Tag Archives: kriitiline turvanõrkus

Olulisemad turvanõrkused 2024. aasta 38. nädalal

Apple avaldas iOSi ja iPadOSi versiooni 18

Uues iOSi versioonis on paigatud vähemalt 33 turvaviga, mille kaudu on võimalik rünnata nii iPhone’i kui ka iPadi seadmeid. Varasemas versioonis olevad turvaaugud võimaldavad ründajal saada ligipääsu tundlikele andmetele või hankida täieliku kontrolli seadme üle.

Lisaks avaldati ka turvauuendustega operatsioonisüsteem macOS Sequoia 15.

Kuigi hetkel ei ole avalikku infot, et parandatud turvanõrkusi oleks reaalselt ära kasutatud, soovitab Apple iOSi ja iPadOSi uuendada esimesel võimalusel versioonile 18 (SW, Apple).

Uuenduse tegemisel soovitame arvestada, et esimestel päevadel peale uuenduste paigaldamist võib seadme aku vastupidavus olla tavapärasest väiksem, kuna peale suuremat versiooniuuendust teeb seade taustategevusi, mis kulutavad energiat (ZD).

Ivanti hoiatab kriitilise turvavea eest Cloud Service Appliance’i tarkvaras

Eelmise nädala blogipostituses kirjutasime, et Ivanti paikas erinevates toodetes hulga turvanõrkusi. 19. septembril andis aga ettevõte teada, et Cloud Services Appliance’i (CSA) versioonis 4.6 (kasutusea lõpus olev tooteversioon) on avastatud uus kataloogihüppe (path traversal) turvanõrkus CVE-2024-8963 (CVSS skoor 9.4/10), mida koos varem leitud turvanõrkusega CVE-2024-8190 (CVSS skoor 7.2/10) rünnakutes aktiivselt ära kasutatakse. Need turvanõrkused koos võimaldavad autentimata ründajal mööduda autentimisest ja käivitada paikamata seadmetes endale sobilikke käske.

Soovitame uuendada Ivanti CSA tarkvara uusimale versioonile ja vältida kasutusea lõpus tarkvara kasutamist (BC).

Atlassian paikas oma sisemajutuses kasutatavates toodetes mitmeid turvavigu

Kolmapäeval avaldas Atlassian mitmed turvauuendused sisemajutuses kasutatavatele Data Center and Serveri versioonidele Bamboo, Bitbucketi, Confluence’i ja Crowdi tarkvaradest. Neli haavatavust, mis tuvastati kõikides nimetatud tarkvarades, võimaldasid ründajal tekitada teenusele teenusetõkestusründe (DoS) seisundi.

Atlassiani tooted on varasemalt olnud rünnakute sihtmärgiks, mistõttu soovitame sisemajutuses Atlassiani tooteid kasutavatel asutustel uuendada tarkvara võimalikult kiiresti viimasele versioonile (SW, Atlassian, Atlassian Server EOL).

VMware parandas kriitilised haavatavused oma tarkvaras

Teisipäeval avaldas VMware vCenter Serveri tarkvara turvauuendused. Parandati kriitiline puhvri ületäitumise turvanõrkus CVE-2024-38812 (CVSS skoor on 9.8/10) ja õiguste vallutuse nõrkus CVE-2024-38813 (CVSS skoor 7.5/10).

Mõjutatud on VMware vCenter Serveri versioonid 7.0 ja 8.0 ning VMware Cloud Foundationi versioonid 4.x ja 5.x. Vead on parandatud vCenter Serveri versioonides 8.0 U3b ja 7.0 U3s, soovitame tarkvara uuendada (SW).

D-Link parandas kriitilised haavatavused kolme populaarse ruuterimudeli püsivaras

D-link parandas kolmes populaarses ruuterimudelis kriitilised turvanõrkused, mis võimaldasid ründajal käivitada endale sobivat koodi või saada ruuterile ligipääs, kasutades püsikodeeritud pääsumandaate (hardcoded credentials).

Parandused on loodud järgmistele mudelitele:

  • COVR-X1870 (non-US) püsivara (firmware) versioon v1.02 ja varasemad;
  • DIR-X4860 püsivara versioon v1.04B04_Hot-Fix ja varasemad;
  • DIR-X5460 püsivara versioon v1.11B01_Hot-Fix või varasem.

Kuna D-Link-i ruuterid on sageli pahavara botnet’ide rünnakute all, soovitame ruuteri püsivara uuendada (BC).

