Vi gjør oppmerksom på at informasjonen gitt i denne bloggen er ferskvare og således kan inneholde feil. Aksjoner som gjøres på grunnlag av denne er på eget ansvar. Telenor tar ikke ansvar for innhold gitt i eksterne lenker.

Friday, 14 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.14

Kritisk VMware vCenter sårbarhet utnyttes til å etablere vedvarende SSH tilgang. Fortinet retter flere autentiseringssårbarheter i FortiWeb, FortiManager og FortiClient. AmnesiaStealer kaprer Chromium økter på macOS og gir angripere direkte nettleserkontroll. Apple varsler iPhone brukere om målrettede spionvareangrep.

Kritisk VMware vCenter sårbarhet utnyttes til å etablere vedvarende SSH tilgang

En kritisk sårbarhet i VMware vCenter Syslog Server, identifisert som CVE-2026-59310, blir aktivt utnyttet for å oppnå ekstern kodekjøring og etablere vedvarende tilgang til kompromitterte systemer. Sårbarheten skyldes en katalogtraverseringsfeil som gjør det mulig for en uautentisert angriper med nettverkstilgang å kjøre vilkårlig kode på sårbare vCenter installasjoner. Ifølge QUIRSO startet angrepene bare fem dager etter at Broadcom publiserte sikkerhetsoppdateringen, og kompromitteringer er observert på 361 IP adresser fordelt på 47 land. Etter innledende kompromittering installerer angriperne det åpne kildekodeverktøyet reverse_ssh for å etablere en utgående kommandokanal og sikre vedvarende fjernaksess. Løsningen gjør det mulig å omgå enkelte brannmur- og nettverksrestriksjoner ved å opprette forbindelsen fra innsiden av det kompromitterte miljøet. VMware vCenter er et høyt prioritert mål fordi plattformen gir sentral administrasjon av virtuelle maskiner, ESXi-servere og tilgangskontroller i virksomhetsmiljøer.

Anbefaling:

Oppgrader VMware vCenter til en versjon som inkluderer sikkerhetsfiksen for CVE-2026-59310 så raskt som mulig.

Sårbarheter:

Fortinet retter flere autentiseringssårbarheter i FortiWeb, FortiManager og FortiClient

Fortinet har utgitt sikkerhetsoppdateringer for flere autentiseringsrelaterte sårbarheter i FortiWeb, FortiManager og FortiClient. Den mest alvorlige, CVE-2026-26035, gjelder feil autentisering i FortiWeb når RADIUS med «wildcard» er aktivert, og kan gi en ekstern, ikke autentisert angriper administrativ tilgang. FortiManager-sårbarheten CVE-2026-70468 gjelder en omgåelse av autentisering i FGFM-protokollen og kan under bestemte forutsetninger gjøre det mulig å utgi seg for en administrert FortiGate-enhet. CVE-2026-70465 i FortiClient for Windows er en bufferoverflyt som ifølge artikkelen kan føre til kjøring av vilkårlig kode via utformede nettverkspakker. Artikkelen oppgir også ytterligere sårbarheter i FortiWeb, FortiSIEM og FortiOS. Fortinet hadde på tidspunktet for sikkerhetsmeldingen ikke observert aktiv utnyttelse av CVE-2026-26035.

AmnesiaStealer kaprer Chromium økter på macOS og gir angripere direkte nettleserkontroll

AmnesiaStealer er en ny Rust basert infostealer for macOS som distribueres via falske GitHub sider som utgir seg for å tilby legitim programvare til macOS brukere. Angrepet benytter en ClickFix lignende metode der brukeren blir bedt om å lime inn en Base64 kodet kommando i Terminal, noe som starter en flertrinns infeksjonskjede. Skadevaren stjeler nøkkelringdata, nettleserdata, Apple Notes, Telegram økter, filer og innloggingsinformasjon fra Chromium baserte nettlesere, samtidig som den forsøker å innhente brukerens systempassord gjennom falske installasjonsdialoger. AmnesiaStealer kan dekryptere lagrede Chromium data ved å hente Chrome Safe Storage passordet fra Keychain og bruke dette til å gjenopprette krypteringsnøkler. En ekstra modul gir angriperen skjult og interaktiv kontroll over nettleseren via Chrome DevTools Protocol, inkludert tastaturinngang, museklikk, navigasjon og fanebehandling i sanntid. Skadevaren etablerer også persistens gjennom en LaunchDaemon og eksfiltrerer innsamlede data til angriperkontrollerte servere.

