Tag Archives: Fortinet

Olulisemad turvanõrkused 2024. aasta 22. nädalal

TP-Link parandas kriitilise vea populaarses ruuteris C5400X

TP-Link paikas turvavea, mida on hinnatud maksimaalse CVSS-skooriga (10.0/10) ning mis võimaldab autentimata ründajal kaugelt koodi käivitada. Pahaloomuliste käskude käivitamine võib kaasa tuua ruuterite ülevõtmise, andmete pealtkuulamise, DNSi sätete muutmise ja ligipääsu võrgule.

Turvaviga tähisega CVE-2024-5035 mõjutab mängurite seas populaarset TP-Linki ruuterit Archer C5400X ja selle tarkvara versioone kuni 1.1.1.6. Haavatavus on paigatud ruuteri tarkvara versioonis 1_1.1.7 (HN, BC).

Cisco paikas Firepower Management Centeris (FMC) kõrge mõjuga haavatavuse

Cisco parandas Firepower Management Centeri (FMC) tarkvara veebipõhise haldusliidese haavatavuse tähisega CVE-2024-20360, mida on hinnatud kõrge CVSS-skooriga (8,8/10). Haavatavus võimaldab pahaloomulisi SQLi käske käivitada, mille tulemusel saab ründaja andmebaasist mistahes andmeid, käivitada operatsioonisüsteemis suvalisi käske ja õigustega manipuleerida. Turvaveale on olemas parandus ja selle saavad kasutajad alla laadida (SA, Cisco).

WordPressi pistikprogrammi kasutatakse ära kaardiandmete varastamiseks

Kurjategijad on võtnud sihikule WordPressi pistikprogrammi Dessky Snippets. Häkkerid on asunud e-poodide veebilehtedele lisama pistikprogrammi kaudu pangakaardiandmeid varastavat pahaloomulist PHP-koodi.

Kuna e-poodides hoitakse tundlikke andmeid, näiteks pangakaardiandmed ja klientide isikuandmed, siis on need tihti kurjategijate sihtmärkideks. Kõigil WordPressi veebilehtede haldajatel tuleks hoida tarkvara ajakohasena, kasutada tugevaid paroole ja monitoorida oma lehel toimuvat (HN, SA).

Check Point paikas nullpäeva turvanõrkuse

Turvanõrkus tähisega CVE-2024-24919 mõjutab VPNi seadmeid ja seda on õnnestunud rünnetes kuritarvitada. Täpsemalt mõjutab turvaviga järgmisi Check Pointi tooteid: CloudGuard Network, Quantum Maestro, Quantum Scalable Chassis, Quantum Security Gateways ja Quantum Spark Appliances. Mõjutatud versioonid on R80.20.x, R80.20SP (EOL), R80.40 (EOL), R81, R81.10, R81.10.x, and R81.20.

Haavatavuse kaudu võib saada kaugjuurdepääsu tulemüürile ja seejärel ligipääsu ettevõtte võrgule.

Check Pointi teatel on virtuaalsete privaatvõrkude (VPN) vastu suunatud rünnakud viimastel kuudel märkimisväärselt suurenenud. Mitmete suurte VPNi pakkujate, nagu Ivanti, Fortinet ja Cisco, toodetes on avalikustatud haavatavusi, mille kaudu on õnnestunud ründeid läbi viia. Muuhulgas kasutavaid neid turvanõrkusi ka riiklikud küberrühmitused. Näiteks jaanuaris hoiatas CISA, et Hiina riikliku taustaga häkkerid on võtnud sihikule Ivanti VPNi nullpäeva turvanõrkused. Seetõttu on oluline VPNi tarkvara uuendada niipea, kui turvauuendused välja antakse.

Kõigil, kes kasutavad Check Pointi Quantum Gateway tooteid, tuleks tarkvara uuendada (SA, SC).

