Tuesday, 30 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.30

CISA advarer om kritisk sårbarhet i Sudo som aktivt utnyttes i Linux og Unix-systemer.

CISA advarer om kritisk sårbarhet i Sudo som aktivt utnyttes i Linux og Unix-systemer

CISA har lagt CVE-2025-32463 til sin KEV-katalog etter bekreftelse på aktiv utnyttelse. Feilen (CVSS 9.3) rammer Sudo versjoner før 1.9.17p1 og gjør det mulig for en lokal angriper å misbruke "-R (--chroot)" funksjonen for å kjøre vilkårlige kommandoer som root, selv uten sudoers tilgang. Sårbarheten ble rapportert i juli 2025 og er nå aktivt utnyttet i angrep. Flere andre nylig utnyttede CVE-er (Cisco IOS, GoAnywhere MFT, Adminer, Libraesva ESG) ble også lagt til KEV-listen.

at No comments:

Monday, 29 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.29

Akira ransomware utnytter MFA beskyttede SonicWall VPN kontoer. Falske Microsoft Teams installatører sprer Oyster skadevare via malvertising.

Akira ransomware utnytter MFA beskyttede SonicWall VPN kontoer

Akira ransomware angriper fortsatt SonicWall SSL VPN enheter, og forskere har oppdaget at angriperne klarer å logge inn på kontoer selv med OTP (One-Time Password) basert MFA aktivert. Angrepene knyttes til tidligere sårbarhet (CVE-2024-40766), hvor stjålne påloggingsinformasjon og OTP seeds trolig fortsatt misbrukes. Arctic Wolf observerer at angriperne får flere OTP utfordringer før vellykket innlogging, noe som antyder kompromitterte MFA seeds eller alternative metoder for å generere gyldige koder. Etter innbrudd beveger de seg raskt i nettverket, angriper blant annet Veeam backup-servere og bruker BYOVD (Bring Your Own Vulnerable Driver) teknikker for å deaktivere sikkerhetsprogramvare.

Sårbarheter:

Falske Microsoft Teams installatører sprer Oyster skadevare via malvertising

Hackere bruker "SEO poisoning" og søkemotorannonser for å spre falske Microsoft Teams installatører som installerer Oyster skadevare (også kjent som Broomstick/CleanUpLoader). Den falske nedlastingssiden, teams-install[.]top, utgir seg for å være Microsofts offisielle side og leverer en skadelig "MSTeamsSetup.exe", signert med stjålne sertifikater. Skadevaren legger inn en bakdør via DLL filen CaptureService.dll i %APPDATA%, og oppretter en planlagt task for persistens. Oyster gir angripere full tilgang, inkludert mulighet til å kjøre kommandoer, stjele filer og distribuere mer skadevare, og har tidligere blitt brukt i kampanjer som også førte til ransomware angrep (bl.a. Rhysida)

at No comments:

Friday, 26 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.26

Cisco ASA og FTD Zero-day aktivt utnyttet, NCSC pulsen heves til nivå to.

Cisco ASA og FTD Zero-day aktivt utnyttet, NCSC pulsen heves til nivå to.

Tre nye Zero-day sårbarheter i Cisco ASA og FTD (CVE-2025-20333, CVSS 9.9, CVE-2025-20363, CVSS 9.0 og CVE-2025-20362, CVSS 6.5) blir aktivt utnyttet i pågående angrep. Sårbarhetene gjør det mulig for angripere å kjøre kode som root på sårbare enheter og å omgå autentisering via manipulerte HTTP forespørsler. Sårbarheten CVE-2025-20363 påvirker også Cisco IOS. NCSC anbefaler å installere nye sikkerhetsoppdateringer samt å følge Ciscos anbefalinger og har hevet pulsen til to: forhøyet fare. I USA har CISA utstedt et nød direktiv (ED 25-03) som pålegger føderale etater å gjennomføre tiltak innen 24 timer.

Cisco anbefaler umiddelbar patching av berørte enheter.

at No comments:

Thursday, 25 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.25

Cisco advarer om IOS Zero-day sårbarhet utnyttet i angrep. PyPI ber påvirkede brukere om å tilbakestille påloggingsinformasjon etter nye phishing angrep.

Cisco advarer om IOS Zero-day sårbarhet utnyttet i angrep

Cisco har utgitt sikkerhetsoppdateringer for å fikse en alvorlig Zero-day sårbarhet (CVE-2025-20352) i IOS og IOS XE. Feilen ligger i SNMP subsystemet og kan utnyttes via spesiallagde SNMP pakker over IPv4/v6. Alle SNMP versjoner er påvirket. Angripere med lave privilegier kan forårsake DoS (tjenestenekt), mens de med høyere privilegier kan oppnå full kontroll over sårbare systemer. Cisco bekrefter at sårbarheten allerede er utnyttet i angrep etter kompromittering av lokale administratorbrukere. Det finnes for tiden ingen midlertidig løsning annet enn å installere sikkerhetsoppdateringene Cisco har utgitt.

Sårbarheter:

PyPI ber påvirkede brukere om å tilbakestille påloggingsinformasjon etter nye phishing angrep

Python Software Foundation advarer mot en ny bølge av phishing angrep som retter seg mot PyPI brukere via falske nettsteder som pypi-mirror[.]org og tidligere pypj[.]org. Angriperne sender e-poster som ber mottakere bekrefte e-postadressen sin for å unngå at kontoen blir suspendert. Disse e-postene lenker til disse falske PyPi nettstedene som forsøker å etterligne ekte PyPi både i utseende og ved å bruke liknende karakterer i URL. Målet er å stjele påloggingsinformasjon for å kompromittere eller publisere ondsinnede Python pakker.