Apache’i HugeGraph-Serveri turvanõrkus on aktiivsete rünnakute all

CISA hoiatab, et Apache’i HugeGraph-Serveri turvanõrkust CVE-2024-27348 (CVSS skoor 9.8), mis võimaldab koodi kaugkäitust, kasutatakse aktiivsete rünnakuteks ära. Antud turvanõrkus on parandatud HugeGraphi versiooniga 1.3.0 aprillis 2024. Soovitame uuendada tarkvara viimasele olemasolevale versioonile (BC).

SolarWinds paikas kriitilised turvanõrkused ARMi tarkvaras

Eelmisel nädalal tegi SolarWinds kaks turvauuendust Access Rights Manageri (ARM) tarkvarale. Kõige kriitilisem neist oli koodi kaugkäitust võimaldav viga tähisega CVE-2024-28991 (CVSS skoor 9.0/10). Mõlemad nõrkused on parandatud ARMi versioonis 2024.3.1.

Teadaolevalt pole õnnestunud neid nõrkuseid ära kasutada, kasutajatel soovitatakse tarkavara uuendada kõige värskemale versioonile (HN).

Olulisemad turvanõrkused 2024. aasta 36. nädalal

Google paikas hulga suure mõjuga turvavigu Chromiumi projektis ja Chrome’is

Google parandas hulga turvavigu nii Chromiumi Projectis kui ka Chrome’i brauseris. Üksteist parandatud turvaviga olid suure mõjuga ja mõnede turvanõrkuste jaoks on olemas ka aktiivselt kasutatavad ründekoodid.

Soovitame esimesel võimalusel uuendada Chromiumil baseeruvad brauserid:

Androidi tarkvarauuendus parandab mitmed turvavead

Androidi nutiseadmetes paigati 35 turvaviga, mille hulgas oli suure mõjuga haavatavus tähisega CVE-2024-32896 (CVSS skoor 7.8), mis võimaldab õiguste vallutust (privilege escalation). Nimetatud turvaviga on juba rünnete läbiviimisel ära kasutatud.

Soovitame Androidi nutiseadmete tarkvara uuendada esimesel võimalusel (SW, SA).

Zyxel paikas oma toodetes mitmeid turvavigu

Zyxel parandas hulgaliselt turvaauke oma erinevates võrguseadmetes, nende hulgas ka kriitilise turvavea tähisega CVE-2024-7261. Turvaviga võimaldab autentimata ründajal käivitada erinevaid käsklusi Zyxeli seadmetes (access point) ja ruuterites, saates haavatavatele seadmetele spetsiaalselt loodud küpsise.

Paigati mitmeid vigasid APT, USG Flex, USG Flex 50(W) ja USG20(W)-VPN tulemüürides ning kommutaatorites (switch), mis võimaldavad ründajal teha DoS-i, käsusüste ja käskude käivitamist (CVE-2024-6343, CVE-2024-7203, CVE-2024-42059, CVE-2024-42060, CVE-2024-42057, CVE-2024-42058, CVE-2024-42061).

Seadmetes Zyxel’s 5G NR/4G LTE CPE, DSL/Ethernet CPE, fiber ONT, WiFi pikendi (WiFi extender) parandati puhvri ületäitumise turvanõrkus CVE-2024-5412 (CVSS skoor 7.5/10) “libclinkc” teegis, mis võimaldab autentimata ründajal tekitada seadmes teenusetõkestuse (DoS) seisundi, saates haavatavale seadmele spetsiaalse HTTP-päringu.

Ettevõtte soovitab kõigil kasutajatel tarkvara esimesel võimalusel uuendada (HNS).

VMware paikas suure mõjuga turvavea Fusioni tarkvaras

Virtualiseerimistarkvara pakkuja VMware tuvastas Fusioni hüperviisoris väga tõsise haavatavuse, mis võimaldab tavakasutaja õigustes käivitada koodi Fusioni rakenduse kontekstis. Eduka ründe korral on võimalik kogu süsteem kompromiteerida.

Turvaviga tähisega CVE-2024-38811 on hinnatud kõrge CVSS skooriga 8.8/10. Ei ole avaldatud, kas antud haavatavust on reaalselt ära kasutatud.

Haavatavus mõjutab kõiki VMware Fusioni versioone kuni 13.x ja lahenduseks on tarkvara uuendamine versioonile 13.6 (SW, SA).

