Kritisk sårbarhet i Ivanti Endpoint Manager Mobile (Mobileiron Core)(uppdaterad 2023-08-02)

Ivanti har publicerat säkerhetsuppdateringar som åtgärdar kritiska sårbarheter i Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core). Den allvarligaste är CVE-2023-35078 som tillåter en oautentiserad användare att få API-access till systemet. [1,2,3]

En angripare som har dessa behörigheter kan komma över personuppgifter som t.ex. namn, telefonnummer och övrig information om telefonin. Utöver detta finns det möjlighet för angriparen även att göra konfigurationsförändringar och möjlighet att skapa nya administrationskonton. Den är klassad som kritisk med CVSS-klassificering 10 av 10.

CERT-SE har tydliga indikationer på att denna sårbarhet utnyttjas aktivt. Därför uppmanas användare att kontrollera sina system efter tecken på exploatering. [4,5]

Uppdatering 2023-07-31

Ivanti har den 28 juli publicerat information om en ny sårbarhet (CVE-2023-35081). Säkerhetsbristen innebär att en angripare med administratörsbehörighet kan skriva godtyckliga filer samt utföra OS-kommandon på mjukvarans webbserver. Sårbarheten kan utnyttjas i kombination med den tidigare annonserade, kritiska sårbarheten CVE-2023-35078. [6]

Enligt Ivanti utnyttjas båda sårbarheterna aktivt. 

Uppdatering 2023-08-02

CISA och NCSC-NO har tillsammans släppt en Cybersecurity Advisory (CSA). Publikationen innehåller bland annat IOC:er (indicators of compromise) och TTPs (taktik, teknik, procedur för angrepp) som NCSC-NO identifierat i sin initiala utredning, samt förslag på tillvägagångssätt för detektion. Användare som vid undersökning inte finner spår på exploatering uppmanas ändå att säkerhetsuppdatera sin produkt.[7]

Påverkade produkter

    Alla versioner av Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core)

Rekommendationer

CERT-SE rekommenderar att omedelbart uppdatera sårbara produkter enligt tillverkarens rekommendationer. [1,2,3]

Källor

[1] https://www.ivanti.com/blog/cve-2023-35078-new-ivanti-epmm-vulnerability
[2] https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability 
[3] https://forums.ivanti.com/s/article/KB-Remote-unauthenticated-API-access-vulnerability-CVE-2023-35078 (Kundinloggning krävs)
[4] https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/
[5] https://www.cisa.gov/news-events/alerts/2023/07/24/ivanti-releases-security-updates-endpoint-manager-mobile-epmm-cve-2023-35078
[6] https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US
[7] https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a

Ökad risk för cyberangrepp

MSB och CERT.se ser en ökad risk för cyberangrepp mot IT-infrastruktur genom t ex överbelastningsattacker, spoofing och phischingattacker. Därför uppmanar CERT.se att företag och myndigheter stärker sin förmåga att. motstå antagonistiska attacker och att vara snabba med att rapportera misstänkta händelser till MSB.

Allvarliga sårbarheter i VMware vCenter server och VMware Cloud Foundation

VMware informerar om allvarliga sårbarheter i flera versioner av VMware vCenter server och VMware Cloud Foundation. Genom att utnyttja sårbarheten kan en angripare köra skadlig kod. [1]

Det rör sig om totalt fem sårbarheter. Fyra av dem har en CVSSv3-gradering 8.1. Det rör sig om CVE-2023-20892, CVE-2023-20893, CVE-2023-20894, CVE-2023-20895, där de två förstnämnda kan utnyttjas för att köra skadlig kod. Den femte har CVSSv3-gradering 5.9 (CVE-2023-20896). [1]

Påverkade produkter

VMware vCenter server 7.0 till 8.0 
VMware Cloud Foundation 4.x till 5.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.vmware.com/security/advisories/VMSA-2023-0014.html

Kritisk sårbarhet i FortiNAC

Fortinet har publicerat en uppdatering till en sårbarhet som möjliggör att fjärrköra skadlig kod (RCE, Remote Code Execution) i FortiNAC. [1]

Sårbarheten kan utnyttjas genom att skicka ett speciellt utformat paket till TCP-port 1050. En angripare kan sedan fjärrköra skadlig kod på systemet. NIST har gett sårbarheten beteckning CVE-2023-33299, och anger nivån till 9.6 på CVSSv3-skalan. [2]

Påverkade produkter

FortiNAC version 9.4.0 till 9.4.2
FortiNAC version 9.2.0 till 9.2.7
FortiNAC version 9.1.0 till 9.1.9
FortiNAC version 7.2.0 till 7.2.1
FortiNAC 8.8 alla versioner
FortiNAC 8.7 alla versioner
FortiNAC 8.6 alla versioner
FortiNAC 8.5 alla versioner
FortiNAC 8.3 alla versioner

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart det är möjligt. 

