Tag Archives: WordPress

Olulisemad turvanõrkused 2024. aasta 9. nädalal

WordPressi pistikprogrammis oleva turvanõrkuse tõttu on üle viie miljoni veebilehe ohus

Turvanõrkus tähisega CVE-2023-40000 mõjutab pistikprogrammiLitespeed Cacheja selle kaudu on võimalik autentimata ründajal saada kõrgemad õigused ning ligipääs tundlikule

infole. Pistikprogrammi on alla laetud enam kui viis miljonit korda ehk tegemist on väga laialdaselt kasutusel oleva tarkvaraga. Litespeed Cache abil on võimalik veebilehe jõudlust parandada. Turvanõrkus on paigatud juba eelmise aasta oktoobris tarkvara versioonis 5.7.0.1 ja kõigil kasutajatel tuleks uuendada pistikprogramm kõige uuemale versioonile. Hetkel on selleks 6.1.

Turvanõrkuse täpsema kirjelduse leiab Patchstacki postitusest (HN, SA).

Populaarses WordPressi pistikprogrammis avastati kriitiline turvaviga

Eelmisel nädalal avaldati ka teine suure mõjuga WordPressi turvaviga. Üle 200 000 WordPressi veebilehe on mõjutatud Ultimate Memberi pistikprogrammis olevast haavatavusest, mille kaudu võib autentimata ründaja käivitada SQL-päringuid ja saada ligipääsu andmebaasile. See on plugin, mis võimaldab WordPressi administraatoril hallata kasutajate registreeringuid, sisselogimisi, profiile ja rolle.

Viga tähistatakse CVE-2024-1071 ja seda on hinnatud kriitilise CVSS skooriga 9.8/10. Haavatavus mõjutab kõiki pistikprogrammi versioone kuni 2.8.3, kus turvaviga on paigatud. Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme regulaarselt uuendada. Defianti andmeil on vähemalt ühel korral proovitud haavatavust ka ära kasutada (SW).

Zyxel paikas mitu turvanõrkust oma tulemüüri seadmetes

Ettevõte paikas neli turvanõrkust, mis võimaldavad ründajal koodi kaugkäivitada ja teenuseid tõkestada. Zyxel parandas turvavead tähistega CVE-2023-6397, CVE-2023-6398, CVE-2023-6399 ja CVE-2023-6764. Haavatavused mõjutavad Zyxeli tulemüüriseadmeid ATP, USG FLEX, USG FLEX 50(W)/USG20(W)-VPN ja USG FLEX H. Turvavead on paigatud ja tootja soovitab kõigil kasutajatel teha tarkvarauuenduse esimesel võimalusel (SW, Zyxel).

Sel aastal on oodata turvanõrkuste kasvu

Coalitioni aruanne näitab, et 2024. aastal on kasvab avaldatud turvanõrkuste arv neljandiku võrra. Eeldatavalt avalikustatakse sel aastal ligi 35 000 erinevat CVE tähisega turvanõrkust ehk igal kuul võime oodata 2900 uut haavatavust. Kuna erinevate turvavigade kuritarvitamine on üks enamlevinud ründevektoritest, siis võib haavatavuste arvu tõus suurendada ka rünnete arvu.

Lisaks tuli aruandes välja ka see, et unikaalsete IP-aadressite poolt läbiviidud avatud kaugtöölauaprotokolli (RDP) skaneerimised on kasvanud 59% võrra.

Paljud lunavararünded viiakse läbi just internetile avatud kaugtöölauaühenduse kaudu.  (HNS)

Teadur avastas kriitilise turvanõrkuse Facebookis

Kriitilise turvanõrkuse kaudu oli potsentsiaalselt võimalik üle võtta ükskõik milline Facebooki konto. Viga avaldus parooli lähtestamise ajal, kui kasutaja valis parooli taastamiseks “Send Code via Facebook Notification” ehk uue koodi saatmise Facebooki teavituse kaudu. Teadur teavitas veast selle aasta 30. jaanuaril ning turvaviga paigati juba 2. veebruaril. Meta sõnul oli tegemist väga suure mõjuga turvaveaga, mille abil oleks saanud ilma kasutajapoolse tegevuseta kontosid kompromiteerida (SA).

