Tag Archives: küberturvalisus

Olulisemad turvanõrkused 2023. aasta 52. nädalal

Ründajad üritavad aktiivselt ära kasutada Apache OFBiz kriitilist turvanõrkust

Shadowserver Foundation on täheldanud katseid kasutada ära avatud lähtekoodiga Apache OFBiz tarkvaras leiduvat kriitilist haavatavust. See haavatavus, mida tähistatakse kui CVE-2023-49070, võimaldab ründajatel autentimisest mööda minna ja võltsida serveripoolset päringut (SSRF), mis võib viia suvalise koodi käivitamiseni ja andmete varguseni. Turvanõrkuse parandamiseks tuleb Apache OFBiz uuendada vähemalt versioonini 18.12.11 (SW).

Nuhkvarad kasutavad ära võimalikku turvanõrkust Google’i OAuthi lahenduses

Mitu pahavara kuritarvitavad väidetavalt Google OAuthi lõpp-punkti nimega MultiLogin, et taastada aegunud autentimisküpsised, mille abil võimaldatakse pahavarade kasutajatele volitamata juurdepääsu Google’i kontodele. Konkreetne turvanõrkus võimaldab pahalastel säilitada juurdepääsu kompromiteeritud kontodele ka pärast seda, kui mõjutatud kasutajad enda konto parooli lähtestavad. Meediaväljaannete info kohaselt ei ole Google konkreetset haavatavust ega selle ärakasutamist kinnitanud. Küll aga on mitmed pahavarade loojad väidetavalt sellest teadlikud ja vastavad lahendused selle ärakasutamiseks ka enda programmidele lisanud (BP).

Lihtne konfiguratsiooniviga seadis ohtu ligi miljoni Jaapani mänguarendajaga seotud inimese andmed

Jaapani mänguarendaja Ateami küberintsident paljastas, kuidas lihtne konfiguratsiooniviga pilveteenuse kasutamisel võib osutuda tõsiseks turberiskiks. Nimelt oli alates 2017. aasta märtsist määratud ettevõtte ühele Google Drive’i keskkonnale konfiguratsioonisäte selliselt, et kõik, kel oli vastav link, said keskkonnale juurdepääsu. Antud juhtum võis potentsiaalselt paljastada peaaegu miljoni inimese tundlikud andmed (BP).

Avalikult kättesaadavad andmed paiknesid kokku 1369 failis ja hõlmasid Ateami klientide, äripartnerite, töötajate, praktikantide ja tööotsijate isikuandmeid. Ohustatud andmete hulgas olid täisnimed, e-posti aadressid, telefoninumbrid, kliendihaldusnumbrid ja seadme identifitseerimisnumbrid (BP).

Kuigi hetkel puuduvad konkreetsed tõendid, et paljastatud teave on varastatud, pöörab see juhtum siiski tähelepanu pilveteenuste turvalise kasutamise olulisusele. Lisaks illustreerib see intsident, kuidas lihtsa konfiguratsioonvea tõttu võivad pahalased pääseda kergesti ligi tundlikele andmetele, mis võib viia potentsiaalse väljapressimiseni või andmete müügini teistele häkkeritele (BP)​.

Mõned soovitused antud juhtumi taustal:

  • Vaadake regulaarselt üle ja värskendage vajadusel pilvekeskondade konfiguratsioonisätteid.
  • Harige töötajaid turvalise andmetöötluse ja jagamise tavade kohta.
  • Rakendage tundlike andmete jaoks rangeid juurdepääsu kontrolle ja krüptimist.

Google Cloudi Kubernetese teenuses parandati haavatavus

Google Cloud parandas enda Kubernetese teenuses keskmise tõsidusega turvavea. Fluent Biti logimiskonteinerist ja Anthos Service Meshist leitud haavatavust saab ära kasutada õiguste suurendamiseks Kubernetese klastris. Lisaks võib antud haavatavus võimaldada andmete vargust ja põhjustada klastril tööhäireid. Haavatavuse ärakasutamise edukus sõltub sellest, kas ründaja on juba mõne meetodi abil, näiteks koodi kaugkäivitamise vea kaudu, FluentBiti konteinerile ligipääsu saanud. Haavatavus parandati turvauuendustega mitmes Google Kubernetes Engine’i (GKE) ja Anthos Service Meshi (ASM) versioonis (THN).

Nimekiri nendest versioonidest, milles on turvanõrkus parandatud:

  • 1.25.16-gke.1020000
  • 1.26.10-gke.1235000
  • 1.27.7-gke.1293000
  • 1.28.4-gke.1083000
  • 1.17.8-asm.8
  • 1.18.6-asm.2
  • 1.19.5-asm.4

Microsoft keelas pahavararünnakutes kuritarvitatud MSIX-i protokolli käsitlusrakenduse

Microsoft keelas MSIX ms-appinstalleri protokolli käsitlusrakenduse, mida erinevad grupeeringud kasutasid pahavara levitamiseks. Ründajad kuritarvitasid turvameetmetest mööda hiilimiseks ära Windows AppX Installeri haavatavust CVE-2021-43890. Konkreetset pahavara, mis antud ründevektoreid ära kasutas, jagati pahatahtlikke reklaamide ja andmepüügisõnumite abil. Microsoft soovitab installida App Installeri paigatud versiooni (1.21.34.210.0 või uuem). Kui see ei ole võimalik, soovitatakse administraatoritel ms-appistaller protokoll võimalusel süsteemides keelata (BP, MS).

