Akıcı Bit Kusuru Bulut Sağlayıcıları İçin Risklidir

Birçok bulut hizmeti tarafından altyapıyı izlemek için kullanılan açık kaynaklı bir telemetri aracısı olan Fluent Bit’teki bellek bozulması güvenlik açığı, saldırganların hizmet reddi saldırıları yürütmesine, bilgileri ifşa etmesine veya uzaktan kod yürütmesine olanak tanıyor.

Tenable araştırmacıları tarafından Linguistic Lumberjack olarak adlandırılan ve CVE-2024-4323 olarak takip edilen kusur, 2.0.7’den 3.0.3’e kadar olan sürümleri etkiliyor.

Fluent Bit, Amazon AWS, Google GCP ve Microsoft Azure’un başlıca Kubernetes dağıtımlarına yerleştirilmiştir ve 13 milyardan fazla kez indirilmiştir.

Fluent Bit’in yerleşik HTTP sunucusundaki güvenlik açığı, hatalı giriş doğrulamaya izin vererek bellek bozulmasına yol açıyor. Açıklardan yararlanmalar hizmetleri çökertebilir veya hassas bilgileri sızdırabilir.

“Belirlenen güvenlik açığı, hizmet reddi olayları, bilgilerin ifşa edilmesi veya son derece karmaşık bir saldırı ile uzaktan kod yürütülmesi için koşullar yaratabilecek bir bellek bozulması hatasından kaynaklandı. Bu sorun, izleme telemetrisi ile değil, dahili izleme arayüzüyle ilgiliydi. Veri işleme,” dedi Fluent Bit.

Fluent Bit ekibi sorunu ana dalda düzeltti ve resmi yamanın 3.0.4 sürümünde çıkması bekleniyor.

Microsoft Çarşamba günü yaptığı açıklamada, VBScript’in 2024’ün ikinci yarısından itibaren Windows 11’de isteğe bağlı bir özellik olarak kullanılabileceğini ve kalıcı olarak kaldırılmasının henüz belirlenecek bir tarihe ayarlandığını söyledi. Şirket, VBScript’in varsayılan ayarını “kapalı” olarak değiştireceği “2027 civarına” kadar VBScript’i varsayılan olarak açacağını söyledi.

Şirket, “Bu, o zamana kadar hala VBScript’e güveniyorsanız, uygulamalarınızın ve süreçlerinizin sorun yaşamasını önlemek için FOD’ları etkinleştirmeniz gerektiği anlamına geliyor” dedi.

İşletim sistemi devi, Ekim 2023’te Windows hackleme için bir yol görevi gören programlama dilini aşamalı olarak kaldırma niyetini bildirdi. Emotet ve Qbot (Qakbot olarak da bilinir) dahil olmak üzere Truva atları VBS aracılığıyla yayıldı. 2000 yılındaki meşhur ILOVEYOU solucanı bir VBS dosyasıydı.

Microsoft, hâlâ VBScript’e bağımlı olan kullanıcıların JavaScript veya PowerShell’e geçmesi gerektiğini söyledi.

İngiliz veri koruma gözlemcisi Perşembe günü yaptığı açıklamada, Ağustos ayında tüm memurların ve personelin kimlik bilgilerini ifşa ettiği için Kuzey İrlanda Polis Teşkilatı’na geçici olarak 750.000 pound para cezası vermeyi planladığını söyledi.

Birleşik Krallık Bilgi Komiseri John Edwards, cezanın nedeni olarak “hayata yönelik somut tehdit korkusunu” gösterdi.

Polis teşkilatı yanlışlıkla polisin adının baş harflerini, soyadlarını, rollerini ve yerlerini içeren bir elektronik tabloyu birkaç saat boyunca internette yayınladı. İhlalin gerçekleşmesinden günler sonra yetkililer, Kuzey İrlanda’da onlarca yıldır süren etnik-milliyetçi çatışmayı sona erdiren güç paylaşımı anlaşmasına karşı çıkan muhalif cumhuriyetçilerin e-tabloya sahip olduğu konusunda uyardı. Pek çok polis memuru ve sivil çalışan, özellikle de Katolik cemaatinin üyeleri, işlerini alenen gizlemektedir (bkz: Kuzey İrlanda Polis Teşkilatı Siber Güvenliği Yenileyecek).

