Tag Archives: lunavara

Olulisemad turvanõrkused 2024. aasta 23. nädalal

Atlassian paikas suure mõjuga Confluence’i turvavea

Atlassiani tarkvarad Confluence Data Center ja Server on haavatavad suure mõjuga koodi kaugkäivitamise veale tähisega CVE-2024-21683. Viga on hinnatud CVSS skooriga 8.3/10 ja mõjutab kõiki Confluence Data Centeri versioone alates 5.2 kuni 8.9.0.

Turvaviga on võrdlemisi lihtne ära kasutada, kuna see ei vaja kasutajapoolset tegevust, kuid see ei ole hinnatud kriitiliseks, sest enne edukat rünnet on vaja täita mitu eeltingimust:

  • ründaja peab olema Confluence’i sisse logitud;
  • ründajal peab olema piisavalt õigusi, et lisada uusi makrokeeli;
  • pahatahtlikku koodi sisaldav JavaScripti fail tuleb üles laadida kindlasse jaotisesse (Configure Code Macro > Add a new language).

Haavatavus on paigatud Confluence Data Centeri versioonides 8.9.1, 8.5.9 LTS ja 7.19.22 LTS.

Veale on juba avaldatud ka kontseptsiooni tõendus ja seetõttu on eriti oluline kõigil kasutajatel tarkvara uuendada esimesel võimalusel. On tõenäoline, et nimetatud haavatavus satub peagi rünnete sihtmärgiks (HNS, SW).

Androidi seadmetes paigati 37 haavatavust

Androidi nutiseadmetes paigati 37 turvaviga, nende hulgas oli ka mitu kõrge mõjuga haavatavust, mis võivad kaasa tuua õigustega manipuleerimise. Hetkel teadaolevalt ei ole õnnestunud neid turvanõrkusi kuritarvitada. Soovitame Androidi nutiseadmete tarkvara uuendada siiski esimesel võimalusel. Pixeli ega Pixel Watchi seadmetes sel kuul haavatavusi ei parandatud. (SW, Android)

Zyxel paikas turvanõrkused NAS-seadmetes

Zyxel paikas viis kriitilist turvaviga NAS-seadmetes, mis on jõudnud oma kasutusea lõppu. Haavatavused mõjutavad NAS326 seadmeid tarkvara versiooniga V5.21(AAZF.16)C0 ja vanemad ning NAS542 seadmeid tarkvara versiooniga V5.21(ABAG.13)C0 ja vanemad.

Vead on paigatud tarkvara versioonides V5.21(AAZF.17)C0 ja V5.21(ABAG.14)C0. Eduka ründe korral võib autentimata kasutaja käivitada operatsioonisüsteemi käske ja suvalist koodi (HN).

Rünnakud Check Pointi VPNi vastu on tõusnud pärast nullpäeva haavatavuse avalikustamist

Mõned nädalad tagasi tuli avalikuks Check Pointi VPNi nullpäeva turvanõrkus, mida on nüüdseks aktiivselt ära kasutatud. Tegemist on suure mõjuga turvanõrkusega, mille kaudu on võimalik saada ligipääs tundlikule infole ja domeeni administraatori õigused.

Üks monitooringufirma nägi, et eelmisel nädalal prooviti haavatavust tähisega CVE-2024-24919 rünnata enam kui 780-lt erinevalt IP-aadressilt.

Turvanõrkus mõjutab Check Pointi CloudGuard Networki, Quantum Maestro, Quantum Scalable Chassisi, Quantum Security Gateway ja Quantum Sparki seadmete erinevaid tarkvara versioone. Kõik mõjutatud tooted on IPsec VPN-funktsiooniga Check Pointi turvalüüsid. WatchTowri teadurite hinnangul on viga lihtne leida ja väga lihtne ära kasutada, kuna selleks ei ole vaja eriõigusi ega kasutajapoolset sekkumist.

Check Point soovitab kõigil oma klientidel tarkvara uuendada (DR).

PHP paikas kriitilise turvavea, mis võimaldab koodi kaugkäivitada

Teadurid avastasid kriitilise koodi kaugkävitamise turvavea tähisega CVE-2024-4577 PHP-programmeerimiskeeles. Haavatavus mõjutab miljoneid servereid üle maailma ja võimaldab autentimata ründajal saada kontroll serveri üle. Turvaviga esineb kõigis PHP versioonides alates 5.x.

Erinevad küberturbega tegelevad ettevõtted on juba oma monitooringutes näinud katseid turvavea kuritarvitamiseks. Turvaveale on ka avaldatud kontseptsiooni tõendus, mis tõenäoliselt suurendab ründekatseid. Kuna tegemist on väga laialdaselt kasutusel oleva programmeerimiskeelega, siis võib eeldada, et turvauuenduste rakendamine võtab kaua aega ja suur hulk süsteeme on veel pikalt rünnakute suhtes haavatavad.

