Tag Archives: Linux

Olulised turvanõrkused 2023. aasta 19. nädalal

Microsoft paikas kaks nullpäeva turvanõrkust

Microsoft paikas oma toodetes mitukümmend haavatavust, mille hulgas oli ka kaks nullpäeva turvanõrkust.

Esimene neist tähisega CVE-2023-29336 on seotud Win32k draiveriga ning eduka ründe korral on ründajal võimalik saada selle abil kontroll kogu haavatava süsteemi üle. Microsoft ei ole avaldanud infot selle kohta, et turvaviga oleks rünnetes ära kasutatud. Viga mõjutab Windows 10, Windows Server 2008, 2012 ja 2016 operatsioonisüsteemide kasutajaid.

Teine nullpäeva turvanõrkus tähisega CVE-2023-24932 lubab ründajal aga Secure Booti turvalahendusest mööda pääseda. Seda haavatavust võib ründaja ära kasutada, et kindlustada kompromiteeritud seadme üle püsiv kontroll. CVE-2023-24932 kuritarvitamiseks on vaja kõrgendatud õiguseid või füüsilist ligipääsu haavatavale seadmele. Microsoft on täpsemalt sellest turvanõrkusest ja parandusmeetmetest kirjutanud siin (SW, DR, Microsoft).

Kes ja mida peaks tegema?

Nimekirja kõikidest turvanõrkustest koos mõjutatud tarkvaradega leiate siit. Haavatavad tarkvarad soovitame uuendada esimesel võimalusel.

SAP paikas kaks kriitilist turvanõrkust

SAP paikas 18 turvaviga. Nende hulgas oli kaks turvanõrkust, mis on hinnatud kriitiliseks ehk hindega 9/10 või kõrgemalt. Kriitilised turvavead mõjutavad SAPi tarkvarasid 3D Visual Enterprise License Manager ja BusinessObjects. Kõige kriitilisem turvaviga CVE-2021-44152 võimaldab autentimata ründajal muuta ära mõne teise kasutajakonto parooli. Teine haavatavus tähisega CVE-2023-28762 koondab tegelikult mitut turvaviga, mis on seotud volitamata ligipääsuga erinevat sorti teabele. CVE-2023-28762 mõjutab SAPi tarkvara BusinessObjects Intelligence Platform. Turvavigadele on olemas parandus (SW, SAP).

Kes ja mida peaks tegema?

Uuendage mõjutatud SAPi tarkvarad esimesel võimalusel. Lisainfot maikuu turvaparanduste kohta leiate ettevõtte kodulehelt.

Linuxi Netfilteri viga võimaldab ründajal saada juurõigused

Turvanõrkuse CVE-2023-32233 abil on ründajal võimalik omandada haavatavas süsteemis juurõigused ja saada seeläbi täielik kontroll süsteemi üle. Netfilter on pakettide filtreerimise ja võrguaadresside teisendamise (NAT) raamistik, mis on Linuxi kernelisse integreeritud. Haavatavus mõjutab mitmeid Linuxi kerneli versioone, nende seas ka versiooni 6.3.1. Turvanõrkuse kuritarvitamiseks on ründajal vaja siiski saada esmalt lokaalne ligipääs haavatavale seadmele.

Turvanõrkusele on loodud ka kontseptsiooni tõendus (proof-of-concept ehk PoC), mida on hetkel jagatud vaid Linuxi kerneli arendajatega, kuid mis on lubatud 15. mail avalikustada(BC, SA).

Kes ja mida peaks tegema?

Turvaveast mõjutatud Linuxi kasutajad peaks uuendama tarkvara esimesel võimalusel.

WordPressi Elementor-nimelise pistikprogrammi turvanõrkus ohustab vähemalt ühte miljonit veebilehte

Turvanõrkus CVE-2023-32243 avastati pistikprogrammis Essential Addons for Elementor, mida kasutab vähemalt üks miljon WordPressi veebilehte. Turvavea tõttu võib ründaja saada haavatavas süsteemis kõrgendatud õigused. Turvanõrkus mõjutab pistikprogrammi versioone 5.4.0 kuni 5.7.1 (BC).

Kes ja mida peaks tegema?

Kõik veebilehe haldurid, kes mainitud pistikprogrammi kasutavad, peaksid esimesel võimalusel uuendama selle versioonile 5.7.2, kus viga on parandatud.

