Tag Archives: Cisco

Olulisemad turvanõrkused 2024. aasta 2. nädalal

Ivanti Connecti VPN-tarkvaras avastati kaks kriitilist turvaviga

Laialdaselt kasutatavas VPN-tarkvaras Ivanti Connect Secure on tuvastatud kaks kriitilist nullpäeva turvaauku (CVE-2023-46805, CVE-2024-21887), mida ründajad on aktiivselt ära kasutanud. Turvavead mõjutavad VPNi versioone 9.x ja 22.x ja võivad lubada volitamata isikutel juurdepääsu tundlikule teabele või potentsiaalselt ohustada võrkude turvalisust, mis seda tarkvara kasutavad. Nõrkused teeb lisaks murettekitavaks asjaolu, et nende kuritarvitamiseks ei ole vaja ründajal end autentida. Ettevõte lubas turvaparandused avalikustada esimesel võimalusel. Seni on tarkvara kasutajatel võimalik end kaitsta, järgides ettevõtte soovitusi siin. Kui turvaparandus on saadaval, tuleks see samuti kohe rakendada (Ivanti, SA).

Uue turvanõrkuse abil võivad ründajad GitLabi kontod lihtsalt üle võtta

GitLabi kriitiline haavatavus võimaldab parooli lähtestamise funktsiooni vea tõttu platvormi kasutajakontosid kompromiteerida. Turvanõrkus mõjutab nii GitLab Community Editionit (CE) kui ka Enterprise Editionit (EE). Haavatavus, mida tähistatakse kui CVE-2023-7028, tekkis GitLabi versioonis 16.1.0. See lubab ründajal saata volitamata parooli lähtestamise e-kirju kinnitamata e-posti aadressidele. Viga on parandatud versioonides 16.5.6, 16.6.4 ja 16.7.2, 16.1.6, 16.2.9, 16.3.7 ja 16.4.5. GitLab soovitab täiendava turvameetmena rakendada kahefaktorilist autentimist (2FA). Need, kel on 2FA rakendatud, ei ole haavatavad selle turvanõrkuse vastu, samas on võimalik nende kontode paroole siiski lähtestada. Ettevõte on avalikustanud ka juhised, kuidas logidest võimalikku turvanõrkuse ärakasutamist kontrollida. Infot selle kohta leiate viidatud lingilt. Kasutajatel soovitatakse oma GitLabi lahendused viivitamatult värskendada, et kaitsta end võimalike küberrünnakute eest (SCM).

Juniperi võrguseadmetel paigati kriitiline turvanõrkus

Juniper Networks on parandanud oma tulemüürides ja switch’ides kriitilise koodi kaugkäivitamise (RCE) haavatavuse (CVE-2024-21591). Autentimata ründaja võib turvavea abil saada mõjutatud seadmes juurõigused või teostada seadme vastu teenusetõkestusründe. Turvanõrkus mõjutab paljusid Juniperi võrgutooteid (täpsem nimekiri viidatud linkidelt), ohustades seega mitmete organisatsioonide võrgutaristut. Ettevõte ei ole siiski teadlik, et antud nõrkust oleks suudetud ära kasutada. Juniper Networksi tulemüüride ja switch’ide kasutajatel soovitatakse värskendada seadmete püsivara uusimale versioonile, et haavatavus parandada ja kaitsta oma võrke võimaliku turvanõrkuse ärakasutamise eest (SA). Kui uuendamine ei ole võimalik, on ettevõte avalikustanud ka mõned alternatiivsed kaitsemeetmed, mille kohta saab lugeda täpsemalt siit.

Microsoft parandas jaanuari uuendustega 49 turvaviga

Microsofti parandas igakuiste uuenduste programmi raames 49 turvaauku, sealhulgas 12 koodi kaugkäivitamise (RCE) viga. Kaks neist kaheteistkümnest haavatavustest klassifitseeriti kriitiliseks ja mõjutavad Windows Kerberose turvafunktsioone ning Hyper-V virtualiseerimistarkvara. Lisaks parandati märkimisväärne Office’i tarkvara mõjutav koodi kaugkäivitamise haavatavus (CVE-2024-20677). Turvavärskendused on Windowsi süsteemide turvalisuse ja terviklikkuse säilitamiseks üliolulised ning need tuleks kiiresti rakendada (BC).

