Tag Archives: NVIDIA

Olulisemad turvanõrkused 2024. aasta 39. nädalal

Kriitilist turvanõrkust Ivanti Virtual Traffic Manageri tarkvaras kasutatakse ära

CISA andis teada, et Ivanti Virtual Traffic Manageri (vTM) kriitiline turvaviga tähisega CVE-2024-7593 (CVSS skoor 9.8) on aktiivsete rünnakute all. Turvanõrkus võimaldab ründajal luua võltsitud administraatorikontosid, mille kaudu rakendust kontrollida.

Ründepinna vähendamiseks soovitab Ivanti lubada vTM-i haldusliidesele ligipääsu IP-põhiselt, lisaks kontrollida revisjonlogi (Audit Log) kirjeid süsteemi võimaliku kompromiteerimise tuvastamiseks.

Turvauuendused on välja antud 19.08.2024, soovitame uuendada Ivanti vTM tarkvara uusimale versioonile (BC).

ESET paikas oma toodetes kaks õiguste vallutuse turvaviga

ESET paikas kaks haavatavust (CVE-2024-7400 ja CVE-2024-6654), mis võimaldavad õigustega manipuleerida.

Haavatavus CVE-2024-7400 (CVSS skooriga 7.3) esineb järgmistes toodetes:

  • ESET File Security for Microsoft Azure
  • ESET NOD32 Antivirus, ESET Internet Security, ESET Smart Security Premium, ESET Security Ultimate
  • ESET Small Business Security and ESET Safe Server
  • ESET Endpoint Antivirus and ESET Endpoint Security for Windows
  • ESET Server Security for Windows Server (formerly File Security for Microsoft Windows Server)
  • ESET Mail Security for Microsoft Exchange Server
  • ESET Mail Security for IBM Domino
  • ESET Security for Microsoft SharePoint Server

Haavatavus CVE-2024-6654 (CVSS skoor 6.8) esineb järgmistes toodetes:

  • ESET Cyber Security 7.0 – 7.4.1600.0
  • ESET Endpoint Antivirus for macOS 7.0 – 7.5.50.0

Mõlemad vead on paigatud ja kõigil ESETi toodete kasutajatel tuleks tarkvara uuendada (SA, ESET).

Aruba Networking parandas kolm kriitilist turvaviga

HPE Aruba Networking on parandanud kolm kriitilist haavatavust (CVE-2024-42505, CVE-2024-42506 ja CVE-2024-42507, kõigi CVSS skoor 9.8) Command Line Interface (CLI) teenuses, mis võimaldavad autentimata ründajatel haavatavates seadmetes koodi käivitada.

Vead mõjutavad Aruba Access Point seadmeid, mis kasutavad järgmisi tarkvara versioone:

  • AOS-10.6.x.x: 10.6.0.2 ja varasemad
  • AOS-10.4.x.x: 10.4.1.3 ja varasemad
  • Instant AOS-8.12.x.x: 8.12.0.1 ja varasemad
  • Instant AOS-8.10.x.x: 8.10.0.13 ja varasemad

29.09.2024 seisuga ei toimu aktiivseid rünnakuid, kuid tarkvara uuendused on väljas ja soovitame need esimesel võimalusel installeerida (BC).

Kriitiline turvaviga NVIDIA Container Toolkitis võimaldab hosti ülevõtmist

Turvanõrkus CVE-2024-0132 (CVSS skoor 9.0) on konteinerist põgenemise (container escape) nõrkus, mis võimaldab ründajal saada kontroll hosti üle, käivitada endale sobivat koodi või varastada andmeid.

Mõjutatud on järgmised tooteversioonid: NVIDIA Container Toolkit 1.16.1 ja varasemad, ja GPU Operator 24.6.1 ja varasemad.

Kasutajatel soovitatakse uuendada mõjutatud tarkvarad järgmistele versioonidele: NVIDIA Container Toolkit 1.16.2 ja NVIDIA GPU Operator 24.6.2 (BC).

Turvanõrkus OpenAI ChatGPT MacOS-i versioonis

Praeguseks parandatud turvanõrkus OpenAI ChatGPT MacOS-i versioonis võimaldas ründajal istutada tehisintellekti rakenduse mällu püsivat nuhkvara, mis võimaldas rakendusest saada kätte kogu info, mis kasutaja rakendusse sisestas või vastuseks sai. Soovitame kasutajatel uuendada ChatGPT MacOS-i tarkvara uusimale versioonile (HN)

Microsoft lõpetab tarkvara Windows Server Update Services (WSUS) arendamise

Microsoft andis teada, et lõpetab Windows Serveri ajakohastusteenuste (WSUS) edasiarendamise, kuid jätkab olemasoleva funktsionaalsuse pakkumist ja uuenduste avaldamist. Microsoft soovitab WSUS-i asemel võtta kasutusele pilvepõhised lahendused Windows Autopatch või  Microsoft Intune ja Azure Update Manager. (BC, Microsoft).