Anbefaling:

Brukere bør unngå å kjøre kommandoer i Terminal fra uverifiserte nettsteder eller GitHub sider og kun laste ned programvare fra offisielle leverandører.

Sårbarheter:

Apple varsler iPhone brukere om målrettede spionvareangrep

Apple har sendt «Apple Threat Notification»-varsler til utvalgte iPhone brukere i 110 land som kan være mål for kommersiell spionvare. Varslene gjelder personer som Apple mener kan være utsatt for målrettede overvåkingsoperasjoner, blant annet journalister, menneskerettighetsforkjempere, advokater og politiske aktører. Varslene vises blant annet på låseskjermen, i Innstillinger og via e-post knyttet til brukerens Apple-konto. Apple anbefaler berørte brukere å oppdatere alle Apple-enheter og aktivere Lockdown Mode. Selskapet opplyser at det hittil ikke har observert et vellykket kompromiss av en enhet med Lockdown Mode aktivert. Apple viser også berørte brukere til Access Nows døgnåpne sikkerhetstelefon for bistand med blant annet rettsmedisinsk analyse og risikovurdering.

Posted by tsoc at 13:25 0 comments

Thursday, 13 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.13

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep. Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer. Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk. Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon.

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep

Microsoft har publisert sine sikkerhetsoppdateringer for august 2026 og rettet totalt 398 CVE er, der 62 er klassifisert som kritiske. Den eneste sårbarheten som er bekreftet aktivt utnyttet er CVE-2026-68820, en lokal rettighetseskaleringssårbarhet i Windows kjernedriveren afd.sys (Ancillary Function Driver for WinSock). Sårbarheten skyldes en use-after-free feil som kan utløses gjennom en race condition, og gjør det mulig for en angriper med eksisterende kodekjøring på systemet å oppnå SYSTEM rettigheter. Check Point Research opplyser at Lazarus gruppen har brukt sårbarheten i Operation Dream Job kampanjen. Microsoft rettet også fire fjernutnyttbare sårbarheter med CVSS-score 9.8 i Windows DNS Server, Windows Deployment Services (WDS), Microsoft QUIC og HPC Pack, som alle kan gi kodekjøring uten autentisering eller brukerinteraksjon. I tillegg fullfører august oppdateringen utbedringen av en SharePoint angrepskjede ved å rette CVE-2026-63520, som tidligere kunne kombineres med autentiseringsomgåelsen CVE-2026-55040 for å oppnå uautentisert fjernkjøring av kode mot lokale SharePoint-installasjoner.

Anbefaling:

Installer Microsofts august oppdateringer umiddelbart, med særlig prioritet på CVE-2026-68820 samt eksponerte DNS , WDS , QUIC og HPC tjenester.

Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer

Cisco har advart om aktiv utnyttelse av CVE-2026-20349, en tjenestenekt sårbarhet (DoS) i Cisco Secure Firewall ASA og Secure Firewall Threat Defense (FTD). Sårbarheten skyldes mangelfull feilkontroll ved behandling av HTTP forespørsler og kan utnyttes ved å sende en spesiallaget HTTP forespørsel til en berørt Remote Access SSL VPN tjeneste. Vellykket utnyttelse fører til at enheten starter på nytt, noe som resulterer i tjenesteavbrudd. Angrepet kan utføres eksternt uten autentisering eller brukerinteraksjon når SSL lyttesokler er aktivert. Berørte konfigurasjoner inkluderer IKEv2 Remote Access VPN med klienttjenester, SSL VPN og Zero Trust Network Access på FTD enheter. Cisco opplyser at sårbarheten er observert utnyttet i angrep siden august 2026, men har ikke publisert informasjon om angripere eller mål. Sikkerhetsoppdateringer er tilgjengelige for berørte ASA og FTD versjoner, og Cisco opplyser at det ikke finnes noen midlertidige avbøtende tiltak.

Anbefaling:

Oppgrader berørte Cisco ASA og FTD-enheter til en versjon som inneholder sikkerhetsfiksen for CVE-2026-20349.

