Tag Archives: Microsoft

Olulised turvanõrkused 2023. aasta 19. nädalal

Microsoft paikas kaks nullpäeva turvanõrkust

Microsoft paikas oma toodetes mitukümmend haavatavust, mille hulgas oli ka kaks nullpäeva turvanõrkust.

Esimene neist tähisega CVE-2023-29336 on seotud Win32k draiveriga ning eduka ründe korral on ründajal võimalik saada selle abil kontroll kogu haavatava süsteemi üle. Microsoft ei ole avaldanud infot selle kohta, et turvaviga oleks rünnetes ära kasutatud. Viga mõjutab Windows 10, Windows Server 2008, 2012 ja 2016 operatsioonisüsteemide kasutajaid.

Teine nullpäeva turvanõrkus tähisega CVE-2023-24932 lubab ründajal aga Secure Booti turvalahendusest mööda pääseda. Seda haavatavust võib ründaja ära kasutada, et kindlustada kompromiteeritud seadme üle püsiv kontroll. CVE-2023-24932 kuritarvitamiseks on vaja kõrgendatud õiguseid või füüsilist ligipääsu haavatavale seadmele. Microsoft on täpsemalt sellest turvanõrkusest ja parandusmeetmetest kirjutanud siin (SW, DR, Microsoft).

Kes ja mida peaks tegema?

Nimekirja kõikidest turvanõrkustest koos mõjutatud tarkvaradega leiate siit. Haavatavad tarkvarad soovitame uuendada esimesel võimalusel.

SAP paikas kaks kriitilist turvanõrkust

SAP paikas 18 turvaviga. Nende hulgas oli kaks turvanõrkust, mis on hinnatud kriitiliseks ehk hindega 9/10 või kõrgemalt. Kriitilised turvavead mõjutavad SAPi tarkvarasid 3D Visual Enterprise License Manager ja BusinessObjects. Kõige kriitilisem turvaviga CVE-2021-44152 võimaldab autentimata ründajal muuta ära mõne teise kasutajakonto parooli. Teine haavatavus tähisega CVE-2023-28762 koondab tegelikult mitut turvaviga, mis on seotud volitamata ligipääsuga erinevat sorti teabele. CVE-2023-28762 mõjutab SAPi tarkvara BusinessObjects Intelligence Platform. Turvavigadele on olemas parandus (SW, SAP).

Kes ja mida peaks tegema?

Uuendage mõjutatud SAPi tarkvarad esimesel võimalusel. Lisainfot maikuu turvaparanduste kohta leiate ettevõtte kodulehelt.

Linuxi Netfilteri viga võimaldab ründajal saada juurõigused

Turvanõrkuse CVE-2023-32233 abil on ründajal võimalik omandada haavatavas süsteemis juurõigused ja saada seeläbi täielik kontroll süsteemi üle. Netfilter on pakettide filtreerimise ja võrguaadresside teisendamise (NAT) raamistik, mis on Linuxi kernelisse integreeritud. Haavatavus mõjutab mitmeid Linuxi kerneli versioone, nende seas ka versiooni 6.3.1. Turvanõrkuse kuritarvitamiseks on ründajal vaja siiski saada esmalt lokaalne ligipääs haavatavale seadmele.

Turvanõrkusele on loodud ka kontseptsiooni tõendus (proof-of-concept ehk PoC), mida on hetkel jagatud vaid Linuxi kerneli arendajatega, kuid mis on lubatud 15. mail avalikustada(BC, SA).

Kes ja mida peaks tegema?

Turvaveast mõjutatud Linuxi kasutajad peaks uuendama tarkvara esimesel võimalusel.

WordPressi Elementor-nimelise pistikprogrammi turvanõrkus ohustab vähemalt ühte miljonit veebilehte

Turvanõrkus CVE-2023-32243 avastati pistikprogrammis Essential Addons for Elementor, mida kasutab vähemalt üks miljon WordPressi veebilehte. Turvavea tõttu võib ründaja saada haavatavas süsteemis kõrgendatud õigused. Turvanõrkus mõjutab pistikprogrammi versioone 5.4.0 kuni 5.7.1 (BC).

Kes ja mida peaks tegema?

Kõik veebilehe haldurid, kes mainitud pistikprogrammi kasutavad, peaksid esimesel võimalusel uuendama selle versioonile 5.7.2, kus viga on parandatud.

RIA analüüsi- ja ennetusosakond

Olulised turvanõrkused 2023. aasta 15. nädalal

Microsoft paikas 97 haavatavust

Microsoft paikas uuenduste teisipäeva raames 97 haavatavust, sealhulgas ühe aktiivselt kuritarvitatud nullpäeva turvanõrkuse (CVE-2023-28252). CVE-2023-28252 abil on ründajatel võimalik saada kompromiteeritud süsteemis kõrgendatud õigused. Parandatud haavatavuste seas on seitse koodi kaugkäitust võimaldavat kriitilist turvanõrkust, nendest üks on seotud MSMQ teenusega (CVE-2023-21554). CVE-2023-21554 haavatavust on lihtne ära kasutada ja selle tagajärjed võivad olla tõsised (BP).

