Tag Archives: Microsoft

Olulisemad turvanõrkused 2024. aasta 26. nädalal

Google Chrome parandas neli kriitilist haavatavust

Google andis välja neli Chrome’i turbeuuendust, parandamaks turvanõrkused tähistega CVE-2024-6290 kuni CVE-2024-6293. Haavatavused mõjutavad populaarse brauseri Dawni ja Swiftshaderi komponente. Ettevõtte ei maininud, kas haavatavusi on rünnete läbiviimisel proovitud ära kasutada, ent soovitame uuendada Chrome’i esimesel võimalusel. Google Chrome tuleks Windowsi ja macOSi kasutajatel uuendada versioonile 126.0.6478.126/127 ja Linuxi kasutajatel versioonile 126.0.6478.126 (SW).

Juniper Networks paikas kriitilise turvavea

Juniper Networks paikas kriitilise turvavea tähisega CVE-2024-2973, mis võimaldab ründajal autentimisest mööda minna ja saada kontroll seadme üle. Viga on paigatud Session Smart Routeri versioonides 5.6.15, 6.1.9-lts ja 6.2.5-sts ning WAN Assurance Routersi versioonides SSR-6.1.9 ja SSR-6.2.5.

Kuna Juniperi seadmed ja haavatavused on varasemalt olnud ründajate sihtmärgiks, siis soovitame tarkvara uuendada niipea kui võimalik. Näiteks eelmisel aastal rünnati sama ettevõtte haavatavusi, mis mõjutasid EXi lüliteid ja SRXi tulemüüre (BC, Juniper).

Apple paikas AirPodside turvanõrkuse, mis võimaldab pealtkuulamist

Turvaviga tähisega CVE-2024-27867 mõjutab Apple Airpodsi kõrvaklappide versioone AirPods (2nd generation ja uuemad), AirPods Pro, AirPods Max, Powerbeats Pro ja Beats Fit Pro. Turvavea eduka ärakasutamise korral võib ründaja võltsida ühendatavat Bluetoothi seadet ja saada ligipääsu ohvri kõrvaklappidele ning seejärel kõnesid pealt kuulata. Kõigil Apple’i kõrvaklappide kasutajatel tuleks tarkvara uuendada. Haavatavuse parandamiseks tuleks rakendada AirPodsi tarkvara uuendus 6A326 või 6F8 ja Beatsi tarkvara uuendus 6F8 (HN, Apple).

Rünnak nimega GrimResource kasutab võrkude murdmiseks MSC-faile ja Windows XSS-i viga

GrimResource’i rünnak algab pahatahtliku MSC (Microsoft Saved Console)-failiga, mis kasutab ära juba aastast 2018 teada olevat XSS-i haavatavust ‘apds.dll’ teegis. MSC (.msc) failitüüpi kasutatakse Microsofti halduskonsoolis (MMC) operatsioonisüsteemi haldamiseks või tööriistade kohandatud vaadete loomiseks. Ründajate levitatav pahatahtlik MSC-fail sisaldab StringTable-viidet haavatavale APDS-i ressursile ning kui sihtmärk selle avab, on võimalik käivitada URL-i kaudu suvalist JavaScripti (BC).

Ollama tehisintellekti infrastruktuuri tööriistas avastati kriitiline koodi kaugkäivitamist võimaldav haavatavus

Ollama on teenus suurte keelemudelite (LLM) pakendamiseks, juurutamiseks ja käitamiseks Windowsi, Linuxi ja macOSi seadmetes. Kriitiline haavatavus tähisega CVE-2024-37032 võimaldab ründajal kirjutada üle suvalisi serveris olevaid faile ning kaugkäivitada koodi. Viga on paigatud tarkvara versioonis 0.1.34 (HN).

Kriitiline GitLabi turvaviga võimaldab ründajal saada kõrgemad õigused

Kriitiline GitLabi turvaviga mõjutab teatud GitLab Community ja Enterprise Editioni tooteid ning võimaldab kasutajal saada kõrgemad õigused. Turvanõrkus tähisega CVE-2024-5655 on hinnatud kriitilise CVSS skooriga 9.6/10. Haavatavus mõjutab GitLabi versioone CE/EE alates 15.8 kuni 16.11.4, 17.0.0 kuni 17.0.2 ja 17.1.0 kuni 17.1.0. Viga on parandatud GitLabi versioonides 17.1.1, 17.0.3 ja 16.11.5. Lisaks nimetatud haavatavusele paigati veel 13 turvaviga, millest kolm on hinnatud suure mõjuga nõrkuseks. GitLab soovitab kõigil kasutajatel uuendada tarkvara esimesel võimalusel (BC). 

