Tag Archives: VMware

Olulisemad turvanõrkused 2023. aasta 48. nädalal

  • Apple paikas kaks nullpäeva turvanõrkust

Apple on avalikustanud erakorralised turvavärskendused, et kõrvaldada kaks nullpäeva turvaauku, mida on ettevõtte sõnul rünnetes aktiivselt ära kasutatud (SA).

Mõlemad haavatavused on seotud WebKitiga ja mõjutavad iPhone’i, iPadi ja Maci seadmeid. Haavatavusi saab ära kasutada tundliku teabe varastamiseks või suvalise pahaloomulise koodi käivitamiseks mõjutatud seadmes (SA).

Apple on kõrvaldanud nullpäeva turvanõrkused iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2 ja Safari 17.1.2 versioonides. Soovitatav on nimetatud tarkvarad uuendada esimesel võimalusel (SA).

Sel aastal on ettevõte paiganud juba 20 nullpäeva haavatavust (BC).

  • CACTUS-nimeline lunavarakampaania kasutab hiljuti avastatud turvavigu

CACTUS-nimeline lunavarakampaania kasutab hiljuti avalikustatud turvavigu pilvanalüütika ja äriteabe platvormis Qlik Sense, et saada esmane juurdepääs sihtmärgiks valitud keskkondadele. Analüütikute hinnangul kuritarvitatakse viimase kolme kuu jooksul avalikustatud platvormi turvanõrkuseid, sealhulgas haavatavusi CVE-2023-41265 ja CVE-2023-41266 (THN).

Pärast mõjutatud süsteemidesse sisse tungimist, kasutavad ründajad Qlik Sense Scheduler teenust, et täiendavaid pahaloomulisi tööriistu sinna alla laadida. Rünnete käigus on muudetud ka süsteemiga seotud administraatorikontode paroole. Rünnete lõpetuseks krüpteeritakse failid CACTUS-nimelise lunavaraga (AW).

Konkreetse tarkvara arendaja on kõikidele turvanõrkustele avalikustanud ka parandused, rohkem infot leiate tootja kodulehelt (Qlik).

  • LogoFAIL turvanõrkused ohustavad miljoneid arvuteid

Hiljuti UEFIs (Unified Extensible Firmware Interface) avastatud LogoFAIL-nimelised haavatavused kujutavad miljonite arvutite jaoks kriitilist turvaohtu. Need haavatavused mõjutavad sadu tarbija- ja ettevõtteklassi x86- ja ARM-mudeleid erinevatelt tarnijatelt, sealhulgas Intelilt, Acerilt ja Lenovolt. LogoFAIL turvanõrkuste mõju on märkimisväärne, kuna see võib potentsiaalselt lubada mõjutatud süsteemid üle võtta, hoolimata arvutitele paigaldatud kaitsemeetmetest. Nende haavatavuste laialdane levik on tekitanud ekspertides muret laiemalt, mitte ainult üksikute tarnijate kontekstis. Turvauuendused avaldatakse eeldatavasti 6. detsembril (DR).

  • VMware parandas üle kahe nädala paikamata olnud kriitilise turvanõrkuse Cloud Director tarkvaras

VMware parandas hiljuti Cloud Directori tarkvaral kriitilise autentimisest möödapääsemist võimaldava haavatavuse, mis oli olnud turvapaigata üle kahe nädala pärast selle avalikustamist 14. novembril (BP).

Cloud Director on platvorm, mis võimaldab administraatoritel hallata mitmes kohas asuvaid andmekeskusi virtuaalsete andmekeskustena (VDC). Autentimisest möödaviimise turvaviga, mis on identifitseeritud kui CVE-2023-34060, mõjutab ainult neid seadmeid, mis töötavad versiooniga VCD Appliance 10.5 ning mis uuendati sellele versioonile vanemalt versioonilt (BP).

Kellel ei ole võimalik kohe turvaparandust rakendada, pakub VMware ka ajutisi kaitsemeetmeid. Täpsemalt saab nende kohta lugeda tootja kodulehelt (VMware).

  • Zyxel parandas enda seadmete kolm kriitilist haavatavust

Zyxel avalikustas hiljuti turvapaigad, et parandada 15 haavatavust, mis mõjutavad võrguga ühendatud salvestusseadmeid (network-attached storage), tulemüüre ning  pääsupunkte (acces point) (THN).

15 turvanõrkuse seas parandati kolm kriitilist viga, mille abil on võimalik autentimisest mööda pääseda. Lisaks 15 haavatavusele parandas Zyxel hiljuti veel üheksa turvaviga, mida sai kasutada süsteemifailidele ja administraatori logidele juurdepääsuks ning teenusetõkestusrünnete tekitamiseks (THN).