Sårbarheter:

Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk

Palo Alto Networks Unit 42 har avdekket Kimwolf v7, en ny versjon av Kimwolf/AISURU botnettet som retter seg mot Android enheter og IoT utstyr. Den mest betydelige endringen er en HTTP/2-basert DDoS funksjon som genererer komplette nettleserfingeravtrykk og etterligner legitim nettleseratferd på protokoll og headernivå. Botnettet benytter Ethereum Name Service (ENS) for å hente kommando og kontrollservere (C2), samt en innebygd Tor basert reservekanal for å gjøre infrastrukturen mer motstandsdyktig mot nedstengning. Kimwolf v7 har fjernet funksjoner for skanning, utnyttelse og brute force angrep, noe som tyder på at infeksjon og spredning nå håndteres av eksterne lastemekanismer mens selve skadevaren fokuserer på DDoS angrep og proxyfunksjoner. Botnettet misbruker ofte Android TV enheter med Android Debug Bridge (ADB) aktivert på port 5555, og kamuflerer seg som legitime systemprosesser som «netd_service». Den nye versjonen inkluderer også en høyytelses UDP flomfunksjon optimalisert for ARM baserte Android TV bokser og en lokal proxyarkitektur som ruter all C2 kommunikasjon gjennom 127.0.0.1:23075.

Anbefaling:

Deaktiver ADB eller begrens ADB tilgang til USB tilkoblinger på Android TV enheter, og segmenter slike enheter fra virksomhetsnettverk.

Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon

Zoom har publisert sikkerhetsoppdateringer for fire sårbarheter som kan gjøre det mulig for en ondsinnet møtedeltaker å kjøre kode på en annen deltakers datamaskin uten klikk eller annen brukerinteraksjon. Den mest alvorlige, CVE-2026-53413, finnes i Zooms annoteringsfunksjon og skyldes manglende kontroll av datamengder som mottas over nettverket. En sikkerhetsforsker demonstrerte utnyttelse på macOS ved å starte Safari på offerets maskin uten synlige tegn på kompromittering. CVE-2026-53415 er en use-after-free-sårbarhet med høy alvorlighetsgrad, mens CVE-2026-53414 kan føre til lekkasje av innhold fra minnet. CVE-2026-53416 berører Zoom VDI Client og skyldes en sårbarhet for manipulering av filbaner. Zoom har ikke rapportert aktiv utnyttelse, og artikkelen oppgir at det ikke finnes noe offentlig konseptbevis.

Anbefaling:

Oppdater Zoom Workplace til versjon 7.1.5 eller 7.0.6. Oppdater Zoom Rooms og Meeting SDK til versjon 7.1.5. For VDI: oppdater Zoom Workplace VDI Client til 7.0.11 eller 6.6.16 og VDI Plugin til 7.0.11 eller 6.6.15.

Posted by tsoc at 12:35 0 comments

Wednesday, 12 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.12

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep. Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer. Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk. Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon.

Microsoft tetter 398 sårbarheter – Windows nulldagssårbarhet utnyttes aktivt i angrep

Microsoft har publisert sine sikkerhetsoppdateringer for august 2026 og rettet totalt 398 CVE er, der 62 er klassifisert som kritiske. Den eneste sårbarheten som er bekreftet aktivt utnyttet er CVE-2026-68820, en lokal rettighetseskaleringssårbarhet i Windows kjernedriveren afd.sys (Ancillary Function Driver for WinSock). Sårbarheten skyldes en use-after-free feil som kan utløses gjennom en race condition, og gjør det mulig for en angriper med eksisterende kodekjøring på systemet å oppnå SYSTEM rettigheter. Check Point Research opplyser at Lazarus gruppen har brukt sårbarheten i Operation Dream Job kampanjen. Microsoft rettet også fire fjernutnyttbare sårbarheter med CVSS-score 9.8 i Windows DNS Server, Windows Deployment Services (WDS), Microsoft QUIC og HPC Pack, som alle kan gi kodekjøring uten autentisering eller brukerinteraksjon. I tillegg fullfører august oppdateringen utbedringen av en SharePoint angrepskjede ved å rette CVE-2026-63520, som tidligere kunne kombineres med autentiseringsomgåelsen CVE-2026-55040 for å oppnå uautentisert fjernkjøring av kode mot lokale SharePoint-installasjoner.

Anbefaling:

Installer Microsofts august oppdateringer umiddelbart, med særlig prioritet på CVE-2026-68820 samt eksponerte DNS , WDS , QUIC og HPC tjenester.

