Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Monday, 17 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.17

Apple macOS: Kritisk Screen Sharing sårbarhet utnyttes aktivt. Kritisk sikkerhetsoppdatering for Magento/Adobe Commerce. WindRelay gjør Android-enheter til NFC bro for betalingssvindel.

Apple macOS: Kritisk Screen Sharing sårbarhet utnyttes aktivt

En kritisk sårbarhet i Apples Screen Sharing-funksjon for macOS (CVE-2026-65400, CVSS 9.8) blir nå aktivt utnyttet i angrep mot internett-eksponerte Mac-er. Feilen gjør det mulig for angripere å omgå autentisering og oppnå uautorisert tilgang til berørte systemer, og flere kompromitterte enheter skal ha blitt brukt til installasjon av Monero-kryptominere. Sårbarheten er del av en serie sikkerhetsproblemer i Screen Sharing-komponenten, der Apple tidligere også har utbedret CVE-2026-43779, CVE-2026-43777 og CVE-2026-43760.

Apple har publisert sikkerhetsoppdateringer som adresserer sårbarhetene i macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 og macOS Sonoma 14.8.9. Organisasjoner med Mac-systemer, spesielt der Screen Sharing eller Remote Management er aktivert, bør prioritere oppdatering av berørte enheter og verifisere at tjenestene ikke er eksponert direkte mot internett. Dersom oppdatering ikke kan gjennomføres umiddelbart, anbefales det å deaktivere Screen Sharing inntil sikkerhetsfiksen er installert.

Kritisk sikkerhetsoppdatering for Magento/Adobe Commerce

Adobe har publisert sikkerhetsbulletin APSB26-92 som retter flere kritiske sårbarheter i Adobe Commerce, Adobe Commerce B2B og Magento Open Source. Sårbarhetene kan blant annet føre til omgåelse av sikkerhetsmekanismer, privilegieeskalering og kjøring av vilkårlig kode, og enkelte kan utnyttes uten autentisering. Adobe opplyser at det per 11. august 2026 ikke er kjent aktiv utnyttelse av sårbarhetene, men anbefaler at berørte installasjoner oppdateres umiddelbart.

Anbefaling:

Virksomheter som benytter Adobe Commerce eller Magento Open Source bør identifisere om de kjører berørte versjoner og snarest installere tilgjengelige sikkerhetsoppdateringer eller isolerte sikkerhetspatcher fra Adobe. Oppdateringene bør testes i et kontrollert miljø før utrulling til produksjon for å redusere risikoen for driftsforstyrrelser.

WindRelay gjør Android-enheter til NFC bro for betalingssvindel

Sikkerhetseksperter har avdekket en ny Android skadevare kalt WindRelay, som brukes sammen med trojaneren SpyNote i kampanjer rettet mot kontaktløs betalingssvindel. Skadevaren fanger opp betalingskortdata via NFC og videresender informasjonen til angripere i sanntid. WindRelay ble først observert i angrep mot brukere i 2025.

Angrepene starter typisk med phishing, smishing eller vishing, hvor offeret lures til å installere en ondsinnet app. Deretter bruker angriperen SpyNotes fjernstyringsfunksjoner til å installere WindRelay uten ytterligere interaksjon fra brukeren. Offeret manipuleres så til å holde betalingskortet mot den infiserte telefonen, ofte under påskudd av identitetsverifisering eller sikkerhetskontroller hos banken.

WindRelay fungerer ved at en komponent på offerets telefon leser NFC data fra betalingskortet, mens en annen komponent på angriperens enhet emulerer kortet ved en betalingsterminal. Kommunikasjonen skjer via angripernes C2 infrastruktur, noe som gjør det mulig å gjennomføre kontantuttak eller betalinger som om det fysiske kortet var til stede. Teknikken er også kjent som Ghost Tap.

Funnene viser en utvikling der trusselaktører kombinerer sosial manipulering, fjernstyringstrojanere og NFC i samme operasjon. Organisasjoner og privatpersoner bør være varsomme med å installere apper fra uoffisielle kilder og aldri følge instruksjoner om å holde betalingskort mot telefonen etter uoppfordrede henvendelser fra påståtte bankrepresentanter.

