Tag Archives: küberturvalisus

Olulisemad turvanõrkused 2024. aasta 13. nädalal

300 000 IP-d on haavatavad uue Loop DoS-i ründetehnika vastu

Ligikaudu 300 000 internetis avalikult kättesaadavat serverit või seadet on haavatavad uue ummistusrünnakute tehnika vastu. See meetod töötab UDP-põhiste rakenduskihi teenuste vastu, kasutades ära kindlaid TFTP, DNSi ja NTP teenuseid ning samuti aegunud protokolle, nagu Echo, Chardgen ja QOTD (TR).

Oma olemuselt on käesolev ründemeetod küllaltki triviaalne – ründajad saadavad vigase päringu näiteks haavatavale serverile A, spoof’ides haavatavat serverit B. Nõnda hakkavad serverid A ja B üksteisele lõputult päringuid saatma, muutes teenused kättesaamatuks.

Loop DoS-i eelis on see, et seda kasutades ei pea ründajad serveri teenuse töö häirimiseks pidevalt suurtes mahtudes päringuid saatma – pärast rünnaku algust DoS-ivad kaks haavatavat serverit üksteist ise ja see kestab niikaua, kuni keegi selle ahela peatab.

Apple paikas koodi kaugkäitust võimaldava turvanõrkuse

Apple väljastas värsked turvapaigad iOS-i ja MacOs-i seadmetele, et parandada CVE-2024-1580 koodi kaugkäitust võimaldav turvanõrkus (SW). Antud turvanõrkus kasutab ära iOS-i CoreMedia ja WebRTC komponente, mis vastutavad multimeedia (nt pildid ja videod) töötlemise eest.

See turvanõrkus ei mõjuta mitte ainult Apple’i, vaid ka kõiki teisi seadmeid, mis kasutavad dav1d tarkvara. Seda tarkvara kasutatakse multimeedia dekodeerimiseks AV1 formaadis, kuid eriti suurte failide puhul võib tekkida täisarvu ületäitumine (integer overflow), mille abil saab panna tarkvara kirjutama andmeid väljapoole ettenähtud mälu. Nõnda saavad ründajad CVE-2024-1580 abil jooksutada koodi kellegi teise seadmes, kasutades selle jaoks pahaloomulisi pilte või videoid.

Häkkerid kasutavad serverite kompromiteerimiseks ära Ray raamistiku turvanõrkust

Uus ShadowRay-nimeline kampaania sihib haavatavaid Ray raamistike (populaarne avatud lähtekoodiga AI-raamistik). Sedalaadi ründeid on esinenud juba 2023. aasta septembri algusest ning ründajate põhilisteks sihtmärkides on olnud hariduse, krüptoraha ja biofarmakoloogia sektorid, aga puudutatud on olnud ka muud eluvaldkonnad (BC).

2023. aasta novembris teavitas Anyscale viiest Ray turvanõrkusest (CVE-2023-6019, CVE-2023-6020, CVE-2023-6021 ja CVE-2023-48023), millest neli said ka paigatud. Samas viies turvanõrkus (CVE-2023-48023), mis võimaldas koodi kaugkäitust, jäi paikamata (BC). Selle põhjuseks on Anyscale’i seisukoht, et autentimisvõimaluse puudumine Rays on osa selle disainist ja turvanõrkust saab ära kasutada vaid juhul, kui Ray kasutajad ignoreerivad projekti dokumentatsioonis rõhutatud soovitusi.

Kuna Anyscale CVE 2023-48023 turvanõrkuseks ei pea, siis on paljude Ray kasutajate ja staatiliste skaneerimistööriistade jaoks jäänud antud turvanõrkus märkamata, mistõttu on ründajatel võimalik haavatavaid teenuseid kompromiteerida.

Linuxi turvaviga laseb ründajatel ohvrite paroole varastada

Linuxi operatsioonisüsteemis kasutatav wall-käsk sisaldab turvanõrkust (CVE-2024-28085), mida saab ära kasutada ohvrite paroolide varastamiseks või lõikelaua (clipboard) sisu muutmiseks.

Wall-käsk kuulub util-linuxi paketti, mis on osa Linuxi operatsioonisüsteemist. Antud käsku kasutatakse Linuxi süsteemides selleks, et saata sõnumeid kõikidesse samasse süsteemi (näiteks serverisse) sisse logitud kasutajate terminalidesse (BC).