Eksperdid hoiatavad Androidi vastu suunatud rünnete tõusu eest

Kaspersky avalikustas oma iga-aastase nutiseadmete ohtude analüüsi, mille kohaselt 2023. aastal suurenes mobiilseadmete vastu suunatud rünnete arv võrreldes eelmise aastaga 52%. Raporti alusel viidi eelmisel aastal läbi 33.8 miljonit rünnet mobiilseadmete vastu. Kõige enam kasutati rünnete läbviimisel pahaloomulist reklaamvara.

Kaspersky sõnul kasutavad küberkurjategijad pahavara levitamiseks erinevaid taktikaid – kasutatakse nii ametlikke kui ka võltsitud rakenduste poode. Näiteks laeti Google Play poodi üles pahatahtlikke rakendusi ja lisaks tuvastati WhatsAppi ning Telegrami võltsinguid, mille eesmärgiks oli kasutajate andmete varastamine.

Kaspersky tõi ka välja mitmeid soovitusi, kuidas on võimalik ohtusid ennetada:

  • rakendusi tuleks alla laadida ainult ametlike tootjate poodidest ja veebilehtedelt
  • rakendada turvasätteid ja kasutada usaldusväärseid turvalahendusi
  • uuenda regulaarselt nii operatsioonisüsteemi tarkvara kui ka erinevaid rakendusi (ISM, SL).

Olulisemad turvanõrkused 2024. aasta 8. nädalal

Enam kui 28 500 Microsoft Exchange’i serverit on turvanõrkuse tõttu ohus

Turvanõrkust tähisega CVE-2024-21410 on juba ka aktiivselt rünnetes ära kasutatud. Haavatavus võimaldab autentimata ründajatel saada ohvri süsteemis kõrgemad õigused.  Shadowserveri monitooringu alusel on ohustatud servereid kokku pea 100 000, kuid nimetatud Exchange’i turvanõrkusele on neist haavatavad 28 500. Hetkel ei ole veel turvaveale avaldatud kontseptsiooni tõendust, mistõttu võib eeldada, et rünnete arv võib edaspidi kasvada.

Kõigil Microsoft Exchange’i kasutajatel tuleks uuendada tarkvara esimesel võimalusel, veebruarikuu uuendustega paigati ka nimetatud haavatavus. Turvaviga on paigatud Exchange Server 2019 uuendusega 14 (CU14) (BC).

WordPressi veebilehti ohustab koodi kaugkäivitamist võimaldav turvanõrkus

Ründajad on võtnud sihikule turvanõrkuse WordPressi “Brick Builderi” nimelises teemas, mille eduka kuritarvitamise korral on võimalik haavataval veebilehel pahaloomulist PHP-koodi käivitada. Teemat kasutab umbes 25 000 WordPressi veebilehte. Viga on paigatud 13. veebruaril avaldatud tarkvara versioonis 1.9.6.1.

Patchstacki info kohaselt on haavatavust juba ära kasutatud. Nad on avaldanud postituse, kus kirjeldavad turvaviga tähisega CVE-2024-25600 täpsemalt.

Soovitame kõigil WordPressi veebilehtede haldajatel pistikprogramme ja teemasid regulaarselt uuendada (BC, HN, PS).

Chrome’i ja Firefoxi veebilehitsejates paigati kõrge mõjuga turvavead

Nii Google kui ka Mozilla andsid sel nädalal välja Chrome’i ja Firefoxi tarkvaravärskendused, et paigata mõlema veebilehitseja haavatavused. Mõlemas brauseris parandati kõrge mõjuga mälu ohutuse vead.

Google avaldas Chrome’i versiooni 122.0.6261.57 Windowsi, Maci ja Linuxi seadmetele, milles on parandatud 12 haavatavust. Mozilla avaldas Firefoxi versiooni 123, kus on samuti paigatud tosin turvaviga, nende hulgas ka neli kõrge mõjuga haavatavust.

Lisaks avaldati ka uued turvapaikadega versioonid veebilehitsejale Mozilla Firefox ESR 115.8 ja meiliprogrammile Thunderbird.

Kumbki ettevõte ei ole maininud turvavigade ärakasutamist. Soovitame nii Google Chrome kui ka Mozilla tarkvarad uuendada esimesel võimalusel (SW).

