Tag Archives: Citrix

Olulisemad turvanõrkused 2024. aasta 18. nädalal

Habemega mees istub arvuti taga, käed klaviatuuril, monitoril tekstiread, Taamal värviline valgus

Androidi pahavara levitatakse WordPressi veebilehtede kaudu

Uut Androidi pahavara, mida nimetatakse “Wpeeper” levitatakse häkitud WordPressi veebilehtede kaudu. Kasutajale jäetakse näiliselt mulje, et ta laeb tarkvara alla usaldusväärsest rakenduste poest, kuid tegelikult on tegemist pahavaraga. Wpeeperi peamine eesmärk on varastada kasutaja andmeid, kuid lisaks võimaldab see ka palju muid tegevusi – näiteks on võimalik selle abil teada saada info kõigi seadmesse installitud rakenduste kohta. Et vältida selliseid riske nagu Wpeeper, on soovitatav installida rakendusi ainult Androidi ametlikust rakenduste poest Google Play ja samuti veenduda, et Play Protect teenus on aktiveeritud (BC).

Programmeerimiskeele “R” haavatavus võib põhjustada tarneahela rünnakuid

Programmeerimiskeeles “R” olevat turvaviga tähisega CVE-2024-27322 saab ära kasutada suvalise koodi käivitamiseks ja seeläbi kasutada osana tarneahela rünnakust. Avatud lähtekoodiga programmeerimiskeel R toetab andmete visualiseerimist, masinõpet ja statistilist andmetöötlust ning seda kasutatakse laialdaselt statistilise analüüsi tegemiseks erinevates valdkondades.

Turvavea ära kasutamiseks tuleb häkkeril kirjutada fail üle ning tagada koodi automaatne käivitamine pärast faili laadimist. Eduka ründe jaoks peab ohver avama oma seadmes kas RDS (R Data Serialization) või RDX (R package) faili. Kuna taolisi faile jagatakse ja hoitakse tihti GitHubis, siis on see potentsiaalne meetod rünnete läbiviimiseks. Viga on paigatud R Core versioonis 4.4.0 (SW, BC).

Aruba Networking paikas neli kriitilist turvaviga ArubaOS tarkvaras

HPE Aruba Networking paikas kümme haavatavust ArubaOS operatsioonisüsteemis, millest neli olid koodi kaugkäivitamist võimaldavad kriitilised turvavead. Kriitilise mõjuga turvavead on hinnatud CVSS skooriga 9.8/10 ja neid tähistatakse CVE-2024-26305, CVE-2024-26304, CVE-2024-33511 ja CVE-2024-33512. Ülejäänud kuus paigatud viga on keskmise mõjuga haavatavused.

Turvavigadest on mõjutatud mitmed erinevad Aruba Networking tooted ja tarkvarad ning ettevõte soovitab kõigil kasutajatel uuendada ArubaOS kõige värskemale versioonile. Turvavead on paigatud ArubaOS versioonides 10.6.0.0, 10.5.1.1, 10.4.1.1, 8.11.2.2, 8.10.0.11 ja uuemad (BC).

1400 GitLabi serverit on endiselt turvanõrkuse tõttu ohus

USA küberagentuuri CISA sõnul on jaanuaris avalikuks tulnud GitLabi turvavea tähisega CVE-2023-7028 tõttu endiselt ohus 1400 serverit. Samuti on nüüdseks leidnud kinnitust, et haavatavust on õnnestunud kuritarvitada. Nimetatud haavatavus on hinnatud maksimaalse CVSS skooriga 10/10 ning see võimaldab ründajal kasutaja konto üle võtta, saates parooli muutmise lingi suvalisele e-posti aadressile.

Viga paigati juba jaanuaris ning kõigil kasutajatel tuleks üle kontrollida, kas neil on kasutusel tarkvara viimane versioon (SW).