Arvestades, et Zyxeli seadmed on sageli ründajate sihikul, on mõjutatud seadmete kasutajatel tungivalt soovitatav turvariskide leevendamiseks rakendada uusimaid värskendusi (THN).

  • Google parandas Chrome’il nullpäeva turvanõrkuse

Google andis hiljuti välja turvavärskenduse, et parandada Google Chrome’i kriitiline nullpäeva haavatavus, mida on rünnakutes juba ka ära kasutatud (BP).

Haavatavuse CVE-2023-6345 edukas kuritarvitamine võimaldab ründajal häirida ohvri brauseri tööd või käivitada seal suvalist koodi. Turvanõrkus on parandatud Windowsi kasutajatele mõeldud brauseri versioonis 119.0.6045.199/.200 ning Maci ja Linuxi kasutajatele mõeldud versioonis 119.0.6045.199. Kasutajatel on soovitatav rakendada uusimad värskendused, et leevendada võimalikke turvariske ja tagada nende tarkvara kiire värskendamine (BP).

  • Teadlased avastasid kuus Bluetoothi mõjutavat haavatavust koondnimetusega BLUFFS

Eurecomi teadlased on välja töötanud kuus uut rünnakut, mille koondnimetus on “BLUFFS”, mis võivad murda Bluetoothi seansside saladust, võimaldades seadmes esineda kellegi teisena ja Man-in-the-middle (MitM) tüüpi rünnakuid (BP).

Rünnakud kasutavad ära kaht varem tundmatut Bluetoothi standardi viga, mis on seotud sellega, kuidas seansivõtmed tuletatakse andmete dekrüpteerimiseks. Need vead ei ole spetsiifilised riist- või tarkvarakonfiguratsioonidele, vaid on hoopis arhitektuursed, mis tähendab, et need mõjutavad Bluetoothi põhitasandil (BP).

Rünnaku õnnestumiseks peab ründav seade olema kahe haavatava Bluetooth-seadme traadita levialas, mis käivitavad krüpteerimisprotseduuri (BP).

Turvanõrkuseid jälgitakse identifikaatori CVE-2023-24023 järgi ja need mõjutavad Bluetoothi põhispetsifikatsiooni 4.2–5.4. BLUFFS mõjutab 2014. aasta detsembris välja antud Bluetooth 4.2 ja kõiki versioone kuni uusima, 2023. aasta veebruaris välja antud Bluetooth 5.4 (BP).

Olulisemad turvanõrkused 2023. aasta 43. nädalal

  • Apple avaldas turvauuendused iOSi ja macOSi tarkvaradele

Apple avaldas eelmisel nädalal turvauuendused iOSi ja macOSi tarkvaradele. iOSi tarkvaras paigati 21 ja macOSi tarkvaras 44 haavatavust. Turvanõrkused lubavad ründajatel potentsiaalselt käivitada pahaloomulist koodi, haavatavates süsteemides õigusi suurendada või varastada süsteemidest tundlikku informatsiooni. Hetkel ei ole haavatavusi teadaolevalt rünnetes ära kasutatud. RIA soovitab nõrkustega seotud Apple’i seadmed uuendada iOS 17.1, iPadOS 17 ja macOS Sonoma 14.1 (SW, Apple, Apple).

  • Firefoxil ja Chrome’il paigati kõrge mõjuga turvanõrkused

Mozilla avaldas Firefoxi uue versiooni tähisega 119, milles on parandatud 11 turvanõrkust, nende hulgas kolm kõrge mõjuga haavatavust. Vigade tõttu võib haavatava sirviku kasutaja sattuda ohvriks clickjacking-nimelisele rünnakule. Samuti parandavad turvauuendused kaks haavatavust, mis lubavad ründajal potentsiaalselt käivitada pahaloomulist koodi. Lisaks avaldati ka turvapaigad tarkvaradele Firefox ESR 115.4 ja Thunderbird 115.4.1. Teisipäeval teavitas ka Google, et on paiganud Chrome’i veebilehitseja versioonis 118.0.5993.117 kaks turvanõrkust. RIA soovitab nii Firefoxi kui ka Chrome’i veebilehitsejad uuendada esimesel võimalusel (SW, Mozilla, Chrome).

  • Citrix hoiatab kriitilise turvanõrkuse eest

Citrix hoiatas eelmisel nädalal turvanõrkuse (CVE-2023-4966) eest, mis mõjutab NetScaler ADC ja Gateway seadmeid ning mida on juba rünnete läbiviimisel kuritarvitatud. Veale avalikustati turvaparandus kaks nädalat tagasi. Rünnakute suhtes haavatavad NetScaleri seadmed peavad olema konfigureeritud lüüsina (VPN virtuaalserver, ICA puhverserver, CVPN, RDP puhverserver) või AAA virtuaalserverina. Nõrkust on võimalik autentimata ründajal kaugelt ära kasutada.