Källor

[1] https://www.fortiguard.com/psirt/FG-IR-23-074
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-33299

Apple rättar tre nolldagssårbarheter

Apple har släppt säkerhetsuppdateringar som rättar sårbarheter i flera versioner av företagets operativsystem samt i webbläsaren Safari. Bland dessa finns tre sårbarheter som enligt Apple kan ha utnyttjats som nolldagssårbarheter. [1]

Den ena (CVE-2023-32434) gör det möjligt för en angripare att köra godtycklig kod på kernelnivå. Den andra (CVE-2023-32435) kan uttnyttjas för att att med hjälp av specialutformat webbinnehåll fjärrköra godtycklig kod i webbkomponenten WebKit. Den sista är en sårbarhet i webbläsaen Safari som även den gör det möjligt att fjärrköra godtycklig kod med hjälp av specialformat webbinnehåll. Ingen av sårbarheterna har fått en CVSS-klassning ännu.

Påverkade produkter

iOS 16 före 16.5.1
iOS 15 före 15.7.7
iPadOS 16 före 16.5.1
iPadOS 15 före 15.7.7
macOS Ventura före 13.4.1
macOS Monterey före 12.6.7
macOS Bug Sur före 11.7.8
watchOS 9 före 9.5.2
watchOS 8 före 8.8.1
Safari före 16.5.1

Rekommendationer

CERT-SE rekommenderar att installera säkerhetsuppdateringarna så snart som möjligt.

Källor

[1] https://support.apple.com/en-us/HT201222

Källa: CERT.se

CERT-SE:s veckobrev v.25

Lite kortare veckobrev denna kortvecka. Glad midsommar önskar CERT-SE!

Nyheter i veckan

CISA Order Highlights Persistent Risk at Network Edge (15 jun)
https://krebsonsecurity.com/2023/06/cisa-order-highlights-persistent-risk-at-network-edge/

Microsoft Response to Layer 7 Distributed Denial of Service (DDoS) Attacks (16 jun)
https://msrc.microsoft.com/blog/2023/06/microsoft-response-to-layer-7-distributed-denial-of-service-ddos-attacks/
..
Microsoft bekräftar: ddos-attacker bakom störningar för Azure och Outlook (19 jun)
https://computersweden.idg.se/2.2683/1.779468/microsoft-bekraftar-ddos-attacker-bakom-storningar-for-azure-och-outlook

This new malware is proving quite popular… and dangerous (19 jun)
https://www.techradar.com/news/this-new-malware-is-proving-quite-popular-and-dangerous

Researchers Discover New Sophisticated Toolkit Targeting Apple macOS Systems (19 jun)
https://thehackernews.com/2023/06/researchers-discover-new-sophisticated.html

Moveit hack: attack on BBC and BA offers glimpse into the future of cybercrime (19 jun)
https://theconversation.com/moveit-hack-attack-on-bbc-and-ba-offers-glimpse-into-the-future-of-cybercrime-207670

European Investment Bank hit by cyber attack after Russian hackers vow to bring down financial system (19 jun)
https://www.telegraph.co.uk/business/2023/06/19/european-investment-bank-cyber-attack-russian-hackers/

Ransomware gang preys on cancer centers, triggers alert (20 jun)
https://www.scmagazine.com/news/ransomware/ransomware-cancer-center-alert

Rorschach Ransomware: What You Need to Know (20 jun)
https://www.darkreading.com/attacks-breaches/rorschach-ransomware-what-you-need-to-know

Massive Leak Of ChatGPT Credentials: Over 100,000 Accounts Affected (20 jun)
https://www.searchenginejournal.com/massive-leak-of-chatgpt-credentials-over-100000-accounts-affected/489801/
..
100K+ Infected Devices Leak ChatGPT Accounts to the Dark Web (20 jun)
https://www.darkreading.com/application-security/100k-infected-devices-leak-chatgpt-accounts-dark-web

Informationssäkerhet och blandat

JPL Creates World’s Largest PDF Archive to Aid Malware Research (14 jun)
https://www.jpl.nasa.gov/news/jpl-creates-worlds-largest-pdf-archive-to-aid-malware-research

Food Producers Band Together in Face of Cyber Threats (15 jun)
https://www.wsj.com/articles/food-producers-band-together-in-face-of-cyber-threats-8aa2e3ca

Unpacking RDStealer: An Exfiltration Malware Targeting RDP Workloads (20 jun)
https://www.bitdefender.com/blog/businessinsights/unpacking-rdstealer-an-exfiltration-malware-targeting-rdp-workloads/