Olulisemad turvanõrkused 2024. aasta 24. nädalal

Microsoft paikas oma toodetes 51 haavatavust

Microsoft parandas kokku 51 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvanõrkustest on vaid üks hinnatud kriitilise mõjuga veaks.

Paigati ka üks nullpäeva turvanõrkus tähisega CVE-2023-50868, mis on seotud DNSSECi valideerimisega. Lisaks paigati seitse turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

Adobe paikas kriitilised turvavead oma tarkvarades

Adobe paikas oma toodetes kokku 166 turvaviga. Näiteks parandati üle kümne kriitilise ja olulise turvavea tarkvarades Adobe Commerce, Magento Open Source ja Adobe Commerce Webhooks Plugin.

Lisaks paigati ka mitmeid haavatavusi, mis mõjutavad tarkvarasid Adobe Photoshop, Adobe Audition, Adobe Media Encoder, Adobe FrameMaker Publishing Server, Adobe Commerce, Adobe ColdFusion, Adobe Substance 3D Stager, Adobe Creative Cloud Desktop ja Adobe Acrobat Android.

Ettevõte hoiatab, et turvanõrkuste ärakasutamine võib kaasa tuua suvalise koodi käivitamise Windowsi ja macOSi platvormidel. Adobe’i teatel pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).

Nvidia paikas suure mõjuga GPU-draiverite turvanõrkused

NVIDIA avalikustas turvauuendused, millega parandatakse kokku kümme haavatavust GPU-draiverite ja virtuaalse GPU (vGPU) tarkvarades. Nende hulgas on suure mõjuga vead, mis võimaldavad ründajal koodi käivitada, teenuse tööd häirida ja õigustega manipuleerida. Vead mõjutavad nii Windowsi kui ka Linuxi operatsioonisüsteeme. Turvavead on paigatud GPU-draiveri tarkvara versioonides R555, R550, R535 ja R470 ning kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik (SW, Nvidia).

Fortinet paikas FortiOSi koodi käivitamise turvavea

Fortinet paikas oma toodetes mitmeid haavatavusi, mille hulgas ka suure mõjuga koodi käivitamise viga tähisega CVE-2024-23110. Ettevõtte sõnul võimaldab turvaviga autentimata ründajal suvalist koodi või käsklusi käivitada. Viga mõjutab FortiOSi versioone 6.x ja 7.x ning on parandatud FortiOS versioonides 6.2.16, 6.4.15, 7.0.14, 7.2.7 ja 7.4.3.

Ettevõte parandas ka keskmise mõjuga haavatavuse  tähisega CVE-2024-26010, mis mõjutab tarkvarasid FortiOS, FortiProxy, FortiPAM ja FortiSwitchManager. Selle kaudu on samuti võimalik ründajatel kaugelt suvalist koodi või käsklusi käivitada.

Soovitame kõigil Fortineti toodete kasutajatel tarkvara uuendada, kuna varasemalt on nende tarkvarade turvanõrkused olnud tihti ründajate sihtmärgiks (SW).

Apple paikas Vision Pro turvanõrkuse

Apple paikas eelmisel nädalal visionOSi turvanõrkuse tähisega CVE-2024-27812, mis mõjutab nende Vision Pro virtuaalreaalsuse peakomplekti. Tegemist võib olla esimese haavatavusega, mis taolisi seadmeid mõjutab. Nimetatud turvaviga koos paljude teistega on paigatud visionOSi versioonis 1.2.

VisionOS 1.2 parandab peaaegu kaks tosinat turvaauku. Suurem osa neist mõjutab komponente, mida visionOS jagab teiste Apple’i toodetega, nagu iOS, macOS ja tvOS. Haavatavused võivad kaasa tuua suvalise koodi käivitamise, teabe avaldamise, õigustega manipuleerimise ja teenuste tõkestamise (SW, Apple).