Cisco advarer om aktiv utnyttelse av VPN sårbarhet som kan krasje brannmurer

Cisco har advart om aktiv utnyttelse av CVE-2026-20349, en tjenestenekt sårbarhet (DoS) i Cisco Secure Firewall ASA og Secure Firewall Threat Defense (FTD). Sårbarheten skyldes mangelfull feilkontroll ved behandling av HTTP forespørsler og kan utnyttes ved å sende en spesiallaget HTTP forespørsel til en berørt Remote Access SSL VPN tjeneste. Vellykket utnyttelse fører til at enheten starter på nytt, noe som resulterer i tjenesteavbrudd. Angrepet kan utføres eksternt uten autentisering eller brukerinteraksjon når SSL lyttesokler er aktivert. Berørte konfigurasjoner inkluderer IKEv2 Remote Access VPN med klienttjenester, SSL VPN og Zero Trust Network Access på FTD enheter. Cisco opplyser at sårbarheten er observert utnyttet i angrep siden august 2026, men har ikke publisert informasjon om angripere eller mål. Sikkerhetsoppdateringer er tilgjengelige for berørte ASA og FTD versjoner, og Cisco opplyser at det ikke finnes noen midlertidige avbøtende tiltak.

Anbefaling:

Oppgrader berørte Cisco ASA og FTD-enheter til en versjon som inneholder sikkerhetsfiksen for CVE-2026-20349.

Sårbarheter:

Kimwolf v7-botnett gjør DDoS trafikk vanskelig å skille fra normal nettlesertrafikk

Palo Alto Networks Unit 42 har avdekket Kimwolf v7, en ny versjon av Kimwolf/AISURU botnettet som retter seg mot Android enheter og IoT utstyr. Den mest betydelige endringen er en HTTP/2-basert DDoS funksjon som genererer komplette nettleserfingeravtrykk og etterligner legitim nettleseratferd på protokoll og headernivå. Botnettet benytter Ethereum Name Service (ENS) for å hente kommando og kontrollservere (C2), samt en innebygd Tor basert reservekanal for å gjøre infrastrukturen mer motstandsdyktig mot nedstengning. Kimwolf v7 har fjernet funksjoner for skanning, utnyttelse og brute force angrep, noe som tyder på at infeksjon og spredning nå håndteres av eksterne lastemekanismer mens selve skadevaren fokuserer på DDoS angrep og proxyfunksjoner. Botnettet misbruker ofte Android TV enheter med Android Debug Bridge (ADB) aktivert på port 5555, og kamuflerer seg som legitime systemprosesser som «netd_service». Den nye versjonen inkluderer også en høyytelses UDP flomfunksjon optimalisert for ARM baserte Android TV bokser og en lokal proxyarkitektur som ruter all C2 kommunikasjon gjennom 127.0.0.1:23075.

Anbefaling:

Deaktiver ADB eller begrens ADB tilgang til USB tilkoblinger på Android TV enheter, og segmenter slike enheter fra virksomhetsnettverk.

Zoom sårbarheter muliggjør fjernkjøring av kode uten brukerinteraksjon

Zoom har publisert sikkerhetsoppdateringer for fire sårbarheter som kan gjøre det mulig for en ondsinnet møtedeltaker å kjøre kode på en annen deltakers datamaskin uten klikk eller annen brukerinteraksjon. Den mest alvorlige, CVE-2026-53413, finnes i Zooms annoteringsfunksjon og skyldes manglende kontroll av datamengder som mottas over nettverket. En sikkerhetsforsker demonstrerte utnyttelse på macOS ved å starte Safari på offerets maskin uten synlige tegn på kompromittering. CVE-2026-53415 er en use-after-free-sårbarhet med høy alvorlighetsgrad, mens CVE-2026-53414 kan føre til lekkasje av innhold fra minnet. CVE-2026-53416 berører Zoom VDI Client og skyldes en sårbarhet for manipulering av filbaner. Zoom har ikke rapportert aktiv utnyttelse, og artikkelen oppgir at det ikke finnes noe offentlig konseptbevis.

Anbefaling:

Oppdater Zoom Workplace til versjon 7.1.5 eller 7.0.6. Oppdater Zoom Rooms og Meeting SDK til versjon 7.1.5. For VDI: oppdater Zoom Workplace VDI Client til 7.0.11 eller 6.6.16 og VDI Plugin til 7.0.11 eller 6.6.15.