Cisco Unity Connectioni viga võimaldab ründajal saada juurkasutaja õigused

Cisco paikas Unity Connectioni tarkvaral kriitilise turvavea, mis võimaldab autentimata ründajal saada juurkasutaja õigused. Unity Connection lahendust kasutavad veebilehitsejad, e-postkastid ning mitmed Cisco seadmed. Eduka ründe korral on võimalik salvestada ohvri seadmesse pahaloomulisi faile ja käivitada operatsioonisüsteemis erinevaid käske. Cisco soovitab kõigil oma toodete kasutajatel teha tarkvarauuendus (BC).

Olulisemad turvanõrkustega seotud uudised 2023. aasta 42. nädalal

Cisco paikas IOS XE tarkvara kriitilised turvanõrkused

Eelmisel nädalal avalikustati turvanõrkus (CVE-2023-20198), mis mõjutab Cisco IOS XE tarkvara veebiliidest (webUI) ja mis on hinnatud kriitilise CVSS skooriga 10.0/10.0, kuna selle kaudu on võimalik saada täielik kontroll ohvri võrguseadme üle. Nädala lõpus avaldati info ka teise nullpäeva turvanõrkuse (CVE-2023-20273) kohta, mida on samuti rünnetes kuritarvitatud.

Nädala jooksul oli üle maailma enam kui 50 000 pahavaraga nakatunud seadet, kuid laupäeval toimus nakatunud seadmete arvu järsk langus. Teadurid arvavad, et ründajad leidsid viisi, kuidas nakatunud seadmete infot võrgu skaneerimisel varjata.

Mõlemale veale on alates 22. oktoobrist olemas parandus ja ettevõtte soovitab turvapaigad rakendada esimesel võimalusel. Viga on paigatud Cisco IOS XE tarkvara versioonis 17.9.4a. Kui mingil põhjusel ei ole võimalik tarkvara uuendada, siis tuleks HTTP-serveri funktsioon kõigis internetiühendusega seadmetes keelata (SW, BC, BC, Cisco, RIA).

Oracle paikas 387 turvanõrkust oma toodetes

Parandatud turvanõrkuste hulgas oli üle 40 kriitilise haavatavuse. Kokku paigati üle 200 turvavea, mida on võimalik kuritarvitada kaugelt ja ilma autentimata. Turvavead mõjutavad mitmeid erinevaid Oracle tooteid, näiteks Oracle Financial Services, Oracle Communications, Fusion Middleware ja MySQL.

Kõige enam vigasid ehk kokku 103 haavatavust paigati tarkvaras Oracle Financial Services. Lisaks avaldati ka Oracle’i Linuxi turvapaigad 61 veale (Oracle).

Täpsema nimekirja paigatud turvavigadest leiab lisatud linkidelt ja Oracle soovitab kõigil kasutajatel tarkvara uuendada. Ettevõtte sõnul saavad nad aeg-ajalt teateid oma klientidelt, kes ei ole tarkvara uuendanud ja on seetõttu langenud küberrünnaku ohvriks (SW, Oracle).

Signal eitab väiteid nullpäeva turvanõrkuse kohta oma platvormil

Oktoobri keskpaigas hakkas erinevatel platvormidel liikuma info, et Signali tarkvaras on nullpäeva turvanõrkus. Viga mõjutab väidetavalt „Generate Link Previews“ erifunktsiooni ja võimaldab võtta üle nakatanud seade.

Signali meeskond uuris väidet ja nende sõnul see ei vasta tõele. Ka USA küberturvalilisuse agentuur CISA teatas, et neil ei ole infot Signali nullpäeva turvanõrkuse olemasolu kohta.

Kuna tegemist on väga populaarse sõnumivahetustarkvaraga, siis Signali turvanõrkused on atraktiivseks sihtmärgiks küberkurjategijatele. Signalit kasutavad lisaks eraisikutele ka paljud asutused ja seetõttu võib seadme kompromiteerimine võimaldada ligipääsu tundlikule infole (BC, SA, Twitter).

Küberkurjategijad kasutavad ära kriitilist turvaviga WordPressi pistikprogrammis

Turvanõrkus (CVE-2023-5360) leiti pistikprogrammis “Royal Elementor“, mida kasutab enam kui 200 000 WordPressi veebilehte. Haavatavuse tõttu võib autentimata ründaja laadida veebilehele pahaloomulise sisuga faile ja see on hinnatud kriitilise CVSS skooriga 9.8/10.0. Haavatavust kuritarvitades võib lisaks faili üleslaadimisele ka pahatahtlikku koodi käivitada ja selle tulemusel veebilehe kompromiteerida.

