Tag Archives: GitLab

Olulisemad turvanõrkused 2024. aasta 41. nädalal

Microsoft paikas oma toodetes 118 haavatavust

Microsoft paikas uuenduste teisipäeva raames 118 haavatavust, mille hulgas oli ka viis nullpäeva turvanõrkust, millest kahte kasutatakse aktiivselt rünnakuteks.

Parandatud turvanõrkused jagunevad järgmiselt:

  • 28 õiguste vallutuse (Elevation of Privilege) turvanõrkust
  • Seitse turvavahenditest möödumise (Security Feature Bypass) turvanõrkust
  • 43 koodi kaugkäituse (Remote Code Execution) turvanõrkust, millest kolm on hinnatud kriitiliseks.
  • Kuus teabe paljastamise (Information Disclosure) turvanõrkust
  • 26 teenusetõkestuse (Denial of Service) turvanõrkust
  • Seitse teeskluse (Spoofing) turvanõrkust

Täpsema nimekirja parandustest leiab viidatud artiklist. Soovitame uuendada Windowsi tarkvara esimesel võimalusel (BC).

Ivanti hoiatab kolme kriitilise turvavea eest

Ivanti andis teada, et ründajad on võtnud sihikule kolm turvaviga, mis mõjutavad Cloud Service Appliance’i (CSA) tarkvara versioone 4.6 ja 5.0.

Ettevõtte sõnul on ründajatel õnnestunud ära kasutada kolme haavatavust (CVE-2024-9379, CVE-2024-9380 ja CVE-2024-9381) nende klientide seadmetes, kes kasutavad tarkvara versiooni CSA 4.6 (patch 518). Juhime tähelepanu, et Ivanti CSA 4.6 on tööea lõpus olev tooteversioon, mille tugi on lõppenud ja mis tuleks uuendada versioonile 5.0.x.

CSA 5.0 on turvavigadest mõjutatud, kuid ei ole teateid nende reaalsest ära kasutamisest.

Tootja soovitab uuendada CSA kõige uuemale versioonile 5.0.2 (HN).

Mozilla paikas nullpäeva nõrkuse, mis on aktiivsete rünnakute all

Mozilla parandas Firefoxi veebilehitseja nullpäeva turvanõrkuse tähisega CVE-2024-9680 (CVSS skoor 9.8). Haavatavuse näol on tegemist mälu järelkasutuse veaga, mis võimaldab ründajal käivitada oma koodi.

Viga on paigatud Mozilla Firefoxi versioonis 131.0.2 ning Firefox ESRi versioonides 115.16.1 ja 128.3.1. Soovitame uuendada Firefoxi tarkvara uusimale versioonile (BC, THN).

GitLab hoiatab kriitilise turvavea eest

GitLab Community Editioni (CE) ja Enterprise Editioni (EE) tarkvarale on antud välja turvauuendus, kus parandatakse mitmeid turvavigasid, sealhulgas kriitiline haavatavus tähisega CVE-2024-9164 (CVSS skoor 9.6/10). Antud turvaviga võimaldab ründajal minna mööda haru turvameetmetest (branch protections) ja käivitada pipeline’is olevaid protsesse. Turvavead on paigatud GitLab Community Editioni (CE) ja Enterprise Editioni (EE) versioonides 17.4.2, 17.3.5 ning 17.2.9.

GitLabi haavatavused on tihti olnud rünnete sihtmärgiks, mistõttu soovitame tarkvara uuendada esimesel võimalusel (BC).

Jenkins paikas mitmed turvavead automatiseerimistööriistas ja pistikprogrammides

Jenkins on välja andnud turvapaigad mitme haavatavuse jaoks, mis mõjutavad nende automatiseerimistööriista ja pistikprogramme. Vead on paigatud Jenkinsi versioonides 2.479 ja LTS 2.462.3. Lisaks parandati haavatavusi kahes pistikprogrammis – OpenId Connect Authentication ja Credentials.

Soovitame mõjutatud tooted uuendada kõige viimasele versioonile (SW).

CISA hoiatab: Fortineti RCE turvaviga on aktiivsete rünnakute all

Fortineti turvaviga CVE-2024-23113 (CVSS skoor 9.8), mis võimaldab autentimata ründajatel käivitada haavatavates süsteemides suvalist koodi ja millest kirjutasime veebruarikuises blogipostituses, on aktiivsete rünnakute all.

Turvaviga mõjutab järgmisi tarkvarasid:

Fortineti FortiOSi versioonid:

  • 7.4.0 kuni 7.4.2
  • 7.2.0 kuni 7.2.6
  • 7.0.0 kuni 7.0.13

FortiProxy:

  • 7.4.0 kuni 7.4.2
  • 7.2.0 kuni 7.2.8
  • 7.0.0 kuni 7.0.14

FortiPAM:

  • kuni 1.2.0
  • 1.1.0 kuni 1.1.2
  • 1.0.0 kuni 1.0.3

FortiSwitchManager:

  • 7.2.0 kuni 7.2.3
  • 7.0.0 kuni 7.0.3.