WordPressi pistikprogrammis oleva turvanõrkuse tõttu on ohus üle 5 miljoni veebilehe

Turvanõrkus (CVE-2024-44000) mõjutab pistikprogrammiLiteSpeed Cacheja

selle kaudu on võimalik autentimata ründajal saada kontrolli kogu veebilehe üle. Juba on leitavad ka antud turvanõrkust ära kasutavad koodinäidised.

Eelmisest LiteSpeed Cache’i kriitilisest turvanõrkusest kirjutasime 34. nädala olukorra blogikirjes.

Turvanõrkus on paigatud tarkvara versioonis 6.5.0.1, kuid juba on ka väljas versioon 6.5.0.2. Soovitame kõigil kasutajatel uuendada pistikprogramm uusimale versioonile (BC).

Olulisemad turvanõrkused 2024. aasta 35. nädalal

Google paikas Chrome’i veebilehitsejas taas nullpäeva turvanõrkuse

Tegemist on juba kümnenda sel aastal parandatud nullpäeva turvanõrkusega Chrome’i veebilehitsejas. Google’i teatel on turvaviga tähisega CVE-2024-7965 rünnetes ka ära kasutatud. Uuendusega paigati kokku 37 turvaviga, nende hulgas oli ka eelmisel nädalal avalikuks tulnud nullpäeva turvanõrkus CVE-2024-7971. Kuus turvaviga on hinnatud suure mõjuga haavatavuseks.

Soovitame uuendada Chrome’i uuele versioonile 128.0.6613.84 (Linux) või 128.0.6613.84/.85 (Windows, Mac) esimesel võimalusel.

Eelmisel nädalal avaldati ka uudis, et Google maksab turvanõrkuste avastajatele kuni 250 000 USA dollari suurust preemiat (HN, BC, Chrome, BC).

Miljon WordPressi veebilehte on ohus turvanõrkuse tõttu

Kriitiline turvanõrkus tähisega CVE-2024-6386 mõjutab pistikprogrammi WPML multilingual plugin for WordPress, mis on kasutusel miljonil WordPressi veebilehel. Tegemist on populaarse pluginaga, mille kaudu saab luua 65 erinevas keeles veebilehti. Haavatavuse kaudu on võimalik ründajal pahaloomulist koodi kaugkäivitada ja seeläbi veebileht kompromiteerida. Turvaviga on hinnatud kriitilise CVSS skooriga 9.9/10 ja sellele on olemas ka kontseptsiooni tõendus, mis näitab, kuidas on võimalik turvaviga ära kasutada.

Viga on parandatud tarkvara versioonis 4.6.13. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada (SW, SA).

Cisco paikas mitmeid turvanõrkuseid NX-OS tarkvaras

Cisco paikas oma toodetes kokku kuus haavatavust. Kõige suurema mõjuga on turvaviga tähisega CVE-2024-20446, mis võimaldab autentimata ründajal põhjustada teenusekatkestuse. DHCPv6-sõnumite konkreetsete väljade vale käsitlemine võimaldab ründajal saata pahaloomulisi pakette haavatava seadme IPv6-aadressile. Ettevõte sõnul mõjutab haavatavus vaid Nexus 3000, 7000 ja 9000 seeriate lüliteid ja seda teatud tingimuste täitmisel.

Lisaks paigati kaks keskmise mõjuga viga Application Policy Infrastructure Controlleri (APIC) tarkvaras. Hetkel teadaolevalt ei ole haavatavusi ära kasutatud (SW, Cisco).

Fortra paikas turvavead FileCatalyst Workflow tarkvaras

Fortra parandas FileCatalyst Workflow tarkvaras kaks haavatavust, millest üks on kriitilise mõjuga. Turvaviga tähisega CVE-2024-6633 on hinnatud kriitilise CVSS skooriga 9.8/10 ja selle kaudu on võimalik autentimata ründajal saada andmebaasile juurdepääs, muuta või filtreerida seal olevaid andmeid ning luua uusi administraatorikontosid. Teine paigatud viga tähisega CVE-2024-6632 võimaldab SQL-käsklusi käivitada.  

Vead mõjutavad  kõiki FileCatalyst Workflow versioone kuni 5.1.6. Fortra soovitab klientidel uuendada FileCatalyst Workflow versioonile 5.1.7 või uuemale. Hetkel ei ole teada, kas nimetatud vigasid on õnnestunud kuritarvitada (SA, SW).