חדשות הסייבר לשבוע האחרון
1. 69% ממכשירי Fortinet SSL-VPN נותרים פגיעים לפגיעות קריטית שעלולה לאפשר לתוקף מרוחק לבצע קוד או פקודות שרירותיים באמצעות בקשות בעלות מבנה ספציפי. טלאים שוחררו על ידי Fortinet בחודש שעבר בגרסאות 6.0.17, 6.2.15, 6.4.13, 7.0.12 ו-7.2.5 .
2. גוגל פרסמה עדכון אבטחה המתייחס לפגיעות קריטית ברכיב המערכת של אנדרואיד שמשפיעה על גרסאות אנדרואיד 11, 12 ו-13. ניצול של CVE זה עלול להוביל לביצוע קוד מרחוק ללא אינטראקציה של משתמש או הרשאות הפעלה נוספות.
3. הרשות השוודית להגנת הפרטיות קנסה שתי חברות בסך 1.1 מיליון דולר, בגין העברת מידע שהתקבל מגוגל אנליטיקס לארה"ב. הקנסות הם הקנסות הכספיים הגדולים הראשונים שהוטלו על חברות בגין שימוש ב-Google Analytics תוך הפרה של GDPR.
4. Jumpcloud איפסה מפתחות API של כל הלקוחות שהושפעו מאירוע האבטחה המתמשך האחרון, כדי להגן על הנתונים היקרים שלהם. הפעולה הייתה קריטית כדי להגן על פעילותם וארגונים. אירוע זה הדגיש את החשיבות של עסקים לאבטח כראוי את ממשקי ה-API שלהם כדי למנוע פרצות אבטחה אפשריות.
5. תוכנת כופר חדשה המכונה "ראש גדול" מציגה התראת עדכון מזויפת של Windows. חוקרי אבטחה קבעו כי תוכנת הכופר שהופיעה לאחרונה עלולה להתפשט באמצעות פרסום רע המקדם עדכוני Windows מזויפים ומתקיני Microsoft Word.
הכלי החדש של TeamsPhisher מנצל את Microsoft Teams כדי לפרוס תוכנה זדונית
כלי חדש זמין ב-GitHub נותן לתוקפים דרך למנף פגיעות שנחשפה לאחרונה ב-Microsoft Teams שיכולה להעביר באופן אוטומטי קבצים זדוניים למשתמשי Teams ממוקדים בארגון. הכלי, ששמו "TeamsPhisher", עובד בסביבות שבהן ארגון מאפשר תקשורת בין משתמשי Teams הפנימיים שלו לבין משתמשי Teams חיצוניים – או דיירים. זה מאפשר לתוקפים להעביר מטענים ישירות לתיבת הדואר הנכנס של הקורבן מבלי להסתמך על הונאות דיוג מסורתיות או הנדסה חברתית כדי להביא אותו לשם.
עדכוני אבטחה
Software Progress פרסמה חבילת Service Pack לטיפול בשלוש נקודות תורפה שנחשפו לאחרונה (CVE-2023-36934, CVE-2023-36932, CVE-2023-36933) ב-MOVEit Transfer. שחקן איומי סייבר יכול לנצל חלק מהחולשות הללו כדי להשיג מידע רגיש. CISA מעודדת משתמשים לעיין במאמר MOVEit Transfer של Progress Software וליישם עדכוני מוצר בהתאם לשיפורי האבטחה.
