Kilka podatności w poniedziałek: TikTok z zero-dayem, luka w zabezpieczeniach Azura i łatanie podatności SolarWinds (w tym zgłoszonych przez pentestera z NATO)

Hakerzy wykorzystali zero-day do przejęcia kont znanych osób i organizacji na TikToku. Niewiele szczegółów zostało podanych do wiadomości publicznej, ale zgłoszono, że otwarcie złośliwego czatu wystarczyło, aby uruchomić exploit. TikTok twierdzi, że załatał lukę po atakach na konta CNN, Paris Hilton, Sony i innych, ale odmówił udostępnienia jakichkolwiek informacji technicznych na temat incydentu.

Autor: Kapitan Hack Data dodania: 10 cze 2024 08:00 3 min czytania

Azure

Tenable ostrzega przed luką w zabezpieczeniach platformy Azure, wpływającą na użytkowników korzystających z tagów usług Azure w przypadku reguł zapory sieciowej. Usługi platformy umożliwiają użytkownikom tworzenie żądań internetowych i kontrolowanie żądań po stronie serwera. Zidentyfikowany problem umożliwia atakującym kontrolowanie żądań i podszywanie się pod usługi platformy Azure, omijając kontrole sieci korzystające z tagów usług i uzyskując dostęp do wewnętrznych interfejsów API.

SolarWinds

O naszym ulubionym producencie napiszemy trochę więcej. W zeszłym tygodniu SolarWinds wydał łatki dla wielu luk o wysokim poziomie ważności, w tym poprawił błąd zgłoszony przez testera penetracyjnego współpracującego z NATO. Warto podkreślić, że najnowsza wersja platformy SolarWinds, nosząca numer 2024.2, zawiera poprawki trzech nowych usterek bezpieczeństwa, a także wielu błędów w komponentach innych firm.

Pierwszy problem, oznaczony jako CVE-2024-28996 i zgłoszony przez pentestera Agencji Komunikacji i Informacji NATO Nilsa Putninsa, jest opisywany jako błąd polegający na wstrzykiwaniu SWQL. Zastrzeżony podzbiór języka SQL jest przeznaczony tylko do odczytu. SWQL umożliwia użytkownikom wysyłanie zapytań do bazy danych SolarWinds w celu uzyskania informacji o sieci.

Firma ogłosiła także poprawki dla dwóch usterek zabezpieczeń wpływających na konsolę internetową swojej platformy, a mianowicie CVE-2024-28999, luki w zabezpieczeniach związanej z warunkami wyścigu oraz CVE-2024-29004, luki w przechowywaniu skryptów między witrynami (XSS), wymagającej wysokich uprawnień i interakcji użytkownika w celu pomyślnego wykorzystania.

Według dostawcy luki dotyczą platformy SolarWinds 2024.1 SR 1 i jej poprzednich wersji. Użytkownikom zaleca się jak najszybszą aktualizację do wersji 2024.2.

Aktualizacja platformy SolarWinds zawiera także poprawki średnio istotnej luki w Angularze oraz dziesięciu problemów o dużej i średniej ważności w OpenSSL, z których część została ujawniona siedem lat temu. Większość z nich można wykorzystać do wywołania stanu odmowy usługi (DoS).

W tym tygodniu firma SolarWinds udostępniła także poprawkę dotyczącą CVE-2024-28995 – luki w zabezpieczeniach katalogów o wysokim stopniu ważności w Serv-U, mogącej umożliwiać atakującym odczytanie poufnych plików na komputerze hosta.