Improve Your Security Posture With MANRS (20 jun)
https://www.manrs.org/2023/06/improve-your-security-posture-with-manrs/

CERT-SE i veckan

Apple rättar tre nolldagarssårbarheter

Sårbarhet i VMware Aria Operations Networks exploateras aktivt

Kritisk sårbarhet i Zyxel NAS

Kritisk sårbarhet i MOVEit Transfer (uppdaterad 2023-06-16)

Ett flertal rapporter varnar för en kritisk sårbarhet i MOVEit Transfer. [1,2,3]

Sårbarheten (CVE-2023-34362) innebär att en oautentiserad angripare kan utföra en SQL-injektion och få förhöjda rättigheter för att sedan kunna köra skadlig kod på systemet (RCE). När detta är gjort är det möjligt för angriparen att plantera en bakdörr på det drabbade systemet, ett s.k. webshell. På så sätt kan en angripare mer eller mindre ta kontroll över den drabbade maskinen (och potentiellt sett även andra maskiner på samma nätsegment).

Indikationer finns redan att denna sårbarhet utnyttjas aktivt mot organisationer i Sverige. 

Rekommenderade åtgärder och säkerhetspatchar finns publicerade. [2]

Uppdatering 2023-06-08

CISA har publicerat en sammanställning med ytterligare tekniska detaljer, IOC:er och skyddsåtgärder. [4]

Uppdatering 2023-06-12

Progress rapporterar den 9 juni om ytterligare en sårbarhet i MOVEit Transfer (CVE-2023-35036). Patchen för CVE-2023-34362 har uppdaterats och inbegriper nu även fix för sårbarheten rapporterad den 9 juni. Verksamheter som tidigare, innan patchen uppdaterades, installerat patch för CVE-2023-34362 rekommenderas att snarast möjligt installera också patch för den senaste sårbarheten. [5]

Uppdatering 2023-06-13

Ett proof of concept för att utnyttja sårbarheten CVE-2023-34362 har nu tillgängliggjorts offentligt. [6]

Uppdatering 2023-06-16

Säkerhetsuppdateringar för en ny kritisk sårbarhet i MOVEit har publicerats den 15 juni. Den nya sårbarheten har inte tilldelats ett CVE-nummer ännu, men det rör sig om en sk. privilege escalation-sårbarhet vilket innebär att en angripare kan öka sina rättigheter och potentiell tillskansa sig obehörig åtkomst till it-miljön [7].

Progress har publicerat olika råd beroende på om man har säkerhetsuppdaterat de tidigare sårbarheterna eller inte [7]. 

Påverkade produkter

Sårbarheten påverkar följande produkter: [2]

MOVEit Transfer 2023.0.0
MOVEit Transfer 2022.1.x    
MOVEit Transfer 2022.0.x    
MOVEit Transfer 2021.1.x    
MOVEit Transfer 2021.0.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter där uppdatering finns tillgänglig. Där uppdatering inte finns tillgänglig ska systemet skiljas från internet för att förhindra otillbörlig åtkomst

Källor

[1] https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/
[2] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
[3] https://www.bleepingcomputer.com/news/security/new-moveit-transfer-zero-day-mass-exploited-in-data-theft-attacks/
[4] https://www.cisa.gov/sites/default/files/2023-06/aa23-158a-stopransomware-cl0p-ransomware-gang-exploits-moveit-vulnerability_5.pdf
[5] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
[6] https://www.bleepingcomputer.com/news/security/exploit-released-for-moveit-rce-bug-used-in-data-theft-attacks/
[7] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-15June2023

Källa: CERT.se

Nätfiske med falska avsändare och PDF-bilagor 

CERT-SE har observerat flera fall av nätfiske med gemensamt modus av spoofade avsändarnamn och PDF:er. 

I denna nätfiskekampanj ser e-postmeddelandena ut att komma från den egna organisationen, sk. e-post spoofing. E-postmeddelandet har en bifogad skadlig PDF som mottagaren uppmanas klicka på. 

E-post spoofing innebär att en angripare ändrar sitt namn i e-postmeddelandets avsändarnamn till exempelvis en organisations eller individs namn i syfte att utge sig från att vara någon annan. Detta görs genom att ändra i e-postmeddelandets header. Det kan vara svårt för en mottagare att upptäcka detta eftersom i vissa e-postprogram är det endast detta namn som visas och inte avsändaradressen.

CERT-SE har analyserat ett antal fall där PDF:er har som används i bilaga i e-postmeddelandet och efterföljande modus. PDF:en har ett namn med endast en eller två tecken och med innehåll av en sida till en känd organisation. Eftersom det står att den skickade PDFen är skyddad, uppmanas mottagaren att klicka på ”OPEN” för att kunna se dokumentet. OPEN-knappen är en länk till en webbplats (olika domäner har observerats).