Posted by tsoc at 12:58 0 comments

Friday, 14 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.14

Kritisk VMware vCenter sårbarhet utnyttes til å etablere vedvarende SSH tilgang. Fortinet retter flere autentiseringssårbarheter i FortiWeb, FortiManager og FortiClient. AmnesiaStealer kaprer Chromium økter på macOS og gir angripere direkte nettleserkontroll. Apple varsler iPhone brukere om målrettede spionvareangrep.

Kritisk VMware vCenter sårbarhet utnyttes til å etablere vedvarende SSH tilgang

En kritisk sårbarhet i VMware vCenter Syslog Server, identifisert som CVE-2026-59310, blir aktivt utnyttet for å oppnå ekstern kodekjøring og etablere vedvarende tilgang til kompromitterte systemer. Sårbarheten skyldes en katalogtraverseringsfeil som gjør det mulig for en uautentisert angriper med nettverkstilgang å kjøre vilkårlig kode på sårbare vCenter installasjoner. Ifølge QUIRSO startet angrepene bare fem dager etter at Broadcom publiserte sikkerhetsoppdateringen, og kompromitteringer er observert på 361 IP adresser fordelt på 47 land. Etter innledende kompromittering installerer angriperne det åpne kildekodeverktøyet reverse_ssh for å etablere en utgående kommandokanal og sikre vedvarende fjernaksess. Løsningen gjør det mulig å omgå enkelte brannmur- og nettverksrestriksjoner ved å opprette forbindelsen fra innsiden av det kompromitterte miljøet. VMware vCenter er et høyt prioritert mål fordi plattformen gir sentral administrasjon av virtuelle maskiner, ESXi-servere og tilgangskontroller i virksomhetsmiljøer.

Anbefaling:

Oppgrader VMware vCenter til en versjon som inkluderer sikkerhetsfiksen for CVE-2026-59310 så raskt som mulig.

Sårbarheter:

Fortinet retter flere autentiseringssårbarheter i FortiWeb, FortiManager og FortiClient

Fortinet har utgitt sikkerhetsoppdateringer for flere autentiseringsrelaterte sårbarheter i FortiWeb, FortiManager og FortiClient. Den mest alvorlige, CVE-2026-26035, gjelder feil autentisering i FortiWeb når RADIUS med «wildcard» er aktivert, og kan gi en ekstern, ikke autentisert angriper administrativ tilgang. FortiManager-sårbarheten CVE-2026-70468 gjelder en omgåelse av autentisering i FGFM-protokollen og kan under bestemte forutsetninger gjøre det mulig å utgi seg for en administrert FortiGate-enhet. CVE-2026-70465 i FortiClient for Windows er en bufferoverflyt som ifølge artikkelen kan føre til kjøring av vilkårlig kode via utformede nettverkspakker. Artikkelen oppgir også ytterligere sårbarheter i FortiWeb, FortiSIEM og FortiOS. Fortinet hadde på tidspunktet for sikkerhetsmeldingen ikke observert aktiv utnyttelse av CVE-2026-26035.

AmnesiaStealer kaprer Chromium økter på macOS og gir angripere direkte nettleserkontroll

AmnesiaStealer er en ny Rust basert infostealer for macOS som distribueres via falske GitHub sider som utgir seg for å tilby legitim programvare til macOS brukere. Angrepet benytter en ClickFix lignende metode der brukeren blir bedt om å lime inn en Base64 kodet kommando i Terminal, noe som starter en flertrinns infeksjonskjede. Skadevaren stjeler nøkkelringdata, nettleserdata, Apple Notes, Telegram økter, filer og innloggingsinformasjon fra Chromium baserte nettlesere, samtidig som den forsøker å innhente brukerens systempassord gjennom falske installasjonsdialoger. AmnesiaStealer kan dekryptere lagrede Chromium data ved å hente Chrome Safe Storage passordet fra Keychain og bruke dette til å gjenopprette krypteringsnøkler. En ekstra modul gir angriperen skjult og interaktiv kontroll over nettleseren via Chrome DevTools Protocol, inkludert tastaturinngang, museklikk, navigasjon og fanebehandling i sanntid. Skadevaren etablerer også persistens gjennom en LaunchDaemon og eksfiltrerer innsamlede data til angriperkontrollerte servere.