Google hoiatab Pixeli nutiseadmete turvanõrkuse eest

Google andis välja turvauuenduse, millega paigatakse 50 haavatavust Pixeli seadmetes. Ettevõtte teatel on nende hulgas ka nullpäeva turvanõrkus tähisega CVE-2024-32896, mida on õnnestunud rünnetes ära kasutada. Turvaviga võimaldab õigustega manipuleerida ja seda on hinnatud kõrge mõjuga haavatavuseks.

Google on märkinud, et nad näevad turvavea ärakasutamist sihitud rünnetes. Lisaks nimetatud nullpäeva turvaveale paigati veel mitmeid kriitilisi haavatavusi.

Turvauuendus on saadaval järgmistele Pixeli seadmetele: Pixel 5a with 5G, Pixel 6a, Pixel 6, Pixel 6 Pro, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 8, Pixel 8 Pro, Pixel 8a ja Pixel Fold. Kõigil kasutajatel soovitatakse Pixeli seadmed uuendada versioonile 2024-06-05 (BC, HN, Android).

Ivanti turvanõrkusele avaldati kontseptsiooni tõendus

Teadurid avalikustasid kontseptsiooni tõenduse (proof-of-concept), mis näitab kuidas on võimalik Ivanti Endpoint Manageri tarkvaras olevat turvaviga tähisega CVE-2024-29824 rünnetes ära kasutada. Tõenäoliselt suurendab see rünnete arvu, mis nimetatud haavatavust ära kasutavad.

Haavatavus võimaldab autentimata ründajal käivitada pahaloomulisi SQLi käsklusi ja on seetõttu hinnatud kriitilise CVSS skooriga 9.8/10. Turvaveale on olemas parandus juba maikuust. Sel aastal on avalikuks tulnud mitmeid Ivanti nullpäeva turvanõrkusi ja ründajad on need ka korduvalt sihikule võtnud. Seetõttu soovitame kõigil Ivanti toodete kasutajatel tarkvara uuendada esimesel võimalusel (DR).

ASUS paikas ruuterites kriitilise turvavea

Turvaviga tähisega CVE-2024-3080 on hinnatud kriitilise CVSS skooriga 9.8/10, kuna see võimaldab ründajal autentimisest mööda minna. Turvaviga mõjutab seitset ASUSe ruuterit: XT8 (ZenWiFi AX XT8), XT8_V2 (ZenWiFi AX XT8 V2), RT-AX88U, RT-AX58U, RT-AX57, RT-AC86U ja RT-AC68U. Lisaks paigati veel teine kriitiline haavatavus tähisega CVE-2024-3912, mille kaudu on võimalik pahaloomulist tarkvara üles laadida.

Ettevõte soovitab kõigil ASUSe ruuterite kasutajatel tarkvara uuendada. Kui see ei ole võimalik, siis tuleks tagada, et konto ja WiFi-paroolid oleksid tugevad (SA, BC).

Olulisemad turvanõrkused 2024. aasta 20. nädalal

iOS 17.5 paikab 15 turvanõrkust

Apple avaldas uue iOSi versiooni, milles on parandatud 15 haavatavust. Vead mõjutavad erinevaid rakendusi: Find My, Maps, Notes, Screenshots, Shortcuts, WebKit jt.

Lisaks avaldati ka turvauuendused vanematele iPhone’i ja iPadi seadmetele – mõjutatud on iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation. Turvavead on paigatud tarkvarades iOS 16.7.8, iPadOS 16.7.8 ja macOS Ventura 13.6.7.

Sel aastal on juba kolme Apple’i turvanõrkust õnnestunud kuritarvitada ja seetõttu soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada (9to5mac, Apple, BC).

Google paikas kolmanda Chrome’i nullpäeva turvanõrkuse nädala jooksul

Möödunud nädalal tuli Google Chrome’i veebilehitsejas avalikuks lausa kolm nullpäeva turvanõrkust. Ettevõtte teatel on turvavigasid tähistega CVE-2024-4947, CVE-2024-4671 ja CVE-2024-4761 õnnestunud rünnete läbiviimisel ära kasutada. Sel aastal on Chrome’is avastatud kokku juba seitse nullpäeva turvanõrkust. Kõigil kasutajatel tuleks uuendada Chrome uusimale versioonile 125.0.6422.60 (SA, BC).