Posted by tsoc at 13:28 0 comments

Tuesday, 11 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.11

Forsyningskjedeangrep mot BdThemes opprettet skjulte administratorer på WordPress nettsteder. Nye angrep mot passkeys kan gjenopprette synkroniserte private nøkler eller omgå phishing-resistent MFA.

Forsyningskjedeangrep mot BdThemes opprettet skjulte administratorer på WordPress nettsteder

En hittil ukjent trusselaktør har kompromittert infrastrukturen til WordPress utvikleren BdThemes. BdThemes sine plugins er mye brukt, og brukere av Wordpress bes være ekstra oppmerksomme.

En ekstern komponent som brukes til å vise kampanjebannere i forbindelse med adminstrasjon av WordPress. Angrepet utnyttet en Cross-Site Scripting (XSS)-sårbarhet i Biggop Library, nærmere bestemt i håndteringen av parameteren display_id fra Sigmative API. Etter å ha fått skrivetilgang til leverandørens lagringsmiljø erstattet angriperen legitime JSON-data med ondsinnet JavaScriptkode som kjørte automatisk når en innlogget administrator åpnet en wp-admin-side. Koden opprettet skjulte administratorbrukere og installerte samtidig en plugin som opprettet vedvarende tilgang gjennom webskallet emer-run.php.

Angrepet er vanskelig å oppdage, og de kompromitterte kontoene ble skjult ved å manipulere WordPress databasespørringer slik at de ikke vises i brukerlisten.

Analyser utført at sikkerhetsleverandøren Defiant tyder på at BdThemes ble kompromittert allerede 23. juni i år, med bekrefted angrepsaktivitet fra og med 7. august.

Foreløpig er sårbarheten ikke lukket. Vi anser derfor sårbarheten i seg selv som Medium, men hvis den er utnyttet vil dette normalt regnes som en Critical incident.

Anbefaling:

Undersøk WordPress installasjoner som bruker BdThemes-pluginer for ukjente administratorbrukere, falske pluginer og filer som emer-run.php, og fjern kompromitterte komponenter umiddelbart. (ikke fra artikkel)

Nye angrep mot passkeys kan gjenopprette synkroniserte private nøkler eller omgå phishing-resistent MFA

Tre uavhengige forskningsprosjekter har demonstrert metoder for å omgå passkey beskyttelse uten å bryte den underliggende kryptografien.

  • SpecterOps viste en angrepskjede der tidligere genererte YubiKey-signaturer lagret i Windows kunne gjenbrukes sammen med svakheter i Microsoft Entra ID for å utgi seg for privilegerte brukere og oppfylle krav til phishing-resistent MFA.

  • Unit 42 viste flere angrep mot Google Password Managers synkroniserte passkeys, inkludert «Golden Pass-ta-key», som kan gjenopprette private passkey nøkler ved tilgang til Security Domain Secret, en 32 bytes hovednøkkel brukt til å beskytte synkroniserte passkeys.

  • Dirk-jan Mollema demonstrerte at skadevare som allerede kjører i en innlogget Windows økt kan bruke en TPM bundet Windows Hello for Business-nøkkel uten ny PIN- eller biometrisk verifisering. CVE-2026-34348 skyldes at Windows Event Logging Service lagret tidligere autentiseringssignaturer i klartekst slik at autentiserte brukere kunne lese dem.

Funnene viser at passkeys fortsatt kan kompromitteres gjennom svakheter i operativsystemer, identitetsplattformer, nettlesere og klientimplementasjoner selv om FIDO2 kryptografien forblir intakt. Microsoft har publisert sikkerhetsoppdateringer for CVE-2026-34348 og opplyser at ytterligere tiltak er implementert for relaterte Entra ID problemer.

Anbefaling:

Installer Microsofts sikkerhetsoppdateringer for CVE-2026-34348 og overvåk uvanlige Windows Hello for Business autentiseringer og enhetsregistreringer.

Sårbarheter:

Posted by tsoc at 10:05 0 comments

Monday, 10 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.10

Kritisk SQL injection i Metabase utnyttet i cyberangrep. Atlassian Rovo kan lekke Jira og Confluence data via prompt injection.

Kritisk SQL injection i Metabase utnyttet i cyberangrep

En kritisk nulldagssårbarhet i Metabase har blitt aktivt utnyttet i angrep som har ført til datatyveri fra flere virksomheter. Sårbarheten er en uautentisert SQL injection feil som kan gi en ekstern angriper administratorrettigheter til en Metabase instans. Metabase har klassifisert feilen som kritisk med CVSS score 10.0.