Kanada apteegikett “London Drugs” sulges küberrünnaku tagajärjel kõik apteegid Lääne-Kanadas

Kanada apteegikett sattus küberründe ohvriks ja pidi seetõttu apteegid sulgema. Intsidendi avastamise järel võeti kohe kasutusele vastumeetmed oma võrgu ja andmete kaitsmiseks ning samuti kaasati lahendamisse välised küberjulgeolekueksperdid. London Drugsi sõnul ei ole hetkel põhjust arvata, et nende töötajate või klientide andmed oleksid küberintsidendist mõjutatud. Täpsemat infot intsidendi põhjuste kohta ei ole veel avaldatud.

Küberintsident tuli avalikuks 28. aprillil, misjärel apteegid jäid suletuks kuueks päevaks. Nüüd on hakatud neid järk-järgult uuesti avama, kuid mitmed apteegid on endiselt klientidele suletud. Viimasel ajal on sagenenud tervishoiusektori vastu suunatud ründed. Näiteks tabas aprillis Cannes’is asuvat suurhaiglat küberrünnak ja veebruaris oli häiritud Change Healthcare tarkvara kasutavate apteekide töö üle USA (BC, DR, TR).

Change Healthcare’i häkiti, kasutades varastatud Citrixi kontot, millel puudus mitmikautentimine

Veebruaris tuli avalikuks küberrünnak, mis häiris apteekide tööd üle kogu USA. Apteekidele tarkvara pakkuv Change Healthcare oli sunnitud küberrünnaku järel sulgema osa oma süsteemidest. See tähendas, et mitmed apteegid üle kogu USA ei saanud kontrollida, kas patsientidel on ravikindlustus, kas neil on õigus retseptiravimitele, soodustustele jmt. Intsident põhjustas hinnanguliselt 872 miljoni suuruse kahju.

Nüüd selgus, et ründe taga oli BlackCati-nimeline lunavararühmitus, kes said ligipääsu varastatud kasutajaõiguste kaudu, millega siseneti ettevõtte Citrixi kaugtöölauateenusesse. Change Healthcare ei olnud seadistanud mitmefaktorilist autentimist. Ei ole teada, kas kasutajaõiguste info varastati andmepüügirünnaku või teavet varastava pahavara kaudu (BC).

Olulisemad turvanõrkused 2023. aasta 47. nädalal

  • Avalikustati  Windows Defenderi kriitilise turvavea kontseptsiooni tõendus

Turvaveale tähisega CVE-2023-36025 avalikustati kontseptsiooni tõendus (PoC). Kuigi antud haavatavusele on olemas parandus, võib PoCi avalikuks tulek suurendada rünnete hulka, mis üritavad seda turvanõrkust ära kasutada.

Turvaviga CVE-2023-36025 on operatsioonisüsteemides Windows 10, Windows 11, Windows Server 2008 ning viimase uuemates versioonides. Haavatavus võimaldab mööda minna Windows Defender SmartScreeni kontrollidest ja käivitada ohvri seadmes pahatahtlikku koodi. Selleks, et viga kuritarvitada, tuleb ründajal meelitada kasutaja avama pahaloomulist linki. Linki võib ründaja jagada õngitsuskirjade või kompromiteeritud veebilehtede kaudu (DR).

Küberturvalisusega tegeleva ettevõtte Proofpointi sõnul kasutab nimetatud haavatavust rünnete läbiviimisel näiteks TA544-nimeline küberrühmitus (DR).

  • Citrix kutsub kasutajaid rakendama lisameetmeid Citrix Bleedi turvanõrkuse vastu

Citrix tuletas administraatoritele meelde, et nad peavad lisaks NetScaleri seadmete tarkvara uuendamisele kasutusele võtma lisameetmeid, et kaitsta end turvanõrkuse CVE-2023-4966 vastu. Ettevõtte sõnul tuleb kustutada varasemad kasutajate sessioonid, samuti lõpetada kõik aktiivsed kasutajate sessioonid. See samm on väga oluline, sest rünnete käigus on varastatud kasutajate autentimise andmeid, mis võimaldavad kurjategijatel saada ligipääsu kompromiteeritud seadmetele ka pärast  seda, kui turvauuendused on rakendatud (BC).

