QNAP palub uuendada NAS-seadmete tarkvara
QNAP avalikustas eelmisel nädalal uued versioonid QTSi ja QuTSi tarkvaradest, mis parandavad ühe kriitilise turvanõrkuse (CVE-2022-27596). Turvanõrkus mõjutab QNAPi NAS-seadmeid. Ründaja saab haavatavust ära kasutada, et paigaldada seadmetele pahavara. Sealjuures ei pea ründajal olema turvavea ärakasutamiseks süsteemis õiguseid ja selleks ei ole vaja ka kasutajapoolset tegevust (SA).
NAS-seadmed on ründajatele ajalooliselt palju huvi pakkunud ning eelkõige neile, kes korraldavad lunavararünnakuid. Näiteks mullu septembris kirjeldati, kuidas DeadBolti lunavaraga olid nakatunud tuhanded taolised seadmed (ArsTechnica).
Kes ja mida peaks tegema?
Turvanõrkus mõjutab QNAPi seadmeid, mis kasutavad QTS 5.0.1 või QuTS hero h5.0.1 tarkvara. Haavatavus on parandatud tarkvarades:
- QTS 5.0.1.2234 build 20221201 ja uuem
- QuTS hero h5.0.1.2248 build 20221215 ja uuem
Atlassian parandas Jiral kriitilise turvanõrkuse
Eelmisel nädalal teatas Atlassian, et Jira Service Managementil on parandatud kriitiline turvanõrkus CVE-2023-22501 (9.4/10.0). Ründajal on võimalik turvanõrkuse abil teatud tingimustel saada teenusele ligipääs. Kui Jira Service Management on konfigureeritud nii, et väljaminevad kirjad on lubatud ja ründajal on ka kirjutamisõigused kasutaja kataloogi, saab ta kompromiteerida teised kasutajad, kellele on registreerimise jaoks mõeldud tokenid saadetud, kuid kes ei ole kunagi sisse loginud (Atlassian).
Kes ja mida peaks tegema?
Turvanõrkus mõjutab Jira Service Management and Data Center versioone 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1, 5.5.0.
Turvanõrkus on parandatud versioonides 5.3.3, 5.4.2, 5.5.1,5.6.0 ning uuemates versioonides.
Häkkeritel on võimalik segada teatud elektriautode laadijate tööd
Eelmisel nädalal avaldati raport, mis tõi välja, et ründajatel on võimalik teatud OCPP (Open Charge Point Protocol) standardi versiooni kasutavate elektriautode laadijate tööd segada või varastada andmeid. OCPP abil suhtlevad laadimispunktid keskhaldussüsteemidega ja seda protokolli kasutatakse maailmas laialdaselt (SF).
Analüüsi kohaselt on OCPP-l kaks nõrkust – esiteks tekivad probleemid siis, kui laadimispunkt peab tegelema rohkem kui ühe ühendusega korraga. Ründajad võivad seetõttu segada algset laadimispunkti ja keskhaldusüsteemi vahelist ühendust, avades veel ühe täiendava ühenduse. Uurimus leidis, et enamik turul olevaid keskhaldussüsteeme käituvad sellises olukorras kahel erineval viisil. Ühed lõpetavad esialgse ühenduse, mistõttu ei ole kliendil võimalik enam autot laadida, teised hakkavad kasutama pahaloomulist ühendust ja ei suhtle enam esialgse ühendusega (kuid ei katkesta seda) (SF).
Teise nõrkusena tõid analüüsi autorid välja puudused autentimises. Nimelt on vastavalt OCPP protokolli standardi 1.6J versioonile keskhaldussüsteemidel kolm võimalust, kuidas laadimispunkte identifitseerida – laadimispunkti ID järgi, ID ja kasutajatunnuste kaudu või ID ja sertifikaadi kaudu. Kui kasutatakse esimest meetodit (ainult laadimispunkti ID järgi), on ründajal võimalik ühendus üle võtta ja tegutseda näiliselt kompromiteeritud laadimispunkti nimel (SF).
Analüüs leidis ka, et enamikel juhtudel tuvastavadki keskhaldussüsteemid laadimispunkte ainult ID-põhiselt. Sellest tulenevalt eksisteerib raporti autorite sõnul ka oht, et ründaja võib häirida jõuründe (brute-force) abil paljude keskhaldussüteemi kasutavate laadijate tööd, kui laadimispunktid loovad OCPP ühenduse keskhaldusüsteemiga ja laadimispunktide identifitseerimine toimub mingi kindla URLi parameetri kaudu (SF).
Pikemalt saab avastatud nõrkustest lugeda siit.