Turvaveale on olemas parandus alates 6. juunist ja kõigil kasutajatel soovitatakse PHP uuendada versioonidele 8.3.8, 8.2.20 ja 8.1.29. Kui ei ole võimalik tarkvara uuendada, siis on olemas ka leevendavad meetmed, mis on kirjeldatud lisatud lingil (SA, BC).

Synnovisi lunavararünnak häiris Londoni haiglate tööd

Mitmed Londoni suuremad haiglad kuulutasid välja kriitilise intsidendi pärast seda, kui küberrünnak tõi kaasa operatsioonide katkestamise ja erakorraliste patsientide mujale suunamise. Intsident mõjutas haiglaid, mille partneriks on Synnovis, kes pakub neile patoloogiateenuseid. Synnovist tabas lunavararünnak, mistõttu pidid haiglad end oma teenuspakkuja serverite küljest lahti ühendama.

NHSi (National Health Service) sõnul kiirabi ja erakorraline meditsiiniabi pakkumine jätkub, kuid nende töö on samuti häiritud, sest kiire vereanalüüsi teenus ei ole saadaval.

Ühendkuningriigi küberameti National Cyber Security Centre’i (NCSC) sõnul on ründe taga Vene päritolu küberrühmitus (BBC, BC, BC).

Olulisemad turvanõrkused 2024. aasta 19. nädalal

Androidi Xiaomi seadmetes avastati mitu turvaauku

Androidi kasutavate Xiaomi seadmete erinevates rakendustes ja süsteemikomponentides leiti 20 turvaviga. Turvaaukude ärakasutamine võib kaasa tuua erinevad pahaloomulised tegevused ja ligipääsu seadmes olevatele failidele ning kontoandmetele.

Turvavead mõjuvad järgmisi rakendusi ja komponente:

  • Gallery (com.miui.gallery)
  • GetApps (com.xiaomi.mipicks)
  • Mi Video (com.miui.videoplayer)
  • MIUI Bluetooth (com.xiaomi.bluetooth)
  • Phone Services (com.android.phone)
  • Print Spooler (com.android.printspooler)
  • Security (com.miui.securitycenter)
  • Security Core Component (com.miui.securitycore)
  • Settings (com.android.settings)
  • ShareMe (com.xiaomi.midrop)
  • System Tracing (com.android.traceur)
  • Xiaomi Cloud (com.miui.cloudservice)

Xiaomi seadmete kasutajatel soovitatakse uuendada tarkvara (HN, OS).

Citrix paikas kõrge mõjuga turvanõrkuse

Citrix parandas turvanõrkuse, mis mõjutab NetScaler ADC ja Gateway seadmeid. Uut turvaviga võrreldakse eelmisel aastal avalikuks tulnud haavatavusega, mida nimetati “CitrixBleed”, kuna ka selle kaudu on võimalik autentimata ründajal saada ligipääs tundlikule infole. Küll aga ei ole uus turvaviga nii suure mõjuga. Kõigil kasutajatel soovitatakse NetScaler uuendada versioonile 13.1-51.15 või veel värskemale (DR, BF).

Häkkerid on võtnud sihikule WordPressi pistikprogrammi

Turvanõrkus (CVE-2023-40000) mõjutab pistikprogrammi Litespeed Cache ja selle kaudu on võimalik saada administraatoriõigused ning kontroll veebilehe üle. Viga on paigatud juba eelmisel aastal, kuid endiselt kasutab ligi kaks miljonit veebilehte turvanõrkusega versiooni.

Viimasel ajal on näha olnud mitmeid katseid nimetatud turvavea kuritarvitamiseks – häkkerid skaneerivad võrku ja otsivad veebilehti, mis kasutavad pistikprogrammi turvapaikamata versiooni. Ohus on kõik veebilehed, mis kasutavad Litespeed Cache’i versiooni 5.7.0.1 või vanemat.

Soovitame kõigil WordPressi veebilehtede administraatoritel pistikprogramme regulaarselt uuendada. Samuti tasuks jälgida, et lehele ei oleks loodud uusi administraatorikontosid ja mittevajalikud komponendid oleks eemaldatud (BC).

Enam kui 50 000 Tinyproxy serverit on ohus kriitilise turvavea tõttu

Ligikaudu 52 000 internetile avatud Tinyproxy serverit on haavatavad turvavea tõttu, mis võimaldab pahaloomulist koodi kaugkäivitada. Haavatavus tähisega CVE-2023-49606 on hinnatud kriitilise CVSS skooriga 9.8/10 ning see mõjutab Tinyproxy versioone 1.11.1 ja 1.10.0. Viga on paigatud versioonis 1.11.2. Kasutajatel soovitatakse tarkvara uuendada ja jälgida, et Tinyproxy teenus ei oleks internetis avalikult kättesaadav (BC, HN).