Fortineti SIEMi tarkvara kriitilisele turvanõrkusele avaldati kontseptsiooni tõendus

Veebruaris avalikuks tulnud Fortineti FortiSIEMi tarkvaras olevale kriitilisele turvanõrkusele tähisega CVE-2024-23108 avaldati kontseptsioonitõendus, mis näitab, kuidas turvaviga ära kasutada. Veale on veebruarikuust olemas ka parandus ning kõigil Fortineti toodete kasutajatel tuleks tarkvara uuendada (SA).

WordPressi pistikprogrammide kriitilised turvavead on ründajate sihtmärgiks

WordPressi veebilehtede vastu suunatud pahatahtliku kampaania käigus kasutatakse ära turvanõrkusi kolmes erinevas pistikprogrammis – WP Statistics, WP Meta SEO ja LiteSpeed Cache. Tegemist on väga populaarsete pluginatega – WP Statistics pistikprogrammi on alla laetud 600 000 korda ja LiteSpeed Cache pistikprogrammi 5 miljonit korda.

Turvavead mõjutavad pluginate versioone:

  • WP Statistics 14.5 ja vanemad;
  • WP Meta SEO 4.5.12 ja vanemad;
  • LiteSpeed Cache 5.7.0.1 ja vanemad.

Eduka ründe korral on võimalik luua administraatorikonto, sisestada veebilehele pahaloomulist PHP-koodi ning jälgida kogu veebilehel toimuvat. Soovitame kõigil WordPressi veebilehtede haldajatel hoida tarkvara ajakohasena (SW).

Ticketmasterit tabas ulatuslik andmeleke

Live Nation kinnitas, et Ticketmasteri keskkonda on tabanud andmeleke, mis mõjutab 560 miljonit klienti.  Häkkerid on pakkunud tumeveebis müügiks 1.3 TB andmeid, mille eest soovitakse 500 000 dollarit. Varastatud andmed hõlmavad Ticketmasteri klientide nimesid, e-posti aadresse, telefoninumbreid, piletimüügi ja tellimuse üksikasju. Väidetavalt õnnestus andmed varastada pilveteenusepakkuja Snowflake kaudu – esmalt saadi kätte Snowflake’i töötaja kontoandmed ja seejärel saadi ligipääs nende klientide andmetele. Kurjategijate sõnul on nad sarnasel moel saanud ligipääsu ka teiste ettevõtete, nt Mitsubishi, Neiman Marcus ja Advance Auto Parts, andmetele (SA, CS).

Olulisemad turvanõrkused 2024. aasta 15. nädalal

Microsoft paikas oma toodetes 150 turvaviga

Microsoft parandas kokku 150 haavatavust, mille hulgas oli 67 koodi kaugkäivitamist võimaldavat turvaviga. Paigati ka 31 õigustega manipuleerimise viga ja 29 turvafunktsioonide viga. Parandatud haavatavustest on vaid kolm hinnatud kriitilise mõjuga veaks. Turvauuendusega paigati kaks nullpäeva haavatavust tähistega CVE-2024-26234 ja CVE-2024-29988, mida on ära kasutatud pahavara-rünnetes. Lisaks paigati ka viis turvaviga Microsoft Edge’i veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud linkidelt (BC, BC).

Cisco hoiatab turvavea eest ruuterites, mille tarkvara enam ei uuendata

Turvaviga tähisega CVE-2024-20362 mõjutab väikeettevõtete ruutereid RV016, RV042, RV042G, RV082, RV320 ja RV325, mille tootmine on lõpetatud ja mis ei saa enam turvapaiku. Haavatavust on võimalik autentimata ründajal kaugteel ära kasutada.

Cisco sõnul ei tea nad, et turvanõrkust oleks ära kasutatud, aga kuna haavatavusele ei ole ega tule turvaparandust, siis soovitatakse kasutajatel üle minna toetatud seadmetele. Varasemalt on rünnakutes kuritarvitatud Cisco võrguseadmeid, mille tootmine on lõpetatud.

Lisaks paigati Cisco toodetes ka mitmeid teisi haavatavusi, näiteks parandati kõrge mõjuga turvaviga Nexus Dashboard Fabric Controlleris (NDFC) (SW, Cisco).

