Microsofts månatliga säkerhetsuppdateringar för augusti 2023

Microsoft har släppt sina månatliga säkerhetsuppdateringar för augusti månad. Uppdateringen rättar 74 sårbarheter varav sex anses kritiska. [1]

Microsoft varnar för att två av sårbarheterna som adresseras i uppdateringen har utnyttjats som nolldagssårbarheter. En av dessa är en så kallad Office Defence in Depth-uppdatering som förhindrar att angripare utnyttjar en sårbarhet (CVE-2023-36884) som rättades i juli. Sårbarheten gör det möjligt för en angripare att med hjälp av specialutformade Microsoft Office-dokument att kringgå säkerhetsfunktionen Mark of the Web i Windows och på så sätt lura användaren att öppna filer med skadlig kod utan att få en säkerhetsvarning. Den andra är en sårbarhet (CVE-2023-38180) i ASP .NET som kan utnyttjas för överbelastningsangrepp mot .NET-applikationer och Visual Studio. [2,3]

Utöver dessa rättas sex kritiska sårbarheter i Microsoft Outlook, Microsoft Teams samt i operativsystemfunktionen Microsoft Message Queuing som gör det möjligt att fjärrköra skadlig kod på sårbara system.

En av de sex sårbarheter som rättats i Microsoft Exchange Server har av Microsoft bedömts som viktig (important) trots att den får CVSS-klassningen 9,8 (CVE-2023-21709). Skälet som Microsoft anger är att framgångsrika angrepp är mindre sannolika då de förutsätter så kallade brute force-angrepp.

Påverkade produkter

För en komplett lista över produkter som uppdateras denna månad, se [1].

Rekommendationer

CERT-SE rekommenderar att snarast installera säkerhetsuppdateringarna, samt att i övrigt följa Microsofts rekommendationer.

Källor

[1] https://msrc.microsoft.com/update-guide/releaseNote/2023-Aug
[2] https://msrc.microsoft.com/update-guide/en-US/vulnerability/ADV230003
[3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38180

Kritisk sårbarhet i Ivanti Endpoint Manager Mobile (Mobileiron Core)(uppdaterad 2023-08-02)

Ivanti har publicerat säkerhetsuppdateringar som åtgärdar kritiska sårbarheter i Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core). Den allvarligaste är CVE-2023-35078 som tillåter en oautentiserad användare att få API-access till systemet. [1,2,3]

En angripare som har dessa behörigheter kan komma över personuppgifter som t.ex. namn, telefonnummer och övrig information om telefonin. Utöver detta finns det möjlighet för angriparen även att göra konfigurationsförändringar och möjlighet att skapa nya administrationskonton. Den är klassad som kritisk med CVSS-klassificering 10 av 10.

CERT-SE har tydliga indikationer på att denna sårbarhet utnyttjas aktivt. Därför uppmanas användare att kontrollera sina system efter tecken på exploatering. [4,5]

Uppdatering 2023-07-31

Ivanti har den 28 juli publicerat information om en ny sårbarhet (CVE-2023-35081). Säkerhetsbristen innebär att en angripare med administratörsbehörighet kan skriva godtyckliga filer samt utföra OS-kommandon på mjukvarans webbserver. Sårbarheten kan utnyttjas i kombination med den tidigare annonserade, kritiska sårbarheten CVE-2023-35078. [6]

Enligt Ivanti utnyttjas båda sårbarheterna aktivt. 