Ved vellykket utnyttelse kan angripere endre konfigurasjoner, stjele lagrede databaserettigheter, få tilgang til data fra tilkoblede systemer og eksportere informasjon. Metabase Cloud kunder er allerede patchet, mens organisasjoner med selvhostede installasjoner må oppdatere manuelt til en støttet versjon. Metabase anbefaler også å tilbakekalle aktive sesjoner, rotere legitimasjon og gjennomgå logger for tegn til kompromittering.

Anbefaling:

Oppdater Metabase til en patchet versjon, roter databasepassord og API nøkler, gjennomfør logganalyse og undersøk miljøet for indikasjoner på uautorisert tilgang.

Atlassian Rovo kan lekke Jira og Confluence data via prompt injection

Sikkerhetseksperter fra PromptArmor og Varonis har avdekket to metoder som kan misbrukes til å få Atlassians AI assistent Rovo til å hente data fra Jira og Confluence og sende dem til angriperkontrollerte servere. Angrepene utnytter prompt injection, der skjulte instruksjoner får AI assistenten til å utføre handlinger på vegne av en innlogget bruker.

PromptArmor viste at ondsinnede instruksjoner kan skjules i dokumenter som behandles av Rovo. Når en bruker ber assistenten utføre en legitim oppgave, kan Rovo samtidig samle inn tilgjengelige data og sende dem ut via en URL forespørsel uten ekstra godkjenning fra brukeren. Ekspertene opplyser at angrepet fungerte selv når Rovos web søkfunksjon var deaktivert.

Varonis identifiserte en separat sårbarhet kalt RovoBlast, der spesialutformede lenker kunne laste inn ondsinnede instruksjoner i Rovo Chat. Ett klikk fra en autentisert bruker var nok til at Rovo hentet data med brukerens rettigheter og eksfiltrerte informasjon til angriperen. Denne sårbarheten ble rettet av Atlassian på serversiden 8. juli 2026.

Selv om angrepene ikke gir direkte tilgang utover brukerens eksisterende rettigheter, kan de føre til eksponering av sensitiv informasjon som brukeren har tilgang til. Organisasjoner bør gjennomgå hvilke brukere og applikasjoner som har tilgang til Rovo, begrense tilkoblede datakilder og følge prinsippet om minste privilegium. Det er foreløpig ikke rapportert aktiv utnyttelse mot faktiske virksomheter.

Posted by tsoc at 12:05 0 comments

Friday, 7 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.07

Cisco retter 12 kritiske sårbarheter i SD-WAN og IOS XE.

Cisco retter 12 kritiske sårbarheter i SD-WAN og IOS XE

Cisco har publisert sikkerhetsoppdateringer for totalt 12 sårbarheter i Catalyst SD-WAN og IOS XE. Tre av sårbarhetene i SD-WAN har en CVSS-score på 9.9 og kan utnyttes til blant annet path traversal, omgåelse av tilgangskontroller og uautorisert filtilgang. Cisco opplyser at feilene ble funnet gjennom intern sikkerhetstesting, inkludert bruk av AI-modeller, og at de per nå ikke er kjent aktivt utnyttet.

For IOS XE er det rettet syv sårbarheter med CVSS-score opptil 9.8. Disse inkluderer feil knyttet til tilgangskontroll, command injection, buffer overflow og utilstrekkelig validering av brukerinput. Berørte organisasjoner bør oppgradere til de nyeste anbefalte programvareversjonene så raskt som mulig.

Cisco har også rettet den alvorlige IMC-sårbarheten CVE-2026-20200 («CIMCown»), som kan gi en autentisert angriper med lave privilegier mulighet til å kjøre vilkårlige kommandoer og eskalere til root. En offentlig PoC finnes allerede. Forskere advarer om at kompromittering av IMC er spesielt alvorlig fordi den kan gi kontroll på et nivå under operativsystemet, inkludert innflytelse over BIOS og Secure Boot.

Anbefaling:

Kartlegg eksponerte SD-WAN, IOS XE og CIMC-instanser, verifiser programvareversjoner og implementer tilgjengelige sikkerhetsoppdateringer så raskt som mulig.

