Tag Archives: Ivanti

Olulisemad turvanõrkused 2024. aasta 24. nädalal

Microsoft paikas oma toodetes 51 haavatavust

Microsoft parandas kokku 51 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvanõrkustest on vaid üks hinnatud kriitilise mõjuga veaks.

Paigati ka üks nullpäeva turvanõrkus tähisega CVE-2023-50868, mis on seotud DNSSECi valideerimisega. Lisaks paigati seitse turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

Adobe paikas kriitilised turvavead oma tarkvarades

Adobe paikas oma toodetes kokku 166 turvaviga. Näiteks parandati üle kümne kriitilise ja olulise turvavea tarkvarades Adobe Commerce, Magento Open Source ja Adobe Commerce Webhooks Plugin.

Lisaks paigati ka mitmeid haavatavusi, mis mõjutavad tarkvarasid Adobe Photoshop, Adobe Audition, Adobe Media Encoder, Adobe FrameMaker Publishing Server, Adobe Commerce, Adobe ColdFusion, Adobe Substance 3D Stager, Adobe Creative Cloud Desktop ja Adobe Acrobat Android.

Ettevõte hoiatab, et turvanõrkuste ärakasutamine võib kaasa tuua suvalise koodi käivitamise Windowsi ja macOSi platvormidel. Adobe’i teatel pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).

Nvidia paikas suure mõjuga GPU-draiverite turvanõrkused

NVIDIA avalikustas turvauuendused, millega parandatakse kokku kümme haavatavust GPU-draiverite ja virtuaalse GPU (vGPU) tarkvarades. Nende hulgas on suure mõjuga vead, mis võimaldavad ründajal koodi käivitada, teenuse tööd häirida ja õigustega manipuleerida. Vead mõjutavad nii Windowsi kui ka Linuxi operatsioonisüsteeme. Turvavead on paigatud GPU-draiveri tarkvara versioonides R555, R550, R535 ja R470 ning kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik (SW, Nvidia).

Fortinet paikas FortiOSi koodi käivitamise turvavea

Fortinet paikas oma toodetes mitmeid haavatavusi, mille hulgas ka suure mõjuga koodi käivitamise viga tähisega CVE-2024-23110. Ettevõtte sõnul võimaldab turvaviga autentimata ründajal suvalist koodi või käsklusi käivitada. Viga mõjutab FortiOSi versioone 6.x ja 7.x ning on parandatud FortiOS versioonides 6.2.16, 6.4.15, 7.0.14, 7.2.7 ja 7.4.3.

Ettevõte parandas ka keskmise mõjuga haavatavuse  tähisega CVE-2024-26010, mis mõjutab tarkvarasid FortiOS, FortiProxy, FortiPAM ja FortiSwitchManager. Selle kaudu on samuti võimalik ründajatel kaugelt suvalist koodi või käsklusi käivitada.

Soovitame kõigil Fortineti toodete kasutajatel tarkvara uuendada, kuna varasemalt on nende tarkvarade turvanõrkused olnud tihti ründajate sihtmärgiks (SW).

Apple paikas Vision Pro turvanõrkuse

Apple paikas eelmisel nädalal visionOSi turvanõrkuse tähisega CVE-2024-27812, mis mõjutab nende Vision Pro virtuaalreaalsuse peakomplekti. Tegemist võib olla esimese haavatavusega, mis taolisi seadmeid mõjutab. Nimetatud turvaviga koos paljude teistega on paigatud visionOSi versioonis 1.2.

VisionOS 1.2 parandab peaaegu kaks tosinat turvaauku. Suurem osa neist mõjutab komponente, mida visionOS jagab teiste Apple’i toodetega, nagu iOS, macOS ja tvOS. Haavatavused võivad kaasa tuua suvalise koodi käivitamise, teabe avaldamise, õigustega manipuleerimise ja teenuste tõkestamise (SW, Apple).