Apple’i turvaviga võimaldab andmete vargust

Haavatavus tähisega CVE-2024-23204 mõjutab Apple’i populaarset rakendust Shortcuts ja selle kaudu võivad ründajad saada juurdepääsu ohvri seadmetes olevatele tundlikele andmetele, ilma et kasutaja selleks ise loa annaks. Näiteks on võimalik kurjategijal saada ligipääs fotodele, kontaktidele ja failidele. Bitdefenderi analüüsi kohaselt võimaldab haavatavus luua pahatahtliku Shortcutsi faili, mis suudab mööda minna Apple’i turvaraamistikust. Apple’i Transparency, Consent, and Control (TCC) turberaamistik peaks tagama, et rakendused küsiksid kasutajalt selgesõnaliselt luba enne teatud andmetele või funktsioonidele juurdepääsu andmist.

Viga mõjutab macOSi ja iOSi tooteid, mis kasutavad tarkvara versioone macOS Sonoma 14.3, iOS 17.3 ja iPadOS 17.3. Apple on vea paiganud ja soovitab kõigil uuendada tarkvara (DR, SW, BD).

Lunavararühmitustele meeldib kuritarvitada levinud kaughaldus- ja seiretarkvarasid

Erinevad kaughaldustarkvarad, nagu näiteks AnyDesk, TeamViewer, Atera ja Splashtop, on paljude IT-administraatorite töövahendiks ja kasutusel laialdaselt üle maailma. Kuna seadmed ja töötajad võivad olla eri asukohtades, siis on seadmete kaughaldamine saanud tänapäeval on möödapääsmatuks.

Kahjuks on erinevad lunavararühmitused leidnud selles soodsa variandi rünnete läbiviimiseks. Peamiselt kasutatakse järgnevaid strateegiad:

  • Saadakse ligipääs olemasolevale kaughaldustarkvarale. Kuna kaughaldustööriistad nõuavad süsteemile juurdepääsuks mandaate, siis on üheks enamlevinud ründevektoriks nõrgad või vaikimisi määratud paroolid ning paikamata tarkvara.
  • Teiseks variandiks on saada esmalt ligipääs ohvri süsteemile ja seejärel paigaldada sinna endale sobilik kaughaldustarkvara, mille kaudu saab edaspidi ründeid läbi viia.
  • Kolmandaks variandiks on sotsiaalne manipulatsioon, mille käigus saadetakse ettevõtte töötajale link pahatahtliku tarkvaraga ning suunatakse kasutaja seda paigaldama.

Malwarebytes’i analüüsi kohaselt on pea kõik suuremad lunavararühmitused kasutanud oma rünnete läbiviimisel just neid meetodeid ja kaughaldustarkvarasid.

Taoliste rünnete vältimiseks tuleks üle vaadata, kas kasutusel olevas kaughaldustarkvaras on kõik mittevajalikud funktsioonid keelatud. Lisaks tuleks kaughaldustarkvara tegevusi logida ja logisid regulaarselt monitoorida (MB).

Olulisemad turvanõrkused 2024. aasta 3. nädalal

VMware parandas Aria Automation tarkvaral kriitilise turvanõrkuse

Virtuaalmasinate loomise ja haldamise tarkvara pakkuv ettevõte VMware parandas hiljuti tõsise turbeprobleemi oma tootes nimega Aria Automation (varem tuntud kui vRealize Automation). Turvanõrkuse abil oli võimalik volitamata pääseda erinevatesse tarkvaraga seotud süsteemidesse ja protsessidesse,  juhul kui ründajal on haavatavale VMware’ile juba teatud tasemel juurdepääs (THN).

Turvaviga kannab tähist CVE-2023-34063 ja see on hinnatud kriitilisuse tasemega 9.9/10, mis näitab, et tegemist on väga tõsise haavatavusega.

Mõjutatud tarkvara versioonid:

VMware Aria Automation (versioonid 8.11.x, 8.12.x, 8.13.x ja 8.14.x)

VMware Cloud Foundation (versioonid 4.x ja 5.x)

Ettevõte juhib enda ametlikus teadaandes tarkvara kasutajate tähelepanu sellele, et pärast turvapaiga rakendamist peaksid kliendid uuendama oma süsteemid ainult versioonile 8.16. Kui nad lähevad üle versioonile, mis on mõjutatud versioonide ja versiooni 8.16 vahel, võib turvanõrkus uuesti ilmneda, mis nõuab teist parandust (VMware).