Anbefaling:

Brukere bør unngå å kjøre kommandoer i Terminal fra uverifiserte nettsteder eller GitHub sider og kun laste ned programvare fra offisielle leverandører.

Sårbarheter:

Apple varsler iPhone brukere om målrettede spionvareangrep

Apple har sendt «Apple Threat Notification»-varsler til utvalgte iPhone brukere i 110 land som kan være mål for kommersiell spionvare. Varslene gjelder personer som Apple mener kan være utsatt for målrettede overvåkingsoperasjoner, blant annet journalister, menneskerettighetsforkjempere, advokater og politiske aktører. Varslene vises blant annet på låseskjermen, i Innstillinger og via e-post knyttet til brukerens Apple-konto. Apple anbefaler berørte brukere å oppdatere alle Apple-enheter og aktivere Lockdown Mode. Selskapet opplyser at det hittil ikke har observert et vellykket kompromiss av en enhet med Lockdown Mode aktivert. Apple viser også berørte brukere til Access Nows døgnåpne sikkerhetstelefon for bistand med blant annet rettsmedisinsk analyse og risikovurdering.

Posted by tsoc at 13:25 0 comments

Thursday, 13 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.13

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep. Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer. Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk. Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon.

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep

Microsoft har publisert sine sikkerhetsoppdateringer for august 2026 og rettet totalt 398 CVE er, der 62 er klassifisert som kritiske. Den eneste sårbarheten som er bekreftet aktivt utnyttet er CVE-2026-68820, en lokal rettighetseskaleringssårbarhet i Windows kjernedriveren afd.sys (Ancillary Function Driver for WinSock). Sårbarheten skyldes en use-after-free feil som kan utløses gjennom en race condition, og gjør det mulig for en angriper med eksisterende kodekjøring på systemet å oppnå SYSTEM rettigheter. Check Point Research opplyser at Lazarus gruppen har brukt sårbarheten i Operation Dream Job kampanjen. Microsoft rettet også fire fjernutnyttbare sårbarheter med CVSS-score 9.8 i Windows DNS Server, Windows Deployment Services (WDS), Microsoft QUIC og HPC Pack, som alle kan gi kodekjøring uten autentisering eller brukerinteraksjon. I tillegg fullfører august oppdateringen utbedringen av en SharePoint angrepskjede ved å rette CVE-2026-63520, som tidligere kunne kombineres med autentiseringsomgåelsen CVE-2026-55040 for å oppnå uautentisert fjernkjøring av kode mot lokale SharePoint-installasjoner.

Anbefaling:

Installer Microsofts august oppdateringer umiddelbart, med særlig prioritet på CVE-2026-68820 samt eksponerte DNS , WDS , QUIC og HPC tjenester.

Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer

Cisco har advart om aktiv utnyttelse av CVE-2026-20349, en tjenestenekt sårbarhet (DoS) i Cisco Secure Firewall ASA og Secure Firewall Threat Defense (FTD). Sårbarheten skyldes mangelfull feilkontroll ved behandling av HTTP forespørsler og kan utnyttes ved å sende en spesiallaget HTTP forespørsel til en berørt Remote Access SSL VPN tjeneste. Vellykket utnyttelse fører til at enheten starter på nytt, noe som resulterer i tjenesteavbrudd. Angrepet kan utføres eksternt uten autentisering eller brukerinteraksjon når SSL lyttesokler er aktivert. Berørte konfigurasjoner inkluderer IKEv2 Remote Access VPN med klienttjenester, SSL VPN og Zero Trust Network Access på FTD enheter. Cisco opplyser at sårbarheten er observert utnyttet i angrep siden august 2026, men har ikke publisert informasjon om angripere eller mål. Sikkerhetsoppdateringer er tilgjengelige for berørte ASA og FTD versjoner, og Cisco opplyser at det ikke finnes noen midlertidige avbøtende tiltak.

Anbefaling:

Oppgrader berørte Cisco ASA og FTD-enheter til en versjon som inneholder sikkerhetsfiksen for CVE-2026-20349.