Kes ja mida peaks tegema?

Nimekirja kõikidest turvanõrkustest koos mõjutatud tarkvaradega leiate siit. Haavatavad tarkvarad soovitame uuendada esimesel võimalusel.

11. aprillist puudub Exchange Serveri 2013 tootjapoolne tugi

RIA tuletab meelde, et 11. aprillist ei toeta Microsoft enam Exchange Server 2013 tarkvara. See tähendab seda, et see tarkvara ei saa vea- ega turvaparandusi, mille tõttu võib ründajatel ajapikku olla lihtsam Exchange Server 2013 kasutavatele süsteemidele ligi pääseda. Samuti kaotasid 11. aprillil tootjapoolse toe Skype for Business 2015 ja MS Office 2013. Kui te neid tarkvarasid endiselt kasutate, soovitab RIA tungivalt üle minna uuemate lahenduste peale. Täpsemalt saate antud teema kohta lugeda siit ja RIA kodulehelt.

Chrome’il paigati nullpäeva turvanõrkus

Google parandas Chrome’i uue versiooniga 112.0.5615.121 selle aasta esimese nullpäeva turvanõrkuse (CVE-2023-2033), mida on rünnakutes juba ka ära kasutatud. Turvanõrkus mõjutab Windowsile, macOSile ja Linuxile mõeldud Chrome’i sirvikuid. Tavaliselt on võimalik antud tüüpi haavatavusega ainult veebilehitseja töö peatada, kuid teatud juhtudel saab sellega käivitada ohustatud seadmetes ka pahaloomulist koodi (BP, Chrome).

Kes ja mida peaks tegema?

Kui te Chrome’i kasutate, uuendage see esimesel võimalusel. Juhised selleks leiate siit.

Viie aasta jooksul nakatati pahavaraga vähemalt miljon WordPressi veebilehte

Sucuri uurimus paljastas, et viie aasta jooksul kompromiteeriti erinevate pistikprogrammide ja teemade haavatavuste kaudu vähemalt miljon WordPressi veebilehte. Kui ründajatel õnnestus pahaloomuline kood veebilehele lisada, suunas see lehe külastajad ümber erinevatele petulehtedele. Pahaloomulisi skripte kasutati ka veebilehega seotud logide uurimiseks, kasutajatunnuste varastamiseks ja teisteks pahaloomulisteks tegevusteks (Sucuri).

Kes ja mida peaks tegema?

Konkreetne uurimus näitab taas, et tarkvarade uuendamine on väga oluline. Seetõttu soovitab RIA regulaarselt kontrollida, kas tarkvaradele pakutakse uuendusi. Kui jah, rakendage need esimesel võimalusel.

SAP paikas kaks kriitilist turvanõrkust

SAP avalikustas turvauuendused, mis sisaldavad parandusi muuhulgas kahele kriitilisele haavatavusele (CVE-2023-27267, CVE-2023-28765). Need mõjutavad SAP Diagnostics Agenti ja SAP BusinessObjects Business Intelligence platvorme. Nende turvanõrkuste abil on ründajatel võimalik süsteeme ja kasutajakontosid üle võtta (BP).

Kes ja mida peaks tegema?

Kui te kasutate mõjutatud tooteid, veenduge, et need oleksid uuendatud. Lisainfot leiate ettevõtte kodulehelt.

Adobe paikas enda toodetel 56 haavatavust

Adobe paikas enda toodetes vähemalt 56 turvanõrkust, millest mõne abil on saavad ründajad käivitada pahaloomulist koodi. Kriitilisemad haavatavused mõjutavad Adobe Acrobati ja Readeri tarkvarasid. Turvavead lubavad samuti süsteemis õigusi suurendada ja turvafunktsioonidest mööda pääseda (SW, Adobe).

Kes ja mida peaks tegema?

Kui te kasutate mõjutatud tarkvarasid, uuendage need esimesel võimalusel.

Fortineti tarkvara haavatavus võimaldab andmebaasidele ligi pääseda

Eelmisel nädalal teavitas Fortinet, et FortiPresence’i tarkvara mõjutab kriitiline haavatavus (CVE-2022-41331). Turvanõrkuse kaudu võib ründaja teoreetiliselt ligi pääseda andmebaasidega seotud süsteemidele (Redis, MongoDB). Ründajal on võimalik haavatavust ära kasutada kaugelt, samuti ei ole vaja tal end selleks autentida.  Lisaks paikas Fortinet enda erinvatel toodetel ka palju teisi turvanõrkuseid (SW).

Kes ja mida peaks tegema?

CVE-2022-41331 mõjutab FortiPresence’i versioone 1.0, 1.1 ja 1.2 ning see on paigatud versioonis 2.0.0. Nimekirja kõikidest parandatud nõrkustest leiate siit.