Androidi tarkvarauuendus parandab kriitilise vea

Androidi nutiseadmetes paigati 26 turvaviga, nende hulgas oli kriitiline haavatavus tähisega CVE-2024-23706, mis võib kaasa tuua õigustega manipuleerimise. Lisaks paigati ka haavatavusi Pixeli seadmetes. Soovitame Androidi nutiseadmete tarkvara uuendada esimesel võimalusel. Hetkel teadaolevalt ei ole õnnestunud haavatavusi kuritarvitada (SW, Android).

VPNi rakendused on haavatavad turvanõrkusele TunnelVision

Teadurid avastasid uue ründemeetodi, mis sai nimeks TunnelVision ja mille tõttu on pea kõik VPNi teenuste pakkujad ohus. TunnelVisioni abil suunatakse kogu võrguliiklus ümber ründaja kaudu, kes saab võrgus toimuvat liiklust nii jälgida, muuta kui ka katkestada. Teadurite sõnul mõjutab see kõiki VPNi rakendusi, juhul kui kasutaja ei tööta Linuxi või Androidiga. Ründetehnikat on olnud võimalik kasutada juba alates 2002. aastast. Leviathan Security veebilehele on lisatud nii ründemeetodit tutvustav video kui ka leevendavad meetmed (AT, LS).

Wichita linna tabas lunavararünnak

USAs asuvat Wichita linna tabas lunavararünnak, mistõttu oli linn sunnitud osa oma võrkudest lahti ühendama. 5. mail rünnati linna IT-süsteeme ja krüpteeriti need lunavaraga. Linna teatel läksid elutähtsad teenused, nagu politsei ja tuletõrje, üle „paberi ja pastakaga“ töötamisele. Rünnak mõjutas ka maksetega seotud teenuseid – internetis ei olnud võimalik maksta veearvete, kohtutrahvide ega ühistranspordi piletite eest. Hiljem selgus, et mõjutatud olid ka mitmed teised teenused, näiteks avalikud WiFi võrgud.

Rünnaku eest võttis vastutuse LockBiti-nimeline rühmitus, kes nõuab linnalt lunaraha maksmist 15. maiks. Vastasel juhul ähvardatakse varastatud andmed avalikustada (BC, BC).

Google paikas Chrome’i nullpäeva turvanõrkuse

Ettevõtte sõnul on turvaviga tähisega CVE-2024-4671 rünnetes juba ära kasutatud. Tegemist on viienda Chrome’i nullpäeva turvanõrkusega sel aastal. Soovitame uuendada Chrome’i uuele versioonile 124.0.6367.201 esimesel võimalusel (BC, Chrome).

Olulisemad turvanõrkused 2024. aasta 17. nädalal

Joonis: ahastuses arst töölaua taga, tema monitori ekraanil on lunavarateade.

Atlassian paikas mitmeid turvavigu oma toodetes

Atlassian parandas seitse kõrge mõjuga haavatavust, mis mõjutavad ettevõtte erinevaid tooteid nagu Bamboo Data Center, Confluence Data Center ja Jira. Eduka ründe korral on võimalik saada ligipääs ohvri süsteemidele ja Atlassiani tarkvarades olevale infole. Soovitame kõigil Atlassiani toodete kasutajatel uuendada tarkvara viimasele versioonile, kuna need on olnud varasemalt ründajate sihtmärkideks. Nimekirja parandatud haavatavustest ja turvapaigatud versioonidest leiab Atlassiani kodulehelt (Atlassian).

Cisco hoiatab: kaks nullpäeva turvanõrkust, mida on rünnete läbiviimisel ära kasutatud

Cisco hoiatas eelmisel nädalal, et riikliku taustaga küberrühmitused on ära kasutanud nende tarkvaras olevaid nullpäeva turvanõrkusi. Turvanõrkused tähistega CVE-2024-20353 ja CVE-2024-20359 mõjutavad Cisco tulemüüride tarkvarasid Adaptive Security Appliance (ASA) ja Firepower Threat Defense (FTD) ning nende kaudu on saadud ligipääs valitsusasutuste võrkudele. Ründeid on alustatud juba eelmise aasta juulis ning Cisco sai neist teada selle aasta jaanuaris.