PDF är ett vanligt använt filformat som har stöd för många funktioner. Bland annat kan PDF användas för att exekvera javascript-kod. PDF:er kan också innehålla missledande information med syftet att få användaren att klicka på en länk och där ladda ner kod eller skriva in sina inloggningsuppgifter till diverse tjänster. Det finns olika sätt att göra PDF-hantering säkrare, men dessa metoder minskar ofta funktionaliteten hos filtypen vilket är en avvägning som måste tas före föreslagna åtgärder implementeras. Olika PDF läsare har olika mycket stöd och säkerhet, exempelvis stöd för ”säkert läge”, som stänga av javascript och hyperlänkar i PDF:er. 

Rekommendationer

  • CERT-SE uppmanar till vaksamhet på nätfiske i allmänhet och den ovan beskrivna typen i synnerhet. Kontakta gärna CERT-SE med observationer och/eller exempel på mottagna e-postmeddelanden.
  • Utbilda er organisations användare på att bli bättre på att identifiera denna typ av nätfiske, att de ska undersöka avsändaradress och inte enbart namnet i misstänkta e-post.
  • Underlätta för era användare genom att markera e-post som kommer från externa avsändare. Då blir det tydligt om ett interna mejlkonto spoofas. 
  • CERT-SE rekommenderar användning av multifaktorautentisering. Inför effektiv lösenordspolicy.
  • Se över eventuella påverkade användarkonton och vidta nödvändiga åtgärder. Har någon inom er organisation drabbats rekommenderar CERT-SE att gå igenom konfigurationen av kontot.
  • Utöver det bör alla medarbetare informeras om att de ska vara extra vaksamma och upplys om vilken metodik som används vid nätfiske. Uppmana användare som vet att de klickat på en länk och angett sina inloggningsuppgifter att meddela it-ansvarig så snart som möjligt.
  • Se över lämpliga alternativ för att göra PDF-hantering säkrare, tex. sätta standard för vilken programvara som ska öppna PDF:er i er miljö. Vissa PDF-läsare har stöd för ”säkert läge” som stänger av javascript och hyperlänkar. 

Nätfiske är vanligt förekommande och går ut på att lura till sig känslig information som användaruppgifter, lösenord, kontouppgifter, kreditkortsinformation med mera. Dessa attacker riktas ofta mot organisationer som hanterar olika typer av personuppgifter, finansiella transaktioner av olika slag och/eller annan känslig information.

CERT-SE har tidigare publicerat information om att förebygga och identifiera nätfiske. Se även artiklarna Flera fall av likartat nätfiske mot svenska verksamheter och CERT-SE uppmanar alla organisationer att skärpa uppmärksamheten kring nätfiske och DDoS.

Källa: CERT.se

Kritiska sårbarheter i Marval MSM

En svensk säkerhetsforskare har publicerat om tre sårbarheter i produkten Marval MSM från ITSM-leverantören Marval. Företaget har släppt säkerhetsuppdateringar som hanterar två av sårbarheterna. De två av sårbarheterna klassas som kritiska. [1,2,3]

Sårbarheten CVE-2023-33282 har fått CVSS-klassningen 9,1. Den beror på att System-användaren vid installation får ett förbestämt lösenord. Genom att använda inloggningsuppgifter lagrade i databasen kan en användare initiera en session med System-behörighet. [1]

Även CVE-2023-33284 har fått CVSS-klassningen 9,1. Sårbarheten kan göra det möjligt för en autentiserad användare att fjärrköra kod på servern. [3]

Påverkade produkter

Marval MSM

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart som möjligt.

Källor

[1] https://www.cyberskydd.se/cve/2023/CVE-2023-33282.html
[2] https://www.cyberskydd.se/cve/2023/CVE-2023-33283.html
[3] https://www.cyberskydd.se/cve/2023/CVE-2023-33284.html

Källa: CERT.se

Systembolaget utsatt för cyberattack

Systembolagets hemsida har under större del av måndagen varit helt eller delvis oåtkomlig för besökare. Driftstörningarna uppges ha att göra med en cyberattack.

Även Swish drabbades av omfattande tekniska störningar med följd att man inte kunde svischa pengar. Orsaken till driftstörningarna är när detta skrivs okänd. Efter någon timme fungerande tjänsten åter normalt.

Under måndagskvällen rapporterade Microsoft på Twitter att deras användare upplevde störa störningar i vissa tjänster i Office 365. Enligt Down Detector är störningarna omfattande och pågick ännu vid 23-tiden.