Tag Archives: GitLab

Olulisemad turvanõrkused 2024. aasta 21. nädalal

Küberkurjategijad kasutavad ära GitHubi ja FileZillat, et levitada pahavara

GitHubi ja FileZilla kaudu on hakatud levitama erinevat andmeid varastavat pahavara ja pangandustroojalisi, nagu Atomic (teise nimega AMOS), Vidar, Lumma (teise nimega LummaC2) ja Octo. Rünnete läbiviimiseks on loodud GitHubi võltsprofiilid ja koodihoidlad, mille kaudu levitatakse pahavara. Pahavara on loodud nii Androidi, macOSi kui ka Windowsi kasutajate sihtimiseks. Kasutajale jääb mulje, et ta laeb alla legitiimset tarkvara, kuid tegelikult jagatakse koodihoidlas hoopis kurjategijate loodud võltstarkvara (HN).

QNAP paikas oma NAS-seadmetes koodi kaugkäivitamist võimaldava turvavea

Taiwani tehnikatootja QNAP Systems paikas turvavea tähisega CVE-2024-27130, mille kaudu on ründajal võimalik käivitada pahaloomulist koodi. Vea kohta on avaldatud ka kontseptsiooni tõendus. Viga paigati tarkvara QTS versioonis 5.1.7.2770 ja QuTS hero versioonis h5.1.7.2770. Lisaks nimetatud veale parandati teisigi haavatavusi ja kõigil kasutajatel on soovitatav tarkvara uuendada. QNAPi seadmete haavatavusi on varasemalt rünnete läbiviimisel ära kasutatud (SW, HN).

Ivanti paikas kriitilise turvavea Endpoint Manageri tarkvaras

Ivanti paikas oma toodetes mitmeid haavatavusi, mille hulgas oli ka kriitiline koodi käivitamist võimaldav viga Endpoint Manageri (EPM) tarkvaras. Ettevõtte sõnul paigati EPMis kokku kuus kriitilist SQLi käivitamise viga, mille kaudu võib autentimata ründaja suvalist koodi käivitada. Turvavead kannavad tähiseid CVE-2024-29822 kuni CVE-2024-29827 ja neid on hinnatud kriitilise CVSS skooriga 9.6/10. Lisaks paigati haavatavusi ka Avalanche’i ja Connect Secure’i tarkvarades.

Ivanti sõnul ei ole neil infot, et turvavigu oleks õnnestunud ära kasutada, kuid sellegipoolest soovitatakse kõigil nende toodete kasutajatel tarkvara uuendada (SW).

GitHubi Enterprise Serveris paigati kriitiline turvaviga

Turvaviga tähisega CVE-2024-4985 on hinnatud maksimaalse CVSS skooriga 10/10 ja see võimaldab ründajal autentimisest mööda minna ning saada administraatori õigused. Viga mõjutab kõiki GitHub Enterprise Serveri versioone kuni 3.13.0 ja on paigatud versioonides 3.9.15, 3.10.12, 3.11.10 ning 3.12.4. Täpsemalt mõjutab haavatavus neid, kes kasutavad SAMLi single-sign-on (SSO) lahendust. Hetkel teadaolevalt ei ole õnnestunud haavatavust kuritarvitada, kuid arvestades turvavea tõsidust  soovitatakse kõigil kasutajatel siiski tarkvara uuendada esimesel võimalusel (SW, DR).

Veeam hoiatab oma kliente kriitilisest turvaveast Backup Enterprise Manageri tarkvaras

Kriitiline haavatavus tähisega CVE-2024-29849 on hinnatud CVSS skooriga 9.8/10 ning selle kaudu saab ründaja autentimisest mööda minna. Eduka ründe korral on võimalik sisse logida Veeam Backup Enterprise Manageri veebiliidesesse, justkui oleks tegemist õige kasutajaga. Turvaviga mõjutab Backup & Replicationi tarkvara versioone 5.0 kuni 12.1. Lisaks kriitilisele veale paigati veel kolm haavatavust tähistega CVE-2024-29850, CVE-2024-29851 ja CVE-2024-29852.

Vead on parandatud versioonis 12.1.2.172. Kui tarkvara uuendada ei ole võimalik, siis soovitab tootja seda ajutiselt mitte kasutada (SA, SW, BC).