Wall-käsu turvaviga seisneb selles, et kui kasutaja saadab teistele kasutajatele laiali mingi teksti, siis sealt ei filtreerita välja paojärjestusi (escape secuence ehk sümbolite kombinatsioon, mille abil saab terminalile käske anda). Nõnda saab administraatori õigusteta kasutaja samas süsteemis olevatelt administraatori õigustega kasutajatelt  paroolid välja petta, saates neile wall-käsu abil spetsiaalseid sümboleid sisaldava sõnumi, mis loob nende terminali võltsitud SUDO-rea.

Olulisemad turvanõrkused 2024. aasta 12. nädalal

Atlassian paikas oma toodetes mitmeid turvavigu

Atlassian parandas kümneid haavatavusi, mis mõjutavad ettevõtte erinevaid tooteid, nagu Bamboo, Bitbucket, Confluence ja Jira.

Kõige tõsisema mõjuga neist on kriitiline turvaviga tähisega CVE-2024-1597, mis võimaldab ründajal käivitada pahaloomulisi SQL-käske Bamboo Data Centeri and Serveri tarkvaras.

Haavatavus on hinnatud maksimaalse CVSS skooriga 10.0/10. See mõjutab Bamboo Data Centeri and Serveri versioone 8.2.1, 9.0.0, 9.1.0, 9.2.1, 9.3.0, 9.4.0 ja 9.5.0. Viga on paigatud sama tarkvara versioonides 9.6.0 (LTS), 9.5.2, 9.4.4 ja 9.2.12 (LTS).

Lisaks paigati veel mitmeid turvavigu teistes tarkvarades. Näiteks parandati 20 kõrge mõjuga haavatavust JIRA tarkvaras, mida kasutavad paljud asutused ja ettevõtted ka Eestis. Täpse nimekirja turvavigadest ja paigatud versioonidest leiab siit. Ettevõte soovitab kõigil kasutajatel Atlassiani tarkvarad uuendada viimasele versioonile (SA, SW).

WordPressi pistikprogrammi kriitiline haavatavus võimaldab veebilehe ülevõtmist

Kriitiline turvanõrkus (CVE-2024-2172) mõjutab miniOrange’i pistikprogramme Malware Scanner ja Web Application Firewall. Haavatavus on hinnatud kriitilise CVSS skooriga 9.8/10 ning WordPressi veebilehtede administraatoritel soovitatakse need plugin’ad ära kustutada. Arendaja on mõlema pistikprogammi allalaadimise peatanud ning neid ei hakata tulevikus enam kasutajatele pakkuma.

Haavatavuste kaudu on võimalik autentimata ründajal hankida administraatoriõigused ja seejärel veebileht üle võtta. Administraatorina on võimalik lisada veebilehele erinevaid pahaloomulisi faile, muuta seal olevaid postitusi ja suunata kasutaja mõnele teisele veebilehele. Neid pistikprogramme kasutab umbes 10 000 WordPressi veebilehte (HN, SA).

Enam kui 133 000 Fortineti seadet on ohus kuu aja eest paigatud turvanõrkuse tõttu

Turvanõrkus tähisega CVE-2024-21762 mõjutab Fortineti FortiOSi ja FortiProxy tarkvarasid ning vea kuritarvitamiseks on avaldatud mitmeid kontseptsiooni tõendusi. Tegemist on haavatavusega, mis võimaldab autentimata ründajal koodi kaugkäivitada ja on hinnatud kriitiliseks skooriga 9.6/10. Turvaviga on parandatud juba kuu aega tagasi, kuid Shadowserveri monitooringu andmeil on endiselt ligi 133 000 paikamata seadet.

Varasemalt on Fortineti seadmete haavatavused olnud mitmete häkkerirühmituste sihtmärgiks, samuti on need jõudnud kõige sagedamini ärakasutatud haavatavuste loenditesse.

Lisaks tuli eelmisel nädalal ka info teisest Fortineti turvaveast, mida on õnnestunud rünnete läbiviimisel kuritarvitada. Turvaviga tähisega CVE-2023-48788 mõjutab Fortineti FortiClient Enterprise Management Serveri (EMS) tarkvara ning kuna selle vea kohta avaldati samuti kontseptsiooni tõendus, siis hakati seda ka üsna pea ära kasutama (TR, SA).

TeamCity turvanõrkused on ründajate sihtmärgiks

Eelmisel nädalal kirjutasime blogis samal teemal, kuid nüüdseks on selgunud, et TeamCity haavatavuste kaudu viiakse läbi veelgi enam erinevaid ründeid. Hiljuti avalikuks tulnud turvavead TeamCity tarkvaras on sattunud küberrühmituste sihtmärgiks – nende kaudu viiakse läbi lunavararündeid (BianLian ja Jasmin), seatakse üles krüptokaevureid (XMRig) ja hangitakse kaugligipääs ohvri seadmetele (Spark RAT).  