Adobe paikas oma tarkvarades kriitilisi vigu

Adobe paikas kokku 35 haavatavust, mis mõjutavad tarkvarasid Adobe Acrobat ja Reader, Adobe Illustrator, Adobe Substance 3D Painter ning Adobe Aero. Mitmed parandatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada. Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud. Kuna kriitilised turvavead mõjutavad ka laialdaselt kasutusel olevaid Adobe Acrobat ja Reader tarkvarasid, siis on oluline tarkvara värskendada. Lisatud lingil on nimekiri kõigist Adobe tarkvarade turvauuendustest (SW).

VMware paikab Pwn2Owni häkkimisvõistlusel leitud haavatavused

VMware paikas neli turvanõrkust (CVE-2024-22267, CVE-2024-22268, CVE-2024-22269 ja CVE-2024-22270), mis võimaldavad ründajal pahatahtlikku koodi käivitada, teenuseid tõkestada ja saada ligipääsu tundlikule infole. Turvavead mõjutavad VMware’i tooteid Workstation (versioonid 17.x) ja Fusion (versioonid 13.x). Haavatavused on paigatud  nimetatud tarkvarade versioonides 17.5.2 ja 13.5.2. Nendel, kel ei ole võimalik tarkvara uuendada, soovitab tootja virtuaalmasinas Bluetoothi toe välja lülitada ja 3D-funktsioon keelata (SW, HN).

Microsoft paikas Windowsi nullpäeva turvanõrkuse

​Microsoft on parandanud nullpäeva haavatavuse, mida kasutati QakBoti ja muude pahavarade levitamiseks Windowsi süsteemidesse. QakBoti on seostatud vähemalt 40 lunavararündega, mis on suunatud ettevõtete, tervishoiuteenuste osutajate ja riigiasutuste vastu üle kogu maailma.

Turvanõrkuse CVE-2024-30051 eduka ära kasutamise korral sai ründaja süsteemitaseme õigused. Kokku paigati 61 turvaviga, mille hulgas oli kolm nullpäeva turvanõrkust ja 27 koodi kaugkäivitamist võimaldavat viga. Ainult üks paigatud viga on hinnatud kriitiliseks ning see mõjutab Microsoft Office SharePointi tarkvara (BC, BC).

Intel paikas oma toodetes 90 turvaviga

Kõige tõsisema mõjuga on kriitiline turvaviga tähisega CVE-2024-22476, mida on hinnatud maksimaalse CVSS skooriga 10/10 ja mille kaudu on võimalik saada kaugteel kõrgemad õigused. Suuremale osale haavatavustest on olemas turvapaigad, aga mõnele on pakutud ka leevendavaid meetmeid. Enamik turvavigadest võib kaasa tuua privileegide suurenemise, teenuste tõkestamise või tundliku teabe avalikustamise (SW).

D-Linki ruuterid on haavatavad seadme ülevõtmise veale

HNAP-i protokolli turvaviga mõjutab D-Linki ruutereid ja annab autentimata ründajale võimaluse juurõigustes pahaloomulisi käske käivitada. Teadurid avaldasid nullpäeva turvanõrkusele kontseptsiooni tõenduse, mis näitab, kuidas nimetatud haavatavust on võimalik ära kasutada. Turvaviga mõjutab D-Linki DIR-X4860 ruutereid ja selle kaudu on võimalik seade üle võtta. Hetkel ei ole veel haavatavusele olemas parandust, samuti ei ole ruuteri tootja vastanud midagi turvavea avastajale. Mõjutatud seadmete kasutajatel on võimalik kaugjuurdepääsu haldusliides ära keelata, et turvanõrkuse mõju vältida.

D-Linki seadmetes olevad vead võivad olla suureks turvariskiks. Varasemalt on teada, et neid on kasutatud nii robotvõrgustike loomiseks kui ka tundlike andmete varastamiseks. Lisaks on ettevõte ise sattunud küberründe ohvriks, mille käigus paljastati nende lähtekood ja klientide andmed (DR, SSD, BC).