Citrix parandas vea oktoobri alguses, kuid Mandianti sõnul on seda nullpäeva turvanõrkusena aktiivselt kuritarvitatud alates 2023. aasta augusti lõpust. Teadurite sõnul on üle 10 000 võrgus oleva Citrixi seadme turvanõrkusele haavatavad (BC).

Mitmed küberrühmitused kasutavad Citrix Bleedi turvanõrkust ära rünnete läbiviimisel. Eelmisel nädalal tegi CISA koos teiste asutustega ühisavalduse, milles kirjutatakse, et Lockbiti-nimeline lunavararühmitus kasutab rünnete läbiviimisel just Citrix Bleedi turvanõrkust. Muu hulgas rünnati sel viisil ka lennundusettevõtet Boeing, kellelt õnnestus varastada 43GB mahus andmeid   (HN, CISA).

  • Neli aastat vana Netflixi turvavea kohta avaldati täpsemat infot

Viga mõjutas Netflixi loodud DIAL-protokolli ja see parandati juba 2019. aastal. Nüüd on avaldatud ka täpsem tehniline kirjeldus haavatavuse kohta. Teadurite sõnul ootasid nad aastaid enne tehnilise analüüsi avalikustamist, et kõik tehnikatootjad jõuaksid oma riist- ja tarkvara uuendada ning need oleks rünnete eest kaitstud.

Turvaviga, mida on nimetatud ka „DIALStranger“, võimaldas kurjategijatel kaaperdada videovoogu ja näidata kasutajale suvalist videopilti. Haavatavus mõjutas kõiki telereid, videokonsoole ja muid võrgus olevaid seadmeid, mis toetasid DIAL-protokolli. Protokolli eesmärgiks oli lihtsustada videote vaatamist samas võrgus olevates erinevates seadmetes.

Haavatavust kuritarvitades on võimalik näiteks levitada propagandat või näidata kasutajate seadmetes tasulisi reklaame tulu teenimise eesmärgil.

Viimase nelja aasta jooksul on Netflix teinud parandusi DIAL-protokollis ja samuti on paljud seadmete tootjad võtnud kasutusele turvanõrkust leevendavad meetmed, seega tänaseks on haavatavuse potentsiaalne mõju suhteliselt väike (SC).

  • Mirai pahavaral põhineva robotvõrgustikuga liidetakse nullpäeva turvanõrkustega ruutereid ja videosalvestusseadmeid

Uus pahavarakampaania kasutab Mirai pahavaral baseeruva robotvõrgustikuga uute seadmete liitmiseks kahte nullpäeva turvaauku, mille abil on võimalik koodi kaugkäivitada. Ründekampaania käigus on sihitud ruutereid ja videosalvestusseadmeid (NVR), millel on administraatorikonto jaoks jäetud vaikimisi kasutajamandaadid (Akamai).

Eduka ründe korral võetakse seade üle ja paigaldatakse sinna Mirai pahavara variant. Robotvõrgustik kannab koodnimetust InfectedSlurs ja see kasutab Mirai pahavara varianti nimetusega JenX, mis tuli päevavalgele esimest korda 2018. aasta jaanuaris. Konkreetset robotvõrgustiku kasutatakse ulatuslike DDoS-rünnakute teostamiseks. Rünnakute toimepanijaid pole veel kindlaks tehtud (Akamai).

  • Teadlastel õnnestus Windows Hello autentimissüsteemist mööda pääseda

Teadlased avastasid haavatavused populaarsete sülearvutite Windows Hello jaoks kasutatavates sõrmejäljeandurites, mis võimaldavad sõrmejälgede autentimisest mööda minna sellistes seadmetes nagu Dell Inspiron 15, Lenovo ThinkPad T14s ja Microsoft Surface Pro X (SW).