GitLab paikas turvavea, mille kaudu saab konto üle võtta

Kõrge mõjuga turvaviga tähisega CVE-2024-4835 võimaldab autentimata ründajal kasutaja konto üle võtta ning saada ligipääsu piiratud teabele. See ja mitmed teised turvavead on paigatud GitLab Community Editioni (CE) ja Enterprise Editioni (EE) versioonides 17.0.1, 16.11.3 ning 16.10.6.

GitLab on populaarne sihtmärk ründajate seas, kuna seal hoitakse erinevat tüüpi tundlikke andmeid – muu hulgas näiteks API võtmeid ja tarkvara lähtekoodi. Seetõttu võivad kaaperdatud GitLabi kontod avaldada ettevõttele märkimisväärset mõju ja kaasa tuua ka tarneahela rünnaku. Näiteks võib juhtuda, et ründaja saab ligipääsu ohvri keskkonnale ning lisab sinna pahatahtlikku koodi.

CISA avaldas ka sel kuul hoiatuse, et endiselt proovitakse ära kasutada jaanuaris paigatud GitLabi haavatavust. Haavatavus tähisega CVE-2023-7028 võimaldab ründajal kasutajakonto üle võtta, saates parooli muutmise lingi suvalisele e-posti aadressile. Kuna GitLabi haavatavused on tihti olnud rünnete sihtmärgiks, siis soovitame tarkvara uuendada esimesel võimalusel (BC).

Google paikas taas Chrome’i nullpäeva turvanõrkuse

Tegemist on kaheksanda Chrome’i nullpäeva turvanõrkusega sel aastal ja maikuus on paigatud juba neli nullpäeva haavatavust. Ettevõtte sõnul on turvaviga tähisega CVE-2024-5274 rünnetes ära kasutatud. Soovitame uuendada Chrome’i uuele versioonile 125.0.6422.112 esimesel võimalusel (BC, DR).

Olulisemad turvanõrkused 2024. aasta 18. nädalal

Habemega mees istub arvuti taga, käed klaviatuuril, monitoril tekstiread, Taamal värviline valgus

Androidi pahavara levitatakse WordPressi veebilehtede kaudu

Uut Androidi pahavara, mida nimetatakse “Wpeeper” levitatakse häkitud WordPressi veebilehtede kaudu. Kasutajale jäetakse näiliselt mulje, et ta laeb tarkvara alla usaldusväärsest rakenduste poest, kuid tegelikult on tegemist pahavaraga. Wpeeperi peamine eesmärk on varastada kasutaja andmeid, kuid lisaks võimaldab see ka palju muid tegevusi – näiteks on võimalik selle abil teada saada info kõigi seadmesse installitud rakenduste kohta. Et vältida selliseid riske nagu Wpeeper, on soovitatav installida rakendusi ainult Androidi ametlikust rakenduste poest Google Play ja samuti veenduda, et Play Protect teenus on aktiveeritud (BC).

Programmeerimiskeele “R” haavatavus võib põhjustada tarneahela rünnakuid

Programmeerimiskeeles “R” olevat turvaviga tähisega CVE-2024-27322 saab ära kasutada suvalise koodi käivitamiseks ja seeläbi kasutada osana tarneahela rünnakust. Avatud lähtekoodiga programmeerimiskeel R toetab andmete visualiseerimist, masinõpet ja statistilist andmetöötlust ning seda kasutatakse laialdaselt statistilise analüüsi tegemiseks erinevates valdkondades.

Turvavea ära kasutamiseks tuleb häkkeril kirjutada fail üle ning tagada koodi automaatne käivitamine pärast faili laadimist. Eduka ründe jaoks peab ohver avama oma seadmes kas RDS (R Data Serialization) või RDX (R package) faili. Kuna taolisi faile jagatakse ja hoitakse tihti GitHubis, siis on see potentsiaalne meetod rünnete läbiviimiseks. Viga on paigatud R Core versioonis 4.4.0 (SW, BC).

Aruba Networking paikas neli kriitilist turvaviga ArubaOS tarkvaras

HPE Aruba Networking paikas kümme haavatavust ArubaOS operatsioonisüsteemis, millest neli olid koodi kaugkäivitamist võimaldavad kriitilised turvavead. Kriitilise mõjuga turvavead on hinnatud CVSS skooriga 9.8/10 ja neid tähistatakse CVE-2024-26305, CVE-2024-26304, CVE-2024-33511 ja CVE-2024-33512. Ülejäänud kuus paigatud viga on keskmise mõjuga haavatavused.