Olulisemad turvanõrkused 2024. aasta 24. nädalal

Microsoft paikas oma toodetes 51 haavatavust

Microsoft parandas kokku 51 haavatavust, mille hulgas oli 18 koodi kaugkäivitamist võimaldavat turvaviga. Parandatud turvanõrkustest on vaid üks hinnatud kriitilise mõjuga veaks.

Paigati ka üks nullpäeva turvanõrkus tähisega CVE-2023-50868, mis on seotud DNSSECi valideerimisega. Lisaks paigati seitse turvaviga Microsoft Edge veebilehitsejas. Täpsema nimekirja parandustest leiab lisatud lingilt (BC).

Adobe paikas kriitilised turvavead oma tarkvarades

Adobe paikas oma toodetes kokku 166 turvaviga. Näiteks parandati üle kümne kriitilise ja olulise turvavea tarkvarades Adobe Commerce, Magento Open Source ja Adobe Commerce Webhooks Plugin.

Lisaks paigati ka mitmeid haavatavusi, mis mõjutavad tarkvarasid Adobe Photoshop, Adobe Audition, Adobe Media Encoder, Adobe FrameMaker Publishing Server, Adobe Commerce, Adobe ColdFusion, Adobe Substance 3D Stager, Adobe Creative Cloud Desktop ja Adobe Acrobat Android.

Ettevõte hoiatab, et turvanõrkuste ärakasutamine võib kaasa tuua suvalise koodi käivitamise Windowsi ja macOSi platvormidel. Adobe’i teatel pole haavatavusi rünnete läbiviimisel veel kuritarvitatud (SW).

Nvidia paikas suure mõjuga GPU-draiverite turvanõrkused

NVIDIA avalikustas turvauuendused, millega parandatakse kokku kümme haavatavust GPU-draiverite ja virtuaalse GPU (vGPU) tarkvarades. Nende hulgas on suure mõjuga vead, mis võimaldavad ründajal koodi käivitada, teenuse tööd häirida ja õigustega manipuleerida. Vead mõjutavad nii Windowsi kui ka Linuxi operatsioonisüsteeme. Turvavead on paigatud GPU-draiveri tarkvara versioonides R555, R550, R535 ja R470 ning kasutajatel soovitatakse tarkvara uuendada niipea kui võimalik (SW, Nvidia).

Fortinet paikas FortiOSi koodi käivitamise turvavea

Fortinet paikas oma toodetes mitmeid haavatavusi, mille hulgas ka suure mõjuga koodi käivitamise viga tähisega CVE-2024-23110. Ettevõtte sõnul võimaldab turvaviga autentimata ründajal suvalist koodi või käsklusi käivitada. Viga mõjutab FortiOSi versioone 6.x ja 7.x ning on parandatud FortiOS versioonides 6.2.16, 6.4.15, 7.0.14, 7.2.7 ja 7.4.3.

Ettevõte parandas ka keskmise mõjuga haavatavuse  tähisega CVE-2024-26010, mis mõjutab tarkvarasid FortiOS, FortiProxy, FortiPAM ja FortiSwitchManager. Selle kaudu on samuti võimalik ründajatel kaugelt suvalist koodi või käsklusi käivitada.

Soovitame kõigil Fortineti toodete kasutajatel tarkvara uuendada, kuna varasemalt on nende tarkvarade turvanõrkused olnud tihti ründajate sihtmärgiks (SW).

Apple paikas Vision Pro turvanõrkuse

Apple paikas eelmisel nädalal visionOSi turvanõrkuse tähisega CVE-2024-27812, mis mõjutab nende Vision Pro virtuaalreaalsuse peakomplekti. Tegemist võib olla esimese haavatavusega, mis taolisi seadmeid mõjutab. Nimetatud turvaviga koos paljude teistega on paigatud visionOSi versioonis 1.2.

VisionOS 1.2 parandab peaaegu kaks tosinat turvaauku. Suurem osa neist mõjutab komponente, mida visionOS jagab teiste Apple’i toodetega, nagu iOS, macOS ja tvOS. Haavatavused võivad kaasa tuua suvalise koodi käivitamise, teabe avaldamise, õigustega manipuleerimise ja teenuste tõkestamise (SW, Apple).