Uppdatering 2023-08-02

CISA och NCSC-NO har tillsammans släppt en Cybersecurity Advisory (CSA). Publikationen innehåller bland annat IOC:er (indicators of compromise) och TTPs (taktik, teknik, procedur för angrepp) som NCSC-NO identifierat i sin initiala utredning, samt förslag på tillvägagångssätt för detektion. Användare som vid undersökning inte finner spår på exploatering uppmanas ändå att säkerhetsuppdatera sin produkt.[7]

Påverkade produkter

    Alla versioner av Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core)

Rekommendationer

CERT-SE rekommenderar att omedelbart uppdatera sårbara produkter enligt tillverkarens rekommendationer. [1,2,3]

Källor

[1] https://www.ivanti.com/blog/cve-2023-35078-new-ivanti-epmm-vulnerability
[2] https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability 
[3] https://forums.ivanti.com/s/article/KB-Remote-unauthenticated-API-access-vulnerability-CVE-2023-35078 (Kundinloggning krävs)
[4] https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/
[5] https://www.cisa.gov/news-events/alerts/2023/07/24/ivanti-releases-security-updates-endpoint-manager-mobile-epmm-cve-2023-35078
[6] https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US
[7] https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a

CERT-SE:s veckobrev v.27

Efter en lugn vecka på nyhetsfronten kommer här ett veckobrev med fokus på rapporter. CERT-SE:s veckobrev kommer ut som vanligt nästa vecka, men efter det tar vi sommaruppehåll och är tillbaka vecka 32.

Trevlig helg önskar CERT-SE!

Nyheter i veckan

More than a million NHS patients’ details compromised after cyberattack (29 jun)
https://www.independent.co.uk/news/health/nhs-patient-data-attack-b2364202.html

TSMC denies LockBit hack as ransomware gang demands $70 million (30 jun)
https://www.bleepingcomputer.com/news/security/tsmc-denies-lockbit-hack-as-ransomware-gang-demands-70-million/

DoS and DDoS Attacks against Multiple Sectors (30 jun)
https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors

ChatGPT tricked into generating Windows 10 and Windows 11 keys (3 jul)
https://www.hackread.com/chatgpt-generating-windows-10-windows-11-keys/

Microsoft denies data breach, theft of 30 million customer accounts (3 jul)
https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/

Fyra bolag måste sluta använda Google Analytics (3 jul)
https://www.imy.se/nyheter/fyra-bolag-maste-sluta-anvanda-google-analytics/
..
Swedish Data Protection Authority Warns Companies Against Google Analytics Use (4 jul)
https://thehackernews.com/2023/07/swedish-data-protection-authority-warns.html

Thirty-three US Hospitals Hit By Ransomware This Year (4 jul)
https://www.infosecurity-magazine.com/news/thirtythree-us-hospitals/

Japan’s largest port stops operations after ransomware attack (5 jul)
https://www.bleepingcomputer.com/news/security/japans-largest-port-stops-operations-after-ransomware-attack/

New tool exploits Microsoft Teams bug to send malware to users (5 jul)
https://www.bleepingcomputer.com/news/security/new-tool-exploits-microsoft-teams-bug-to-send-malware-to-users/

JumpCloud resets admin API keys amid ‘ongoing incident’ (6 jul)
https://www.bleepingcomputer.com/news/security/jumpcloud-resets-admin-api-keys-amid-ongoing-incident/

Informationssäkerhet och blandat

SNAPPY: Detecting Rogue and Fake 802.11 Wireless Access Points Through Fingerprinting Beacon Management Frames (27 jun)
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/snappy-detecting-rogue-and-fake-80211-wireless-access-points-through-fingerprinting-beacon-management-frames/

8Base Ransomware: A Heavy Hitting Player (28 jun)
https://blogs.vmware.com/security/2023/06/8base-ransomware-a-heavy-hitting-player.html

Unmasking HMRC Self-Assessment Phish: How Attackers Outsmart Secure Email Gateways (SEGs) (29 jun)
https://cofense2022stg.wpengine.com/blog/unmasking-hmrc-self-assessment-phish-how-attackers-outsmart-secure-email-gateways-segs/

Patch me if you can: Cyberattack Series (29 jun)
https://www.microsoft.com/en-us/security/blog/2023/06/29/patch-me-if-you-can-cyberattack-series/

Meduza Stealer: What Is It & How Does It Work? (30 jun)
https://www.uptycs.com/blog/what-is-meduza-stealer-and-how-does-it-work

