Kategori: Verksamhetsskydd

Kritisk sårbarhet i Ivanti Endpoint Manager Mobile (Mobileiron Core)(uppdaterad 2023-08-02)

Ivanti har publicerat säkerhetsuppdateringar som åtgärdar kritiska sårbarheter i Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core). Den allvarligaste är CVE-2023-35078 som tillåter en oautentiserad användare att få API-access till systemet. [1,2,3]

En angripare som har dessa behörigheter kan komma över personuppgifter som t.ex. namn, telefonnummer och övrig information om telefonin. Utöver detta finns det möjlighet för angriparen även att göra konfigurationsförändringar och möjlighet att skapa nya administrationskonton. Den är klassad som kritisk med CVSS-klassificering 10 av 10.

CERT-SE har tydliga indikationer på att denna sårbarhet utnyttjas aktivt. Därför uppmanas användare att kontrollera sina system efter tecken på exploatering. [4,5]

Uppdatering 2023-07-31

Ivanti har den 28 juli publicerat information om en ny sårbarhet (CVE-2023-35081). Säkerhetsbristen innebär att en angripare med administratörsbehörighet kan skriva godtyckliga filer samt utföra OS-kommandon på mjukvarans webbserver. Sårbarheten kan utnyttjas i kombination med den tidigare annonserade, kritiska sårbarheten CVE-2023-35078. [6]

Enligt Ivanti utnyttjas båda sårbarheterna aktivt. 

Uppdatering 2023-08-02

CISA och NCSC-NO har tillsammans släppt en Cybersecurity Advisory (CSA). Publikationen innehåller bland annat IOC:er (indicators of compromise) och TTPs (taktik, teknik, procedur för angrepp) som NCSC-NO identifierat i sin initiala utredning, samt förslag på tillvägagångssätt för detektion. Användare som vid undersökning inte finner spår på exploatering uppmanas ändå att säkerhetsuppdatera sin produkt.[7]

Påverkade produkter

    Alla versioner av Ivanti Endpoint Manager Mobile (tidigare Mobileiron Core)

Rekommendationer

CERT-SE rekommenderar att omedelbart uppdatera sårbara produkter enligt tillverkarens rekommendationer. [1,2,3]

Källor

[1] https://www.ivanti.com/blog/cve-2023-35078-new-ivanti-epmm-vulnerability
[2] https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability 
[3] https://forums.ivanti.com/s/article/KB-Remote-unauthenticated-API-access-vulnerability-CVE-2023-35078 (Kundinloggning krävs)
[4] https://www.bleepingcomputer.com/news/security/ivanti-patches-mobileiron-zero-day-bug-exploited-in-attacks/
[5] https://www.cisa.gov/news-events/alerts/2023/07/24/ivanti-releases-security-updates-endpoint-manager-mobile-epmm-cve-2023-35078
[6] https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US
[7] https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a

Ökad risk för cyberangrepp

MSB och CERT.se ser en ökad risk för cyberangrepp mot IT-infrastruktur genom t ex överbelastningsattacker, spoofing och phischingattacker. Därför uppmanar CERT.se att företag och myndigheter stärker sin förmåga att. motstå antagonistiska attacker och att vara snabba med att rapportera misstänkta händelser till MSB.

Kritisk sårbarhet i MOVEit Transfer (uppdaterad 2023-06-16)

Ett flertal rapporter varnar för en kritisk sårbarhet i MOVEit Transfer. [1,2,3]

Sårbarheten (CVE-2023-34362) innebär att en oautentiserad angripare kan utföra en SQL-injektion och få förhöjda rättigheter för att sedan kunna köra skadlig kod på systemet (RCE). När detta är gjort är det möjligt för angriparen att plantera en bakdörr på det drabbade systemet, ett s.k. webshell. På så sätt kan en angripare mer eller mindre ta kontroll över den drabbade maskinen (och potentiellt sett även andra maskiner på samma nätsegment).

Indikationer finns redan att denna sårbarhet utnyttjas aktivt mot organisationer i Sverige. 

