Tag Archives: Microsoft

Olulisemad turvanõrkused 2024. aasta 20. nädalal

iOS 17.5 paikab 15 turvanõrkust

Apple avaldas uue iOSi versiooni, milles on parandatud 15 haavatavust. Vead mõjutavad erinevaid rakendusi: Find My, Maps, Notes, Screenshots, Shortcuts, WebKit jt.

Lisaks avaldati ka turvauuendused vanematele iPhone’i ja iPadi seadmetele – mõjutatud on iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation. Turvavead on paigatud tarkvarades iOS 16.7.8, iPadOS 16.7.8 ja macOS Ventura 13.6.7.

Sel aastal on juba kolme Apple’i turvanõrkust õnnestunud kuritarvitada ja seetõttu soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada (9to5mac, Apple, BC).

Google paikas kolmanda Chrome’i nullpäeva turvanõrkuse nädala jooksul

Möödunud nädalal tuli Google Chrome’i veebilehitsejas avalikuks lausa kolm nullpäeva turvanõrkust. Ettevõtte teatel on turvavigasid tähistega CVE-2024-4947, CVE-2024-4671 ja CVE-2024-4761 õnnestunud rünnete läbiviimisel ära kasutada. Sel aastal on Chrome’is avastatud kokku juba seitse nullpäeva turvanõrkust. Kõigil kasutajatel tuleks uuendada Chrome uusimale versioonile 125.0.6422.60 (SA, BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas kokku 35 haavatavust, mis mõjutavad tarkvarasid Adobe Acrobat ja Reader, Adobe Illustrator, Adobe Substance 3D Painter ning Adobe Aero. Mitmed parandatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada. Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud. Kuna kriitilised turvavead mõjutavad ka laialdaselt kasutusel olevaid Adobe Acrobat ja Reader tarkvarasid, siis on oluline tarkvara värskendada. Lisatud lingil on nimekiri kõigist Adobe tarkvarade turvauuendustest (SW).

VMware paikab Pwn2Owni häkkimisvõistlusel leitud haavatavused

VMware paikas neli turvanõrkust (CVE-2024-22267, CVE-2024-22268, CVE-2024-22269 ja CVE-2024-22270), mis võimaldavad ründajal pahatahtlikku koodi käivitada, teenuseid tõkestada ja saada ligipääsu tundlikule infole. Turvavead mõjutavad VMware’i tooteid Workstation (versioonid 17.x) ja Fusion (versioonid 13.x). Haavatavused on paigatud  nimetatud tarkvarade versioonides 17.5.2 ja 13.5.2. Nendel, kel ei ole võimalik tarkvara uuendada, soovitab tootja virtuaalmasinas Bluetoothi toe välja lülitada ja 3D-funktsioon keelata (SW, HN).

Microsoft paikas Windowsi nullpäeva turvanõrkuse

​Microsoft on parandanud nullpäeva haavatavuse, mida kasutati QakBoti ja muude pahavarade levitamiseks Windowsi süsteemidesse. QakBoti on seostatud vähemalt 40 lunavararündega, mis on suunatud ettevõtete, tervishoiuteenuste osutajate ja riigiasutuste vastu üle kogu maailma.

Turvanõrkuse CVE-2024-30051 eduka ära kasutamise korral sai ründaja süsteemitaseme õigused. Kokku paigati 61 turvaviga, mille hulgas oli kolm nullpäeva turvanõrkust ja 27 koodi kaugkäivitamist võimaldavat viga. Ainult üks paigatud viga on hinnatud kriitiliseks ning see mõjutab Microsoft Office SharePointi tarkvara (BC, BC).

Intel paikas oma toodetes 90 turvaviga

Kõige tõsisema mõjuga on kriitiline turvaviga tähisega CVE-2024-22476, mida on hinnatud maksimaalse CVSS skooriga 10/10 ja mille kaudu on võimalik saada kaugteel kõrgemad õigused. Suuremale osale haavatavustest on olemas turvapaigad, aga mõnele on pakutud ka leevendavaid meetmeid. Enamik turvavigadest võib kaasa tuua privileegide suurenemise, teenuste tõkestamise või tundliku teabe avalikustamise (SW).

