Știrile săptămânii din cybersecurity (06.05.2021)

2021/05/06
Popularitate 1000

Foto: Unsplash

Două vulnerabilități noi pentru ultima versiune a iOS

La o săptămână de la implementarea versiunii 14.0 pentru iOS, compania Apple a fost nevoită să lanseze, la 3 mai 2021, o nouă versiune pentru repararea a două vulnerabilități „zero-day” – CVE-2021-30663 și CVE-2021-30665. În plus, pentru repararea celor două bug-uri, a fost lansată în aceeași zi și versiunea 11.3.1 pentru MacOS.

Vulnerabilitățile au fost identificate la nivelul Webkit, implicând posibilitatea procesării unui conținut web malițios pentru executarea arbitrară de cod.

În cadrul noii versiuni pentru iOS, 14.1, a fost reparat și un bug pentru App Tracking Transparency.

Actualizări de securitate pentru multiple vulnerabilități ale Cisco

Cisco a lansat actualizări pentru repararea a două vulnerabilități critice pentru SD-WAN vManage (CVE-2021-1468 și CVE-2021-1505), permițând executarea arbitrară de cod, esacaladarea privilegiilor, accesarea unor informații sensibile sau a unor aplicații vulnerabile.

De asemenea, a fost reparat un bug critic pentru HyperFlex HX (CVE-2021-1497), care implica posibilitatea lansării unor atacuri tip „command injection”.

Pe lângă acestea, au fost lansate patch-uri pentru adresarea unor vulnerabilități de severitate ridicată sau medie pentru alte produse software ale Cisco.

Actualizare de securitate de la VMware

VMware a lansat o actualizare de securitate pentru repararea vulnerabilității CVE-2021-21984, prezentă la nivelul versiunilor mai vechi de 7.6.0 pentru VMware vRealize Business for Cloud. Bug-ul critic permite atacatorilor neautentificați să execute cod la nivelul serverelor vulnerabile.

Vulnerabilități „memory allocation” pentru dispozitive IoT și OT

Un grup al Microsoft pentru cercetarea securității IoT a identificat o serie de vulnerabilități „memory allocation” la nivelul dispozitivelor IoT (internet of things) și OT (operational technology) utilizate în domeniile medical și industrial sau în cadrul rețelelor companiilor.

Astfel, peste 25 de vulnerabilități pot fi exploatate de atacatori pentru evitarea măsurilor de securitate și executarea de cod sau realizarea unui „crash” al sistemului vizat. O listă a vulnerabilităților și produselor afectate poate fi consultată aici.

Scurgere de date la o clinică din Finlanda

Aproximativ 30.000 de persoane, pacienți ai unui lanț de clinici de sănătate mintală din Finlanda, au primit un mesaj conform căruia trebuiau să plătească câteva sute de dolari pentru evitarea publicării unor date și informații cu privire la viața privată, împărtășite în timpul terapiilor desfășurate la clinică.  

Atacatorul a solicitat inițial (în septembrie 2020) o plată de aproximativ $500.000 în bitcoin, din partea clinicii, însă, ulterior, hacker-ul și-a schimbat tactica, abordând direct pacienții, aflați în pragul disperării în acest context.

RESURSE

Astăzi vă supunem atenției un nou articol din partea experților în cybersecurity de la ISACA România: 'Discussing information security with the board of directors' (Discutând aspecte privind securitatea informațiilor cu management-ul organizației). 

Acest articol conține recomandări pentru o abordare practică în discuțiile și prezentările către management. Acestea pot fi aplicate atât în cadrul organizațiilor cu o structură internă complexă, cât și în cele cu o structură mai puțin complexă.

Pe de o parte, sunt abordate tehnici de ajustare a informațiilor transmise în conformitate cu publicul țintă pentru a exista concordanță între informația necesară management-ului pentru luarea deciziilor (în special privind adresarea riscului) și informațiile transmise de către echipa de securitate informatică.

Pe de altă parte, sunt menționate recomandări privind modalitatea de prezentare a aspectelor tehnice sau operaționale pentru ca management-ul să înțeleagă impactul acestora asupra afacerii și a obiectivelor organizației.

De asemenea, este detaliată modalitatea de pregătire și de prezentare a propunerilor de proiecte pentru a sublinia aspectele relevante din punct de vedere business.

Articolul include și o serie de întrebări frecvente care sunt de obicei adresate de către management, alături de recomandări privind răspunsul la acestea.

'Știrile săptămânii din cybersecurity' este un material realizat de Ciprian Buzatu, voluntar CERT-RO