Atlassian parandas Confluence’il tõsiste tagajärgedega haavatavuse

Atlassian on hiljuti parandanud oma toodetes suurel hulgal turvanõrkuseid, sealhulgas ühe väga tõsise nõrkuse Confluence Data Center ja Confluence Server toodetes. Haavatavus on koodi kaugkäivitamise (RCE) viga, mis tähendab, et see võib lubada kellelgi, kellel pole volitatud juurdepääsu, tarkvaraga seotud süsteemile käske anda või seda muul moel mõjutada (Atlassian).

Turvanõrkusetähis on CVE-2023-22527 ja seda on hinnatud kõrgeima kriitilisuse skooriga 10.0/10.0. Haavatavus mõjutab tarkvara versioone 8.0.x kuni 8.5.3, kuid ei mõjuta versiooni 7.19.x LTS (pikaajalise toega versioon) (Atlassian).

Atlassian on selle probleemi lahendanud järgmistes uuemates versioonides: 8.5.4, 8.5.5, 8.6.0, 8.7.1 ja 8.7.2 (ainult Confluence Data Center jaoks). Ettevõte soovitab kasutajatel, kes kasutavad vanemaid a haavatavaid versioone, uuendada oma tarkvara uusimale saadaolevale versioonile (Atlassian).

Google parandas Chrome’i sirvikul nullpäeva turvanõrkuse

Google avalikustas Chrome’i brauseri värskendused, et parandada äsja avastatud ja aktiivselt kuritarvitatud turvaauk. Viga peitub selles, kuidas Chrome käsitleb teatud tüüpi koodi. Ründajad võivad seda loogikaviga manipuleerida nii, et brauseri töö katkeb või õnnestub ründajal veebilehitseja üle kontroll võtta. Viga kannab tähist CVE-2024-0519 ja seda nimetatakse nullpäeva turvanõrkuseks,  kuna ründajad kasutasid seda aktiivselt ära enne, kui Google sellest teadlikuks sai ja paranduse välja andis.

Üksikasju ei ole rünnakute kohta avalikustatud. Eelmisel aastal parandas Google Chrome’i sirvikus kokku kaheksa nullpäeva turvanõrkust (THN).

Selle haavatavuse eest kaitsmiseks soovitatakse kasutajatel värskendada oma Chrome’i brauser uusimale versioonile: 120.0.6099.224/225 Windowsi jaoks, 120.0.6099.234 macOS-i jaoks ja 120.0.6099.224 Linuxi jaoks. Teiste Chromiumil põhinevate brauserite (nt Microsoft Edge, Brave, Opera ja Vivaldi) kasutajatel soovitatakse samuti oma brausereid värskendada niipea, kui parandused on saadaval (THN).

Nutitelefonide valgusandurid võivad võimaldada salajast jälgimist

MIT-i teadlased on avastanud, et nutitelefonide, sealhulgas iPhone’i ja Androidi, seadmete ümbritseva valguse tuvastamiseks mõeldud andureid saab kasutada kasutaja interaktsioonide salvestamiseks ilma nende teadmata. Need andurid, mida tavaliselt kasutatakse ekraani heleduse reguleerimiseks, ei vaja kasutamiseks kasutaja luba. MIT-i teadlasterühm näitas, et andurid suudavad jäädvustada žeste, nagu kerimine, tuvastades kasutaja käe poolt blokeeritud valguse variatsioonid (DR).

MIT-i doktorant Yang Liu rõhutas nende anduritega seotud privaatsusriske, eriti kuna kasutajad ei tea, et varjatud jälgimiseks võidakse kasutada pildistamiseks mitte mõeldud komponente. Suundumus suuremate ja heledamate ekraanide poole ning tehisintellekti kasutavate tehnoloogiate edusammud võivad selliseid riske süvendada. Valdkonna eksperdid tunnistavad selle avastuse olulisust, kuid peavad vahetut ohtu kasutajale minimaalseks. Siiski rõhutatakse vajadust suurendada turvalisust kõigis digitaalselt ühendatud seadmetes (DR).