Sårbarheter:

Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk

Palo Alto Networks Unit 42 har avdekket Kimwolf v7, en ny versjon av Kimwolf/AISURU botnettet som retter seg mot Android enheter og IoT utstyr. Den mest betydelige endringen er en HTTP/2-basert DDoS funksjon som genererer komplette nettleserfingeravtrykk og etterligner legitim nettleseratferd på protokoll og headernivå. Botnettet benytter Ethereum Name Service (ENS) for å hente kommando og kontrollservere (C2), samt en innebygd Tor basert reservekanal for å gjøre infrastrukturen mer motstandsdyktig mot nedstengning. Kimwolf v7 har fjernet funksjoner for skanning, utnyttelse og brute force angrep, noe som tyder på at infeksjon og spredning nå håndteres av eksterne lastemekanismer mens selve skadevaren fokuserer på DDoS angrep og proxyfunksjoner. Botnettet misbruker ofte Android TV enheter med Android Debug Bridge (ADB) aktivert på port 5555, og kamuflerer seg som legitime systemprosesser som «netd_service». Den nye versjonen inkluderer også en høyytelses UDP flomfunksjon optimalisert for ARM baserte Android TV bokser og en lokal proxyarkitektur som ruter all C2 kommunikasjon gjennom 127.0.0.1:23075.

Anbefaling:

Deaktiver ADB eller begrens ADB tilgang til USB tilkoblinger på Android TV enheter, og segmenter slike enheter fra virksomhetsnettverk.

Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon

Zoom har publisert sikkerhetsoppdateringer for fire sårbarheter som kan gjøre det mulig for en ondsinnet møtedeltaker å kjøre kode på en annen deltakers datamaskin uten klikk eller annen brukerinteraksjon. Den mest alvorlige, CVE-2026-53413, finnes i Zooms annoteringsfunksjon og skyldes manglende kontroll av datamengder som mottas over nettverket. En sikkerhetsforsker demonstrerte utnyttelse på macOS ved å starte Safari på offerets maskin uten synlige tegn på kompromittering. CVE-2026-53415 er en use-after-free-sårbarhet med høy alvorlighetsgrad, mens CVE-2026-53414 kan føre til lekkasje av innhold fra minnet. CVE-2026-53416 berører Zoom VDI Client og skyldes en sårbarhet for manipulering av filbaner. Zoom har ikke rapportert aktiv utnyttelse, og artikkelen oppgir at det ikke finnes noe offentlig konseptbevis.

Anbefaling:

Oppdater Zoom Workplace til versjon 7.1.5 eller 7.0.6. Oppdater Zoom Rooms og Meeting SDK til versjon 7.1.5. For VDI: oppdater Zoom Workplace VDI Client til 7.0.11 eller 6.6.16 og VDI Plugin til 7.0.11 eller 6.6.15.

Posted by tsoc at 12:35 0 comments

Wednesday, 12 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.12

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep. Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer. Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk. Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon.

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep

Microsoft har publisert sine sikkerhetsoppdateringer for august 2026 og rettet totalt 398 CVE er, der 62 er klassifisert som kritiske. Den eneste sårbarheten som er bekreftet aktivt utnyttet er CVE-2026-68820, en lokal rettighetseskaleringssårbarhet i Windows kjernedriveren afd.sys (Ancillary Function Driver for WinSock). Sårbarheten skyldes en use-after-free feil som kan utløses gjennom en race condition, og gjør det mulig for en angriper med eksisterende kodekjøring på systemet å oppnå SYSTEM rettigheter. Check Point Research opplyser at Lazarus gruppen har brukt sårbarheten i Operation Dream Job kampanjen. Microsoft rettet også fire fjernutnyttbare sårbarheter med CVSS-score 9.8 i Windows DNS Server, Windows Deployment Services (WDS), Microsoft QUIC og HPC Pack, som alle kan gi kodekjøring uten autentisering eller brukerinteraksjon. I tillegg fullfører august oppdateringen utbedringen av en SharePoint angrepskjede ved å rette CVE-2026-63520, som tidligere kunne kombineres med autentiseringsomgåelsen CVE-2026-55040 for å oppnå uautentisert fjernkjøring av kode mot lokale SharePoint-installasjoner.

Anbefaling:

Installer Microsofts august oppdateringer umiddelbart, med særlig prioritet på CVE-2026-68820 samt eksponerte DNS , WDS , QUIC og HPC tjenester.

Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer

Cisco har advart om aktiv utnyttelse av CVE-2026-20349, en tjenestenekt sårbarhet (DoS) i Cisco Secure Firewall ASA og Secure Firewall Threat Defense (FTD). Sårbarheten skyldes mangelfull feilkontroll ved behandling av HTTP forespørsler og kan utnyttes ved å sende en spesiallaget HTTP forespørsel til en berørt Remote Access SSL VPN tjeneste. Vellykket utnyttelse fører til at enheten starter på nytt, noe som resulterer i tjenesteavbrudd. Angrepet kan utføres eksternt uten autentisering eller brukerinteraksjon når SSL lyttesokler er aktivert. Berørte konfigurasjoner inkluderer IKEv2 Remote Access VPN med klienttjenester, SSL VPN og Zero Trust Network Access på FTD enheter. Cisco opplyser at sårbarheten er observert utnyttet i angrep siden august 2026, men har ikke publisert informasjon om angripere eller mål. Sikkerhetsoppdateringer er tilgjengelige for berørte ASA og FTD versjoner, og Cisco opplyser at det ikke finnes noen midlertidige avbøtende tiltak.

Anbefaling:

Oppgrader berørte Cisco ASA og FTD-enheter til en versjon som inneholder sikkerhetsfiksen for CVE-2026-20349.

Sårbarheter:

Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk

Palo Alto Networks Unit 42 har avdekket Kimwolf v7, en ny versjon av Kimwolf/AISURU botnettet som retter seg mot Android enheter og IoT utstyr. Den mest betydelige endringen er en HTTP/2-basert DDoS funksjon som genererer komplette nettleserfingeravtrykk og etterligner legitim nettleseratferd på protokoll og headernivå. Botnettet benytter Ethereum Name Service (ENS) for å hente kommando og kontrollservere (C2), samt en innebygd Tor basert reservekanal for å gjøre infrastrukturen mer motstandsdyktig mot nedstengning. Kimwolf v7 har fjernet funksjoner for skanning, utnyttelse og brute force angrep, noe som tyder på at infeksjon og spredning nå håndteres av eksterne lastemekanismer mens selve skadevaren fokuserer på DDoS angrep og proxyfunksjoner. Botnettet misbruker ofte Android TV enheter med Android Debug Bridge (ADB) aktivert på port 5555, og kamuflerer seg som legitime systemprosesser som «netd_service». Den nye versjonen inkluderer også en høyytelses UDP flomfunksjon optimalisert for ARM baserte Android TV bokser og en lokal proxyarkitektur som ruter all C2 kommunikasjon gjennom 127.0.0.1:23075.

Anbefaling:

Deaktiver ADB eller begrens ADB tilgang til USB tilkoblinger på Android TV enheter, og segmenter slike enheter fra virksomhetsnettverk.

Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon

Zoom har publisert sikkerhetsoppdateringer for fire sårbarheter som kan gjøre det mulig for en ondsinnet møtedeltaker å kjøre kode på en annen deltakers datamaskin uten klikk eller annen brukerinteraksjon. Den mest alvorlige, CVE-2026-53413, finnes i Zooms annoteringsfunksjon og skyldes manglende kontroll av datamengder som mottas over nettverket. En sikkerhetsforsker demonstrerte utnyttelse på macOS ved å starte Safari på offerets maskin uten synlige tegn på kompromittering. CVE-2026-53415 er en use-after-free-sårbarhet med høy alvorlighetsgrad, mens CVE-2026-53414 kan føre til lekkasje av innhold fra minnet. CVE-2026-53416 berører Zoom VDI Client og skyldes en sårbarhet for manipulering av filbaner. Zoom har ikke rapportert aktiv utnyttelse, og artikkelen oppgir at det ikke finnes noe offentlig konseptbevis.

Anbefaling:

Oppdater Zoom Workplace til versjon 7.1.5 eller 7.0.6. Oppdater Zoom Rooms og Meeting SDK til versjon 7.1.5. For VDI: oppdater Zoom Workplace VDI Client til 7.0.11 eller 6.6.16 og VDI Plugin til 7.0.11 eller 6.6.15.

Posted by tsoc at 13:28 0 comments

Tuesday, 11 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.11

Forsyningskjedeangrep mot BdThemes opprettet skjulte administratorer på WordPress nettsteder. Nye angrep mot passkeys kan gjenopprette synkroniserte private nøkler eller omgå phishing-resistent MFA.