Malvertising Used as Entry Vector for BlackCat, Actors Also Leverage SpyBoy Terminator (30 jun)
https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html

DDoS Carpet-Bombing – Coming In Fast And Brutal (2 jul)
https://www.radware.com/blog/uncategorized/2023/07/ddos-carpet-bombing-coming-in-fast-and-brutal/

Chinese Threat Actors Targeting Europe in SmugX Campaign (3 jul)
https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/

Checking-up on Health: Ransomware Accounts for 54% of Cybersecurity Threats (5 jul)
https://www.enisa.europa.eu/news/checking-up-on-health-ransomware-accounts-for-54-of-cybersecurity-threats

Ransomware in the Cloud (5 jul)
https://www.sans.org/blog/ransomware-in-the-cloud/

Logging – part of a resilient cyber defence (5 jul)
https://www.cfcs.dk/en/forebyggelse/guidance/logging/

Active Cyber Defence: Sixth annual report now available (6 jul)
https://www.ncsc.gov.uk/blog-post/active-cyber-defence-6th-annual-report-available

Decryption tool for Akira ransomware available for free (6 jul)
https://www.tripwire.com/state-of-security/free-akira-ransomware-decryptor-released-victims-who-wish-recover-their-data

Increased Truebot Activity Infects U.S. and Canada Based Networks (6 jul)
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-187a

Källa: CERT.se

Ökad risk för cyberangrepp

MSB och CERT.se ser en ökad risk för cyberangrepp mot IT-infrastruktur genom t ex överbelastningsattacker, spoofing och phischingattacker. Därför uppmanar CERT.se att företag och myndigheter stärker sin förmåga att. motstå antagonistiska attacker och att vara snabba med att rapportera misstänkta händelser till MSB.

Allvarliga sårbarheter i VMware vCenter server och VMware Cloud Foundation

VMware informerar om allvarliga sårbarheter i flera versioner av VMware vCenter server och VMware Cloud Foundation. Genom att utnyttja sårbarheten kan en angripare köra skadlig kod. [1]

Det rör sig om totalt fem sårbarheter. Fyra av dem har en CVSSv3-gradering 8.1. Det rör sig om CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, där de två förstnämnda kan utnyttjas för att köra skadlig kod. Den femte har CVSSv3-gradering 5.9 (CVE-2023-20896). [1]

Påverkade produkter

VMware vCenter server 7.0 till 8.0 
VMware Cloud Foundation 4.x till 5.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.vmware.com/security/advisories/VMSA-2023-0014.html

Kritisk sårbarhet i FortiNAC

Fortinet har publicerat en uppdatering till en sårbarhet som möjliggör att fjärrköra skadlig kod (RCE, Remote Code Execution) i FortiNAC. [1]

Sårbarheten kan utnyttjas genom att skicka ett speciellt utformat paket till TCP-port 1050. En angripare kan sedan fjärrköra skadlig kod på systemet. NIST har gett sårbarheten beteckning CVE-2023-33299, och anger nivån till 9.6 på CVSSv3-skalan. [2]

Påverkade produkter

FortiNAC version 9.4.0 till 9.4.2
FortiNAC version 9.2.0 till 9.2.7
FortiNAC version 9.1.0 till 9.1.9
FortiNAC version 7.2.0 till 7.2.1
FortiNAC 8.8 alla versioner
FortiNAC 8.7 alla versioner
FortiNAC 8.6 alla versioner
FortiNAC 8.5 alla versioner
FortiNAC 8.3 alla versioner

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.fortiguard.com/psirt/FG-IR-23-074
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-33299

Apple rättar tre nolldagssårbarheter

Apple har släppt säkerhetsuppdateringar som rättar sårbarheter i flera versioner av företagets operativsystem samt i webbläsaren Safari. Bland dessa finns tre sårbarheter som enligt Apple kan ha utnyttjats som nolldagssårbarheter. [1]

Den ena (CVE-2023-32434) gör det möjligt för en angripare att köra godtycklig kod på kernelnivå. Den andra (CVE-2023-32435) kan uttnyttjas för att att med hjälp av specialutformat webbinnehåll fjärrköra godtycklig kod i webbkomponenten WebKit. Den sista är en sårbarhet i webbläsaen Safari som även den gör det möjligt att fjärrköra godtycklig kod med hjälp av specialformat webbinnehåll. Ingen av sårbarheterna har fått en CVSS-klassning ännu.