Turvavigadest on mõjutatud mitmed erinevad Aruba Networking tooted ja tarkvarad ning ettevõte soovitab kõigil kasutajatel uuendada ArubaOS kõige värskemale versioonile. Turvavead on paigatud ArubaOS versioonides 10.6.0.0, 10.5.1.1, 10.4.1.1, 8.11.2.2, 8.10.0.11 ja uuemad (BC).

1400 GitLabi serverit on endiselt turvanõrkuse tõttu ohus

USA küberagentuuri CISA sõnul on jaanuaris avalikuks tulnud GitLabi turvavea tähisega CVE-2023-7028 tõttu endiselt ohus 1400 serverit. Samuti on nüüdseks leidnud kinnitust, et haavatavust on õnnestunud kuritarvitada. Nimetatud haavatavus on hinnatud maksimaalse CVSS skooriga 10/10 ning see võimaldab ründajal kasutaja konto üle võtta, saates parooli muutmise lingi suvalisele e-posti aadressile.

Viga paigati juba jaanuaris ning kõigil kasutajatel tuleks üle kontrollida, kas neil on kasutusel tarkvara viimane versioon (SW).

Kanada apteegikett “London Drugs” sulges küberrünnaku tagajärjel kõik apteegid Lääne-Kanadas

Kanada apteegikett sattus küberründe ohvriks ja pidi seetõttu apteegid sulgema. Intsidendi avastamise järel võeti kohe kasutusele vastumeetmed oma võrgu ja andmete kaitsmiseks ning samuti kaasati lahendamisse välised küberjulgeolekueksperdid. London Drugsi sõnul ei ole hetkel põhjust arvata, et nende töötajate või klientide andmed oleksid küberintsidendist mõjutatud. Täpsemat infot intsidendi põhjuste kohta ei ole veel avaldatud.

Küberintsident tuli avalikuks 28. aprillil, misjärel apteegid jäid suletuks kuueks päevaks. Nüüd on hakatud neid järk-järgult uuesti avama, kuid mitmed apteegid on endiselt klientidele suletud. Viimasel ajal on sagenenud tervishoiusektori vastu suunatud ründed. Näiteks tabas aprillis Cannes’is asuvat suurhaiglat küberrünnak ja veebruaris oli häiritud Change Healthcare tarkvara kasutavate apteekide töö üle USA (BC, DR, TR).

Change Healthcare’i häkiti, kasutades varastatud Citrixi kontot, millel puudus mitmikautentimine

Veebruaris tuli avalikuks küberrünnak, mis häiris apteekide tööd üle kogu USA. Apteekidele tarkvara pakkuv Change Healthcare oli sunnitud küberrünnaku järel sulgema osa oma süsteemidest. See tähendas, et mitmed apteegid üle kogu USA ei saanud kontrollida, kas patsientidel on ravikindlustus, kas neil on õigus retseptiravimitele, soodustustele jmt. Intsident põhjustas hinnanguliselt 872 miljoni suuruse kahju.

Nüüd selgus, et ründe taga oli BlackCati-nimeline lunavararühmitus, kes said ligipääsu varastatud kasutajaõiguste kaudu, millega siseneti ettevõtte Citrixi kaugtöölauateenusesse. Change Healthcare ei olnud seadistanud mitmefaktorilist autentimist. Ei ole teada, kas kasutajaõiguste info varastati andmepüügirünnaku või teavet varastava pahavara kaudu (BC).

Olulisemad turvanõrkused 2024. aasta 5. nädalal

Ivanti teatas taas kahest kriitilisest turvaveast

Turvavead (CVE-2024-21888 ja CVE-2024-21893) mõjutavad Ivanti Connect Secure ja Policy Secure tooteid ning ühte neist on juba rünnete läbiviimisel ära kasutatud.

Esimene turvaviga tähisega CVE-2024-21888 on hinnatud CVSS skooriga 8.8/10 ning selle kaudu on võimalik õigustega manipuleerida ning saada administraatori õigused.

Teine turvaviga tähisega CVE-2024-21893 on serveripoolne päringute võltsimise viga, mis on hinnatud CVSS skooriga 8.2/10 ja ründajad on proovinud seda kuritarvitada.

Haavatavused on paigatud Connect Secure tarkvara versioonides 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2 ja 22.5R1.1 ning ZTA versioonis 22.6R1.3. Kuna uued turvavead tulid avalikuks, siis hakatakse suure tõenäosusega neid rünnetes kuritarvitama ning seetõttu soovitab ettevõte paigata tarkvara esimesel võimalusel. Lisaks uutele haavatavustele paigati nüüd ka jaanuaris avalikuks tulnud turvanõrkused tähistega CVE-2023-46805 ja CVE-2024-21887.