D-Linki ruuterid on haavatavad seadme ülevõtmise veale

HNAP-i protokolli turvaviga mõjutab D-Linki ruutereid ja annab autentimata ründajale võimaluse juurõigustes pahaloomulisi käske käivitada. Teadurid avaldasid nullpäeva turvanõrkusele kontseptsiooni tõenduse, mis näitab, kuidas nimetatud haavatavust on võimalik ära kasutada. Turvaviga mõjutab D-Linki DIR-X4860 ruutereid ja selle kaudu on võimalik seade üle võtta. Hetkel ei ole veel haavatavusele olemas parandust, samuti ei ole ruuteri tootja vastanud midagi turvavea avastajale. Mõjutatud seadmete kasutajatel on võimalik kaugjuurdepääsu haldusliides ära keelata, et turvanõrkuse mõju vältida.

D-Linki seadmetes olevad vead võivad olla suureks turvariskiks. Varasemalt on teada, et neid on kasutatud nii robotvõrgustike loomiseks kui ka tundlike andmete varastamiseks. Lisaks on ettevõte ise sattunud küberründe ohvriks, mille käigus paljastati nende lähtekood ja klientide andmed (DR, SSD, BC).

Olulisemad turvanõrkused 2024. aasta 15. nädalal

Microsoft paikas oma toodetes 150 turvaviga

Microsoft parandas kokku 150 haavatavust, mille hulgas oli 67 koodi kaugkäivitamist võimaldavat turvaviga. Paigati ka 31 õigustega manipuleerimise viga ja 29 turvafunktsioonide viga. Parandatud haavatavustest on vaid kolm hinnatud kriitilise mõjuga veaks. Turvauuendusega paigati kaks nullpäeva haavatavust tähistega CVE-2024-26234 ja CVE-2024-29988, mida on ära kasutatud pahavara-rünnetes. Lisaks paigati ka viis turvaviga Microsoft Edge’i veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud linkidelt (BC, BC).

Cisco hoiatab turvavea eest ruuterites, mille tarkvara enam ei uuendata

Turvaviga tähisega CVE-2024-20362 mõjutab väikeettevõtete ruutereid RV016, RV042, RV042G, RV082, RV320 ja RV325, mille tootmine on lõpetatud ja mis ei saa enam turvapaiku. Haavatavust on võimalik autentimata ründajal kaugteel ära kasutada.

Cisco sõnul ei tea nad, et turvanõrkust oleks ära kasutatud, aga kuna haavatavusele ei ole ega tule turvaparandust, siis soovitatakse kasutajatel üle minna toetatud seadmetele. Varasemalt on rünnakutes kuritarvitatud Cisco võrguseadmeid, mille tootmine on lõpetatud.

Lisaks paigati Cisco toodetes ka mitmeid teisi haavatavusi, näiteks parandati kõrge mõjuga turvaviga Nexus Dashboard Fabric Controlleris (NDFC) (SW, Cisco).

Fortinet paikas oma toodetes mitmeid haavatavusi

Fortinet parandas oma toodetes tosin turvaviga, mille hulgas oli ka FortiClientLinuxi tarkvaras olev kriitilise mõjuga koodi kaugkäivitamise viga tähisega CVE-2023-45590 (CVSS skoor 9,4). Eduka ründe korral võib autentimata ründaja käivitada suvalist koodi ja suunata FortiClientLinuxi kasutaja spetsiaalselt loodud pahaloomulisele veebilehele.

Viga mõjutab järgmisi FortiClientLinux versioone:

  • FortiClientLinux 7.2.0,
  • FortiClientLinux 7.0.6 kuni 7.0.10,
  • FortiClientLinux 7.0.3 kuni 7.0.4.

Viga on paigatud alates tarkvara versioonidest 7.0.11 ja 7.2.1.

Lisaks väljastati ka turvauuendus FortiOSi ja FortiProxy tarkvaradele. Kuna Fortineti tooted on olnud tihti ründajate sihtmärgiks, siis soovitame tarkvara uuendada nii kiiresti kui võimalik (SA, CISA).

Üle 90 000 LG nutiteleri võib kaugründe alla sattuda

Bitdefenderi teadurid avastasid neli haavatavust, mis mõjutavad LG nutitelerites kasutatava operatsioonisüsteemi WebOS mitut versiooni. Vead võimaldavad volitamata juurdepääsu ja kontrolli mõjutatud seadmete üle, sealhulgas autoriseerimisest möödaminekut, õiguste suurendamist ja käskude sisestamist.

Vead mõjutavad järgmisi webOSi versioone ja telerimudeleid:

  • webOSi versioonid 4.9.7 kuni 5.30.40, teler LG43UM7000PLA,
  • webOSi versioonid 04.50.51 kuni 5.5.0, teler OLED55CXPUA,
  • webOSi versioonid 0.36.50 kuni 6.3.3-442, teler OLED48C1PUB,
  • webOSi versioonid 03.33.85 kuni 7.3.1-43, teler OLED55A23LA.