Påverkade produkter

iOS 16 före 16.5.1
iOS 15 före 15.7.7
iPadOS 16 före 16.5.1
iPadOS 15 före 15.7.7
macOS Ventura före 13.4.1
macOS Monterey före 12.6.7
macOS Bug Sur före 11.7.8
watchOS 9 före 9.5.2
watchOS 8 före 8.8.1
Safari före 16.5.1

Rekommendationer

CERT-SE rekommenderar att installera säkerhetsuppdateringarna så snart som möjligt.

Källor

[1] https://support.apple.com/en-us/HT201222

Källa: CERT.se

CERT-SE:s veckobrev v.25

Lite kortare veckobrev denna kortvecka. Glad midsommar önskar CERT-SE!

Nyheter i veckan

CISA Order Highlights Persistent Risk at Network Edge (15 jun)
https://krebsonsecurity.com/2023/06/cisa-order-highlights-persistent-risk-at-network-edge/

Microsoft Response to Layer 7 Distributed Denial of Service (DDoS) Attacks (16 jun)
https://msrc.microsoft.com/blog/2023/06/microsoft-response-to-layer-7-distributed-denial-of-service-ddos-attacks/
..
Microsoft bekräftar: ddos-attacker bakom störningar för Azure och Outlook (19 jun)
https://computersweden.idg.se/2.2683/1.779468/microsoft-bekraftar-ddos-attacker-bakom-storningar-for-azure-och-outlook

This new malware is proving quite popular… and dangerous (19 jun)
https://www.techradar.com/news/this-new-malware-is-proving-quite-popular-and-dangerous

Researchers Discover New Sophisticated Toolkit Targeting Apple macOS Systems (19 jun)
https://thehackernews.com/2023/06/researchers-discover-new-sophisticated.html

Moveit hack: attack on BBC and BA offers glimpse into the future of cybercrime (19 jun)
https://theconversation.com/moveit-hack-attack-on-bbc-and-ba-offers-glimpse-into-the-future-of-cybercrime-207670

European Investment Bank hit by cyber attack after Russian hackers vow to bring down financial system (19 jun)
https://www.telegraph.co.uk/business/2023/06/19/european-investment-bank-cyber-attack-russian-hackers/

Ransomware gang preys on cancer centers, triggers alert (20 jun)
https://www.scmagazine.com/news/ransomware/ransomware-cancer-center-alert

Rorschach Ransomware: What You Need to Know (20 jun)
https://www.darkreading.com/attacks-breaches/rorschach-ransomware-what-you-need-to-know

Massive Leak Of ChatGPT Credentials: Over 100,000 Accounts Affected (20 jun)
https://www.searchenginejournal.com/massive-leak-of-chatgpt-credentials-over-100000-accounts-affected/489801/
..
100K+ Infected Devices Leak ChatGPT Accounts to the Dark Web (20 jun)
https://www.darkreading.com/application-security/100k-infected-devices-leak-chatgpt-accounts-dark-web

Informationssäkerhet och blandat

JPL Creates World’s Largest PDF Archive to Aid Malware Research (14 jun)
https://www.jpl.nasa.gov/news/jpl-creates-worlds-largest-pdf-archive-to-aid-malware-research

Food Producers Band Together in Face of Cyber Threats (15 jun)
https://www.wsj.com/articles/food-producers-band-together-in-face-of-cyber-threats-8aa2e3ca