Küberturbe ettevõtete Wordfence and WPScan sõnul on turvaviga rünnete läbiviimisel kasutatud juba alates augustikuust ja alates 3. oktoobrist on rünnete maht kasvanud.

Turvanõrkus mõjutab pistikprogrammi versioone kuni 1.3.78. Kõik kasutajad peaksid uuendama tarkvara versioonile 1.3.79, kus viga on parandatud. Lisaks tarkvara uuendamisele peaks ka üle kontrollima, ega veebilehele ole lisatud nakatunud faile (BC).

RIA ohuhinnang: kriitiline turvanõrkus Cisco IOS XE tarkvaral

Lühikirjeldus

Cisco avalikustas 16. oktoobril, et Cisco IOS XE tarkvara veebiliidest (webUI) mõjutab väga kriitiline turvanõrkus (CVE-2023-20198), mida on ettevõtte sõnul juba kuritarvitatud. Lisaks on ka CERT-EE näinud selle turvanõrkuse kuritarvitamist Eesti küberruumis.

Ohustatud on eriti need haavatavad Cisco võrguseadmed, mille webUI veebiliidesed on Internetist kättesaadavad. Hetkel ei ole turvanõrkusele turvaparandust saadaval, kuid haavatavuse saab eemaldada alternatiivse lahenduse abil (kirjeldatud allpool).

Miks on haavatavus kriitiline?

Konkreetne haavatavus on kriitiline (hinnatud maksimaalse kriitilisuse skooriga CVSS 10.0/10.0), sest see võimaldab ründajal luua mõjutatud süsteemis kõrgendatud õigustega kasutaja, mida saab seejärel kasutada haavatava võrguseadme üle täieliku kontrolli saamiseks. Sealjuures on ründajal võimalik turvanõrkust ära kasutada autentimata.

Kes ja mida peaks tegema?

Ohus on kõik need võrguseadmed, mis kasutavad Cisco IOS XE tarkvara ja millel on veebiliidese funktsioon lubatud. See funktsioon aktiveeritakse ip http server või ip http secure-server käskude kaudu.

Selleks, et kontrollida, kas HTTP Server funktsioon on süsteemis lubatud, tegutsege järgnevalt:

  • Logige süsteemi sisse ja kasutage käsureal käsku show running-config | include ip http server|secure|active
  • Eelneva käsu abil saab kontrollida, kas ip http server või ip http secure-server on lubatud.
  • Kui jah, siis on ka veebiliidese funktsioon kasutusel ja seega võguseade haavatav.

Cisco soovitab klientidel tungivalt HTTP-serveri funktsioon kõigis internetiühendusega süsteemides keelata. HTTP-serveri funktsiooni keelamiseks kasutage globaalses konfiguratsioonirežiimis käsku no ip http server või no ip http secure-server. Kui kasutusel on nii HTTP-server kui ka HTTPS-server, on HTTP-serveri funktsiooni keelamiseks vaja mõlemat käsku.

Cisco avaldas enda ohuteates ka järgneva otsustuspuu, mis võib teid aidata:

Kas kasutate IOS XE-d?

  • Ei. Süsteem ei ole haavatav. Pole vaja reageerida.
  • Jah. Kas tarkvaral on ip http server või ip http secure-server kasutusel?
    • Ei. Haavatavust ei saa ära kasutada. Pole vaja reageerida
    • Jah. Kas kasutate selle võrguseadmel teenuseid, mis nõuavad HTTP/HTTPSi (nt eWLC)?
      • Ei. Keelake HTTP-serveri funktsioon (vt eelnevaid nõuandeid, kuidas).
      • Jah. Võimaluse korral piirake juurdepääs neile teenustele usaldusväärsetest võrkudest.

NB! Kui olete konfiguratsioonis vajalikud muudatused teinud, soovitab ettevõte veenduda, et need ka seadme taaskävitamisel endiselt alles on. Selleks tuleks kasutada käsku copy running-configuration startup-configuration, et jooksev konfiguratsioon peale muudatuste tegemist ka püsivalt salvestada.

Cisco lisas ka enda ohuteatele juurde juhised, kuidas tuvastada, kas seade on juba potentsiaalselt kompromiteeritud või mitte. Juhised leiate siit, alapeatükist Indicators of Compromise.

Cisco ohuteate täisteksti leiate siit.

Ohuhinnangu koostas RIA analüüsi- ja ennetusosakond koostöös CERT-EE-ga.