Shodani monitooringu andmeil on enam kui 91 000 LG nutitelerit internetile avatud ja turvavea tõttu ohus.

Ehkki LG telerid hoiatavad kasutajaid, kui olulised WebOSi värskendused on saadaval, saab neid määramata ajaks edasi lükata. Seetõttu peaksid nimetatud LG telerite kasutajad ise üle vaatama, kas telerile pakutakse tarkvarauuendust. Seda saab teha, kui avada teleri menüüs “Seaded” – “Tugi” – “Tarkvaravärskendus” ja valida „Otsi värskendusi”.

Teleris oleva turvanõrkuse kaudu võib saada kurjategija ligipääsu teistele võrgus olevatele seadmetele, samuti erinevatele kasutajakontodele (näiteks Youtube, Netflix vms) ja lisaks on võimalik, et seadet kasutatakse ära robotvõrgustikus, mis aitab kaasa teenusetõkestusrünnete läbiviimisele (BC, TR).

Tuhandetele WordPressi veebilehtedele on lisatud krüptoraha varastav pahavara

Ligi 2000 häkitud WordPressi veebilehte kuvavad külastajatele võltsitud NFT (non-fungible token ehk unikaalvara) ja allahindluste hüpikaknaid. Kasutajad meelitatakse oma krüptorahakotti pahavaraga ühendama ja kui see õnnestub, siis varastatakse kogu kasutaja krüptoraha. Selleks, et vältida oma digitaalsete varade kaotamist küberkurjategijatele, tuleks alati üle kontrollida ja ühendada oma krüptorahakott ainult usaldusväärsete platvormidega. Eriti ettevaatlik tasub olla just hüpikakendega, mis pakuvad erinevaid investeerimisvõimalusi või soodustusi (BC).

Palo Alto Networks hoiatab kriitilise haavatavuse eest

Palo Alto PAN-OSi GlobalProtecti tarkvaras tuvastati turvaviga tähisega CVE-2024-3400, mis on hinnatud kriitilise CVSS skooriga 10/10. Turvanõrkus võimaldab autentimata ründajal koodi kaugkäivitada juurkasutaja õigustes.

Nimetatud turvanõrkust on teadaolevalt ka juba alates 26. märtsist küberrünnakutes kuritarvitatud ning selle kaudu on saadud ligipääs sisemistele võrkudele, andmetele ja mandaatidele.

Haavatavus mõjutab PAN-OSi versioone 10.2, 11.0 ja 11.1. Turvapaigad said avalikuks 14. aprillil. Soovitame kõigil PAN-OSi kasutajatel uuendada tarkvara versioonidele 10.2.9-h1, 11.0.4-h1 ja 11.1.2-h3 (SW, BC, SW).

Olulisemad turvanõrkused 2024. aasta 11. nädalal

Illustratsioon: palju pisikesi tehnilisi detaile, keskel suuremalt avatud ekraaniga sülearvuti ning monitor

100 000 WordPressi veebilehte on turvanõrkuse tõttu ohus

Kõrge mõjuga turvanõrkus CVE-2024-2123 mõjutab pistikprogrammi “Ultimate member” ning eduka ründe korral on võimalik haavatud veebilehele pahaloomulisi skripte sisestada. Turvaauku on võimalik ära kasutada ründajal, kellel ei ole lehel õigusi. Ründe läbiviimisel saab ta endale administraatoriõigused lisada.

“Ultimate member” võimaldab WordPressi administraatoril hallata kasutajate registreeringuid, sisselogimisi, profiile ja rolle.

Pistikprogrammi kasutab umbes 200 000 WordPressi veebilehte ja eeldatavasti on pooled neist paikamata versiooniga. Viga on parandatud tarkvara versioonis 2.8.4. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada (SW).

Microsoft paikas oma toodetes 60 haavatavust

Microsoft parandas kokku 60 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvavigadest on vaid kaks haavatavust hinnatud kriitilise mõjuga veaks – need mõlemad mõjutavad Microsoft Hyper-V virtualiseerimislahendust.  Turvavead tähistega CVE-2024-21407 ja CVE-2024-21408 võivad eduka ründe korral kaasa tuua koodi käivitamise ja teenuste tõkestamise. Lisaks paigati ka neli turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud linkidelt. Ükski parandatud turvavigadest ei olnud nullpäeva turvanõrkus (BCSA).