Unpacking RDStealer: An Exfiltration Malware Targeting RDP Workloads (20 jun)
https://www.bitdefender.com/blog/businessinsights/unpacking-rdstealer-an-exfiltration-malware-targeting-rdp-workloads/

Improve Your Security Posture With MANRS (20 jun)
https://www.manrs.org/2023/06/improve-your-security-posture-with-manrs/

CERT-SE i veckan

Apple rättar tre nolldagarssårbarheter

Sårbarhet i VMware Aria Operations Networks exploateras aktivt

Kritisk sårbarhet i Zyxel NAS

Kritisk sårbarhet i MOVEit Transfer (uppdaterad 2023-06-16)

Ett flertal rapporter varnar för en kritisk sårbarhet i MOVEit Transfer. [1,2,3]

Sårbarheten (CVE-2023-34362) innebär att en oautentiserad angripare kan utföra en SQL-injektion och få förhöjda rättigheter för att sedan kunna köra skadlig kod på systemet (RCE). När detta är gjort är det möjligt för angriparen att plantera en bakdörr på det drabbade systemet, ett s.k. webshell. På så sätt kan en angripare mer eller mindre ta kontroll över den drabbade maskinen (och potentiellt sett även andra maskiner på samma nätsegment).

Indikationer finns redan att denna sårbarhet utnyttjas aktivt mot organisationer i Sverige. 

Rekommenderade åtgärder och säkerhetspatchar finns publicerade. [2]

Uppdatering 2023-06-08

CISA har publicerat en sammanställning med ytterligare tekniska detaljer, IOC:er och skyddsåtgärder. [4]

Uppdatering 2023-06-12

Progress rapporterar den 9 juni om ytterligare en sårbarhet i MOVEit Transfer (CVE-2023-35036). Patchen för CVE-2023-34362 har uppdaterats och inbegriper nu även fix för sårbarheten rapporterad den 9 juni. Verksamheter som tidigare, innan patchen uppdaterades, installerat patch för CVE-2023-34362 rekommenderas att snarast möjligt installera också patch för den senaste sårbarheten. [5]

Uppdatering 2023-06-13

Ett proof of concept för att utnyttja sårbarheten CVE-2023-34362 har nu tillgängliggjorts offentligt. [6]

Uppdatering 2023-06-16

Säkerhetsuppdateringar för en ny kritisk sårbarhet i MOVEit har publicerats den 15 juni. Den nya sårbarheten har inte tilldelats ett CVE-nummer ännu, men det rör sig om en sk. privilege escalation-sårbarhet vilket innebär att en angripare kan öka sina rättigheter och potentiell tillskansa sig obehörig åtkomst till it-miljön [7].

Progress har publicerat olika råd beroende på om man har säkerhetsuppdaterat de tidigare sårbarheterna eller inte [7]. 

Påverkade produkter

Sårbarheten påverkar följande produkter: [2]

MOVEit Transfer 2023.0.0
MOVEit Transfer 2022.1.x    
MOVEit Transfer 2022.0.x    
MOVEit Transfer 2021.1.x    
MOVEit Transfer 2021.0.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter där uppdatering finns tillgänglig. Där uppdatering inte finns tillgänglig ska systemet skiljas från internet för att förhindra otillbörlig åtkomst

Källor

[1] https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/
[2] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
[3] https://www.bleepingcomputer.com/news/security/new-moveit-transfer-zero-day-mass-exploited-in-data-theft-attacks/
[4] https://www.cisa.gov/sites/default/files/2023-06/aa23-158a-stopransomware-cl0p-ransomware-gang-exploits-moveit-vulnerability_5.pdf
[5] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
[6] https://www.bleepingcomputer.com/news/security/exploit-released-for-moveit-rce-bug-used-in-data-theft-attacks/
[7] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-15June2023

Källa: CERT.se

Nätfiske med falska avsändare och PDF-bilagor 

CERT-SE har observerat flera fall av nätfiske med gemensamt modus av spoofade avsändarnamn och PDF:er. 