Hiljuti avaldatud ülevaatest selgus, et ründajad on haavatavust kuritarvitanud sessioonide varastamiseks, et kaheastmelisest autentimisest mööda pääseda. Tootja soovitab haavatavad seadmed paigata esimesel võimalusel (BC, Netscaler, Mandiant).

  • VMware’i tarkvaras olev viga laseb autentimisest mööda minna

VMware’i hoiatas kliente Aria Operations for Logs nimelises tarkvaras peituva turvanõrkuse (CVE-2023-34051) eest, mis võimaldab ründajal autentimisest mööda minna ja käivitada pahatahtlikku koodi. Veale on avaldatud ka kontseptsiooni tõendus, mis võib kaasa tuua rünnete kasvu. Viga on parandatud Aria Operations for Logs versioonis 8.14 (SA, VMware). RIA soovitab kõigil mõjutatud tarkvara kasutajatel uuendada see esimesel võimalusel.

  • Riikliku taustaga küberrühmitus kuritarvitab Roundcube’i meiliteenuse turvanõrkust

Hiljuti avaldatud raportist selgus, et küberspionaaži poolest tuntud riikliku taustaga küberrühmitus on oktoobris kuritarvitanud XSS-i turvanõrkust, mis peitub Roundcube’i meiliserveri tarkvaras. Raport kajastab, kuidas antud rühmitus on sihtinud Euroopa valitsusasutusi ja erinevaid mõttekodasid. Ründajatel on võimalik spetsiaalselt koostatud e-kirja abil käivitada Roundcube’i kasutaja brauseris suvalist JavaScripti koodi.

Raporti autorite hinnangul on küberrühmitus üritanud turvanõrkust ära kasutada selleks, et ligi pääseda haavatavat tarkvara kasutava kasutaja e-kirjadele. Turvanõrkus on paigatud Roundcube’i versioonides 1.4.15, 1.5.5 ja 1.6.4 (ESET, SW).

Olulised turvanõrkused 2023. aasta 35. nädalal

  • Küberrünnakud ohustavad avatud Microsoft SQL Serveri andmebaase

Hiljuti avalikustati raport, mis käsitleb küberrünnakuid avatud Microsoft SQL Serveri (MSSQL) andmebaaside vastu. Küberrünnakutele on antud koodnimetus DB#JAMMER. Raporti põhjal alustavad ründajad jõuründega internetist kättesaadavate MSSQL andmebaaside suunas. Kui sellega õnnestub ründajatel andmebaasidele ligipääs saada, üritavad nad kompromiteeritud süsteemis seda ka kindlustada. Lisaks paigaldatakse kompromiteeritud süsteemi erinevat tüüpi pahavara, luuakse ühendusi ründajate kontrollitud infrastruktuuriga, et vajalikke tööriistu andmete varastamiseks alla laadida ning krüpteeritakse võimalusel kogu ülevõetud süsteem. Raporti autorite hinnangul on tegu kõrgetasemeliste rünnetega, arvestades kasutatud pahavara, infrastruktuuri ja rünnete ülesehitust laiemalt.

Kuna rünnakud sihivad eelkõige avatud MSSQL servereid, tuleks avalik ligipääs neile võimalusel piirata. Samuti soovitatakse veenduda, et kasutajakontod kasutaksid piisavalt tugevaid paroole, sest nõrgad kasutajatunnused teevad ründajate elu palju lihtsamaks. Lisaks soovitatakse raportis organisatsioonidel monitoorida levinumaid pahavara paigaldamisega seotud katalooge („C:\Windows\Temp“) ja juurutada täiendavat protsessitasemel logimist (Sysmoni ja PowerShelli logimine), et logimise katvust laiendada (Securonix, DR).

  • WordPressi pistikprogrammi turvaviga võib kaasa tuua andmete lekkimise

Pistikprogrammil nimetusega All-In-One WP Migration avastati turvaviga, mis võib lubada ründajatel  ligi pääseda haavatava veebilehe tundlikele andmetele. Antud pistikprogrammi kasutab umbes viis miljonit WordPressi veebilehte. Viga, mida tähistatakse tähisega CVE-2023-40004, võimaldab autentimata kasutajatel suunata potentsiaalselt haavatava veebilehega seotud andmed kolmanda osapoole pilveteenustega seotud kontodele või kasutada pahaloomulisi varukoopiaid. Turvaprobleemi leevendab mõnevõrra asjaolu, et pistikprogrammi kasutatakse üldjuhul ainult veebilehe migratsiooniprojektide ajal ja see ei tohiks tavaliselt olla muul ajal aktiivselt kasutuses (BP).

