Tag Archives: QNAP

Olulisemad turvanõrkused 2023. aasta 45. nädalal

  • Androidi operatsioonisüsteemil parandati 37 turvanõrkust

Google avalikustas Androidi operatsioonisüsteemile 2023. aasta novembri turvavärskendused, mis parandavad kokku 37 haavatavust (SW).

Turvavärskenduste esimene osa, mida pakuti alates 1. novembrist, parandab 15 turvaauku Androidi raamistiku ja süsteemi komponentides (SW).

Kõige tõsisem neist viieteistkümnest turvanõrkusest on süsteemikomponendi kriitiline turvaviga (CVE-2023-40113), mille abil on ründajal võimalik potentsiaalselt kätte saada tundlikku teavet ilma kõrgendatud õigusteta. Ülejäänud 14 turvanõrkuse abil on võimalik põhjustada mõjutatud seadme töös häireid või suurendada süsteemis õiguseid (SW).

Teine osa turvavärskendustest on saadaval alates 5. novembrist ja parandab kokku 22 Armi, MediaTeki ja Qualcommi komponentide turvanõrkust (SW).

Seadmetel, millel on 5. novembri turvavärskendused rakendatud, on olemas parandused kõigi novembris avaldatud turvanõrkuste jaoks (SW).

RIA soovitab uuendused rakendada esimesel võimalusel.

  • QNAP parandas kaks kriitilist turvanõrkust

QNAP Systems on välja andnud turvavärskendused, et kõrvaldada kaks kriitilist haavatavust, mis mõjutavad ettevõtte toodetud salvestusseadmeid (QNAP).

Esimene viga, mida tähistatakse kui CVE-2023-23368, mõjutab QTS-i, QuTS-i herot ja QuTScloudi ning võib luua ründajatele võimaluse mõjutatud süsteemides pahaloomulisi käske sisestada (QNAP).

Teine viga, mida tähistatakse kui CVE-2023-23369, mõjutab QTS-i, multimeediakonsooli ja meedia voogesituse lisandmoodulit ning võib ründajatel samuti võimaldada pahaloomulisi käske sisestada (QNAP).

Mõjutatud tooteversioonid ja versioonid, kus turvavead on parandatud, on loetletud QNAPi ametlikus ülevaates (QNAP). Mõjutatud seadmetel tuleks turvavärskendused kohe rakendada, eriti seetõttu, et QNAPi seadmeid on ajalooliselt lunavararünnakute käigus sihitud.

  • Nullpäeva turvanõrkust kasutati Clopi lunavara paigaldamiseks

Pahalased kasutasid ära SysAidi IT-tugitarkvara nullpäeva haavatavust, et saada ettevõtte serveritele juurdepääs ja krüpteerida need Clopi lunavaraga. SysAid on IT-teenuste halduse (ITSM) lahendus, mis pakub tööriistakomplekti erinevate IT-teenuste haldamiseks organisatsiooni sees.

Haavatavus, mida tähistatakse kui CVE-2023-47246, võimaldab pahaloomulist koodi vabalt käivitada. Haavatavus avastati 2. novembril pärast seda, kui häkkerid kasutasid seda SysAidi serveritesse sissemurdmiseks. Clopi lunavara puhul on sageli kasutatud tarkvarade nullpäeva haavatavusi, et serveritesse tungida ja antud lunavaraga süsteemid krüpteerida.

SysAid on kutsunud enda tarkvara kasutajaid uuendama tarkva vähemalt versioonile 23.3.36 ning süsteemilogid üle vaatama (SysAid). Täpsemad juhised selleks leiate siit.

  • Looney Tunables nimelist turvanõrkust kasutatakse pilvekeskkondades majutatud süsteemide ründamiseks

Haavatavust Looney Tunables kuritarvitatakse, et rünnata pilvekeskkondades majutatud süsteeme. Turvanõrkus, mida tähistatakse ka kui CVE-2023-4911, mõjutab suuremaid Linuxi distributsioone, sealhulgas Debian, Gentoo, Red Hat ja Ubuntu. See võimaldab ründajal käivitada kõrgendatud õigustega suvalist koodi (SW).

Ründeid on seostatud Kinsingi rühmitusega, mis on tuntud oma Linuxi pahavara juurutamise poolest konteinerkeskkondades. Rühmituse lõppeesmärk on olnud krüptovaluuta kaevandamistarkvara kohaletoimetamine kompromiteeritud süsteemidesse. Nüüd on täheldatud, et rühmitus üritab ära kasutada Looney Tunablesi osana “uuest eksperimentaalsest kampaaniast”, mille eesmärk on üle võtta pilvekeskkondades majutatud süsteeme (Aquasec).

Täpsemalt saab rünnakukampaania kohta lugeda siit.

  • Isiklikule Google’i kontole salvestatud töökonto kasutajatunnused põhjustasid Okta küberintsidendi

Identiteedi- ja autentimishalduse pakkuja Okta on avalikustanud, et ettevõtte tugisüsteemi hiljutine kompromiteerimine mõjutas 134 tema 18 400 kliendist. Rikkumine viidi läbi kompromiteeritud teenusekonto kaudu, millel oli õigus vaadata ja värskendada klienditoega seotud juhtumeid (Okta).