Rekommenderade åtgärder och säkerhetspatchar finns publicerade. [2]

Uppdatering 2023-06-08

CISA har publicerat en sammanställning med ytterligare tekniska detaljer, IOC:er och skyddsåtgärder. [4]

Uppdatering 2023-06-12

Progress rapporterar den 9 juni om ytterligare en sårbarhet i MOVEit Transfer (CVE-2023-35036). Patchen för CVE-2023-34362 har uppdaterats och inbegriper nu även fix för sårbarheten rapporterad den 9 juni. Verksamheter som tidigare, innan patchen uppdaterades, installerat patch för CVE-2023-34362 rekommenderas att snarast möjligt installera också patch för den senaste sårbarheten. [5]

Uppdatering 2023-06-13

Ett proof of concept för att utnyttja sårbarheten CVE-2023-34362 har nu tillgängliggjorts offentligt. [6]

Uppdatering 2023-06-16

Säkerhetsuppdateringar för en ny kritisk sårbarhet i MOVEit har publicerats den 15 juni. Den nya sårbarheten har inte tilldelats ett CVE-nummer ännu, men det rör sig om en sk. privilege escalation-sårbarhet vilket innebär att en angripare kan öka sina rättigheter och potentiell tillskansa sig obehörig åtkomst till it-miljön [7].

Progress har publicerat olika råd beroende på om man har säkerhetsuppdaterat de tidigare sårbarheterna eller inte [7]. 

Påverkade produkter

Sårbarheten påverkar följande produkter: [2]

MOVEit Transfer 2023.0.0
MOVEit Transfer 2022.1.x    
MOVEit Transfer 2022.0.x    
MOVEit Transfer 2021.1.x    
MOVEit Transfer 2021.0.x

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter där uppdatering finns tillgänglig. Där uppdatering inte finns tillgänglig ska systemet skiljas från internet för att förhindra otillbörlig åtkomst. 

Källor

[1] https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/
[2] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
[3] https://www.bleepingcomputer.com/news/security/new-moveit-transfer-zero-day-mass-exploited-in-data-theft-attacks/
[4] https://www.cisa.gov/sites/default/files/2023-06/aa23-158a-stopransomware-cl0p-ransomware-gang-exploits-moveit-vulnerability_5.pdf
[5] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
[6] https://www.bleepingcomputer.com/news/security/exploit-released-for-moveit-rce-bug-used-in-data-theft-attacks/
[7] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-15June2023

Källa: CERT.se

Mobiltelefoner för 6 miljoner stulna i förråd i Lunds kommun

1.400 mobiltelefoner till ett uppskattat värde av 6 miljoner kronor har stulits från ett förråd vid Gastelyckan i Lunds kommun, det uppger Sydsvenskan som var först med att berätta om händelsen. Det motsvarar ungefär 6.300 kronor per enhet. Polisen ber nu allmänheten om hjälp att lösa stölden som rubriceras som grov stöld. Det är så pass många enheter att man åtminstone behövt en mindre lastbil för att transportera stöldgodset.

Enligt Lunds kommuns t f säkerhetschef, Anna Sjöstrand, rör det sig om mobiltelefoner av märket iPhone SE. Stölden skedde från en lokal som inte ägs av Lunds kommun natten mellan torsdag och fredag. Polisanmälan gjordes på fredagens eftermiddag. Ingen kan i nuläget svara på varför 1.400 av kommunens mobiltelefoner befann sig i ett förråd i ett nattid öde industriområde.

Kritiska sårbarheter i Marval MSM

En svensk säkerhetsforskare har publicerat om tre sårbarheter i produkten Marval MSM från ITSM-leverantören Marval. Företaget har släppt säkerhetsuppdateringar som hanterar två av sårbarheterna. De två av sårbarheterna klassas som kritiska. [1,2,3]

Sårbarheten CVE-2023-33282 har fått CVSS-klassningen 9,1. Den beror på att System-användaren vid installation får ett förbestämt lösenord. Genom att använda inloggningsuppgifter lagrade i databasen kan en användare initiera en session med System-behörighet. [1]

Även CVE-2023-33284 har fått CVSS-klassningen 9,1. Sårbarheten kan göra det möjligt för en autentiserad användare att fjärrköra kod på servern. [3]

Påverkade produkter

Marval MSM

Rekommendationer

CERT-SE rekommenderar att uppdatera sårbara produkter så snart som möjligt.

Källor

[1] https://www.cyberskydd.se/cve/2023/CVE-2023-33282.html
[2] https://www.cyberskydd.se/cve/2023/CVE-2023-33283.html
[3] https://www.cyberskydd.se/cve/2023/CVE-2023-33284.html

Källa: CERT.se