Google hoiatab Pixeli nutiseadmete turvanõrkuse eest

Google andis välja turvauuenduse, millega paigatakse 50 haavatavust Pixeli seadmetes. Ettevõtte teatel on nende hulgas ka nullpäeva turvanõrkus tähisega CVE-2024-32896, mida on õnnestunud rünnetes ära kasutada. Turvaviga võimaldab õigustega manipuleerida ja seda on hinnatud kõrge mõjuga haavatavuseks.

Google on märkinud, et nad näevad turvavea ärakasutamist sihitud rünnetes. Lisaks nimetatud nullpäeva turvaveale paigati veel mitmeid kriitilisi haavatavusi.

Turvauuendus on saadaval järgmistele Pixeli seadmetele: Pixel 5a with 5G, Pixel 6a, Pixel 6, Pixel 6 Pro, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 8, Pixel 8 Pro, Pixel 8a ja Pixel Fold. Kõigil kasutajatel soovitatakse Pixeli seadmed uuendada versioonile 2024-06-05 (BC, HN, Android).

Ivanti turvanõrkusele avaldati kontseptsiooni tõendus

Teadurid avalikustasid kontseptsiooni tõenduse (proof-of-concept), mis näitab kuidas on võimalik Ivanti Endpoint Manageri tarkvaras olevat turvaviga tähisega CVE-2024-29824 rünnetes ära kasutada. Tõenäoliselt suurendab see rünnete arvu, mis nimetatud haavatavust ära kasutavad.

Haavatavus võimaldab autentimata ründajal käivitada pahaloomulisi SQLi käsklusi ja on seetõttu hinnatud kriitilise CVSS skooriga 9.8/10. Turvaveale on olemas parandus juba maikuust. Sel aastal on avalikuks tulnud mitmeid Ivanti nullpäeva turvanõrkusi ja ründajad on need ka korduvalt sihikule võtnud. Seetõttu soovitame kõigil Ivanti toodete kasutajatel tarkvara uuendada esimesel võimalusel (DR).

ASUS paikas ruuterites kriitilise turvavea

Turvaviga tähisega CVE-2024-3080 on hinnatud kriitilise CVSS skooriga 9.8/10, kuna see võimaldab ründajal autentimisest mööda minna. Turvaviga mõjutab seitset ASUSe ruuterit: XT8 (ZenWiFi AX XT8), XT8_V2 (ZenWiFi AX XT8 V2), RT-AX88U, RT-AX58U, RT-AX57, RT-AC86U ja RT-AC68U. Lisaks paigati veel teine kriitiline haavatavus tähisega CVE-2024-3912, mille kaudu on võimalik pahaloomulist tarkvara üles laadida.

Ettevõte soovitab kõigil ASUSe ruuterite kasutajatel tarkvara uuendada. Kui see ei ole võimalik, siis tuleks tagada, et konto ja WiFi-paroolid oleksid tugevad (SA, BC).

Olulisemad turvanõrkused 2024. aasta 21. nädalal

Küberkurjategijad kasutavad ära GitHubi ja FileZillat, et levitada pahavara

GitHubi ja FileZilla kaudu on hakatud levitama erinevat andmeid varastavat pahavara ja pangandustroojalisi, nagu Atomic (teise nimega AMOS), Vidar, Lumma (teise nimega LummaC2) ja Octo. Rünnete läbiviimiseks on loodud GitHubi võltsprofiilid ja koodihoidlad, mille kaudu levitatakse pahavara. Pahavara on loodud nii Androidi, macOSi kui ka Windowsi kasutajate sihtimiseks. Kasutajale jääb mulje, et ta laeb alla legitiimset tarkvara, kuid tegelikult jagatakse koodihoidlas hoopis kurjategijate loodud võltstarkvara (HN).

