta kui ka katkestada. Teadurite sõnul mõjutab see kõiki VPNi rakendusi, juhul kui kasutaja ei tööta Linuxi või Androidiga. Ründetehnikat on olnud võimalik kasutada juba alates 2002. aastast. Leviathan Security veebilehele on lisatud nii ründemeetodit tutvustav video kui ka leevendavad meetmed (AT, LS).

Wichita linna tabas lunavararünnak

USAs asuvat Wichita linna tabas lunavararünnak, mistõttu oli linn sunnitud osa oma võrkudest lahti ühendama. 5. mail rünnati linna IT-süsteeme ja krüpteeriti need lunavaraga. Linna teatel läksid elutähtsad teenused, nagu politsei ja tuletõrje, üle „paberi ja pastakaga“ töötamisele. Rünnak mõjutas ka maksetega seotud teenuseid – internetis ei olnud võimalik maksta veearvete, kohtutrahvide ega ühistranspordi piletite eest. Hiljem selgus, et mõjutatud olid ka mitmed teised teenused, näiteks avalikud WiFi võrgud.

Rünnaku eest võttis vastutuse LockBiti-nimeline rühmitus, kes nõuab linnalt lunaraha maksmist 15. maiks. Vastasel juhul ähvardatakse varastatud andmed avalikustada (BC, BC).

Google paikas Chrome’i nullpäeva turvanõrkuse

Ettevõtte sõnul on turvaviga tähisega CVE-2024-4671 rünnetes juba ära kasutatud. Tegemist on viienda Chrome’i nullpäeva turvanõrkusega sel aastal. Soovitame uuendada Chrome’i uuele versioonile 124.0.6367.201 esimesel võimalusel (BC, Chrome).

Olulisemad turvanõrkused 2024. aasta 16. nädalal

Laialdaselt kasutusel olevas SSH-kliendis PuTTY leiti kriitiline turvaviga

PuTTY ja Telneti tarkvarade pakkujad hoiatavad kasutajaid kriitilise haavatavuse eest, mis mõjutab versioone 0.68 kuni 0.80 ning mida saab ära kasutada NIST P-521 privaatvõtmete täielikuks taastamiseks. PuTTY on avatud lähtekoodiga tarkvara, mida kasutavad süsteemiadministraatorid serverite ja muude võrguseadmete kaughaldamiseks. Turvaviga tähisega CVE-2024-31497 võimaldab eduka ründe korral saada ligipääsu ohvri serveritele.

Lisaks PuTTY-le mõjutab turvaviga ka teisi tarkvarasid:

  • FileZilla (versioonid 3.24.1 – 3.66.5)
  • WinSCP (versioonid 5.9.5 – 6.3.2)
  • TortoiseGit (versioonid 2.4.0.2 – 2.15.0)
  • TortoiseSVN (versioonid 1.10.0 – 1.14.6)

Viga on parandatud tarkvarades PuTTY 0.81, FileZilla 3.67.0, WinSCP 6.3.3 ja TortoiseGit 2.15.0.1. TortoiseSVN kasutajatele on hetkel kättesaadaval ajutine lahendus. Turvaviga CVE-2024-31497 mõjutab tõenäoliselt rohkem tarkvarasid, mis kasutavad ohus olevat PuTTY versiooni. Seetõttu soovitatakse kasutajatel oma tarkvarad üle kontrollida ja vajadusel ennetavad meetmed kasutusele võtta (HN, BC).

Juniper Networks paikas mitmeid turvavigasid

Juniper Networks paikas sadakond turvaviga, mis mõjutavad operatsioonisüsteeme Junos OS ja Junos OS Evolved ning teisi ettevõtte tooteid. Juniper Networksi klientidel on soovitatav oma seadmete tarkvara esimesel võimalusel uuendada, kuna kõige suurema mõjuga haavatavuste jaoks ei ole leevendavaid meetmeid saadaval. Rohkem infot parandatud vigade kohta leiab Juniper Networksi kodulehelt (SW, Juniper).