Mõjutatud tasuliste kolmanda osapoole laienduste kasutajatel soovitatakse minna üle järgmistele fikseeritud versioonidele:

Box-nimeline laiendus: v1.54

Google Drive’i laiendus: v2.80

OneDrive’i laiendus: v1.67

Dropboxi laiendus: v3.76

Samuti soovitatakse kasutajatel kasutada pistikprogrammi All-in-One WP Migration uusimat versiooni v7.78.

  • Unarusse jäetud DNS-kirjeid on võimalik kasutada alamdomeenide kaaperdamiseks

IT-turbe konsultatsioonifirma töötajad viisid läbi uurimuse, et kaardistada unarusse jäetud DNS-kirjetega seonduvaid ohte. Täpsemalt keskenduti olukorrale, kui DNSi CNAME kirje osutab alamdomeenile, mida enam ei eksisteeri. Uurimistöö autorite sõnul õnnestus neil selliste DNS-kirjete abil üle võtta enam kui tosina suurorganisatsiooni alamdomeenid. Uurimistöö keskendus USA, Kanada, Ühendkuningriigi ja Austraalia valitsusorganisatsioonide alamdomeenidele, samuti uuriti erasektori ettevõtete kasutatavaid DNS-kirjeid. Tõenäoliselt on haavatavaid organisatsioone üle tuhande, selgub uurimusest (Certitude).

Pärast konfiguratsioonivea leidmist konfigureerisid autorid kaaperdatud alamdomeenid nii, et need suunaksid külastajad turvateadlikkuse teatise lehele, kus selgitatakse, kes nad on, mida nad on teinud ja kuidas nad seda tegid. Samuti andis leht juhised alamdomeeni kaaperdamise ärahoidmiseks ja alamdomeeni taastamiseks. Pahatahtlik osapool oleks võinud seda DNS-i konfiguratsiooniviga ära kasutada aga pahavara levitamiseks, valeinformatsiooni levitamiseks ja andmepüügirünnakuteks (Certitude).

Uurimuses kajastatud DNS-kirjetega seotud probleem tekib tihti pilveteenustega. Organisatsioonid seostavad kolmandate osapoolte pakutavaid pilvepõhiseid teenuseid DNS-kirjetega oma DNS-serveris. Kui aga pilveteenusest mingil hetkel loobutakse, võivad DNS-kirjed jätkuvalt jääda osutama sidusdomeenile (Certitude).

  • Lunavararühmitused ründavad mitmefaktorilise autentimiseta Cisco VPNe

Alates 2023. aasta märtsist on Akira ja LockBiti küberrühmitused rünnanud organisatsioone haavatavate Cisco ASA SSL VPN kaudu. Rünnakute õnnestumine on olnud tingitud nõrkadest või vaikeparoolidest, kuid samuti asjaolust, et tihti ei ole VPNide puhul rakendatud mitmefaktorilist autentimist (MFA) (Rapid7).

Analüüsist selgub, et kompromiteeritud Cisco VPNid on olnud erinevate versioonidega, rünnakud on olnud automatiseeritud ning sisse on üritatud saada erinevaid laialt levinud kasutajanimesid proovides. Analüüsi autorite sõnul ei olnud 40% kompromiteeritud VPNidest MFA-d rakendatud (Rapid7).

Selliste intsidentide vältimiseks ärgitatakse organisatsioone kasutama unikaalseid ja tugevaid paroole, uuendama tarkvara esimesel võimalusel ja analüüsima logisid, et tuvastada jõurünnete teostamist. Samuti tuleks alati võimalusel rakendada MFA-d (Rapid7). 

  • VMware’i virtualiseerimiskeskkondade haldustarkvara SSH-autentimisest on võimalik mööda pääseda

VMware Aria Operations for Networks (endine vRealize Network Insight) on haavatav kriitilise turvavea suhtes (tähisega CVE-2023-34039, kriitilisuse hinnang 9.8/10.0), mis võib võimaldada ründajatel haavatava süsteemi SSH-autentimisest mööda minna ja ligi pääseda privaatsetele lõpp-punktidele (private end-points).

CVE-2023-34039 kasutamine võib viia andmelekkeni või andmete muutmiseni mõjutatud süsteemis. Olenevalt konfiguratsioonist võib ründajal olla võimalik tekitada võrguhäireid, muuta süsteemi konfiguratsiooni, paigaldada pahavara või liikuda teistesse seotud süsteemidesse edasi.

Turvaviga mõjutab kõiki Aria tarkvara 6.x versioone. Hetkel on ainus viis kriitilise vea parandamiseks minna üle versioonile 6.11 või rakendada varasematele versioonidele turvapaika tähisega KB94152. Täpsemat infot saab viidatud linkidelt (VMware, BP).