Ettevõte avaldas turvauuendused ja kutsub kõiki kasutajaid esimesel võimalusel tarkvara uuendama. Ühtlasi soovitab Cisco kõigil administraatoritel vaadata üle süsteemi logid, kas seal on näha planeerimata taaskäivitusi, konfiguratsiooni muudatusi või õiguste lisamist. (BC).

Google paikas kriitilise turvanõrkuse Chrome’i veebilehitsejas

Google avaldas Chrome’i versiooni 124.0.6367.78 Windowsi, Maci ja Linuxi seadmetele, milles on paigatud neli turvaviga. Parandatud turvanõrkuste seas on ka kriitilise mõjuga haavatavus tähisega CVE-2024-4058 ja kaks kõrge mõjuga turvaviga. Kuna vähesed Chrome’i turvavead liigitatakse kriitiliseks, siis võib eeldada, et tegemist on kas koodi kaugkäivitamist võimaldava või liivakastist (sandbox) möödamineku veaga.

Ettevõte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada. Soovitame uuendada Chrome’i esimesel võimalusel (SW, Chrome).

MITRE avalikustas, et nende süsteemidesse saadi ligipääs Ivanti turvanõrkusi kasutades

MITRE Corporation andis teada, et nad sattusid riikliku taustaga küberrühmituse ohvriks. Rünne viidi läbi, kasutades Ivanti Connect Secure’i tarkvas olevaid nullpäeva turvanõrkusi. Veebruaris õnnetus ka ühe Eesti riigiasutuse võrku sisse tungida, kasutades Ivanti tarkvaras olnud haavatavusi. MITRE puhul saadi ligipääs nende uuringute ja prototüüpide jaoks loodud võrgule nimega „Nerve“. Ettevõtte turvalisusega tegelev üksus alustas viivitamatult intsidendi uurimist, eemaldas kurjategijate ligipääsud võrgust ja kaasas ka asutusevälised eksperdid.

MITRE vastu suunatud ründe käigus kasutati ära turvavigasid tähistega CVE-2023-46805 (CVSS skoor 8,2) ja CVE-2024-21887 (CVSS skoor: 9,1), mis võimaldasid ründajal autentimisest mööda minna ja seejärel nakatunud süsteemis suvalisi käske käivitada.

MITRE tegevjuhi sõnul ei ole ükski organisatsioon taolise küberründe eest lõplikult kaitstud, olenemata sellest, kui ranged turvanõuded on kasutusele võetud. Ettevõte jagas ka soovitusi, kuidas oma võrku kaitsta:

  • Monitoorige VPNi võrgus toimuvat liiklust ning jälgige, et seal midagi ebatavalist ei juhtuks.
  • Jälgige kasutajate tegevusi ja seal toimuvaid kõrvalekaldeid.
  • Segmenteerige võrguliiklus.
  • Jälgige, et ligipääs võrgule oleks piiratud ja toimuks regulaarne turvauuenduste paigaldamine (HN, SA, HNS).

Itaalia Synlab peatas pärast lunavararünnakut oma tegevuse

Synlabi Itaalia haru tabas lunavararünnak, mistõttu nad pidid kõik IT-süsteemid võrgust lahti ühendama. Seetõttu tuli ka ajutiselt peatada kõigi meditsiiniteenuste pakkumine, nende hulgas ka kõik laborianalüüsid ja proovivõtud.

Synlab on rahvusvaheline ettevõte, mis pakub tervishoiuteenuseid 30 riigis üle maailma, sealhulgas ka Eestis. Itaalias on Synlabi võrgustikus 380 laborit ja meditsiinikeskust. Hetkel soovitatakse klientidel suhelda vaid telefoni teel, kuna meililiiklus ei toimi tavapäraselt. Ettevõte proovib süsteeme taastada varukoopiast, kuid ei ole teada, kui kiiresti see õnnestub. Hetkel ei ole veel ükski lunavararühmitust võtnud ründe eest vastutust (BC).

Uus Androidi troojan võimaldab ründajatel saada kontroll kasutaja seadme üle

Teadurid avastasid uue Androidi panganduse troojani, mis suudab jäädvustada kõik seadmes toimuvad sündmused alates kasutaja tegevustest, kuvatavast teabest ja kasutaja käivitatavatest rakendustest.

Troojan nimetusega Brokewell võimaldab varastada nii tundlikke andmeid kui ka saada kontrolli kasutaja seadme üle. Brokewelli levitatakse võltsitud tarkvarauuenduste kaudu – näiteks võib kasutajale tunduda, et ta hakkab Chrome’i veebilehitsejat värskendama. Soovitame tarkvara alla laadida ainult ametlikest rakenduste poodidest – kas Google Play või App Store. Google on kinnitanud, et Google Play Protect kaitseb kasutajaid automaatselt selle pahavara teadaolevate versioonide eest (SW, BC).