Ivanti hoiatab kriitiliste haavatavuste eest Avalanche’i tarkvaras

Ivanti on välja andnud turvauuendused, et parandada 27 haavatavust Avalanche’i mobiilseadmete kaughalduse (MDM) lahenduses. Avalanche’i kasutatakse, et keskelt hallata nutiseadmeid ja nende tarkvarauuendusi. Paigatud vigadest kaks (CVE-2024-24996 ja CVE-2024-29204) on hinnatud kriitilise mõjuga nõrkusteks, mis võimaldavad käske kaugkäivitada.

Hetkel teadaolevalt ei ole haavatavusi õnnestunud kuritarvitada ja kõigil kasutajatel soovitatakse uuendada tarkvara versioonile Avalanche 6.4.3. Ivanti tarkvaras olevaid haavatavusi on varem tihti kasutatud ründevahenditena. Näiteks õnnestus möödunud suvel saada häkkeritel ligipääs Norra valitsusasutuste IT-süsteemidele just Ivanti haavatavuste kaudu. Mobiilseadmete haldussüsteemid on kurjategijate jaoks atraktiivsed sihtmärgid, kuna nende kaudu on võimalik saada korraga ligipääs tuhandetele seadmetele. Tihti kasutavad just riigiasutused taolisi mobiilseadmete haldamise vahendeid (BC).

Chrome’i ja Firefoxi veebilehitsejates paigati suure mõjuga turvavigu

Google avaldas Chrome’i versiooni 124 Windowsi, Maci ja Linuxi seadmetele, milles on parandatud 22 haavatavust. Mozilla avaldas Firefoxi versiooni 125, kus on paigatud 15 turvaviga, nende hulgas ka üheksa suure mõjuga haavatavust. Lisaks avaldati ka Firefox ESR 115.10, kus on samuti parandatud üheksa turvaviga. Soovitame nii Google Chrome’i kui ka Mozilla tarkvarad uuendada esimesel võimalusel (SW).

Oracle paikas enam kui 400 turvaviga

Parandatud turvanõrkuste hulgas oli üle 30 kriitilise haavatavuse. Kokku paigati üle 200 turvavea, mida on võimalik kuritarvitada kaugteel ja ilma autentimata. Turvavead mõjutavad mitmeid erinevaid Oracle tooteid, näiteks Oracle Communications, Fusion Middleware, Financial Services Applications, E-Business Suite ja MySQL. Täpsema nimekirja paigatud turvavigadest leiab lisatud linkidelt ja Oracle soovitab kõigil kasutajatel tarkvara uuendada. Ettevõtte sõnul on teada juhtumeid, kus on õnnestunud paikamata tarkvara kaudu nende kliente rünnata (SW, Oracle).

Kiibitootja Nexperia kinnitas küberrünnaku toimumist

Hollandi kiibitootja Nexperia kinnitas, et häkkeritel õnnestus nende võrgule ligipääs saada. Ettevõte avaldas pressiteate, milles andis teada, et nad olid sunnitud oma IT-süsteemid välja lülitama ning algatama täpsemate asjaolude uurimise. 

10. aprillil teatas lunavararühmitus veebilehel Dunghill Leak, et neil on õnnestunud varastada 1 TB mahus Nexperia konfidentsiaalseid andmeid ja lisaks lekitati ka näidiseid varastatud andmetest. Ründajad avaldasid näiteks pilte elektroonikakomponentidest, töötajate passidest ja erinevatest lepingutest. Ettevõtet ähvardati suuremahulise andmelekkega, kui nad ei maksa soovitud lunaraha (BC, Nexperia).

300 000 WordPressi veebilehte on turvanõrkuse tõttu ohus

Kriitiline turvanõrkus CVE-2024-28890 (CVSS skoor 9.8/10) mõjutab pistikprogrammi Forminator ning eduka ründe korral on võimalik haavatud veebilehele pahaloomulisi faile üles laadida. Lisaks nimetatud haavatavusele paigati veel kaks turvaviga.

Pistikprogrammi kasutab umbes 500 000 WordPressi veebilehte ja hetkel on ligikaudu kolmandik neist jõudnud tarkvara uuendada. Viga on parandatud tarkvara versioonis 1.29.3. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada. Hetkel teadaolevalt ei ole veel õnnestunud turvaviga kuritarvitada (BC).