Rünnete läbiviimisel kasutatakse haavatavust tähisega CVE-2024-27198, mis on parandatud TeamCity versioonis 2023.11.4. Kuna veale on internetis avaldatud kontseptsiooni tõendus (proof of concept) ja rünnete katsed aina sagenevad, siis on eriti oluline tarkvara uuendada (HN, SA, TM).

Fujitsu avastas oma IT-süsteemidest pahavara

Jaapani tehnikatootja Fujitsu avastas, et mitmed nende IT-süsteemid on pahavaraga nakatunud ja ühtlasi on varastatud klientide andmeid.  Fujitsu on maailmas suuruselt kuues IT-teenuste pakkuja, kus töötab 124 000 inimest ja firma aastakäive on 23,9 miljardit dollarit. Nende toodete hulka kuuluvad nii erinev arvutitehnika kui ka teenused, näiteks: serverid ja salvestussüsteemid, tarkvara, telekommunikatsiooniseadmed, pilvelahendus ja IT-nõustamisteenuseid.

Eelmisel nädalal avalikuks tulnud küberintsident mõjutab nii ettevõtte sisemisi süsteeme kui ka klientide andmeid. Pahavara avastati mitmes arvutis ja samuti on tõendeid selle kohta, et nende klientide tundlikke andmeid on alla laetud. Kohe, kui intsidendist teada saadi, eemaldati nakatunud arvutid võrgust ja hakati uurima, kuidas pahavara süsteemi pääses.

See ei ole paraku esimene kord, kui Fujitsu süsteemidesse häkiti. 2021. aasta mais kasutati Fujitsu ProjectWEB tarkavara ja tungiti selle kaudu mitme Jaapani valitsusasutuse infosüsteemidesse. Ründe käigus saadi ligipääs 76 000 meiliaadressile ja tundlikule infole. Varastatud andmed hõlmasid tundlikku teavet valitsussüsteemide ja Narita rahvusvahelise lennujaama lennujuhtimisandmete kohta (BC).

Pahavarakampaania mõjutab 39 000 WordPressi veebilehte

Pahavarakampaania nimega Sign1 on viimase kuue kuu jooksul nakatanud üle 39 000 WordPressi veebilehe, põhjustades külastajatele soovimatuid ümbersuunamisi ja hüpikaknaid. Kampaania käigus lisati pahavara nii HTMLi elementidesse kui ka pistikprogrammidesse. Ligipääs WordPressi veebilehele saadi kas jõuründe või pistikprogrammide haavatavuste ärakasutamise abil.

Oma veebilehe kaitsmiseks tuleks kasutada tugevat administraatoriparooli ja regulaarselt uuendada pistikprogrammid kõige uuemale versioonile. Samuti võiks eemaldada kõik üleliigsed lisamoodulid (add-ons), mida ei kasutata ja mille kaudu võivad ründed toimuda (BC).

Olulisemad turvanõrkused 2024. aasta 10. nädalal

Apple paikas kaks uut nullpäeva turvanõrkust

Apple avaldas turvauuenduse, millega paigatakse kaks iOS tarkvara nullpäeva turvanõrkust, mida on juba rünnete läbiviimisel kuritarvitatud. Turvanõrkused (CVE-2024-23225 ja CVE-2024-23296) võimaldavad ründajal turvaseadistusest mööda minna.

Turvavead mõjutavad järgmisi Apple’i seadmeid:

  • iPhone XS ja uuemad, iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation
  • iPad Pro 12.9-inch 2nd generation ja uuemad, iPad Pro 10.5-inch, iPad Pro 11-inch 1st generation ja uuemad, iPad Air 3rd generation ja uuemad, iPad 6th generation ja uuemad ning iPad mini 5th generation ja uuemad.

Vead on parandatud tarkvarades iOS 17.4, iPadOS 17.4, iOS 16.76 ja iPad 16.7.6 ning kõigil kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik. Sel aastal on Apple paiganud kolm nullpäeva turvanõrkust. Apple’i turvanõrkusi on varasemalt kasutatud sihitud rünnete läbiviimiseks ja seetõttu on seadmete tarkvara oluline uuendada (BC, Apple).

Androidi tarkvarauuendus parandab kriitilise koodi kaugkäituse vea

Androidi nutiseadmetes paigati 38 turvaviga, nende hulgas oli kaks kriitilist haavatavust tähistega CVE-2024-0039 ja CVE-2024-23717, mis võivad kaasa tuua pahaloomulise koodi kaugkäivitamise ja õigustega manipuleerimise. Kriitilised turvavead mõjutavad Androidi versioone 12, 12L, 13 ja 14.