Soovitame mõjutatud Fortinet RCE kasutajatel uuendada tarkvara esimesel võimalusel (BC).

Olulisemad turvanõrkused 2024. aasta 37. nädalal

Kriitilist SonicWalli tulemüüride viga kasutatakse rünnete läbiviimisel

Turvaviga tähisega CVE-2024-40766 (CVSS skoor 9.3/10) mõjutab SonicWalli Gen 5, Gen 6 ja Gen 7 tulemüüre. Haavatavuse kaudu on võimalik saada ligipääs võrgule ja lunavararühmitused on hakanud seda aktiivselt kuritarvitama. Turvanõrkus on parandatud versioonides 5.9.2.14-13o, 6.5.2.8-2n, 6.5.4.15.116n või 7.0.1-5035.

Ettevõttel on üle 500 000 ärikliendi 215 riigis, nende hulgas on näiteks valitsusasutused ja mõned maailma suurimad ettevõtted (BC, SA).

GitLab paikas mitmeid turvavigasid

GitLab avaldas eelmisel nädalal turvauuenduse, millega parandati 17 haavatavust. Nende hulgas oli ka kriitiline turvaviga tähisega CVE-2024-6678 (CVSS skoor 9.9/10), mis võimaldab ründajal käivitada automatiseeritud protsessi (pipeline) suvalise kasutaja õigustes. Vead on parandatud GitLab Community Edition (CE) ja Enterprise Edition (EE) versioonides 17.3.2, 17.2.5 ja 17.1.7. Hetkel teadaolevalt ei ole neid turvavigasid ära kasutatud (HN).

Adobe paikas kriitilisi vigu oma tarkvarades

Adobe paikas 28 haavatavust, mis mõjutavad tarkvarasid Acrobat ja PDF Reader, Adobe ColdFusion, Adobe Photoshop ja Adobe Media Encoder. Ettevõte hoiatas, et mitmed paigatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada ja osade haavatavuste vastu on olemas eksploitid.

Ohustatud on nii Windowsi kui ka Maci kasutajad (SW).

Microsoft paikas oma toodetes 79 haavatavust

Microsoft parandas kokku 79 haavatavust, mille hulgas oli ka neli nullpäeva turvanõrkust. Paigatud vigadest seitse on hinnatud kriitilise mõjuga veaks ja ettevõtte sõnul on nullpäeva turvanõrkusi juba rünnetes ära kasutatud.

Paigatud turvanõrkused jagunevad:

  • 30 õiguste ülesvallutuse turvanõrkust (Elevation of Privilege Vulnerabilities)
  • 4 turbevahenditest möödapääsu turvanõrkust (Security Feature Bypass Vulnerabilities)
  • 23 koodi kaugkäituse turvanõrkust (Remote Code Execution Vulnerabilities)
  • 11 info avalikustamise turvanõrkust (Information Disclosure Vulnerabilities)
  • 8 teenusetõkestuse turvanõrkust (Denial of Service Vulnerabilities)
  • 3 teesklusrünnakuid võimaldavat turvanõrkust (Spoofing Vulnerabilities)

Täpsema nimekirja parandustest leiab lisatud lingilt (BC, HNS).

Ivanti paikas turvanõrkusi erinevates toodetes

Ivanti paikas kriitilise haavatavuse tähisega CVE-2024-29847 (CVSS skoor 10/10), mis võimaldab autentimata ründajal tarkvaras Endpoint Manager (EPM) koodi käivitada. Lisaks nimetatud veale paigati veel mitmeid SQLi käivitamise vigasid EPMis. Ettevõte paikas ka seitse haavatavust tarkvarades Workspace Control (IWC) ja Cloud Service Appliance (CSA).

Cloud Service Appliance (CSA) versioonile 4.6 (eluea lõpus olev tooteversioon) toimuvad aktiivsed rünnakud, kasutades turvanõrkust CVE-2024-8190 (CVSS skoor 7.2/10), mis võimaldab autentimata ründajal käivitada koodi administraatoriõigustes.

Kõigil Ivanti toodete kasutajatel tuleks esimesel võimalusel tarkvara uuendada (BC, HN, CISA).

Palo Alto Networks paikas hulga turvanõrkusi oma toodetes

Palo Alto Networks andis kolmapäeval teada, et nad on paiganud hulga turvanõrkusi järgmistes toodetes: PAN-OS, Cortex XDR, ActiveMQ Content Pack, and Prisma Access Browser. Paigatud turvanõrkustest kõige tõsisem on PAN-OS’is leitud käsusüsti (command injection) turvanõrkus CVE-2024-8686 (CVSS skoor 8.6/10), mis võimaldab autentimata ründajal käivitada käsklusi juurkasutaja õigustes.