TeamCity turvanõrkuseid kasutatakse ära lunavararünnete läbiviimisel

Märtsi alguses tulid avalikuks turvavead TeamCity tarkvaras, mille kaudu on võimalik autentimisest mööda minna ja saada ohvri serveris administraatoriõigused. Kirjutasime neist haavatavustest ka siin blogis.

Turvavea avastasid Rapid7 teadurid, kes avalikustasid haavatavuste täpsema tehnilise info vaid paar tundi pärast seda, kui tarkvaratootja JetBrains oli jõudnud vead paigata. See aga tõi kaasa ründelaine – kohe pärast vea avalikustamist võtsid ründajad need sihikule ja hakkasid otsima turvapaikamata tarkvarasid.

LeakIX-nimeline projekt, mis otsib veebist haavatavaid ja valesti konfigureeritud süsteeme, nägi massilist turvavigade ärakasutamist. Nende hinnangul lõid petturid kontosid vähemalt 1400 korral. Lisaks kasutas TeamCity haavatavust tähisega CVE-2024-27198 ligipääsu saamiseks ka lunavararühmitus nimega BianLian, kes on varem rünnanud kriitilise infrastruktuuri taristut.

JetBrains on ka ise öelnud, et mitmed nende kliendid on teavitanud kompromiteeritud serveritest ja krüpteeritud failidest (SW, GS, TR).

QNAP paikas NAS-seadmete kriitilise mõjuga turvanõrkuse

QNAP paikas kriitilise turvavea tähisega CVE-2024-21899, mille kaudu on ründajal võimalik saada ligipääs NAS-seadmele. Ettevõtte sõnul mõjutab haavatavus QTS, QuTS hero ja QuTScloud tooteid. Lisaks paigati ka turvavead tähistega CVE-2024-21900 ja CVE-2024-21901, mis võivad kaasa tuua pahaloomulise koodi käivitamise. QNAP ei maini oma teavituses, et turvanõrkusi oleks õnnestunud rünnete läbiviimisel ära kasutada, kuid QNAP-toodete turvavead on varem olnud rünnete all ja seetõttu on kõigil kasutajatel soovitatav tarkvara uuendada (SW).

Fortinet paikas taas oma toodetes kriitilisi haavatavusi

Fortinet avaldas turvauuenduse, millega paigatakse FortiOSi, FortiProxy ja FortiClientEMSi tarkvarades olevad kriitilised koodi käitamise haavatavused. Turvaviga tähisega CVE-2023-42789 on hinnatud kriitilise CVSS skooriga 9.3/10 ja selle kaudu on võimalik saata kompromiteeritud seadmele pahaloomulisi HTTP-päringuid. Viga mõjutab Fortineti FortiOSi versioone 7.4.0 kuni 7.4.1, 7.2.0 kuni 7.2.5, 7.0.0 kuni 7.0.12, 6.4.0 kuni 6.4.14, 6.2.0 kuni 6.2.15 ning FortiProxy versioone 7.4.0, 7.2.0 kuni 7.2.6, 7.0.0 kuni 7.0.12, 2.0.0 kuni 2.0.13.

Lisaks paigati ka teine kriitiline turvaviga CVE-2023-48788, mis võimaldab ründajal käivitada SQLi käske. Viga mõjutab FortiClientEMS versioone 7.2 ja 7.0. Kõigil Fortineti toodete kasutajatel tuleks tarkvara uuendada. Fortineti haavatavusi on ära kasutatud nii lunavararünnakute kui ka küberspionaaži läbiviimisel. Näiteks avaldas Fortinet veebruaris, et Hiina päritolu rühmitus on kasutanud just FortiOSi turvavigasid ning saanud nende abil ligipääsu Hollandi kaitseministeeriumi võrgule (SA, BC).

Cisco paikas ruuterite turvavead

Cisco paikas mitmeid haavatavusi ruuterite tarkvaras. Nende hulgas oli kolm kõrge mõjuga turvaviga, mis mõjutavad Cisco IOS XR tarkvara ja võivad kaasa tuua nii õigustega manipuleerimise kui ka teenuste tõkestamise.

Kõrge mõjuga turvavead on tähistega CVE-2024-20318, CVE-2024-20320 ja CVE-2024-20327. Vead mõjutavad erinevaid Cisco ruuterite seeriaid – näiteks Cisco 8000 ja 5700 seeria, NCS 540 ja ASR 9000. Turvavead on parandatud IOS XR tarkvara uues versioonis (SA, Cisco).