Olulisemad turvanõrkused 2023. aasta 51. nädalal

Avastati uus SMTP smugeldamise ründetehnika, mida kasutatakse autentimisprotokollidest mööda pääsemiseks

Teadlased avastasid, et SMTP protokolli (simple mail transfer protocol) võib ära kasutada meili saatja aadressi võltsimiseks nii, et autentimisprotokollid – nagu SPF, DKIM ja DMARC – seda ei tuvasta.

Nimelt saavad ründajad ära kasutada erinevusi selles, kuidas sissetulevad ja väljaminevad SMTP serverid tõlgendavad seda, kus täpsemalt meilis olevate andmete jada lõppeb. Teadlased selgitasid, et kui SMTP serveritel on erinev arusaam sellest, kus sõnumi andmed lõppevad, võivad ründajad nendest piiridest välja murda (SC).

Antud ründetehnika abil võib matkida miljoneid populaarseid domeene, sealhulgas Microsofti, Amazoni, PayPali, eBayd ja teisi. Osad tarnijad, nagu Microsoft ja GMX, on juba vajalikud parandused teinud, et SMTP smugeldamist ennetada. Seevastu Cisco pidas turvanõrkust hoopis featuuriks ning soovitas SMTP smugeldamise vältimiseks Cisco Secure Email Cloud Gateway ja Cisco Secure Email Gateway vaikimisi seadistused ära muuta (CT).

OpenAI väljastas vigase turvapaiga ChatGPT-le

OpenAI väljastas turvapaiga ChatGPTs olevale veale, mille abil oli võimalik lekitada vestlusi ja kasutajaandmeid.

Turvaviga tulenes sellest, et OpenAI väljastas ChatGPTs uue featuuri, mis laseb kasutajatel luua oma versioone ChatGPT-st, mis on mõeldud mingite kindlate eesmärkide täitmiseks (OA). Neid GPT-sid saab jagada ka teiste kasutajatega, andes niimoodi ründajatele võimaluse teha selliseid GPT-sid, mis saadaksid kõik kasutaja poolt sisestatud päringud kolmanda osapoole serverile. Lisaks eelmainitud päringutele saab nii kätte ka kasutaja metaandmeid (ajatemplid, kasutaja ID-d, sessiooni ID-d) ning tehnilisi detaile (IP-aadressid ja UserAgentid).

Teadur, kes selle turvavea avastas ning OpenAI-le edastas, teatas, et turvaviga saab kindlates tingimustes ikka veel ära kasutada (ET) (BC) ning praegu olemasolevatest OpenAI poolt rakendatud lisaturvameetmetest ei piisa, et kliendiandmed ohus ei oleks.

Teadurid avastasid kaks Microsoft Outlooki turvanõrkust, mida saab kombineerida koodi kaugkäituseks

Möödunud nädalal avastati Microsoft Outlookis kaks turvanõrkust, mille kombineerimise korral võib teostada koodi kaugkäitust, ilma et kasutaja peaks ise midagi tegema (DR).  Mõlemat turvanõrkust saab käivitada helifailide abil.

Esimene turvanõrkus CVE-2023-35384 oli avastatud juba märtsis ning selle abil oli ründajatel võimalik Outlookis kasutajaõigusi eskaleerida. Teine haavatavus CVE-2023-36710, mis avastati alles möödunud nädalal, on koodi kaugkäitust võimaldav turvanõrkus, mis tuleneb Windows Media Foundationi featuurist (mis on seotud sellega, kuidas Windows helisid parsib).

Selleks, et neid turvanõrkusi koos ära kasutada, tuleb CVE-2023-35384 suhtes haavatavale Outlooki kliendile saata n-ö meeldetuletus meilile, mis teeb teadete puhul kindlat heli. Ründaja võib teha nii, et meili saanud Outlooki klient päriks eelmainitud teate helina helifaili mingist suvalisest SMB serverist ja mitte turvalistest või usaldatud kohtadest. Ründaja kasutab seda ära, et tema kirja saanud meiliklient päriks pahaloomulist helifaili tema enda serverit, mis viibki koodi kaugkäituseni, CVE-2023-36710 ära kasutades (TT).

Akamai sõnul on mõlemat turvanõrkust võimalik kasutada ka eraldi, küll aga saab nõnda nende abil palju vähem kahju tekitada (DR).

Barracuda paikas uue nullpäeva turvanõrkuse, mida olid ära kasutanud Hiina häkkerid

Barracuda Networksi ESG-des (Email Security Gateway) avastati uus nullpäeva turvanõrkus CVE-2023-7102, mida oli ära kasutanud Hiina rühmitus UNC4841.  Barracuda teavitas, et nad paikasid kõik haavatavad seadmed 21. detsembril, kaasarvatud need, kus turvanõrkust on juba kuritarvitatud SeaSpy ja SaltWateri pahavara juurutamiseks (BC).