Fortinet paikas oma toodetes mitmeid haavatavusi

Fortinet parandas oma toodetes tosin turvaviga, mille hulgas oli ka FortiClientLinuxi tarkvaras olev kriitilise mõjuga koodi kaugkäivitamise viga tähisega CVE-2023-45590 (CVSS skoor 9,4). Eduka ründe korral võib autentimata ründaja käivitada suvalist koodi ja suunata FortiClientLinuxi kasutaja spetsiaalselt loodud pahaloomulisele veebilehele.

Viga mõjutab järgmisi FortiClientLinux versioone:

  • FortiClientLinux 7.2.0,
  • FortiClientLinux 7.0.6 kuni 7.0.10,
  • FortiClientLinux 7.0.3 kuni 7.0.4.

Viga on paigatud alates tarkvara versioonidest 7.0.11 ja 7.2.1.

Lisaks väljastati ka turvauuendus FortiOSi ja FortiProxy tarkvaradele. Kuna Fortineti tooted on olnud tihti ründajate sihtmärgiks, siis soovitame tarkvara uuendada nii kiiresti kui võimalik (SA, CISA).

Üle 90 000 LG nutiteleri võib kaugründe alla sattuda

Bitdefenderi teadurid avastasid neli haavatavust, mis mõjutavad LG nutitelerites kasutatava operatsioonisüsteemi WebOS mitut versiooni. Vead võimaldavad volitamata juurdepääsu ja kontrolli mõjutatud seadmete üle, sealhulgas autoriseerimisest möödaminekut, õiguste suurendamist ja käskude sisestamist.

Vead mõjutavad järgmisi webOSi versioone ja telerimudeleid:

  • webOSi versioonid 4.9.7 kuni 5.30.40, teler LG43UM7000PLA,
  • webOSi versioonid 04.50.51 kuni 5.5.0, teler OLED55CXPUA,
  • webOSi versioonid 0.36.50 kuni 6.3.3-442, teler OLED48C1PUB,
  • webOSi versioonid 03.33.85 kuni 7.3.1-43, teler OLED55A23LA.

Shodani monitooringu andmeil on enam kui 91 000 LG nutitelerit internetile avatud ja turvavea tõttu ohus.

Ehkki LG telerid hoiatavad kasutajaid, kui olulised WebOSi värskendused on saadaval, saab neid määramata ajaks edasi lükata. Seetõttu peaksid nimetatud LG telerite kasutajad ise üle vaatama, kas telerile pakutakse tarkvarauuendust. Seda saab teha, kui avada teleri menüüs “Seaded” – “Tugi” – “Tarkvaravärskendus” ja valida „Otsi värskendusi”.

Teleris oleva turvanõrkuse kaudu võib saada kurjategija ligipääsu teistele võrgus olevatele seadmetele, samuti erinevatele kasutajakontodele (näiteks Youtube, Netflix vms) ja lisaks on võimalik, et seadet kasutatakse ära robotvõrgustikus, mis aitab kaasa teenusetõkestusrünnete läbiviimisele (BC, TR).

Tuhandetele WordPressi veebilehtedele on lisatud krüptoraha varastav pahavara

Ligi 2000 häkitud WordPressi veebilehte kuvavad külastajatele võltsitud NFT (non-fungible token ehk unikaalvara) ja allahindluste hüpikaknaid. Kasutajad meelitatakse oma krüptorahakotti pahavaraga ühendama ja kui see õnnestub, siis varastatakse kogu kasutaja krüptoraha. Selleks, et vältida oma digitaalsete varade kaotamist küberkurjategijatele, tuleks alati üle kontrollida ja ühendada oma krüptorahakott ainult usaldusväärsete platvormidega. Eriti ettevaatlik tasub olla just hüpikakendega, mis pakuvad erinevaid investeerimisvõimalusi või soodustusi (BC).