Teenusekonto kasutajanimi ja parool olid salvestatud töötaja isiklikule Google’i kontole. Ründaja sai tänu üle võetud teenusekontole volitamata juurdepääsu 134 Okta kliendiga seotud failidele. Ettevõte on võtnud kasutusele mitmeid meetmeid, et tulevikus sarnaseid intsidente ära hoida, sealhulgas eemaldanud kompromiteeritud teenusekonto, blokeerinud isiklike Google’i kontode kasutamise Okta hallatavates seadmetes ning juurutanud oma klienditoe süsteemis täiendavad tuvastamisreegleid (HNS).

Olulised turvanõrkused 2023. aasta 5. nädalal

Illustratsioon: Andres Varustin

QNAP palub uuendada NAS-seadmete tarkvara

QNAP avalikustas eelmisel nädalal uued versioonid QTSi ja QuTSi tarkvaradest, mis parandavad ühe kriitilise turvanõrkuse (CVE-2022-27596). Turvanõrkus mõjutab QNAPi NAS-seadmeid. Ründaja saab haavatavust ära kasutada, et paigaldada seadmetele pahavara. Sealjuures ei pea ründajal olema turvavea ärakasutamiseks süsteemis õiguseid ja selleks ei ole vaja ka kasutajapoolset tegevust (SA).

NAS-seadmed on ründajatele ajalooliselt palju huvi pakkunud ning eelkõige neile, kes korraldavad lunavararünnakuid. Näiteks mullu septembris kirjeldati, kuidas DeadBolti lunavaraga olid nakatunud tuhanded taolised seadmed (ArsTechnica). 

Kes ja mida peaks tegema?

Turvanõrkus mõjutab QNAPi seadmeid, mis kasutavad QTS 5.0.1 või QuTS hero h5.0.1 tarkvara. Haavatavus on parandatud tarkvarades:

  • QTS 5.0.1.2234 build 20221201 ja uuem
  • QuTS hero h5.0.1.2248 build 20221215 ja uuem

Atlassian parandas Jiral kriitilise turvanõrkuse

Eelmisel nädalal teatas Atlassian, et Jira Service Managementil on parandatud kriitiline turvanõrkus CVE-2023-22501 (9.4/10.0). Ründajal on võimalik turvanõrkuse abil teatud tingimustel saada teenusele ligipääs. Kui Jira Service Management on konfigureeritud nii, et väljaminevad kirjad on lubatud ja ründajal on ka kirjutamisõigused kasutaja kataloogi, saab ta kompromiteerida teised kasutajad, kellele on registreerimise jaoks mõeldud tokenid saadetud, kuid kes ei ole kunagi sisse loginud (Atlassian).

Kes ja mida peaks tegema?

Turvanõrkus mõjutab Jira Service Management and Data Center versioone 5.3.0, 5.3.1, 5.3.2, 5.4.0, 5.4.1, 5.5.0.

Turvanõrkus on parandatud versioonides 5.3.3, 5.4.2, 5.5.1,5.6.0 ning uuemates versioonides.

Häkkeritel on võimalik segada teatud elektriautode laadijate tööd

Eelmisel nädalal avaldati raport, mis tõi välja, et ründajatel on võimalik teatud OCPP (Open Charge Point Protocol) standardi versiooni kasutavate elektriautode laadijate tööd segada või varastada andmeid. OCPP abil suhtlevad laadimispunktid keskhaldussüsteemidega ja seda protokolli kasutatakse maailmas laialdaselt (SF).

Analüüsi kohaselt on OCPP-l kaks nõrkust – esiteks tekivad probleemid siis, kui laadimispunkt peab tegelema rohkem kui ühe ühendusega korraga. Ründajad võivad seetõttu segada algset laadimispunkti ja keskhaldusüsteemi vahelist ühendust, avades veel ühe täiendava ühenduse. Uurimus leidis, et enamik turul olevaid keskhaldussüsteeme käituvad sellises olukorras kahel erineval viisil. Ühed lõpetavad esialgse ühenduse, mistõttu ei ole kliendil võimalik enam autot laadida, teised hakkavad kasutama pahaloomulist ühendust ja ei suhtle enam esialgse ühendusega (kuid ei katkesta seda) (SF).

Teise nõrkusena tõid analüüsi autorid välja puudused autentimises. Nimelt on vastavalt OCPP protokolli standardi 1.6J versioonile keskhaldussüsteemidel kolm võimalust, kuidas laadimispunkte identifitseerida – laadimispunkti ID järgi, ID ja kasutajatunnuste kaudu või ID ja sertifikaadi kaudu. Kui kasutatakse esimest meetodit (ainult laadimispunkti ID järgi), on ründajal võimalik ühendus üle võtta ja tegutseda näiliselt kompromiteeritud laadimispunkti nimel (SF).  

Analüüs leidis ka, et enamikel juhtudel tuvastavadki keskhaldussüsteemid laadimispunkte ainult ID-põhiselt. Sellest tulenevalt eksisteerib raporti autorite sõnul ka oht, et ründaja võib häirida jõuründe (brute-force) abil paljude keskhaldussüteemi kasutavate laadijate tööd, kui laadimispunktid loovad OCPP ühenduse keskhaldusüsteemiga ja laadimispunktide identifitseerimine toimub mingi kindla URLi parameetri kaudu (SF).

Pikemalt saab avastatud nõrkustest lugeda siit.