sårbarheder

Flere Intel-processorer får ingen opdatering til Spectre

Intel har tidligere udsendt opdateringer af firmware og mikrokode til en række processorer. Firmaet oplyser nu, at nogle processorer ikke vil blive opdateret. Det kan skyldes tekniske hindringer for at løse problemerne, eller at risikoen for angreb er lille.

Blandt de mikroarkitekturer, der ikke bliver opdateret, er Bloomfield (Xeon), Clarksfield, Gulftown, Harpertown (Xeon), Jasper Forest, Penryn/QC, SoFIA 3GR, Wolfdale (Xeon) og Yorkfield (Xeon).

Anbefaling

Foretag en risikovurdering for at afgøre, om I skal udskifte de sårbare processorer.

Dansk

Microsoft lukker alvorligt hul i antivirus

Microsoft har lukket et kritisk sikkerhedshul i Microsoft Malware Protection Engine, der indgår i antivirusprodukter som Windows Defender, Intune Endpoint Protection, Forefront Endpoint Protection 2010, Security Essentials og Exchange Server 2013 og 2016.

Sårbarheden ligger i behandlingen af filer komprimeret med RAR-algoritmen.

Microsoft har benytte kildekode fra open source-projektet Unrar, men har ændret heltal med fortegn til heltal uden fortegn. Det medfører problemer i håndteringen af arbejdslageret, som en angriber kan udnytte.

Dansk

Intel dropper sårbar tastatur-app

Intel Remote Keyboard er en app til Android og iOS, der lader brugere styre en Intel NUC eller Compute Stick fra deres smartphone. Sikkerhedsforskere har fundet tre sårbarheder i alle versioner af appen.

Den ene sårbarhed er kritisk med en CVSS-score (Common Vulnerability Scoring System) på 9. De to øvrige udgør en høj risiko.

I stedet for at rette fejlene trækker Intel produktet tilbage.

Anbefaling

Find en anden app som erstatning for Intel Remote Keyboard.

Dansk

Cisco lukker alvorlige huller i IOS

Funktionen Smart Install i IOS og IOS XE fra Cisco har en alvorlig sårbarhed. Angribere kan udnytte den til at få enheden til at gå ned eller afvikle programkode. Cisco har udsendt opdateringer, der lukker dette og andre sikkerhedshuller.

En anden kritisk sårbarhed i IOS XE består i en bagdør, der gør det muligt at logge ind på udstyret med en standardkonto.

Quality of Service-subsystemet i IOS og IOS XE har en kritisk sårbarhed, der giver mulighed for at afvikle programkode.

Foruden de tre kritiske sårbarheder har Cisco lukket 17, der vurderes til høj risiko.

Dansk

Apple retter en række produkter

Den 29. marts lukkede Apple en række sikkerhedshuller i firmaets produkter.

MacOS High Sierra 10.13.4, Security Update 2018-002 Sierra og Security Update 2018-002 El Capitan lukker 35 sikkerhedshuller.

Styresystemet iOS 11.3 lukker over 40 sikkerhedshuller.

ICloud for Windows 7.4 og iTunes 12.7.4 for Windows lukker hver 20 sikkerhedshuller, heraf 19 i WebKit.

Safari 11.1 fjerner 23 sårbarheder.

WatchOS 4.3 lukker 22 sikkerhedshuller.

TvOS 11.3 fjerner 28 sårbarheder.

Dansk

Drupal lukker kritisk hul

Udviklerne af CMS'et Drupal har lukket et kritisk sikkerhedshul. En angriber kan afvikle skadelig programkode på et sårbart websted uden at angive brugernavn og password.

Fejlen er rettet i Drupal 7.58 og Drupal 8.5.1, der blev udsendt den 28. marts.

Endvidere har Drupal 6 Long Term Support-projektet udviklet rettelser til version 6.

Der kendes endnu ikke til angreb, der udnytter sårbarheden.

Anbefaling

Opdater til en rettet version.

Dansk

Microsoft retter rettelse til Meltdown

Sikkerhedsforsker Ulf Frisk har opdaget, at en af Microsofts sikkerhedsrettelser til Meltdown-sårbarheden indførte en ny sårbarhed i Windows. Fejlen findes i systemer, der er opdateret med rettelserne fra januar og februar.

Da det så ud til, at fejlen var rettet i marts måneds rettelser, udsendte Ulf Frisk efter aftale med Microsoft en beskrivelse af den den 27. marts. Men det viste sig, at rettelsen ikke var effektiv.

Den 29. marts udsendte Microsoft derfor en ny version af rettelsen, der lukker sikkerhedshullet.

Dansk

Geutebruck lukker sikkerhedshuller i overvågningskameraer

Sikkerhedsforskere fra firmaerne Randorisec og Greenlock har opdaget flere alvorlige sårbarheder i overvågningskameraer fra firmaet Geutebruck. En angriber kan udnytte fejlene til at afvikle programkode, se passwords til kameraerne, tilføje brugere og få adgang til en database.

Sårbarhederne findes i følgende modeller:

  • G-Cam/EFD-2250 firmware version 1.12.0.4
  • Topline TopFD-2125 firmware version 3.15.1

Fejlen i G-Cam er rettet med firmwareversion 1.12.0.19. Det ser ikke ud til, at Topline-firmwaren er opdateret.

Dansk

Drupal forbereder at lukke meget alvorligt hul

Mellem klokken 20 og 21:30 onsdag den 28. marts udsender Drupal en opdatering, der fjerner en ekstremt kritisk sårbarhed i CMS'et. Der kommer rettelser til Drupal 7.x, 8.3.x, 8.4.x og 8.5.x.

Drupal er holdt op med at vedligeholde version 8.3 og 8.4. Men fordi sårbarheden er så alvorlig, kommer der alligevel også opdateringer til disse versioner.

Udviklerne forudser, at angrebsprogrammer til at udnytte sårbarheden kan blive udviklet i løbet af timer eller dage. De anbefaler derfor, at brugere af Drupal opdaterer hurtigst muligt.

Dansk

ManageEngine lukker alvorlige sikkerhedshuller

Sikkerhedsforskere fra firmaet Digital Defense har opdaget seks hidtil ukendte sårbarheder i ManageEngine. Det er et sæt værktøjer til system management, som især anvendes i større it-installationer.

Nogle af sårbarhederne lader en angriber uploade filer og afvikle skadelig programkode. Andre giver mulighed for SQL-indsætning eller adgang til API-nøgler.

Sårbarhederne er:

Dansk

Sider

Abonnér på RSS - sårbarheder