Uuringu viisid läbi Blackwing Intelligence ja Microsofti Ofensive Research and Security Engineering (MORSE). Uurimus oli suunatud Match-on-Chip sõrmejäljeanduritele, millel on oma mikroprotsessor ja mälu, mistõttu on vaja rünnata kiipi, et autentimisest mööda minna (SW).

Rünnak nõuab füüsilist juurdepääsu sihitud seadmele. Delli ja Lenovo sülearvutite puhul õnnestus teadlastel autentimisest mööda pääseda kasutajate sõrmejälgedega seotud kehtivate ID-de loendamisega ja ründaja sõrmejälgede registreerimisega seadusliku kasutaja ID-d võltsides. Surface’i sülearvuti puhul sisestati sülearvutisse USB seade, mille abil näidati arvutile, justkui oleks legitiimne kasutaja sisse loginud (SW).

Täpsemalt saab uurimusega tutvuda siin.

  • Kriitiline turvanõrkus ownCloudi failijagamisrakenduses paljastab administraatorite paroolid

Avatud lähtekoodiga failide sünkroonimise ja jagamise lahendusel ownCloud on kolm kriitilise raskusastmega turvaauku, millest üks võib paljastada administraatori parooli ja meiliserveri mandaadid (BP).

Esimest viga, mida jälgitakse kui CVE-2023-49103, on hinnatud maksimaalse kriitilisuse skooriga 10.0/10.0 ja seda saab ära kasutada mandaatide ning konfiguratsiooniteabe varastamiseks. Viga on seotud grafapi versioonidega 0.2.0 kuni 0.3.0. Soovitatav parandus on kustutada fail „owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php”, keelata Dockeri konteinerites funktsioon „phpinfo” ja muuta ownCloudi administraatori parool, meiliserveri ja andmebaasi mandaadid ning Object-Store/S3 juurdepääsuvõtmed (BP).

Teine haavatavus, mille kriitilisuse skooriks on märgitud 9,8/10.0, mõjutab ownCloudi põhiteegi versioone 10.6.0–10.13.0. Viga võimaldab ründajatel pääseda juurde, muuta või kustutada mis tahes faili ilma autentimiseta, kui kasutaja kasutajanimi on teada ja ta pole konfigureerinud allkirjastamisvõtit (vaikesäte) (BP).

Kolmanda vea kriitilisuse skoor on veidi madalam kui kahel eelmisel (9.0/10.0). Ründajal on võimalik selle vea abil saata tundlikku teavet tema kontrollitavale veebisaidile. Selle parandamiseks tuleb haavatava ownCloudi valideerimisprotsessi tugevdada. Näiteks on võimalik kasutajatel välja lülitada säte nimega “Allow Subdomains”, kuni veale on parandus avalikustatud (BP).

Konkreetsed haavatavused võivad halvendada märkimisväärselt ownCloudi keskkonna turvalisust ja terviklikkust ning võivad viia andmeleketeni (BP).

Failijagamisplatvormide turvaauke kuritarvitatakse pidevalt ning eriti populaarsed on need lunavararühmituste seas. Seetõttu on ownCloudi administraatoritel ülioluline rakendada kohe soovitatud parandused ja teha teegi värskendused niipea kui võimalik, et turvariske maandada (BP).

Olulisemad turvanõrkused 2023. aasta 43. nädalal

  • Apple avaldas turvauuendused iOSi ja macOSi tarkvaradele

Apple avaldas eelmisel nädalal turvauuendused iOSi ja macOSi tarkvaradele. iOSi tarkvaras paigati 21 ja macOSi tarkvaras 44 haavatavust. Turvanõrkused lubavad ründajatel potentsiaalselt käivitada pahaloomulist koodi, haavatavates süsteemides õigusi suurendada või varastada süsteemidest tundlikku informatsiooni. Hetkel ei ole haavatavusi teadaolevalt rünnetes ära kasutatud. RIA soovitab nõrkustega seotud Apple’i seadmed uuendada iOS 17.1, iPadOS 17 ja macOS Sonoma 14.1 (SW, Apple, Apple).