Önerilen para cezasının 5,6 milyon pound olması beklenirken, Bilgi Komiserliği Ofisi, kamu fonlarının başka yöne sapmasını önlemek için bu cezayı düşürdüğünü söyledi.

PSNI’nın yanıt vermek için 28 günü var. Emniyet Müdürü Yardımcısı Chris Todd yaptığı açıklamada, devam eden bir soruşturma kapsamında PSNI’nin e-tabloya sahip olduğu iddia edilen kişileri tutukladığını söyledi. Todd ayrıca polis teşkilatının ICO’nun bulgularını kabul ettiğini ancak güvenliği artırmak için halihazırda harcanan miktar göz önüne alındığında ceza miktarını tartışacağını söyledi.

New York Menkul Kıymetler Borsası’nın sahibi Intercontinental Exchange Inc., 2021’deki siber saldırıyı derhal bildirmemesi nedeniyle 10 milyon dolar ceza ödeyecek. ABD Menkul Kıymetler ve Borsa Komisyonu, ICE’nin yan kuruluşlarına ihlal konusunda zamanında bilgi vermemesi nedeniyle Düzenleme Sistemleri Uyumluluğunu ve Bütünlüğünü ihlal ettiğini tespit etti.

Gecikme, bağlı şirketlerin SEC’e karşı açıklama yükümlülüklerini yerine getirmesini engelledi. Bilgisayar korsanları, ICE tarafından kullanılan VPN’deki sıfır gün güvenlik açığından yararlandı ve kötü amaçlı kod yükledi. ICE ve bağlı kuruluşları, bulguları kabul etmeden veya reddetmeden SEC’in kararını kabul etti.

Atlanta federal yargıcı, Georgia’lı bir adamı 10 yıl hapis cezasına çarptırdı ve iş e-postası gizliliği ve aşk dolandırıcılığı mağdurlarına tazminat olarak 2,6 milyon dolar ödemesine karar verdi. 31 yaşındaki Malachi Mullings, Ocak 2023’te kara para aklama, komplo ve kara para aklamanın gizlenmesinden kaynaklanan sekiz iddianın tamamını kabul etti.

Mullings, 2019’dan Temmuz 2021’e kadar 20 banka hesabı aracılığıyla 5,4 milyon dolardan fazla dolandırıcılık geliri akladı; bunlara bir sağlık yardım programından suç amaçlı para aktarımı ve çoğu yaşlı olan bireysel mağdurlar da dahil. Savcılar, parayı bir aşk dolandırıcılığından aldıktan sonra bir Ferrari’ye 260.000 dolar harcadığını söyledi. Geçen yıl, mahkemenin reddettiği bir savunmayla suçunu geri çekmeye çalışmıştı.

Mullin’in davası, federal hükümetin kamu ve özel sağlık sigortacılarını hedef alan BEC dolandırıcılarına karşı ortak çabalarının bir parçasıydı.

FBI’ın internet suçlarıyla ilgili en son yıllık raporu, büronun BEC suçlarıyla ilgili şikayetler aldığını ve düzeltilmiş zararların 2023’te toplamı 2,9 milyar dolardan fazla olduğunu belirtiyor. İş e-postalarının ele geçirilmesi, ister meşru bir adresin sahtekarlığıyla ister bilgisayarların hacklenmesi yoluyla gerçekleştirilsin, sosyal mühendislik dolandırıcılığının temel dayanağıdır. bir gelen kutusu.

Netflix’in açık kaynaklı Genie iş düzenleme motorundaki kritik bir güvenlik açığı, potansiyel olarak uzaktaki saldırganların rastgele kod yürütmesine olanak tanıyor.

