Tilkynnt var um nokkra alvarlega veikleika í FortiWeb, FortiOS, FortiProxy hjá Fortinet, WebKit og Security framework hjá Apple, Jira, Confluence, BitBucket og Bamboo hjá Atlassian, Junos OS EX og SRX Series hjá Juniper Networks og BusinessObjects hjá SAP CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikinn hefur verið lagfærður.
FortiWeb, FortiOS og FortiProxy hjá Fortinet
Fortinet hefur nú gefið út öryggisuppfærslur vegna veikleika í FortiWeb, FortiOS og FortiProxy. Veikleikinn CVE-2023-34984 með CVSSv3 skor upp á 8.8 felur í sér galla í vörnum fyrir XSS (Cross-Site Scripting) og CSRF (Cross-Site Request Forgery) [1,2,3]. Auk þess var lagfærður veikleiki í FortiOS og FortiProxy sem gefur auðkenndum ógnaraðila færi á að keyra upp illgjarnan JavaScript kóða [4,5].
WebKit og Security framework hjá Apple
Apple hefur gefið út öryggisuppfærslur vegna þriggja núlldagsveikleika en vitað er til þess að þeir hafi verið misnotaðir. Um er að ræða veikleika í WebKit (CVE-2023-41993) og Security framework (CVE-2023-41991) sem geta gert ógnaraðila kleift að sneiða hjá sannprófunum (e. signature validation) með spilliforritum eða keyrslu kóða á hugbúnaðinum (e. execute arbitrary code). Misnotkun á CVE-2023-41992 getur gefið staðbundnum notanda (e. local user) færi á að auka réttindi (e. privilege escalation). Ekki hefur verið gefið út CVSSv3 skor fyrir veikleikana þegar þetta er skrifað.
Jira, Confluence, BitBucket og Bamboo hjá Atlassian
Tilkynnt var um nokkra veikleika í Jira, Confluence, BitBucket og Bamboo hjá Atlassian. Alvarlegasti veikleikinn CVE-2023-22513 er með CVSSv3 skor upp á 8.5 sem auðkenndur ógnaraðili getur misnotað án notendaviðmóts (e. without user interaction) og getur því leitt til fjarkeyrslu á kóða (e. remote code execution) [9,10].
Junos OS á EX Series og SRX Series hjá Juniper Networks
Í ágúst uppgötvaði Juniper veikleika (CVE-2023-36844/CVE-2023-36845 og CVE-2023-36846/CVE-2023-36847) sem þóttu ekki alvarlegir og voru með CVSSv3 skor upp á 5.3 [12,13]. Hinsvegar hefur nú komið í ljós að ef þeir eru samnýttir, þá gefa þeir fjartengdum ógnaraðila færi á að keyra kóða og hækkar því skorið upp í 9.8. Talið er að u.þ.b. 11800 kerfi á heimsvísu séu veik fyrir gallanum [12]. Veikleikarnir hafa nú þegar verið nýttir og eru til leiðbeiningar hvernig er hægt að notfæra sér þá [14]. Juniper hefur gefið út ráðleggingar hvernig á að bregðast við [15,16].
BusinessObjects hjá SAP
SAP tilkynnti um nokkra veikleika þar sem sá alvarlegasti CVE-2023-40622 er með CVSSv3 skor upp á 9.9. Veikleikinn gerir ógnaraðila kleift að nálgast viðkvæm gögn sem væri hægt að nota til frekari árása á hugbúnað (e. application compromise). Annar alvarlegur veikleiki CVE-2023-40309 með CVSSv3 skor upp á 9.8 er galli sem hefur áhrif á fleiri vörur frá SAP (NetWeaver, S/4HANA, Web Dispatcher, Content Server, Host Agent, and Extended Application Services and Runtime (XSA)) og er galli sem getur leitt til aukningu á réttindum (e. privilege escalation). [17, 18]
Eftirfarandi kerfi eru veik fyrir göllunum:
- FortiWeb: 6.3-6.4, 7.0.0-7.0.6, 7.2.0-7.2.1
- FortiOS: 6.2.0-6.2.14, 6.4.0-6.4.12, 7.0.0-7.0.11, 7.2.0-7.2.4
- FortiProxy: 7.0.0-7.0.10, 7.2.0-7.2.4
- iOS fyrir iPhone: <16.7, <17.0.1
- iPadOS fyrir iPad: <16.7, <17.0.1
- Safari: <16.6.1
- watchOS: <9.6.3, <10.0.1
- macOS: <13.6 (Ventura), <12.7 (Monterey)
- BitBucket: 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0, 8.13.0
- Confluence: 5.6-8.5.0
- Bamboo: 8.1.12
- Jira: 4.20.0
- Junos OS EX & SRX Series: <20.4R3-S8, <21.2R3-S6, <21.3R3-S5, <21.4R3-S5, <22.1R3-S3, <22.2R3-S2, <22.3R2-S2, <22.3R3, <22.4R2-S1, <22.4R3
Veikleikinn hefur verið lagfærður í eftirfarandi útgáfum:
- FortiWeb: 7.0.7, 7.2.2
- FortiOS: 6.2.15, 6.4.13, 7.0.12, 7.2.5 og 7.4.0 eða nýrri útgáfur
- FortiProxy: 7.0.11, 7.2.5
- iOS fyrir iPhone: 16.7, 17.0.1
- iPadOS fyrir iPad: 16.7, 17.0.1
- Safari: 16.6.1
- watchOS: 9.6.3, 10.0.1
- macOS: 13.6 (Ventura), 12.7 (Monterey)
- BitBucket: 8.14.0, 8.13.1, 8.9.5, 8.10.5, 8.11.4, 8.12.2
- Confluence: 7.19.14, 8.5.1
- Bamboo: 9.2.4, 9.2.4
- Jira: 4.20.25, 5.4.9, 5.9.2, 5.10.1, 5.11.0
- Junos OS EX & SRX Series: Útgáfum frá og með 17. ágúst 2023
Tilvísanir:
[1] https://www.cisa.gov/news-events/alerts/2023/09/15/fortinet-releases-security-updates-multiple-products
[2] https://www.fortiguard.com/psirt/FG-IR-23-068
[3] https://nvd.nist.gov/vuln/detail/CVE-2023-34984
[4] https://www.fortiguard.com/psirt/FG-IR-23-106
[5] https://nvd.nist.gov/vuln/detail/CVE-2023-29183
[6] https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-3-new-zero-days-exploited-in-attacks/
[7] https://securityaffairs.com/151174/hacking/apple-zero-days.html
[8] https://support.apple.com/en-us/HT201222
[9] https://www.securityweek.com/atlassian-security-updates-patch-high-severity-vulnerabilities/
[10] https://nvd.nist.gov/vuln/detail/CVE-2023-22513
[11] https://jira.atlassian.com/browse/BSERV-14419
[12] https://www.bleepingcomputer.com/news/security/thousands-of-juniper-devices-vulnerable-to-unauthenticated-rce-flaw/
[13] https://vulcan.io/blog/fixing-cve-2023-36844-cve-2023-36846-cve-2023-36847-in-juniper-networks/?nab=1&utm_referrer=https%3A%2F%2Fwww.bing.com%2F
[14] https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/
[15] https://supportportal.juniper.net/s/article/2022-10-Security-Bulletin-Junos-OS-Multiple-vulnerabilities-in-J-Web?language=en_US
[16] https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US
[17] https://www.securityweek.com/sap-patches-critical-vulnerability-impacting-netweaver-s-4hana/
[18] https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10