Konkreetse ohu leevendamiseks soovitavad teadlased tarkvarapoolseid lahendusi, nagu näiteks ümbritseva valguse andurite lubade kontrolli rakendamist (DR).

USA julgeolekuasutused hoiatavad Hiinas toodetud droonide kasutamise eest

FBI ja CISA hoiatasid, et Hiinas toodetud droonide sagenev kasutamine kujutab endast olulist ohtu USA kriitilisele infrastruktuurile. Asutused andsid välja dokumendi, mis soovitab USA organisatsioonidel hankida vajadusel USA-s toodetud turvalise projekteerimise põhimõtetele (secure by design) vastavaid droone. Asutused nõustuvad, et droonide kasutamine on tõhus kulude vähendamisel ja ohutuse parandamisel erinevates valdkondades, sealhulgas energia-, keemia- ja sidesektoris. David Mussington CISAst juhib aga tähelepanu, et Hiinas toodetud droonid paljastavad tundlikku teavet, mis võib ohustada USA riiklikku julgeolekut ja majandusjulgeolekut (SCM).

Mure tuleneb CISA pressiteate kohaselt Hiina seadustest, mis võimaldavad Hiina valitsusel pääseda ligi Hiina ettevõtete, sealhulgas droonitootjate valduses olevatele andmetele. Julgeolekuasutuste juhistest järeldub muu hulgas, et Hiina Rahvavabariigi 2017. aasta riiklik luureseadus kohustab Hiina ettevõtteid tegema koostööd riiklike luureteenistustega, mis hõlmab juurdepääsu võimaldamist ülemaailmselt kogutud andmetele. Bryan Vorndran FBI küberosakonnast hoiatab samuti Hiinas toodetud droonide kasutuselevõtuga USA peamistes sektorites seotud julgeolekuprobleemide eest, võttes arvesse süsteemidele ja andmetele volitamata juurdepääsu ohtu (SCM).

Lisaks sellele, et CISA ja FBI juhised kutsusid organisatsioone Hiinas toodetud seadmeid vältima, jagasid nad avaldatud dokumendis ka mitmeid soovitusi tööstuslike droonidega seotud turvariskide maandamiseks. Näiteks olid soovituste seas privaatsuspoliitika ülevaatamine, et mõista, kus drooniandmeid salvestatakse ja jagatakse, püsivara turvapaikade ja värskenduste rakendamine usaldusväärsest allikast ja kogutud andmete droonile salvestamata jätmine. Antud dokumendiga on võimalik tutvuda CISA kodulehel.

POST SMTP pistikprogrammi turvanõrkused võivad mõjutada WordPressi veebilehti

Rohkem kui 150 000 WordPressi veebilehte on haavatavad POST SMTP Mailer pistikprogrammi turvavigade tõttu, mille kaudu võib ründaja saada täieliku kontrolli ohvri veebilehe üle. Esimene haavatavus võimaldab autentimata ründajal API võtme lähtestada ja pääseda juurde tundlikule logiteabele, mille abil võib haavatava veebilehe täielikult üle võtta. Teise vea abil on ründajatel võimalik lisada haavatavetele veebilehtedele pahatahtlikke skripte. Turvanõrkused on parandatud pistikprogrammi versioonis 2.8.8. Haavatavused tõestavad taas, et lisaks WordPressi uuendamisele on oluline jälgida ka seda, et kõikidele kasutavatele pistikprogrammidele oleksid uuendused rakendatud (BC).

Enam kui 178 000 SonicWalli tulemüüri on turvanõrkuste tõttu ohus

Küberturvalisusega tegelevad teadurid avastasid, et üle 178 000 SonicWalli tulemüüri on internetile avatud haldusliidesega, mistõttu ohustavad neidteenuse tõkestamise ja koodi kaugkävitamise ründed. Neid seadmeid mõjutavad turvavead tähistega CVE-2022-22274 ja CVE-2023-0656. SonicWalli tulemüüride kasutajatel soovitatakse üle kontrollida, et haldusliides poleks võrgust ligipääsetav ja uuendada tarkvara viimasele versioonile (BC).