  • Firefoxil ja Chrome’il paigati kõrge mõjuga turvanõrkused

Mozilla avaldas Firefoxi uue versiooni tähisega 119, milles on parandatud 11 turvanõrkust, nende hulgas kolm kõrge mõjuga haavatavust. Vigade tõttu võib haavatava sirviku kasutaja sattuda ohvriks clickjacking-nimelisele rünnakule. Samuti parandavad turvauuendused kaks haavatavust, mis lubavad ründajal potentsiaalselt käivitada pahaloomulist koodi. Lisaks avaldati ka turvapaigad tarkvaradele Firefox ESR 115.4 ja Thunderbird 115.4.1. Teisipäeval teavitas ka Google, et on paiganud Chrome’i veebilehitseja versioonis 118.0.5993.117 kaks turvanõrkust. RIA soovitab nii Firefoxi kui ka Chrome’i veebilehitsejad uuendada esimesel võimalusel (SW, Mozilla, Chrome).

  • Citrix hoiatab kriitilise turvanõrkuse eest

Citrix hoiatas eelmisel nädalal turvanõrkuse (CVE-2023-4966) eest, mis mõjutab NetScaler ADC ja Gateway seadmeid ning mida on juba rünnete läbiviimisel kuritarvitatud. Veale avalikustati turvaparandus kaks nädalat tagasi. Rünnakute suhtes haavatavad NetScaleri seadmed peavad olema konfigureeritud lüüsina (VPN virtuaalserver, ICA puhverserver, CVPN, RDP puhverserver) või AAA virtuaalserverina. Nõrkust on võimalik autentimata ründajal kaugelt ära kasutada.

Hiljuti avaldatud ülevaatest selgus, et ründajad on haavatavust kuritarvitanud sessioonide varastamiseks, et kaheastmelisest autentimisest mööda pääseda. Tootja soovitab haavatavad seadmed paigata esimesel võimalusel (BC, Netscaler, Mandiant).

  • VMware’i tarkvaras olev viga laseb autentimisest mööda minna

VMware’i hoiatas kliente Aria Operations for Logs nimelises tarkvaras peituva turvanõrkuse (CVE-2023-34051) eest, mis võimaldab ründajal autentimisest mööda minna ja käivitada pahatahtlikku koodi. Veale on avaldatud ka kontseptsiooni tõendus, mis võib kaasa tuua rünnete kasvu. Viga on parandatud Aria Operations for Logs versioonis 8.14 (SA, VMware). RIA soovitab kõigil mõjutatud tarkvara kasutajatel uuendada see esimesel võimalusel.

  • Riikliku taustaga küberrühmitus kuritarvitab Roundcube’i meiliteenuse turvanõrkust

Hiljuti avaldatud raportist selgus, et küberspionaaži poolest tuntud riikliku taustaga küberrühmitus on oktoobris kuritarvitanud XSS-i turvanõrkust, mis peitub Roundcube’i meiliserveri tarkvaras. Raport kajastab, kuidas antud rühmitus on sihtinud Euroopa valitsusasutusi ja erinevaid mõttekodasid. Ründajatel on võimalik spetsiaalselt koostatud e-kirja abil käivitada Roundcube’i kasutaja brauseris suvalist JavaScripti koodi.

Raporti autorite hinnangul on küberrühmitus üritanud turvanõrkust ära kasutada selleks, et ligi pääseda haavatavat tarkvara kasutava kasutaja e-kirjadele. Turvanõrkus on paigatud Roundcube’i versioonides 1.4.15, 1.5.5 ja 1.6.4 (ESET, SW).