Posted by tsoc at 12:26 0 comments

Thursday, 6 August 2026

Daglig nyhetsbrev fra Telenor Cyberdefence - 2026.08.06

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep. CISA varsler om aktiv utnyttelse av kritisk TeamCity RCE-sårbarhet. OVSwrap-feil i Linux-kjernen gir lokal bruker root-rettigheter via Open vSwitch.

INC Ransomware Utnytter SonicWall SMA 1000 Sårbarheter i Pågående Angrep

Sikkerhetsforskere har observert at ransomwaregruppen INC Ransomware aktivt utnytter de nylig avslørte sårbarhetene CVE-2026-15409 og CVE-2026-15410 i SonicWall SMA 1000-enheter. Sårbarhetene gjør det mulig for angripere å fjernkjøre kode og kompromittere VPN-apparater som ofte fungerer som en sentral inngangsport til virksomhetsnettverk. Forskerne påpeker at svakhetene ble benyttet som zero-days før sikkerhetsoppdateringene ble tilgjengelige, og angriperne har brukt tilgangen til å hente ut legitimasjon, aktive sesjoner og MFA-relaterte data før videre bevegelse inn i de kompromitterte miljøene. Flere private og offentlige organisasjoner internasjonalt skal allerede ha blitt rammet av kampanjen.

Anbefaling:

Virksomheter som benytter SonicWall SMA 1000 bør installere tilgjengelige sikkerhetsoppdateringer umiddelbart, gjennomgå VPN- og autentiseringslogger for tegn på uautorisert aktivitet og vurdere rotasjon av passord og MFA-relaterte hemmeligheter dersom kompromittering mistenkes. Det anbefales også å gjennomføre trusseljakt i miljøer der sårbare enheter har vært eksponert mot internett.

CISA varsler om aktiv utnyttelse av kritisk TeamCity RCE-sårbarhet

Den amerikanske sikkerhetsmyndigheten CISA har lagt til CVE-2026-63077 i katalogen over kjente utnyttede sårbarheter (KEV), noe som bekrefter at sårbarheten utnyttes aktivt. Sårbarheten rammer JetBrains TeamCity On-Premises og gjør det mulig for en uautentisert angriper å omgå autentisering og kjøre vilkårlige operativsystemkommandoer via TeamCitys agent polling protokoll. Feilen er klassifisert som kritisk med en CVSS-score på 9,8 og er knyttet til CWE-502 (Deserialisering av ikke-klarerte data). Vellykket utnyttelse gir angriperen de samme rettighetene som TeamCity serverprosessen, noe som kan føre til kompromittering av CI/CD-miljøer, lagrede legitimasjoner, konfigurasjoner og programvareleveransekjeder. JetBrains har rettet sårbarheten i versjonene 2025.11.7 og 2026.1.3, og tilbyr i tillegg en sikkerhetsplugin for eldre installasjoner som ikke kan oppgraderes umiddelbart. TeamCity Cloud er ikke berørt av problemet.

Anbefaling:

Oppgrader TeamCity On-Premises til versjon 2025.11.7 eller 2026.1.3 umiddelbart, eller installer JetBrains sikkerhetsplugin dersom oppgradering ikke er mulig.

Sårbarheter:

OVSwrap-feil i Linux-kjernen gir lokal bruker root-rettigheter via Open vSwitch

En ny sårbarhet med navnet OVSwrap påvirker Open vSwitch-modulen i Linux-kjernen og gjør det mulig for en lokal bruker uten spesielle rettigheter å oppnå root-rettigheter. Feilen skyldes minnekorrupsjon i Open vSwitch-datapath, utløst gjennom spesiallagde OVS Netlink-meldinger. Ifølge artikkelen finnes det et offentlig konseptbevis som støtter et stort antall ulike Linux-kjerneversjoner. Sårbarheten berører systemer hvor Open vSwitch-kjernemodulen er lastet. Det er ikke oppgitt at sårbarheten er observert i aktive angrep på publiseringstidspunktet. Administratorer anbefales å installere sikkerhetsoppdateringer så snart de blir tilgjengelige.

Anbefaling:

Installer sikkerhetsoppdateringer for Linux-kjernen når de blir tilgjengelige. Dersom Open vSwitch ikke benyttes, deaktiver eller svartelist Open vSwitch-modulen. Begrens lokal brukertilgang på systemer som kjører Open vSwitch frem til oppdateringer er installert.

Posted by tsoc at 12:09 0 comments
Subscribe to: Posts (Atom)
 
>