QNAP paikas oma NAS-seadmetes koodi kaugkäivitamist võimaldava turvavea

Taiwani tehnikatootja QNAP Systems paikas turvavea tähisega CVE-2024-27130, mille kaudu on ründajal võimalik käivitada pahaloomulist koodi. Vea kohta on avaldatud ka kontseptsiooni tõendus. Viga paigati tarkvara QTS versioonis 5.1.7.2770 ja QuTS hero versioonis h5.1.7.2770. Lisaks nimetatud veale parandati teisigi haavatavusi ja kõigil kasutajatel on soovitatav tarkvara uuendada. QNAPi seadmete haavatavusi on varasemalt rünnete läbiviimisel ära kasutatud (SW, HN).

Ivanti paikas kriitilise turvavea Endpoint Manageri tarkvaras

Ivanti paikas oma toodetes mitmeid haavatavusi, mille hulgas oli ka kriitiline koodi käivitamist võimaldav viga Endpoint Manageri (EPM) tarkvaras. Ettevõtte sõnul paigati EPMis kokku kuus kriitilist SQLi käivitamise viga, mille kaudu võib autentimata ründaja suvalist koodi käivitada. Turvavead kannavad tähiseid CVE-2024-29822 kuni CVE-2024-29827 ja neid on hinnatud kriitilise CVSS skooriga 9.6/10. Lisaks paigati haavatavusi ka Avalanche’i ja Connect Secure’i tarkvarades.

Ivanti sõnul ei ole neil infot, et turvavigu oleks õnnestunud ära kasutada, kuid sellegipoolest soovitatakse kõigil nende toodete kasutajatel tarkvara uuendada (SW).

GitHubi Enterprise Serveris paigati kriitiline turvaviga

Turvaviga tähisega CVE-2024-4985 on hinnatud maksimaalse CVSS skooriga 10/10 ja see võimaldab ründajal autentimisest mööda minna ning saada administraatori õigused. Viga mõjutab kõiki GitHub Enterprise Serveri versioone kuni 3.13.0 ja on paigatud versioonides 3.9.15, 3.10.12, 3.11.10 ning 3.12.4. Täpsemalt mõjutab haavatavus neid, kes kasutavad SAMLi single-sign-on (SSO) lahendust. Hetkel teadaolevalt ei ole õnnestunud haavatavust kuritarvitada, kuid arvestades turvavea tõsidust  soovitatakse kõigil kasutajatel siiski tarkvara uuendada esimesel võimalusel (SW, DR).

Veeam hoiatab oma kliente kriitilisest turvaveast Backup Enterprise Manageri tarkvaras

Kriitiline haavatavus tähisega CVE-2024-29849 on hinnatud CVSS skooriga 9.8/10 ning selle kaudu saab ründaja autentimisest mööda minna. Eduka ründe korral on võimalik sisse logida Veeam Backup Enterprise Manageri veebiliidesesse, justkui oleks tegemist õige kasutajaga. Turvaviga mõjutab Backup & Replicationi tarkvara versioone 5.0 kuni 12.1. Lisaks kriitilisele veale paigati veel kolm haavatavust tähistega CVE-2024-29850, CVE-2024-29851 ja CVE-2024-29852.

Vead on parandatud versioonis 12.1.2.172. Kui tarkvara uuendada ei ole võimalik, siis soovitab tootja seda ajutiselt mitte kasutada (SA, SW, BC).

GitLab paikas turvavea, mille kaudu saab konto üle võtta

Kõrge mõjuga turvaviga tähisega CVE-2024-4835 võimaldab autentimata ründajal kasutaja konto üle võtta ning saada ligipääsu piiratud teabele. See ja mitmed teised turvavead on paigatud GitLab Community Editioni (CE) ja Enterprise Editioni (EE) versioonides 17.0.1, 16.11.3 ning 16.10.6.