Forsyningskjedeangrep mot BdThemes opprettet skjulte administratorer på WordPress nettsteder

En hittil ukjent trusselaktør har kompromittert infrastrukturen til WordPress utvikleren BdThemes. BdThemes sine plugins er mye brukt, og brukere av Wordpress bes være ekstra oppmerksomme.

En ekstern komponent som brukes til å vise kampanjebannere i forbindelse med adminstrasjon av WordPress. Angrepet utnyttet en Cross-Site Scripting (XSS)-sårbarhet i Biggop Library, nærmere bestemt i håndteringen av parameteren display_id fra Sigmative API. Etter å ha fått skrivetilgang til leverandørens lagringsmiljø erstattet angriperen legitime JSON-data med ondsinnet JavaScriptkode som kjørte automatisk når en innlogget administrator åpnet en wp-admin-side. Koden opprettet skjulte administratorbrukere og installerte samtidig en plugin som opprettet vedvarende tilgang gjennom webskallet emer-run.php.

Angrepet er vanskelig å oppdage, og de kompromitterte kontoene ble skjult ved å manipulere WordPress databasespørringer slik at de ikke vises i brukerlisten.

Analyser utført at sikkerhetsleverandøren Defiant tyder på at BdThemes ble kompromittert allerede 23. juni i år, med bekrefted angrepsaktivitet fra og med 7. august.

Foreløpig er sårbarheten ikke lukket. Vi anser derfor sårbarheten i seg selv som Medium, men hvis den er utnyttet vil dette normalt regnes som en Critical incident.

Anbefaling:

Undersøk WordPress installasjoner som bruker BdThemes-pluginer for ukjente administratorbrukere, falske pluginer og filer som emer-run.php, og fjern kompromitterte komponenter umiddelbart. (ikke fra artikkel)

Nye angrep mot passkeys kan gjenopprette synkroniserte private nøkler eller omgå phishing-resistent MFA

Tre uavhengige forskningsprosjekter har demonstrert metoder for å omgå passkey beskyttelse uten å bryte den underliggende kryptografien.

  • SpecterOps viste en angrepskjede der tidligere genererte YubiKey-signaturer lagret i Windows kunne gjenbrukes sammen med svakheter i Microsoft Entra ID for å utgi seg for privilegerte brukere og oppfylle krav til phishing-resistent MFA.

  • Unit 42 viste flere angrep mot Google Password Managers synkroniserte passkeys, inkludert «Golden Pass-ta-key», som kan gjenopprette private passkey nøkler ved tilgang til Security Domain Secret, en 32 bytes hovednøkkel brukt til å beskytte synkroniserte passkeys.

  • Dirk-jan Mollema demonstrerte at skadevare som allerede kjører i en innlogget Windows økt kan bruke en TPM bundet Windows Hello for Business-nøkkel uten ny PIN- eller biometrisk verifisering. CVE-2026-34348 skyldes at Windows Event Logging Service lagret tidligere autentiseringssignaturer i klartekst slik at autentiserte brukere kunne lese dem.

Funnene viser at passkeys fortsatt kan kompromitteres gjennom svakheter i operativsystemer, identitetsplattformer, nettlesere og klientimplementasjoner selv om FIDO2 kryptografien forblir intakt. Microsoft har publisert sikkerhetsoppdateringer for CVE-2026-34348 og opplyser at ytterligere tiltak er implementert for relaterte Entra ID problemer.

Anbefaling:

Installer Microsofts sikkerhetsoppdateringer for CVE-2026-34348 og overvåk uvanlige Windows Hello for Business autentiseringer og enhetsregistreringer.

Sårbarheter:

Posted by tsoc at 10:05 0 comments

Monday, 10 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.10

Kritisk SQL injection i Metabase utnyttet i cyberangrep. Atlassian Rovo kan lekke Jira og Confluence data via prompt injection.

Kritisk SQL injection i Metabase utnyttet i cyberangrep

En kritisk nulldagssårbarhet i Metabase har blitt aktivt utnyttet i angrep som har ført til datatyveri fra flere virksomheter. Sårbarheten er en uautentisert SQL injection feil som kan gi en ekstern angriper administratorrettigheter til en Metabase instans. Metabase har klassifisert feilen som kritisk med CVSS score 10.0.