Palo Alto Networks hoiatab kriitilise haavatavuse eest

Palo Alto PAN-OSi GlobalProtecti tarkvaras tuvastati turvaviga tähisega CVE-2024-3400, mis on hinnatud kriitilise CVSS skooriga 10/10. Turvanõrkus võimaldab autentimata ründajal koodi kaugkäivitada juurkasutaja õigustes.

Nimetatud turvanõrkust on teadaolevalt ka juba alates 26. märtsist küberrünnakutes kuritarvitatud ning selle kaudu on saadud ligipääs sisemistele võrkudele, andmetele ja mandaatidele.

Haavatavus mõjutab PAN-OSi versioone 10.2, 11.0 ja 11.1. Turvapaigad said avalikuks 14. aprillil. Soovitame kõigil PAN-OSi kasutajatel uuendada tarkvara versioonidele 10.2.9-h1, 11.0.4-h1 ja 11.1.2-h3 (SW, BC, SW).

Olulisemad turvanõrkused 2024. aasta 12. nädalal

Atlassian paikas oma toodetes mitmeid turvavigu

Atlassian parandas kümneid haavatavusi, mis mõjutavad ettevõtte erinevaid tooteid, nagu Bamboo, Bitbucket, Confluence ja Jira.

Kõige tõsisema mõjuga neist on kriitiline turvaviga tähisega CVE-2024-1597, mis võimaldab ründajal käivitada pahaloomulisi SQL-käske Bamboo Data Centeri and Serveri tarkvaras.

Haavatavus on hinnatud maksimaalse CVSS skooriga 10.0/10. See mõjutab Bamboo Data Centeri and Serveri versioone 8.2.1, 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 ja 9.5.0. Viga on paigatud sama tarkvara versioonides 9.6.0 (LTS), 9.5.2, 9.4.4 ja 9.2.12 (LTS).

Lisaks paigati veel mitmeid turvavigu teistes tarkvarades. Näiteks parandati 20 kõrge mõjuga haavatavust JIRA tarkvaras, mida kasutavad paljud asutused ja ettevõtted ka Eestis. Täpse nimekirja turvavigadest ja paigatud versioonidest leiab siit. Ettevõte soovitab kõigil kasutajatel Atlassiani tarkvarad uuendada viimasele versioonile (SA, SW).

WordPressi pistikprogrammi kriitiline haavatavus võimaldab veebilehe ülevõtmist

Kriitiline turvanõrkus (CVE-2024-2172) mõjutab miniOrange’i pistikprogramme Malware Scanner ja Web Application Firewall. Haavatavus on hinnatud kriitilise CVSS skooriga 9.8/10 ning WordPressi veebilehtede administraatoritel soovitatakse need plugin’ad ära kustutada. Arendaja on mõlema pistikprogammi allalaadimise peatanud ning neid ei hakata tulevikus enam kasutajatele pakkuma.

Haavatavuste kaudu on võimalik autentimata ründajal hankida administraatoriõigused ja seejärel veebileht üle võtta. Administraatorina on võimalik lisada veebilehele erinevaid pahaloomulisi faile, muuta seal olevaid postitusi ja suunata kasutaja mõnele teisele veebilehele. Neid pistikprogramme kasutab umbes 10 000 WordPressi veebilehte (HN, SA).

Enam kui 133 000 Fortineti seadet on ohus kuu aja eest paigatud turvanõrkuse tõttu

Turvanõrkus tähisega CVE-2024-21762 mõjutab Fortineti FortiOSi ja FortiProxy tarkvarasid ning vea kuritarvitamiseks on avaldatud mitmeid kontseptsiooni tõendusi. Tegemist on haavatavusega, mis võimaldab autentimata ründajal koodi kaugkäivitada ja on hinnatud kriitiliseks skooriga 9.6/10. Turvaviga on parandatud juba kuu aega tagasi, kuid Shadowserveri monitooringu andmeil on endiselt ligi 133 000 paikamata seadet.

Varasemalt on Fortineti seadmete haavatavused olnud mitmete häkkerirühmituste sihtmärgiks, samuti on need jõudnud kõige sagedamini ärakasutatud haavatavuste loenditesse.