GitLab on populaarne sihtmärk ründajate seas, kuna seal hoitakse erinevat tüüpi tundlikke andmeid – muu hulgas näiteks API võtmeid ja tarkvara lähtekoodi. Seetõttu võivad kaaperdatud GitLabi kontod avaldada ettevõttele märkimisväärset mõju ja kaasa tuua ka tarneahela rünnaku. Näiteks võib juhtuda, et ründaja saab ligipääsu ohvri keskkonnale ning lisab sinna pahatahtlikku koodi.

CISA avaldas ka sel kuul hoiatuse, et endiselt proovitakse ära kasutada jaanuaris paigatud GitLabi haavatavust. Haavatavus tähisega CVE-2023-7028 võimaldab ründajal kasutajakonto üle võtta, saates parooli muutmise lingi suvalisele e-posti aadressile. Kuna GitLabi haavatavused on tihti olnud rünnete sihtmärgiks, siis soovitame tarkvara uuendada esimesel võimalusel (BC).

Google paikas taas Chrome’i nullpäeva turvanõrkuse

Tegemist on kaheksanda Chrome’i nullpäeva turvanõrkusega sel aastal ja maikuus on paigatud juba neli nullpäeva haavatavust. Ettevõtte sõnul on turvaviga tähisega CVE-2024-5274 rünnetes ära kasutatud. Soovitame uuendada Chrome’i uuele versioonile 125.0.6422.112 esimesel võimalusel (BC, DR).

Olulisemad turvanõrkused 2024. aasta 17. nädalal

Joonis: ahastuses arst töölaua taga, tema monitori ekraanil on lunavarateade.

Atlassian paikas mitmeid turvavigu oma toodetes

Atlassian parandas seitse kõrge mõjuga haavatavust, mis mõjutavad ettevõtte erinevaid tooteid nagu Bamboo Data Center, Confluence Data Center ja Jira. Eduka ründe korral on võimalik saada ligipääs ohvri süsteemidele ja Atlassiani tarkvarades olevale infole. Soovitame kõigil Atlassiani toodete kasutajatel uuendada tarkvara viimasele versioonile, kuna need on olnud varasemalt ründajate sihtmärkideks. Nimekirja parandatud haavatavustest ja turvapaigatud versioonidest leiab Atlassiani kodulehelt (Atlassian).

Cisco hoiatab: kaks nullpäeva turvanõrkust, mida on rünnete läbiviimisel ära kasutatud

Cisco hoiatas eelmisel nädalal, et riikliku taustaga küberrühmitused on ära kasutanud nende tarkvaras olevaid nullpäeva turvanõrkusi. Turvanõrkused tähistega CVE-2024-20353 ja CVE-2024-20359 mõjutavad Cisco tulemüüride tarkvarasid Adaptive Security Appliance (ASA) ja Firepower Threat Defense (FTD) ning nende kaudu on saadud ligipääs valitsusasutuste võrkudele. Ründeid on alustatud juba eelmise aasta juulis ning Cisco sai neist teada selle aasta jaanuaris.

Ettevõte avaldas turvauuendused ja kutsub kõiki kasutajaid esimesel võimalusel tarkvara uuendama. Ühtlasi soovitab Cisco kõigil administraatoritel vaadata üle süsteemi logid, kas seal on näha planeerimata taaskäivitusi, konfiguratsiooni muudatusi või õiguste lisamist. (BC).

Google paikas kriitilise turvanõrkuse Chrome’i veebilehitsejas

Google avaldas Chrome’i versiooni 124.0.6367.78 Windowsi, Maci ja Linuxi seadmetele, milles on paigatud neli turvaviga. Parandatud turvanõrkuste seas on ka kriitilise mõjuga haavatavus tähisega CVE-2024-4058 ja kaks kõrge mõjuga turvaviga. Kuna vähesed Chrome’i turvavead liigitatakse kriitiliseks, siis võib eeldada, et tegemist on kas koodi kaugkäivitamist võimaldava või liivakastist (sandbox) möödamineku veaga.