Google hoiatab Pixeli nutiseadmete turvanõrkuse eest

Google andis välja turvauuenduse, millega paigatakse 50 haavatavust Pixeli seadmetes. Ettevõtte teatel on nende hulgas ka nullpäeva turvanõrkus tähisega CVE-2024-32896, mida on õnnestunud rünnetes ära kasutada. Turvaviga võimaldab õigustega manipuleerida ja seda on hinnatud kõrge mõjuga haavatavuseks.

Google on märkinud, et nad näevad turvavea ärakasutamist sihitud rünnetes. Lisaks nimetatud nullpäeva turvaveale paigati veel mitmeid kriitilisi haavatavusi.

Turvauuendus on saadaval järgmistele Pixeli seadmetele: Pixel 5a with 5G, Pixel 6a, Pixel 6, Pixel 6 Pro, Pixel 7, Pixel 7 Pro, Pixel 7a, Pixel 8, Pixel 8 Pro, Pixel 8a ja Pixel Fold. Kõigil kasutajatel soovitatakse Pixeli seadmed uuendada versioonile 2024-06-05 (BC, HN, Android).

Ivanti turvanõrkusele avaldati kontseptsiooni tõendus

Teadurid avalikustasid kontseptsiooni tõenduse (proof-of-concept), mis näitab kuidas on võimalik Ivanti Endpoint Manageri tarkvaras olevat turvaviga tähisega CVE-2024-29824 rünnetes ära kasutada. Tõenäoliselt suurendab see rünnete arvu, mis nimetatud haavatavust ära kasutavad.

Haavatavus võimaldab autentimata ründajal käivitada pahaloomulisi SQLi käsklusi ja on seetõttu hinnatud kriitilise CVSS skooriga 9.8/10. Turvaveale on olemas parandus juba maikuust. Sel aastal on avalikuks tulnud mitmeid Ivanti nullpäeva turvanõrkusi ja ründajad on need ka korduvalt sihikule võtnud. Seetõttu soovitame kõigil Ivanti toodete kasutajatel tarkvara uuendada esimesel võimalusel (DR).

ASUS paikas ruuterites kriitilise turvavea

Turvaviga tähisega CVE-2024-3080 on hinnatud kriitilise CVSS skooriga 9.8/10, kuna see võimaldab ründajal autentimisest mööda minna. Turvaviga mõjutab seitset ASUSe ruuterit: XT8 (ZenWiFi AX XT8), XT8_V2 (ZenWiFi AX XT8 V2), RT-AX88U, RT-AX58U, RT-AX57, RT-AC86U ja RT-AC68U. Lisaks paigati veel teine kriitiline haavatavus tähisega CVE-2024-3912, mille kaudu on võimalik pahaloomulist tarkvara üles laadida.

Ettevõte soovitab kõigil ASUSe ruuterite kasutajatel tarkvara uuendada. Kui see ei ole võimalik, siis tuleks tagada, et konto ja WiFi-paroolid oleksid tugevad (SA, BC).

Olulised turvanõrkused 2023. aasta 34. nädalal

Turvanõrkused Jupiter X Core WordPressi pistikprogrammis ohustavad veebilehti

Kaks haavatavust, mis mõjutavad WordPressi ja WooCommerce’i veebilehtede seadistamiseks mõeldud pistikprogrammi Jupiter X Core teatud versioone, võimaldavad kontode kaaperdamist ja haavatavasse süsteemi failide laadimist ilma autentimiseta.

Esimene haavatavus CVE-2023-38388 lubab faile ilma autentimiseta üles laadida, mis võib viia serveris suvalise koodi käivitamiseni.

Turvavea kriitilisuse tasemeks on märgitud 9.0/10.0 ja see mõjutab kõiki JupiterX Core’i versioone, mis on 3.3.5 või vanemad. Arendaja parandas haavatavuse pistikprogrammi versioonis 3.3.8.

Teine haavatavus CVE-2023-38389 võimaldab autentimata ründajatel võtta kontrolli suvalise WordPressi kasutajakonto üle tingimusel, et nad teavad kontoga seotud meiliaadressi. Haavatavuse kriitlisuse tasemeks on märgitud 9.8/10.0 ja see mõjutab kõiki Jupiter X Core’i versioone, mis on 3.3.8 või vanemad. Turvanõrkus on parandatud pistikprogrammi versioonis 3.4.3.