Turvanõrkus tulenes Spreadsheet:ParseEcxeli poolt kasutatavast Amavis viiruseskännerist, mis on Barracuda ESG seadmetel rakendatud. Ründajad said seda ära kasutada parameetrite süsti teostamiseks, et haavatavatel seadmetel omavoliliselt koodi käitada.

Barracuda väitis, et nende kliendid midagi tegema ei pea – intsidendi uurimine veel käib ning Barracuda paikab kõik seadmed ise (BA). Sama Hiina häkkerite rühmitus on ka eelnevalt Barracuda ESG seadmeid rünnanud – mais kasutasid nad ära CVE-2023-2868 turvanõrkust küberspionaaži eesmärkidel.

Olulisemad turvanõrkused 2023. aasta 50. nädalal

  • Apple avaldas uue iOSi ja iPadOSi versiooni 17.2

Apple avaldas eelmise nädala alguses uued tarkvara versioonid iOS 17.2 ja iPadOS 17.2, kus on paigatud vähemalt 11 turvaviga. Kõige tõsisema mõjuga on mälupesa sisu muutmise viga ImageIO komponendis, mis võib kaasa tuua pahaloomulise koodi käivitamise. Täpsema loetelu paigatud vigadest leiab Apple’i veebilehelt (Apple).

Ühtlasi tuli välja ka turvauuendus vanematele Apple’i seadmetele. Versioonides iOS 16.7.3 ja iPadOS 16.7.3 on paigatud muuhulgas ka WebKiti veebibrauserimootorit mõjutavad nullpäeva turvanõrkused.

Soovitame Apple’i nutiseadmeid uuendada esimesel võimalusel (SW).

  • Microsoft andis välja oma igakuised turvauuendused

Microsoft parandas kokku 34 haavatavust, nende hulgas oli ka üks nullpäeva turvanõrkus. Parandatud vigadest võimaldavad koodi kaugkäivitada kaheksa haavatavust ja kolm neist on hinnatud kriitilise mõjuga veaks.

Paigatud nullpäeva turvanõrkus tähisega CVE-2023-20588 mõjutab teatud AMD protsessoreid, mis võivad eduka ründe korral tagastada tundlikku infot. Viga tuli avalikuks juba augustis, kuid siis ei avaldatud veale parandust.

Lisaks paigati ka kaheksa turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

  • Adobe paikas oma toodetes 207 turvanõrkust

Adobe hoiatas nii Windowsi kui ka macOSi Adobe toodete kasutajaid pahatahtliku koodi käivitamise, mälulekete ja teenuse tõkestamise rünnete eest. Kokku paigati vähemalt 207 turvaviga, mis mõjutavad erinevaid Adobe tarkvarasid.

Kriitilise mõjuga vead paigati tarkvarades Adobe Illustrator, Substance 3D Sampler ja After Effects. Vead paigati ka tarkvarades Adobe Prelude, Adobe InDesign, Adobe Dimension ja Adobe Animate.

Soovitame kõigil Adobe toodete kasutajatel tarkvara uuendada (SW).

  • Google Chrome’i uues versioonis on parandatud 9 turvanõrkust

Google avaldas Chrome’i versiooni 120.0.6099.109 Windowsi, Maci ja Linuxi seadmetele. Parandatud turvanõrkuste seas on viis kõrge mõjuga ja üks keskmise mõjuga haavatavus. Kõige suurema mõjuga neist on V8 JavaScripti mootorit mõjutav haavatavus.

Ettevõtte ei avaldanud täpsemat infot turvanõrkuste kohta, et enamus kasutajaid jõuaks enne tarkvara uuendada. Hetkel teadaolevalt ei ole turvavigasid õnnestunud kuritarvitada. Google on 2023. aasta jooksul paiganud juba seitse nullpäeva turvanõrkust Chrome’i veebilehitsejas (SW).

  • Ligi 40% Log4J rakendustest kasutab haavatavat tarkvara

Umbes 38% rakendustest, mis kasutavad Apache Log4j teeki, on haavatavuste tõttu ohus. Nende hulgas on ka endiselt rakendusi, mis on haavatavad kaks aastat tagasi paigatud kriitilisele turvanõrkusele Log4Shell. Kuna Log4Shell haavatavus mõjutab väga paljusid tarkvarasid ning seda oli lihtne kuritarvitada, siis muutus see kiirelt ründajate sihtmärgiks.

Rakenduste turvalisusega tegeleva ettevõte Veracode’i raporti alusel on endiselt paljud organisatsioonid jätnud tarkvara uuendamata ja on seetõttu ohus erinevatele Log4j turvanõrkuste rünnetele. Ettevõte kogus 90 päeva jooksul andmeid 3866 organisatsioonist ja enam kui 38 000 erinevast rakendusest. Selle tulemusel selgus, et suur hulk rakendusi kasutab endiselt haavatavaid versioone tarkvarast (BC).