Ettevõte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada. Soovitame uuendada Chrome’i esimesel võimalusel (SW, Chrome).

MITRE avalikustas, et nende süsteemidesse saadi ligipääs Ivanti turvanõrkusi kasutades

MITRE Corporation andis teada, et nad sattusid riikliku taustaga küberrühmituse ohvriks. Rünne viidi läbi, kasutades Ivanti Connect Secure’i tarkvas olevaid nullpäeva turvanõrkusi. Veebruaris õnnetus ka ühe Eesti riigiasutuse võrku sisse tungida, kasutades Ivanti tarkvaras olnud haavatavusi. MITRE puhul saadi ligipääs nende uuringute ja prototüüpide jaoks loodud võrgule nimega „Nerve“. Ettevõtte turvalisusega tegelev üksus alustas viivitamatult intsidendi uurimist, eemaldas kurjategijate ligipääsud võrgust ja kaasas ka asutusevälised eksperdid.

MITRE vastu suunatud ründe käigus kasutati ära turvavigasid tähistega CVE-2023-46805 (CVSS skoor 8,2) ja CVE-2024-21887 (CVSS skoor: 9,1), mis võimaldasid ründajal autentimisest mööda minna ja seejärel nakatunud süsteemis suvalisi käske käivitada.

MITRE tegevjuhi sõnul ei ole ükski organisatsioon taolise küberründe eest lõplikult kaitstud, olenemata sellest, kui ranged turvanõuded on kasutusele võetud. Ettevõte jagas ka soovitusi, kuidas oma võrku kaitsta:

  • Monitoorige VPNi võrgus toimuvat liiklust ning jälgige, et seal midagi ebatavalist ei juhtuks.
  • Jälgige kasutajate tegevusi ja seal toimuvaid kõrvalekaldeid.
  • Segmenteerige võrguliiklus.
  • Jälgige, et ligipääs võrgule oleks piiratud ja toimuks regulaarne turvauuenduste paigaldamine (HN, SA, HNS).

Itaalia Synlab peatas pärast lunavararünnakut oma tegevuse

Synlabi Itaalia haru tabas lunavararünnak, mistõttu nad pidid kõik IT-süsteemid võrgust lahti ühendama. Seetõttu tuli ka ajutiselt peatada kõigi meditsiiniteenuste pakkumine, nende hulgas ka kõik laborianalüüsid ja proovivõtud.

Synlab on rahvusvaheline ettevõte, mis pakub tervishoiuteenuseid 30 riigis üle maailma, sealhulgas ka Eestis. Itaalias on Synlabi võrgustikus 380 laborit ja meditsiinikeskust. Hetkel soovitatakse klientidel suhelda vaid telefoni teel, kuna meililiiklus ei toimi tavapäraselt. Ettevõte proovib süsteeme taastada varukoopiast, kuid ei ole teada, kui kiiresti see õnnestub. Hetkel ei ole veel ükski lunavararühmitust võtnud ründe eest vastutust (BC).

Uus Androidi troojan võimaldab ründajatel saada kontroll kasutaja seadme üle

Teadurid avastasid uue Androidi panganduse troojani, mis suudab jäädvustada kõik seadmes toimuvad sündmused alates kasutaja tegevustest, kuvatavast teabest ja kasutaja käivitatavatest rakendustest.

Troojan nimetusega Brokewell võimaldab varastada nii tundlikke andmeid kui ka saada kontrolli kasutaja seadme üle. Brokewelli levitatakse võltsitud tarkvarauuenduste kaudu – näiteks võib kasutajale tunduda, et ta hakkab Chrome’i veebilehitsejat värskendama. Soovitame tarkvara alla laadida ainult ametlikest rakenduste poodidest – kas Google Play või App Store. Google on kinnitanud, et Google Play Protect kaitseb kasutajaid automaatselt selle pahavara teadaolevate versioonide eest (SW, BC).