Seoses Google’i eelmise nädala Chromiumi turvauuendustega uuendati ka Chromiumil baseeruvat Prisma Access Browser’it.

Soovitame nende toodete tarkvara uuendada viimasele avaldatud versioonile (SW).

Olulisemad turvanõrkused 2024. aasta 26. nädalal

Google Chrome parandas neli kriitilist haavatavust

Google andis välja neli Chrome’i turbeuuendust, parandamaks turvanõrkused tähistega CVE-2024-6290 kuni CVE-2024-6293. Haavatavused mõjutavad populaarse brauseri Dawni ja Swiftshaderi komponente. Ettevõtte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada, ent soovitame uuendada Chrome’i esimesel võimalusel. Google Chrome tuleks Windowsi ja macOSi kasutajatel uuendada versioonile 126.0.6478.126/127 ja Linuxi kasutajatel versioonile 126.0.6478.126 (SW).

Juniper Networks paikas kriitilise turvavea

Juniper Networks paikas kriitilise turvavea tähisega CVE-2024-2973, mis võimaldab ründajal autentimisest mööda minna ja saada kontroll seadme üle. Viga on paigatud Session Smart Routeri versioonides 5.6.15, 6.1.9-lts ja 6.2.5-sts ning WAN Assurance Routersi versioonides SSR-6.1.9 ja SSR-6.2.5.

Kuna Juniperi seadmed ja haavatavused on varasemalt olnud ründajate sihtmärgiks, siis soovitame tarkvara uuendada niipea kui võimalik. Näiteks eelmisel aastal rünnati sama ettevõtte haavatavusi, mis mõjutasid EXi lüliteid ja SRXi tulemüüre (BC, Juniper).

Apple paikas AirPodside turvanõrkuse, mis võimaldab pealtkuulamist

Turvaviga tähisega CVE-2024-27867 mõjutab Apple Airpodsi kõrvaklappide versioone AirPods (2nd generation ja uuemad), AirPods Pro, AirPods Max, Powerbeats Pro ja Beats Fit Pro. Turvavea eduka ärakasutamise korral võib ründaja võltsida ühendatavat Bluetoothi seadet ja saada ligipääsu ohvri kõrvaklappidele ning seejärel kõnesid pealt kuulata. Kõigil Apple’i kõrvaklappide kasutajatel tuleks tarkvara uuendada. Haavatavuse parandamiseks tuleks rakendada AirPodsi tarkvara uuendus 6A326 või 6F8 ja Beatsi tarkvara uuendus 6F8 (HN, Apple).

Rünnak nimega GrimResource kasutab võrkude murdmiseks MSC-faile ja Windows XSS-i viga

GrimResource’i rünnak algab pahatahtliku MSC (Microsoft Saved Console)-failiga, mis kasutab ära juba aastast 2018 teada olevat XSS-i haavatavust ‘apds.dll’ teegis. MSC (.msc) failitüüpi kasutatakse Microsofti halduskonsoolis (MMC) operatsioonisüsteemi haldamiseks või tööriistade kohandatud vaadete loomiseks. Ründajate levitatav pahatahtlik MSC-fail sisaldab StringTable-viidet haavatavale APDS-i ressursile ning kui sihtmärk selle avab, on võimalik käivitada URL-i kaudu suvalist JavaScripti (BC).

Ollama tehisintellekti infrastruktuuri tööriistas avastati kriitiline koodi kaugkäivitamist võimaldav haavatavus

Ollama on teenus suurte keelemudelite (LLM) pakendamiseks, juurutamiseks ja käitamiseks Windowsi, Linuxi ja macOSi seadmetes. Kriitiline haavatavus tähisega CVE-2024-37032 võimaldab ründajal kirjutada üle suvalisi serveris olevaid faile ning kaugkäivitada koodi. Viga on paigatud tarkvara versioonis 0.1.34 (HN).

Kriitiline GitLabi turvaviga võimaldab ründajal saada kõrgemad õigused

Kriitiline GitLabi turvaviga mõjutab teatud GitLab Community ja Enterprise Editioni tooteid ning võimaldab kasutajal saada kõrgemad õigused. Turvanõrkus tähisega CVE-2024-5655 on hinnatud kriitilise CVSS skooriga 9.6/10. Haavatavus mõjutab GitLabi versioone CE/EE alates 15.8 kuni 16.11.4, 17.0.0 kuni 17.0.2 ja 17.1.0 kuni 17.1.0. Viga on parandatud GitLabi versioonides 17.1.1, 17.0.3 ja 16.11.5. Lisaks nimetatud haavatavusele paigati veel 13 turvaviga, millest kolm on hinnatud suure mõjuga nõrkuseks. GitLab soovitab kõigil kasutajatel uuendada tarkvara esimesel võimalusel (BC).