Kõigil pistikprogrammi kasutajatel soovitatakse tarkvara värskendada uusimale versioonile (BP, Patchstack).

Nutipirnide haavatavused võimaldavad häkkeritel varastada kasutajate WiFi-paroole

Catania ja Londoni ülikooli teadlased avastasid neli turvaauku, mis mõjutavad TP-Link Tapo L530E nutipirni ja mobiilirakendust TP-Link Tapo. Kuna teadlaste hinnangul on autentimine nõrgalt rakendatud, saab ründaja kontrollida kõiki Tapo seadmeid, mis kasutaja on sidunud enda Tapo kontoga. Samuti on tal võimalik haavatavuste abil teada saada ohvri WiFi parool, laiendades seeläbi enda häkkimisvõimalusi. Kõige kriitilisemat haavatavust on hinnatud skooriga 8.8/10.0. Teadlased jagasid enda uurimuse tulemusi ettevõttega, kes lubas haavatavused kõrvaldada. Lisaks tuleks teadlaste hinnangul avastatud leidude tõttu nõuda null-usaldusmudeli täielikumat rakendamist asjade interneti seadmete puhul (SA, DMI).

Üle 3000 Openfire’i serveri on haavatavad kriitilise turvanõrkuse vastu

Tuhanded Openfire’i serverid on ohus turvanõrkuse CVE-2023-3231 tõttu, mida on rünnete läbiviimisel ära kasutatud. Haavatavus võimaldab luua autentimata ründajal administraatorikontosid ja samuti haavatavatesse serveritesse pahaloomulisi pistikprogramme üles laadida. Openfire on laialdaselt kasutatav Java-põhine avatud lähtekoodiga sõnumivahetusserver (XMPP), mida on alla laetud üheksa miljonit korda. Viga on parandatud Openfire’i versioonides 4.6.8, 4.7.5 ja 4.8.0 (BP, VulnCheck).

Cisco paikas turvanõrkused, mis võivad kaasa tuua teenustõkestusründed

Cisco paikas oma toodetes kuus haavatavust, mille hulgas olid ka kõrge mõjuga vead NX-OS ja FXOS tarkvarades. Kõige suurema mõjuga on turvaviga tähisega CVE-2023-20200, mis võimaldab ründajal saata ohvri seadmele SNMP-päringuid ja põhjustada selle taaskäivitamise ning teenuse katkemise. Hetkel teadaolevalt ei ole haavatavusi ära kasutatud. Täpne nimekiri mõjutatud seadmetest on lisatud linkidel (SW, SA, Cisco).

Ivanti Sentry kriitilise turvanõrkuse jaoks avalikustati tehniline analüüs

Hiljuti avalikustas tarkvaraettevõte Ivanti turvapaigad, et kõrvaldada kriitilise raskusastmega haavatavus CVE-2023-38035, mis mõjutab Ivanti Sentry tarkvara (tuntud ka kui MobileIron Sentry). Nüüd on kübereksperdid turvanõrkuse jaoks avalikustanud ka tehnilise algpõhjuse analüüsi.

Haavatavust saab kasutada tundlikele API andmetele ja konfiguratsioonidele juurdepääsemiseks, süsteemikäskude käivitamiseks või failide süsteemi kirjutamiseks. See mõjutab Sentry versiooni 9.18 ja varasemaid. Kuigi haavatavus on kriitiline, on nende klientide jaoks, kellel ei ole port 8443 avalikult kättesaadav, oht pigem väike.

Ettevõte märkis, et on teadlik piiratud arvust klientidest, keda see haavatavus otseselt mõjutab (SA, Horizon3, Ivanti).

Kolm haavatavust Nvidia graafikadraiveril võivad põhjustada mälu sisu soovimatut muutumist

Hiljuti avalikustati kolm NVIDIA graafikakaartidega töötava NVIDIA D3D10 draiveri haavatavust. Kõik kolm haavatavust on hinnatud kriitilisuse skooriga 8.5/10.0 (Talos).

Ründaja võib potentsiaalselt neid turvaauke ära kasutada virtuaalmasinates, mis töötavad virtualiseerimiskeskkondades (nt VMware, QEMU ja VirtualBox), et keskkondadest välja pääseda. Samuti leiti, et ründajal võib õnnestuda neid haavatavusi ära kasutada veebibrauseris, mis kasutab WebGL-i ja WebAssemblyt (Talos).

Haavatavused on parandatud turvauuendusega, mille kohta leiab täpsemat informatsiooni siit.