iOS 17.5 paikab 15 turvanõrkust
Apple avaldas uue iOSi versiooni, milles on parandatud 15 haavatavust. Vead mõjutavad erinevaid rakendusi: Find My, Maps, Notes, Screenshots, Shortcuts, WebKit jt.
Lisaks avaldati ka turvauuendused vanematele iPhone’i ja iPadi seadmetele – mõjutatud on iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch ja iPad Pro 12.9-inch 1st generation. Turvavead on paigatud tarkvarades iOS 16.7.8, iPadOS 16.7.8 ja macOS Ventura 13.6.7.
Sel aastal on juba kolme Apple’i turvanõrkust õnnestunud kuritarvitada ja seetõttu soovitame kõigil Apple’i seadmete kasutajatel tarkvara uuendada (9to5mac, Apple, BC).
Google paikas kolmanda Chrome’i nullpäeva turvanõrkuse nädala jooksul
Möödunud nädalal tuli Google Chrome’i veebilehitsejas avalikuks lausa kolm nullpäeva turvanõrkust. Ettevõtte teatel on turvavigasid tähistega CVE-2024-4947, CVE-2024-4671 ja CVE-2024-4761 õnnestunud rünnete läbiviimisel ära kasutada. Sel aastal on Chrome’is avastatud kokku juba seitse nullpäeva turvanõrkust. Kõigil kasutajatel tuleks uuendada Chrome uusimale versioonile 125.0.6422.60 (SA, BC).
Adobe paikas oma tarkvarades kriitilisi vigu
Adobe paikas kokku 35 haavatavust, mis mõjutavad tarkvarasid Adobe Acrobat ja Reader, Adobe Illustrator, Adobe Substance 3D Painter ning Adobe Aero. Mitmed parandatud haavatavused võimaldavad ründajal pahaloomulist koodi käivitada. Adobe’i sõnul pole haavatavusi rünnete läbiviimisel veel kuritarvitatud. Kuna kriitilised turvavead mõjutavad ka laialdaselt kasutusel olevaid Adobe Acrobat ja Reader tarkvarasid, siis on oluline tarkvara värskendada. Lisatud lingil on nimekiri kõigist Adobe tarkvarade turvauuendustest (SW).
VMware paikab Pwn2Owni häkkimisvõistlusel leitud haavatavused
VMware paikas neli turvanõrkust (CVE-2024-22267, CVE-2024-22268, CVE-2024-22269 ja CVE-2024-22270), mis võimaldavad ründajal pahatahtlikku koodi käivitada, teenuseid tõkestada ja saada ligipääsu tundlikule infole. Turvavead mõjutavad VMware’i tooteid Workstation (versioonid 17.x) ja Fusion (versioonid 13.x). Haavatavused on paigatud nimetatud tarkvarade versioonides 17.5.2 ja 13.5.2. Nendel, kel ei ole võimalik tarkvara uuendada, soovitab tootja virtuaalmasinas Bluetoothi toe välja lülitada ja 3D-funktsioon keelata (SW, HN).
Microsoft paikas Windowsi nullpäeva turvanõrkuse
Microsoft on parandanud nullpäeva haavatavuse, mida kasutati QakBoti ja muude pahavarade levitamiseks Windowsi süsteemidesse. QakBoti on seostatud vähemalt 40 lunavararündega, mis on suunatud ettevõtete, tervishoiuteenuste osutajate ja riigiasutuste vastu üle kogu maailma.
Turvanõrkuse CVE-2024-30051 eduka ära kasutamise korral sai ründaja süsteemitaseme õigused. Kokku paigati 61 turvaviga, mille hulgas oli kolm nullpäeva turvanõrkust ja 27 koodi kaugkäivitamist võimaldavat viga. Ainult üks paigatud viga on hinnatud kriitiliseks ning see mõjutab Microsoft Office SharePointi tarkvara (BC, BC).
Intel paikas oma toodetes 90 turvaviga
Kõige tõsisema mõjuga on kriitiline turvaviga tähisega CVE-2024-22476, mida on hinnatud maksimaalse CVSS skooriga 10/10 ja mille kaudu on võimalik saada kaugteel kõrgemad õigused. Suuremale osale haavatavustest on olemas turvapaigad, aga mõnele on pakutud ka leevendavaid meetmeid. Enamik turvavigadest võib kaasa tuua privileegide suurenemise, teenuste tõkestamise või tundliku teabe avalikustamise (SW).
D-Linki ruuterid on haavatavad seadme ülevõtmise veale
HNAP-i protokolli turvaviga mõjutab D-Linki ruutereid ja annab autentimata ründajale võimaluse juurõigustes pahaloomulisi käske käivitada. Teadurid avaldasid nullpäeva turvanõrkusele kontseptsiooni tõenduse, mis näitab, kuidas nimetatud haavatavust on võimalik ära kasutada. Turvaviga mõjutab D-Linki DIR-X4860 ruutereid ja selle kaudu on võimalik seade üle võtta. Hetkel ei ole veel haavatavusele olemas parandust, samuti ei ole ruuteri tootja vastanud midagi turvavea avastajale. Mõjutatud seadmete kasutajatel on võimalik kaugjuurdepääsu haldusliides ära keelata, et turvanõrkuse mõju vältida.
D-Linki seadmetes olevad vead võivad olla suureks turvariskiks. Varasemalt on teada, et neid on kasutatud nii robotvõrgustike loomiseks kui ka tundlike andmete varastamiseks. Lisaks on ettevõte ise sattunud küberründe ohvriks, mille käigus paljastati nende lähtekood ja klientide andmed (DR, SSD, BC).