RIA analüüsi- ja ennetusosakond

Olulised turvanõrkused 2022. aasta 52. nädalal


Tuhanded Citrixi serverid on haavatavad kriitiliste turvanõrkuste vastu

Tuhanded Citrixi ADC ja Gateway lahendused on endiselt haavatavad kahe kriitilise turvanõrkuse vastu. Esimene turvanõrkus CVE-2022-27510 (9.8/10.0) parandati 2022. aasta 8. novembril ja teine haavatavus CVE-2022-27518 (9.8/10.0) 13. detsembril. Esimest on ründajal võimalik ära kasutada selleks, et saada volitamata ligipääs haavatavale seadmele ning see üle võtta. Teise abil saab süsteemis käivitada pahaloomulist koodi, mille kaudu on võimalik samuti haavatav seade kompromiteerida. Samuti märgitakse, et ründajad on aktiivselt otsinud seadmeid, mis on haavatavad CVE-2022-27518 vastu (BP, SA).

Kes ja mida peaks tegema?

CVE-2022-27510 turvanõrkuse kohta leiate lisainformatsiooni siit.
CVE-2022-27518 turvanõrkuse kohta leiate lisainformatsiooni siit.

Citrixi ADC ja/või Gateway lahenduste kasutamise korral tutvuge ülal viidatud tootjapoolse informatsiooniga, et tuvastada, kas teie süsteemid on haavatavad. Vajadusel uuendage tarkvara kõige uuemale versioonile.

Netgear paikas WiFi ruuteritel kõrge mõjuga haavatavuse

Netgear paikas turvanõrkuse, mis mõjutab mitmeid Wireless AC Nighthawk, Wireless AX Nighthawk (WiFi 6) ja Wireless AC ruuterite mudeleid. Turvaviga võimaldab nii seadme töö häirimist kui ka pahatahtliku koodi käivitamist ning on hinnatud skooriga 7.4/10. Tootja ei ole jaganud täpsemaid detaile turvanõrkuse olemuse ega toimimisviisi kohta (BP, SA).

Kes ja mida peaks tegema?

Tabeli, mis sisaldab haavatavaid ruuterite mudeleid, leiate siit. Kui te haavatavaid seadmeid kasutate, soovitame uuendada tarkvara tabelis viidatud versioonile. Sellisel kujul haavatavus seadmetele ohtu ei kujuta.

Kriitiline haavatavus Linuxi kernelis võimaldab teatud SMB- serverites koodi kaugkäitust

Linuxi kernelis peitub kriitiline turvanõrkus (10.0/10.0), mille kaudu saavad autentimata ründajad käivitada teatud SMB-serverites pahatahtliku koodi. Haavatavad on serverid, mis kasutavad ksmbd moodulit. Turvanõrkus avastati tänavu juulis, kuid avalikustati 22. detsembril (ZDI, SA).

Kes ja mida peaks tegema?

Kõikidel, kes kasutavad SMB-servereid koos ksmbd mooduliga, tuleks uuendada Linuxi kernel versioonile 5.15.61 või uuemale versioonile. Sellisel juhul haavatavus ohtu ei kujuta.

Uus Linuxi pahavara ründab aegunud WordPressi pluginaid kasutavaid veebilehti

Uus pahavara kuritarvitab turvanõrkuseid aegunud WordPressi pluginates ja teemades, et paigaldada pahaloomuline JavaScript neid kasutavatele veebilehtedele. Pahavara sihib nii 32-bitiseid kui ka 64-bitiseid Linuxi süsteeme ja see võimaldab käivitada erinevaid käsklusi kompromiteeritud Linuxi süsteemides. Pahavara kasutamise eesmärgiks on aga aegunud WordPressi pluginaid ja teemasid kasutavate veebilehtede ründamine (BP).