Lisaks tuli eelmisel nädalal ka info teisest Fortineti turvaveast, mida on õnnestunud rünnete läbiviimisel kuritarvitada. Turvaviga tähisega CVE-2023-48788 mõjutab Fortineti FortiClient Enterprise Management Serveri (EMS) tarkvara ning kuna selle vea kohta avaldati samuti kontseptsiooni tõendus, siis hakati seda ka üsna pea ära kasutama (TR, SA).

TeamCity turvanõrkused on ründajate sihtmärgiks

Eelmisel nädalal kirjutasime blogis samal teemal, kuid nüüdseks on selgunud, et TeamCity haavatavuste kaudu viiakse läbi veelgi enam erinevaid ründeid. Hiljuti avalikuks tulnud turvavead TeamCity tarkvaras on sattunud küberrühmituste sihtmärgiks – nende kaudu viiakse läbi lunavararündeid (BianLian ja Jasmin), seatakse üles krüptokaevureid (XMRig) ja hangitakse kaugligipääs ohvri seadmetele (Spark RAT).  

Rünnete läbiviimisel kasutatakse haavatavust tähisega CVE-2024-27198, mis on parandatud TeamCity versioonis 2023.11.4. Kuna veale on internetis avaldatud kontseptsiooni tõendus (proof of concept) ja rünnete katsed aina sagenevad, siis on eriti oluline tarkvara uuendada (HN, SA, TM).

Fujitsu avastas oma IT-süsteemidest pahavara

Jaapani tehnikatootja Fujitsu avastas, et mitmed nende IT-süsteemid on pahavaraga nakatunud ja ühtlasi on varastatud klientide andmeid.  Fujitsu on maailmas suuruselt kuues IT-teenuste pakkuja, kus töötab 124 000 inimest ja firma aastakäive on 23,9 miljardit dollarit. Nende toodete hulka kuuluvad nii erinev arvutitehnika kui ka teenused, näiteks: serverid ja salvestussüsteemid, tarkvara, telekommunikatsiooniseadmed, pilvelahendus ja IT-nõustamisteenuseid.

Eelmisel nädalal avalikuks tulnud küberintsident mõjutab nii ettevõtte sisemisi süsteeme kui ka klientide andmeid. Pahavara avastati mitmes arvutis ja samuti on tõendeid selle kohta, et nende klientide tundlikke andmeid on alla laetud. Kohe, kui intsidendist teada saadi, eemaldati nakatunud arvutid võrgust ja hakati uurima, kuidas pahavara süsteemi pääses.

See ei ole paraku esimene kord, kui Fujitsu süsteemidesse häkiti. 2021. aasta mais kasutati Fujitsu ProjectWEB tarkavara ja tungiti selle kaudu mitme Jaapani valitsusasutuse infosüsteemidesse. Ründe käigus saadi ligipääs 76 000 meiliaadressile ja tundlikule infole. Varastatud andmed hõlmasid tundlikku teavet valitsussüsteemide ja Narita rahvusvahelise lennujaama lennujuhtimisandmete kohta (BC).

Pahavarakampaania mõjutab 39 000 WordPressi veebilehte

Pahavarakampaania nimega Sign1 on viimase kuue kuu jooksul nakatanud üle 39 000 WordPressi veebilehe, põhjustades külastajatele soovimatuid ümbersuunamisi ja hüpikaknaid. Kampaania käigus lisati pahavara nii HTMLi elementidesse kui ka pistikprogrammidesse. Ligipääs WordPressi veebilehele saadi kas jõuründe või pistikprogrammide haavatavuste ärakasutamise abil.

Oma veebilehe kaitsmiseks tuleks kasutada tugevat administraatoriparooli ja regulaarselt uuendada pistikprogrammid kõige uuemale versioonile. Samuti võiks eemaldada kõik üleliigsed lisamoodulid (add-ons), mida ei kasutata ja mille kaudu võivad ründed toimuda (BC).