Contrast Security’deki araştırmacılar, CVE-2024-4701 olarak takip edilen ve CVSS ölçeğinde 10 üzerinden 9,9’a yakın maksimum şiddet puanına sahip olan hatayı keşfetti. Güvenlik açığı, dosya yükleme sırasında bir yol geçiş hatasından yararlanarak saldırganların amaçlanan dizinlerin dışındaki dosyalara erişmesine ve bunları değiştirmesine olanak tanıyor.

Netflix’in dahili sistemleri ve ürünleri etkilenmese de Genie OSS’yi yeterli hafifletme önlemleri olmadan kullanan diğer kuruluşlar risk altındadır. Netflix güvenlik açığını düzeltti.

Avustralya’daki Western Sydney Üniversitesi Salı günü 7.500 öğrenci ve akademik personeli Microsoft 365 ve SharePoint ortamına yetkisiz erişim içeren bir veri ihlali konusunda bilgilendirdi.

Ocak ayında tespit edilen ihlal 17 Mayıs 2023’te meydana geldi. Davetsiz misafirler, muhtemelen üniversitenin Güneş Arabası Laboratuvarı altyapısı aracılığıyla e-posta hesaplarına ve SharePoint dosyalarına erişti. Western Sydney Üniversitesi’nin 47.000 öğrencisi ve 4.500’den fazla personeli bulunmaktadır.

Üniversite, izinsiz girişin durdurulduğunu, bir soruşturma başlatıldığını ve iyileştirme tedbirlerinin uygulandığını söyledi. NSW Polisi ve NSW Bilgi ve Gizlilik Komisyonu devam eden soruşturmaya katılıyor. Üniversite, ele geçirilen verilerin kötüye kullanılmasını önlemek için NSW Yüksek Mahkemesinden tedbir kararı aldı.

Çok sayıda İspanyol gazetesinin Çarşamba günü soruşturmaya yakın kaynaklara dayandırdığı haberine göre, İspanyol Ulusal Polisi, İspanya’nın en kötü şöhretli genç hacker’ı Alcasec olarak bilinen José Luis Huertas’ı yeniden tutukladı.

El Confidencial, Salı günü yapılan tutuklamanın, 20 yaşındaki bilgisayar korsanlığı dahisinin henüz suçlanmadığı, saldırıya uğramış verilerin çalındığı ve satıldığı iddiasıyla ilgili olduğunu bildirdi. ABC, suçlamaların, Huertas’ın yaklaşık 600.000 kişiye ait İspanyol vergi dairesinden verileri çaldığı iddia edilen bir hükümet bilgi merkezini hacklediği iddiasıyla Huertas’ı tutukladığı Nisan 2023’te polis tarafından ele geçirilen cihazlarının analiziyle ortaya çıkan bir siber suç iddiasından kaynaklandığını bildirdi. (Görmek: İspanyol Polisi ‘Tehlikeli’ Genç Hacker’ı Tutukladı).

Bir İspanyol mahkemesi, Huertas’a yetkililerle işbirliği yapması ve çalıntı verileri satarak elde ettiği yaklaşık 1 milyon euro değerindeki Bitcoin’i geri göndermesinin ardından geçen Mayıs ayında geçici özgürlük tanımıştı. İspanyol savcılar üç yıl hapis cezası istedi.

Huertas bu yılın başlarında El Confidencial’a, yüksek güvenlikli bir hapishanede bir ay kalmanın kendisini iyileştirdiğini ve artık siber savunuculara yardım edeceğini söyledi (bkz: İhlal Özeti: İspanya’nın En Tehlikeli Hacker’ı Alcasec’i Yakalamak).

ABC Salı günü, bu son olayın polisin Huertas’ı altıncı kez tutuklayışı olduğunu bildirdi. Granada ve Madrid şehir yönetimlerine girip 53.000 avroyu çalmak suçundan yarı açık bir çocuk gözaltı merkezinde hapis yattı. Gençliğinde 150.000’den fazla ücretsiz HBO hesabı oluşturması ve Burger King’in sipariş sistemini bedava yemek sunacak şekilde manipüle etmesiyle ün kazandı.

Geçen Haftanın Diğer Haberleri

Bilgi Güvenliği Medya Grubu’ndan Washington DC’deki David Perera’nın raporuyla