Ved vellykket utnyttelse kan angripere endre konfigurasjoner, stjele lagrede databaserettigheter, få tilgang til data fra tilkoblede systemer og eksportere informasjon. Metabase Cloud kunder er allerede patchet, mens organisasjoner med selvhostede installasjoner må oppdatere manuelt til en støttet versjon. Metabase anbefaler også å tilbakekalle aktive sesjoner, rotere legitimasjon og gjennomgå logger for tegn til kompromittering.

Anbefaling:

Oppdater Metabase til en patchet versjon, roter databasepassord og API nøkler, gjennomfør logganalyse og undersøk miljøet for indikasjoner på uautorisert tilgang.

Atlassian Rovo kan lekke Jira og Confluence data via prompt injection

Sikkerhetseksperter fra PromptArmor og Varonis har avdekket to metoder som kan misbrukes til å få Atlassians AI assistent Rovo til å hente data fra Jira og Confluence og sende dem til angriperkontrollerte servere. Angrepene utnytter prompt injection, der skjulte instruksjoner får AI assistenten til å utføre handlinger på vegne av en innlogget bruker.

PromptArmor viste at ondsinnede instruksjoner kan skjules i dokumenter som behandles av Rovo. Når en bruker ber assistenten utføre en legitim oppgave, kan Rovo samtidig samle inn tilgjengelige data og sende dem ut via en URL forespørsel uten ekstra godkjenning fra brukeren. Ekspertene opplyser at angrepet fungerte selv når Rovos web søkfunksjon var deaktivert.

Varonis identifiserte en separat sårbarhet kalt RovoBlast, der spesialutformede lenker kunne laste inn ondsinnede instruksjoner i Rovo Chat. Ett klikk fra en autentisert bruker var nok til at Rovo hentet data med brukerens rettigheter og eksfiltrerte informasjon til angriperen. Denne sårbarheten ble rettet av Atlassian på serversiden 8. juli 2026.

Selv om angrepene ikke gir direkte tilgang utover brukerens eksisterende rettigheter, kan de føre til eksponering av sensitiv informasjon som brukeren har tilgang til. Organisasjoner bør gjennomgå hvilke brukere og applikasjoner som har tilgang til Rovo, begrense tilkoblede datakilder og følge prinsippet om minste privilegium. Det er foreløpig ikke rapportert aktiv utnyttelse mot faktiske virksomheter.

Posted by tsoc at 12:05 0 comments

Friday, 7 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.07

Cisco retter 12 kritiske sårbarheter i SD-WAN og IOS XE.

Cisco retter 12 kritiske sårbarheter i SD-WAN og IOS XE

Cisco har publisert sikkerhetsoppdateringer for totalt 12 sårbarheter i Catalyst SD-WAN og IOS XE. Tre av sårbarhetene i SD-WAN har en CVSS-score på 9.9 og kan utnyttes til blant annet path traversal, omgåelse av tilgangskontroller og uautorisert filtilgang. Cisco opplyser at feilene ble funnet gjennom intern sikkerhetstesting, inkludert bruk av AI-modeller, og at de per nå ikke er kjent aktivt utnyttet.

For IOS XE er det rettet syv sårbarheter med CVSS-score opptil 9.8. Disse inkluderer feil knyttet til tilgangskontroll, command injection, buffer overflow og utilstrekkelig validering av brukerinput. Berørte organisasjoner bør oppgradere til de nyeste anbefalte programvareversjonene så raskt som mulig.

Cisco har også rettet den alvorlige IMC-sårbarheten CVE-2026-20200 («CIMCown»), som kan gi en autentisert angriper med lave privilegier mulighet til å kjøre vilkårlige kommandoer og eskalere til root. En offentlig PoC finnes allerede. Forskere advarer om at kompromittering av IMC er spesielt alvorlig fordi den kan gi kontroll på et nivå under operativsystemet, inkludert innflytelse over BIOS og Secure Boot.

Anbefaling:

Kartlegg eksponerte SD-WAN, IOS XE og CIMC-instanser, verifiser programvareversjoner og implementer tilgjengelige sikkerhetsoppdateringer så raskt som mulig.

Posted by tsoc at 12:26 0 comments
Subscribe to: Posts (Atom)
 
>