Nimekiri WordPressi pluginatest ja teemadest, mida pahavara üritab rünnata:

o WP Live Chat Support Plugin
o WordPress – Yuzo Related Posts
o Yellow Pencil Visual Theme Customizer Plugin
o Easysmtp
o WP GDPR Compliance Plugin
o Newspaper Theme on WordPress Access Control (CVE-2016-10972)
o Thim Core
o Google Code Inserter
o Total Donations Plugin
o Post Custom Templates Lite
o WP Quick Booking Manager
o Facebook Live Chat by Zotabox
o Blog Designer WordPress Plugin
o WordPress Ultimate FAQ (CVE-2019-17232 and CVE-2019-17233)
o WP-Matomo Integration (WP-Piwik)
o WordPress ND Shortcodes For Visual Composer
o WP Live Chat
o Coming Soon Page and Maintenance Mode
o Hybrid
o Brizy WordPress Plugin
o FV Flowplayer Video Player
o WooCommerce
o WordPress Coming Soon Page
o WordPress theme OneTone
o Simple Fields WordPress Plugin
o WordPress Delucks SEO plugin
o Poll, Survey, Form & Quiz Maker by OpinionStage
o Social Metrics Tracker
o WPeMatico RSS Feed Fetcher
o Rich Reviews plugin

Kui pahavaral õnnestub edukalt ülal viidatud aegunud pluginate ja/või teemade haavatavusi ära kasutada, laaditakse juhtserverist alla vajalik pahaloomuline JavaScript ja paigaldatakse see sihtmärgiks valitud veebilehele. Nakatunud lehti võib ründaja siis näiteks kasutada andmepüügiks, pahavara levitamiseks või reklaamitulu saamiseks.

Kes ja mida peaks tegema?

Kui te kasutate enda veebilehel ülal viidatud pluginaid või teemasid, veenduge, et need oleksid uuendatud. Tarkvara regulaarne uuendamine on oluline, kuna uuendused paikavad tihti turvanõrkuseid, mida ründajatel on võimalik ära kasutada.

Riiklike sidemetega rühmitused kasutavad küberrünnakutes üha aktiivsemalt XLL-faile

Hiljutisest Cisco Talose analüüsist selgus, et APT-d (advanced persistent threat) kasutavad süsteemide kompromiteerimiseks VBA makrode asemel üha rohkem pahaloomulisi XLL-faile. XLL-faile kasutatakse tavaliselt Exceli lisandmoodulite ja teatud funktsionaalsuste puhul. Muudatuse lähenemisviisis tingis analüüsi hinnangul asjaolu, et Microsoft blokeeris eelmisel aastal vaikimisi VBA makrode kasutamise Office’i failides, mis on internetist alla laaditud (HN).

Analüüsi põhjal on hiljuti XLL-faile kasutatud AveMaria ja Ducktaili pahavara jagamiseks. AveMaria on troojan-tüüpi pahavara, mis lisatakse manusena tihti ka Eesti inimestele saadetud pahaloomulistele kirjadele. Ducktail on aga nuhkvara, mida kasutatakse veebilehitsejasse salvestatud sessiooniküpsiste ja kasutajatunnuste varastamiseks.

Pikemalt saab analüüsiga tutvuda siin.

Kes ja mida peaks tegema?

Soovitame alati tähelepanelikult jälgida, milliseid faile teile e-kirjadega saadetakse ja kahtluse korral neid mitte avada. RIA kirjutas eelmisel ka aastal ülevaatliku blogipostituse, mida pahaloomuliste e-kirjade puhul tähele panna. Soovitame sellega samuti tutvuda.


RIA analüüsi- ja ennetusosakond

Olulised turvanõrkused 2022. aasta 48. nädalal

Lahtine tabalukk

Java raamistikus Quarkus avastati kriitiline turvaviga

Quarkus on avatud lähtekoodiga Java raamistik, mis on mõeldud Java virtuaalmasinate jaoks. Haavatavust CVE-2022-4116 on hinnatud kriitilisuse skooriga 9.8/10.0 ja selle abil on ründajal võimalik potentsiaalselt käivitada pahaloomulist koodi masinas, milles jookseb Quarkuse Dev UI. Selleks peab ohver külastama veebilehte, mis sisaldab pahaloomulist JavaScripti koodi. Sellest tulenevalt võivad ründajad ühe ründevektorina saata Quarkust kasutavatele arendajatele veebilingi, millel klikkides suunatakse ohver pahaloomulist Javascripti sisaldavale veebilehele. Ründe tagajärjel on ründajal potentsiaalselt võimalik masinasse paigaldada muuhulgas näiteks nuhkvara, mis kasutaja(te) klahvivajutusi salvestab (SW, Quarkus).