I denna nätfiskekampanj ser e-postmeddelandena ut att komma från den egna organisationen, sk. e-post spoofing. E-postmeddelandet har en bifogad skadlig PDF som mottagaren uppmanas klicka på. 

E-post spoofing innebär att en angripare ändrar sitt namn i e-postmeddelandets avsändarnamn till exempelvis en organisations eller individs namn i syfte att utge sig från att vara någon annan. Detta görs genom att ändra i e-postmeddelandets header. Det kan vara svårt för en mottagare att upptäcka detta eftersom i vissa e-postprogram är det endast detta namn som visas och inte avsändaradressen.

CERT-SE har analyserat ett antal fall där PDF:er har som används i bilaga i e-postmeddelandet och efterföljande modus. PDF:en har ett namn med endast en eller två tecken och med innehåll av en sida till en känd organisation. Eftersom det står att den skickade PDFen är skyddad, uppmanas mottagaren att klicka på ”OPEN” för att kunna se dokumentet. OPEN-knappen är en länk till en webbplats (olika domäner har observerats).

PDF är ett vanligt använt filformat som har stöd för många funktioner. Bland annat kan PDF användas för att exekvera javascript-kod. PDF:er kan också innehålla missledande information med syftet att få användaren att klicka på en länk och där ladda ner kod eller skriva in sina inloggningsuppgifter till diverse tjänster. Det finns olika sätt att göra PDF-hantering säkrare, men dessa metoder minskar ofta funktionaliteten hos filtypen vilket är en avvägning som måste tas före föreslagna åtgärder implementeras. Olika PDF läsare har olika mycket stöd och säkerhet, exempelvis stöd för ”säkert läge”, som stänga av javascript och hyperlänkar i PDF:er. 

Rekommendationer

  • CERT-SE uppmanar till vaksamhet på nätfiske i allmänhet och den ovan beskrivna typen i synnerhet. Kontakta gärna CERT-SE med observationer och/eller exempel på mottagna e-postmeddelanden.
  • Utbilda er organisations användare på att bli bättre på att identifiera denna typ av nätfiske, att de ska undersöka avsändaradress och inte enbart namnet i misstänkta e-post.
  • Underlätta för era användare genom att markera e-post som kommer från externa avsändare. Då blir det tydligt om ett interna mejlkonto spoofas. 
  • CERT-SE rekommenderar användning av multifaktorautentisering. Inför effektiv lösenordspolicy.
  • Se över eventuella påverkade användarkonton och vidta nödvändiga åtgärder. Har någon inom er organisation drabbats rekommenderar CERT-SE att gå igenom konfigurationen av kontot.
  • Utöver det bör alla medarbetare informeras om att de ska vara extra vaksamma och upplys om vilken metodik som används vid nätfiske. Uppmana användare som vet att de klickat på en länk och angett sina inloggningsuppgifter att meddela it-ansvarig så snart som möjligt.
  • Se över lämpliga alternativ för att göra PDF-hantering säkrare, tex. sätta standard för vilken programvara som ska öppna PDF:er i er miljö. Vissa PDF-läsare har stöd för ”säkert läge” som stänger av javascript och hyperlänkar. 

Nätfiske är vanligt förekommande och går ut på att lura till sig känslig information som användaruppgifter, lösenord, kontouppgifter, kreditkortsinformation med mera. Dessa attacker riktas ofta mot organisationer som hanterar olika typer av personuppgifter, finansiella transaktioner av olika slag och/eller annan känslig information.

CERT-SE har tidigare publicerat information om att förebygga och identifiera nätfiske. Se även artiklarna Flera fall av likartat nätfiske mot svenska verksamheter och CERT-SE uppmanar alla organisationer att skärpa uppmärksamheten kring nätfiske och DDoS.

Källa: CERT.se