Lisaks paigati veel 50 haavatavust Pixeli nutiseadmetes – nende hulgas oli ka 16 kriitilist viga. Hetkel teadaolevalt ei ole turvavigasid õnnestunud kuritarvitada, kuid soovitame Androidi nutiseadmete tarkvara uuendada esimesel võimalusel (SW, Android).

Hikvision paikas kõrge mõjuga turvanõrkuse oma tarkvaras

Hiina videovalveseadmete tootja Hikvision teatas, et on paiganud kaks turvaviga tarkvaras HikCentral Professional. Nimetatud tarkvara kasutatakse erinevate turvasüsteemide haldamiseks. Nendest on suurema mõjuga turvaviga tähisega CVE-2024-25063, mille kaudu võib ründaja saada volitamata juurdepääsu teatud veebiaadressidele. Viga mõjutab HikCentral Professionali versiooni 2.5.1 ja vanemaid.

Hikvision soovitab kõigil oma klientidel tarkvara värskendada, kuna varasemalt on nende toodete turvaauke pahatahtlike rünnakute käigus ära kasutatud (SW).

Kriitilised TeamCity turvanõrkused ohustavad tarkvara tarneahelat

TeamCity näol on tegemist ettevõtte tarkvaraarenduse platvormiga, mida kasutab enam kui 30 000 organisatsiooni üle maailma. TeamCity kliendid on näiteks Citibank, Nike ja Ferrari. Haavatavused tähistega CVE-2024-27198 ja CVE-2024-27199 võimaldavad ründajal

autentimisest mööda minna ja saada ohvri serveris administraatoriõigused. Vead on paigatud TeamCity versioonis 2023.11.4 ja tootja kutsub üles kõiki kasutajaid tarkvara uuendama. Kui seda ei ole võimalik teha, siis tuleks ajutiselt peatada serveri ligipääs internetile.

Kurjategijad on asunud kiirelt nimetatud haavatavusi kuritarvitama. Internetile avatud serveritesse on loodud sadu uusi kasutajaid ja LeakIX andmete põhjal on kompromiteeritud juba 1400 seadet. CISA on lisanud turvavea CVE-2024-27198 ärakasutatud turvanõrkuste kataloogi.

2023. aasta lõpus teavitasid mitmed riigid, et kremlimeelne rühmitus APT29 kasutab sarnast TeamCity haavatavust rünnete läbiviimisel ja see võib kaasa tuua tarneahelaründeid.  (DR, HNS, TeamCity, BC).

Kriitiline Fortineti turvaviga võib mõjutada 150 000 internetile avatud seadet

Turvanõrkus tähisega CVE-2024-21762 mõjutab Fortineti FortiOSi ja FortiProxy tarkvarasid. Tegemist on haavatavusega, mis võimaldab autentimata ründajal koodi kaugkäivitada ja on hinnatud kriitiliseks skooriga 9.6/10. Turvaviga on parandatud veebruaris, kuid sel nädalal teatasid Shadowserveri teadurid, et endiselt on paikamata ligi 150 000 seadet (BC, SA).

Cisco paikas VPNi seadmeid mõjutavad turvavead

Ettevõte parandas kaks kõrge mõjuga haavatavust Cisco Secure Clienti tarkvaras. Turvaviga tähisega CVE-2024-20337 võimaldab autentimata ründajal varastada kasutaja identsustõendi (token) ja luua seejärel kasutaja õigustega VPNi ühenduse. Viga on paigatud Secure Clienti versioonides 4.10.08025 ja 5.1.2.42. Hetkel teadaolevalt ei ole veel haavatavusi õnnestunud ära kasutada (SW, HNS).

Häkkerid ründavad WordPressi veebilehti pistikprogrammi vea kaudu

Rünnetes kasutatakse ära juba eelmisel aastal paigatud turvaviga Popup Builderi pistikprogrammis. Turvaviga kannab tähist CVE-2023-6000 ning see mõjutab pistikprogrammi versiooni 4.2.3 ja vanemaid. Hetkel on juba enam kui 3300 WordPressi veebilehele lisatud pahaloomulist koodi.

Popup Builderi kasutajatel tuleks uuendada pistikprogramm versioonile 4.2.7. WordPressi statistika alusel on enam kui 80 000 kasutajat, kes ei ole nimetatud pluginat uuendanud ja on seetõttu potentsiaalsed ründe sihtmärgid.

Kõigil WordPressi veebilehtede haldajatel tuleks regulaarselt pluginaid uuendada, kuna nende kaudu viiakse tihti ründeid läbi (BC).