Kes ja mida peaks tegema?

Selleks, et turvanõrkust ei oleks võimalik ära kasutada, tuleb arendajatel ja/või teenuseomanikel, kelle rakendused/teenused kasutavad Quarkuse raamistiku, veenduda, et kasutatakse Quarkuse versiooni 2.14.2 Final või 2.13.5 Final. Sellisel juhul haavatavus ohtu ei kujuta. Kui uuendamine ei ole võimalik, siis on Quarkus kirjutanud siin ka täpsemalt ühest alternatiivsest vastumeetmest, mida saab sellisel juhul kasutada.

Google paikas ühe Chrome’i nullpäeva turvanõrkuse

Google paikas Chrome’il selle aasta üheksanda nullpäeva turvanõrkuse, mille abil oli ründajal võimalik potentsiaalselt käivitada pahaloomulist koodi ohvri masinas. CVE-2022-4262 jaoks on Google’i hinnangul olemas ka eksploit. Ettevõte ei ole turvavea kohta jaganud täpsemaid detaile, et vähendada selle kuritarvitamist (Google).

Kes ja mida peaks tegema?

Kui te kasutate Chrome’i veebilehitsejat, uuendage see esimesel võimalusel. Chrome peaks uuendused rakendama automaatselt. Kui automaatne uuendamine ei ole lubatud, saate parandusega tarkvaraversiooni rakendada ka manuaalselt. Juhised, kuidas seda  teha, leiate siit.

NVIDIA paikas turvanõrkused videokaartide draiverites

Ettevõte paikas 29 turvanõrkust, mis olid seotud Windowsi ja Linuxi GPU draiveritega (BP, NVIDIA). Seitse turvanõrkust hinnati kõrge kriitilisuse tasemega. Kaks kõige kriitilisemat nõrkust on järgnevad:

CVE-2022-34669 (8.8/10.0) – Haavatavus võimaldab koodi kaugkäitust, õiguste suurendamist, informatsioonile ligipääsemist ja teenusekatkestusi. Turvanõrkust on võimalik lokaalselt kuritarvitada. CVE-2022-34669 võib pakkuda ründajatele viise, kuidas pahavara kõrgema taseme õigustes käivitada, sest üldjuhul kasutavad videokaardi draiverid operatsioonisüsteemis kõrgendatud õiguseid. Seetõttu võib see potentsiaalselt kujutada suurt ohtu mõjutatud süsteemidele.

CVE-2022-34671 (8.5/10.0) – Haavatavus võimaldab sooritada koodi kaugkäitust, üritada süsteemis õigusi suurendada õiguste, ligi pääseda informatsioonile, millele ei peaks ligi pääsema või viia süsteem olukorrani, kus see ei tööta. Turvanõrkust on võimalik ründajal kaugelt kuritarvitada. Haavatavuse kriitilisuse skoor on võrreldes CVE-2022-34669 turvaveaga hinnatud madalamaks, kuna seda on keerulisem edukalt ära kasutada.

Kes ja mida peaks tegema?

Kui te kasutate NVIDIA graafikakaarte, soovitame tutvuda ettevõtte veebilehega siin ja veenduda, et te ei ole turvanõrkuste vastu haavatav. Samalt veebilehelt leiate ka juhised, kuidas mõjutatud draiverid uuendada.

Turvanõrkus võimaldas avada mitmete autode uksi ja neid käivitada

Kübereksperdid avastasid SiriusXM-nimelisest tarkvarast turvanõrkuse, mille abil oli neil võimalik häkkida erinevate autotootjate mudeleid, mis vastavat tarkvara kasutasid. Täpsemalt leidsid nad, et turvanõrkuse abil oli neil võimalik erinevate autode puhul, mis olid toodetud peale 2015. aastat ja mis haavatavat tarkvara kasutasid, muuhulgas lukustada/avada uksi või käivitada auto, teades ainult auto VIN-koodi. Leid illustreerib seda, kuidas autode sõltuvus erinevatest tarkvaralahendustest võib muuta need üha ihaldusväärsemateks sihtmärkideks ründajatele. Turvanõrkus parandati tarkvaratootja sõnul kiiresti ja ühtegi reaalset intsidenti nende sõnul ei toimunud (BP).

RIA analüüsi- ja ennetusosakond