RIA analüüsi- ja ennetusosakond

Olulised turvanõrkused 2023. aasta 13. nädalal

Apple paikas WebKiti nullpäeva turvanõrkuse ka vanemates seadmetes

Eelmisel kuul avalikustati ja paigati nullpäeva turvanõrkus (CVE-2023-23529) uuematel iPhone’i nutitelefonidel ja iPadi tahvelarvutitel. Nüüd on see turvapaik saadaval ka vanematele mudelitele. Apple’i kinnitusel on haavatavust kuritarvitatud ning ründajatel on võimalik kompromiteeritud seadmes käivitada pahatahtlikku koodi (BP).

Kes ja mida peaks tegema?

Turvaviga on parandatud iOSi ja iPadOSi versioonides 15.7.4, mida pakutakse järgnevatele mudelitele:

iPhone 6s;
iPhone 7;
iPhone SE (esimene generatsioon);
iPad Air 2;
iPad mini (neljas generatsioon);
iPod touch (seitsmes generatsioon).

Soovitame kõigil, kes mainitud seadmeid kasutavad, uus versioon esimesel võimalusel rakendada.

Apple parandas uute iOSi, iPadOSi ja macOSi versioonidega mitukümmend turvaviga

Apple avalikustas iOS-ist ja iPad OS-ist uue versiooni tähisega 16.4, mis parandab 33 haavatavust. Samuti avalikustati uued macOSi versioonid. MacOS Ventura 13.3 parandab peaaegu 60 haavatavust, macOS Monterey 12.6.4 ja Big Sur 11.7.5 aga enam kui 25 haavatavust. Mõned parandatud vead on üsna tõsised, kuigi teadaolevalt pole ühtegi haavatavust rünnakutes ära kasutatud. Märkimisväärsemad vead on seotud Safari brauseri WebKiti tarkvaraga ja ka iPhone’i operatsioonisüsteemi kerneliga. Kaks kerneliga seotud nõrkust CVE-2023-27969 ja CVE-2023-27933 võivad lubada ründajal koodi käivitada (SW).

Kes ja mida peaks tegema?

Kui te kasutate tooteid, mis kasutavad iOSi, iPad OSi või macOSi, kontrollige uuenduste olemasolu ja rakendage need esimesel võimalusel.

WordPressi pistikprogrammi turvanõrkus ohustab miljoneid veebilehti

WordPressi pistikprogrammil Elementor Pro avastati kõrge mõjuga haavatavus, mida aktiivselt kuritarvitatakse. Autentitud ründaja saab turvanõrkust ära kasutada administraatorikonto loomiseks, mille abil on teoreetiliselt võimalik haavatav veebileht täielikult üle võtta. Turvaviga mõjutab veebilehte, kui kasutatakse Elementor Pro nimelist pistikprogrammi koos WooCommerce’i lahendusega (SA, NinTechNet).

Kes ja mida peaks tegema?

Kõik Elementor Pro pistikprogrammid, mis kasutavad versiooni 3.11.6 või vanemat, on haavatavad. Kui te seda pistikprogrammi kasutate, uuendage see esimesel võimalusel kõige uuemale versioonile.

WiFi protokolli viga võimaldab ründajatel võrguliiklust pealt kuulata

IEEE 802.11 WiFi protokolli standardis avastati turvanõrkus. Nimelt sisaldab IEEE 802.11 standard energiasäästumehhanisme, mis võimaldavad WiFi-seadmetel energiat säästa, puhverdades või seades järjekorda puhkeolekus olevate seadmete jaoks mõeldud andmeid. Standard ei anna aga selgeid juhiseid nende järjekorras olevate andmete turvalise haldamise kohta ega sea piiranguid, näiteks seda, kui kaua võivad andmed selles olekus püsida. Turvaviga mõjutab nii Linuxi, FreeBSD, iOSi kui ka Androidi seadmeid ning võimaldab kaaperdada TCP ühendusi või veebiliiklust pealt kuulata. Täpsem nimekiri mõjutatud seadmetest ja ülevaade turvanõrkusest on viidatud lingil (BC).

Microsoft paikas Azure’i mõjutanud turvanõrkuse

Microsoft parandas konfiguratsioonivea, mis mõjutas Azure Active Directory pääsuhaldusteenust. Turvaviga võimaldas mitmetel rakendustel volitamata juurdepääsu. Üks neist rakendustest oli sisuhaldussüsteem, mis toetab Bingi otsingumootorit. Vea abil ei olnud mitte ainult võimalik muuta otsingutulemusi, vaid käivitada ka suure mõjuga XSS-rünnakuid Bingi kasutajate vastu. Selliste rünnakute abil oleks olnud võimalik kompromiteerida kasutajate isikuandmeid, sealhulgas Outlooki e-kirju ja SharePointi dokumente (HN). 


RIA analüüsi- ja ennetusosakond