VMware hefur sent frá sér tilkynningu vegna tveggja veikleika sem varað var við fyrr í mánuðinum og eru nú misnotaðir af ógnaraðlium og er því varað við þeim á nýjan leik. Einnig gaf Apple út tilkynningu vegna uppfærslna í macOS, iOS, iPadOS og visionOS vegna nýveila (e. zero day) og veikleika sem nýttir hafa verið af ógnaraðilum. Að lokum hefur Atlassian gefið út öryggisuppfærslur á nokkrum kerfum. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærðir.
VMware
VMware vCenter Server og Cloud Foundation
VMware hefur gefið út uppfærslu vegna veikleikanna CVE-2024-38812 og CVE-2024-38813 sem eru með CVSSv3 veikleikastig upp á 9.8 og 7.5. Veikleikarnir hafa verið lagfærðir í útgáfum 8.0 U3d, 8.0 U2e og 7.0 U3t í vCenter Server og í Async útgáfum til og með 8.0 U3d, til og með 8.0 U2e og til og með 7.0 U3t í Cloud Foundation. Þessir veikleikar eru nú misnotaðir af ógnaraðilum og mælir CERT-IS með að notendur uppfæri hjá sér eins fljótt og auðið er. [1, 2]
Atlassian
Sourcetree
Veikleikinn CVE-2024-21697 með CVSSv3 veikleikastig upp á 8.8 gerir ógnaraðila kleift að fjarkeyra kóða. [3]
Crowd Data Center and Server
Veikleikinn CVE-2024-38286 með CVSSv3 veikleikastig upp á 8.6 gerir ógnaraðila kleift að framkvæma álagsárás. [3]
Jira Service Management Data Center and Server
Veikleikinn CVE-2024-45801 með CVSSv3 veikleikastig upp á 8.3 gerir ógnaraðila kleift að framkvæma Cross-Site Scripting (XSS) árás. [3]
Apple
JavaScriptCore
Veikleikinn CVE-2024-44308 er nýveila sem gerir ógnaraðila kleift að keyra upp kóða með sérsniðnu vefefni. [4, 5]
WebKit
Veikleikinn CVE-2024-44309 er nýveila sem getur leitt til Cross-Site Scripting árásar. [4, 5]
Tilvísanir
- [1] https://www.bleepingcomputer.com/news/security/critical-rce-bug-in-vmware-vcenter-server-now-exploited-in-attacks/
- [2] https://cert.is/frettasafn/alvarlegir-veikleikar-hja-spring-vmware-atlassian-og-fortinet/
- [3] https://confluence.atlassian.com/security/security-bulletin-november-19-2024-1456179091.html
- [4] https://www.securityweek.com/apple-confirms-zero-day-attacks-hitting-intel-based-macs/
- [5] https://support.apple.com/en-us/100100