Shadowserveri monitooringu kohaselt on hetkel internetile avatud enam kui 24 700 Ivanti Connect Secure tarkvaraga serverit ning 460 kompromiteeritud seadet. Erinevate allikate sõnul on ründajad võtnud Ivanti haavatavused sihikule ja neid proovitakse järjepidevalt ära kasutada (HN, BC, SA).

GitLab paikas järjekordse kriitilise turvavea

GitLab parandas taas kriitilise turvavea oma tarkvarades GitLab Community Edition (CE) ja Enterprise Edition (EE). Haavatavus tähisega CVE-2024-0402 on hinnatud kõrge CVSS skooriga 9.9/10 ning see võimaldab ründajal kirjutada faile GitLabi serveris suvalistesse kohtadesse.

Mõned nädalad tagasi tuli avalikuks samuti kriitiline turvaviga GitLabi tarkvaras, mis võimaldas parooli lähtestamise abil konto üle võtta. Sellest kirjutasime ka varasemas blogis.

Lisaks paigati veel neli keskmise mõjuga haavatavust. Turvavead on parandatud GitLabi versioonides 16.8.1, 16.7.4, 16.6.6 ja 16.5.8. Ettevõtte soovitab kõigil kasutajatel rakendada turvapaigad esimesel võimalusel (HN, GitLab).

45 000 Jenkinsi serverit on turvanõrkuse tõttu ohus

Küberturbe teadurite sõnul on umbes 45 000 Jenkinsi serverit ohus kriitilise turvanõrkuse (CVE-2024-23897) tõttu, mis võimaldab ründajal pahaloomulist koodi kaugelt käivitada. Veale on avaldatud ka mitu kontseptsiooni tõendust (proof-of-concept ehk PoC), millest võib eeldada, et rünnete arv kasvab.

Turvaviga on parandatud 24. jaanuaril ning kõik kasutajad peaks tarvara uuendama versioonidele 2.442 ja LTS 2.426.3. Lisaks turvapaikadele on Jenkins avaldanud ka leevendavad meetmed neile, kel ei ole võimalik kohe turvapaikasid rakendada (BC, Jenkins).

AnyDesk teavitas neid tabanud küberründest

2. veebruaril avalikustas AnyDesk, et nad sattusid küberründe ohvriks, mille tagajärjel said häkkerid ligipääsu ettevõtte tootmissüsteemidele. Rünnaku käigus varastati muuhugas ka lähtekood ja koodi signeerimise võtmed.

AnyDesk on kaugligipääsu lahendus, mis võimaldab kasutajatel saada kaugelt juurdepääs arvutile kas võrgu või interneti kaudu. Ettevõttel on enam kui 170 000 klienti üle maailma, nende hulgas näiteks 7-Eleven, Comcast, LG Electronics, Samsung, MIT, NVIDIA, SIEMENS ja ÜRO.

Ettevõte ei ole avaldanud täpsemat infot selle kohta, kuidas ründajad said nende serveritele ligipääsu. Küll aga on nad kinnitanud, et tegemist ei ole lunavararünnakuga.

AnyDeski sõnul ei ole rünne mõjutanud lõppkasutaja seadmeid, kuid kõigil kasutajatel soovitatakse siiski uuendada tarkvara ja kasutada viimast versiooni.

Lisaks on soovitatav AnyDeski parool ära vahetada ning kui sama parool on kasutusel ka mõnes teises keskkonnas, siis tuleks ka seal parooli uuendada. AnyDeski sõnul ei lekkinud ründe käigus kasutajate paroolid, kuid küberturbega tegelev ettevõtte Resecurity avastas AnyDeski kasutajate mandaatide müügi internetis. Seega tuleks kindlasti kõigil kasutajatel parool ära vahetada (BC, HN, Resecurity).

Mozilla paikas oma tarkvarades 15 turvaviga

Mozilla paikas nii Firefox veebilehitsejas kui ka Thunderbird meiliprogrammis kokku 15 turvaviga, mille hulgas oli viis kõrge mõjuga haavatavust. Vead on paigatud Mozilla Firefoxi versioonis 122 ning Thunderbirdi ja Firefox ESRi versioonides 115.7. Soovitame Mozilla tarkvarad uuendada esimesel võimalusel (SW, Mozilla).