For brukere som har trykket videre inn på en slik falsk e-post anbefaler de å bytte passord umiddelbart. En generell anbefaling er også å ta i bruk fler faktorautentisering.

at No comments:

Tuesday, 23 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.23

Microsoft retter kritisk sårbarhet i Entra ID som muliggjorde Global Admin-imitasjon på tvers av tenants. Nytt EDR-Freeze-verktøy bruker Windows WER til å suspendere sikkerhetsprogramvare.

Microsoft retter kritisk sårbarhet i Entra ID som muliggjorde Global Admin-imitasjon på tvers av tenants

Microsoft har fikset en kritisk sårbarhet i Entra ID (tidligere Azure Active Directory), sporet som CVE-2025-55241 (CVSS 10.0). Feilen lå i valideringen av service-to-service tokens via den utdaterte Azure AD Graph API, som gjorde det mulig å utgi seg for enhver bruker på tvers av tenants. Dette kunne gi full kompromittering av tjenester som SharePoint Online, Exchange Online og Azure-ressurser. Sårbarheten har blitt fikset av Microsoft, uten behov for kundetiltak.

Anbefaling:

Microsoft oppfordrer organisasjoner til å migrere fra den utdaterte Azure AD Graph API til Microsoft Graph, ettersom Graph API ble offisielt avviklet 31. august 2025.

Sårbarheter:

Nytt EDR-Freeze-verktøy bruker Windows WER til å suspendere sikkerhetsprogramvare

En ny proof-of-concept-metode kalt EDR-Freeze viser hvordan angripere kan bruke Windows Error Reporting (WER) sammen med MiniDumpWriteDump API til å sette sikkerhetsprogrammer som EDR og antivirus i en permanent "frys"-tilstand. Teknikken fungerer helt fra brukermodus, og ble testet på Windows 11 24H2 der Windows Defender ble lammet. Metoden utnytter en race condition mellom WerFaultSecure og MiniDumpWriteDump.

Anbefaling:

Forsvar mot metoden kan oppnås ved å overvåke om WER peker mot sensitive prosesser (f.eks. LSASS, EDR/AV-verktøy).

at No comments:

Monday, 22 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.22

Fortra utgir patch for CVSS 10.0 GoAnywhere MFT sårbarhet. LastPass advarer om falske GitHub repositorier som sprer Atomic Infostealer mot macOS.

Fortra utgir patch for CVSS 10.0 GoAnywhere MFT sårbarhet

Fortra har utgitt en kritisk oppdatering for en sårbarhet i GoAnywhere Managed File Transfer (MFT), sporet som CVE-2025-10035, med en CVSS score på 10.0. Feilen ligger i "License Servlet" og kan utnyttes via en forfalsket lisensrespons til å deserialisere ondsinnet objekt, noe som kan føre til kommandoinjeksjon. Sårbarheten krever at systemet er offentlig tilgjengelig over internett. Fortra oppgir at sårbarheten ikke er observert utnyttet enda, men lignende feil i samme produkt har tidligere blitt brukt av ransomware grupper som LockBit.

Anbefaling:

Oppdater til GoAnywhere MFT versjon 7.8.4 eller Sustain Release 7.6.3 umiddelbart. Hvis oppdatering ikke er mulig, bør man sørge for at GoAnywhere Admin Console ikke er eksponert mot internett.

Sårbarheter:

LastPass advarer om falske GitHub repositorier som sprer Atomic Infostealer mot macOS

LastPass har oppdaget en kampanje der falske GitHub repositorier sprer Atomic Infostealer malware mot macOS brukere. Angripere bruker "SEO poisoning" for å få falske sider høyt opp i nettleser søk, hvor de utgir seg for å være kjente verktøy som LastPass, 1Password, Dropbox, Notion, Obsidian, Shopify og flere. Ofrene blir lokket til å trykke på knapper som "Install LastPass on MacBook", som leder til GitHub-sider kontrollert av angriperne. Disse sidene ber brukere kopiere og kjøre kommandoer i Terminal, noe som installerer infostealer.

Anbefaling:

Brukere bør unngå å laste ned programvare fra tredjeparts GitHub-sider eller ukjente kilder, og kun installere apper fra offisielle nettsider eller App Store.

at No comments:

Friday, 19 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.19

Google Patcher Chrome Zero-Day CVE-2025-10585 som aktivt utnyttes i V8-motoren.

Google Patcher Chrome Zero-Day CVE-2025-10585 som aktivt utnyttes i V8-motoren

Google har utgitt en sikkerhetsoppdatering for Chrome som fikser fire sårbarheter, inkludert en aktivt utnyttet zero-day (CVE-2025-10585). Sårbarheten er en typekonfusjon i V8 JavaScript- og WebAssembly-motoren, og ble oppdaget av Googles Threat Analysis Group 16. september 2025. Den kan utnyttes til kjøring av vilkårlig kode eller krasj av programvare.

Anbefaling:

Oppdater Chrome til versjon 140.0.7339.185/.186 (Windows/macOS) eller 140.0.7339.185 (Linux). Andre Chromium-baserte nettlesere som Edge, Brave, Opera og Vivaldi bør også oppdateres når patcher blir tilgjengelige.

at No comments:

Thursday, 18 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.18

SonicWall ber kunder om å tilbakestille påloggingsinformasjon etter brudd i MySonicWall.

SonicWall ber kunder om å tilbakestille påloggingsinformasjon etter brudd i MySonicWall

SonicWall har bekreftet et sikkerhetsbrudd som eksponerte brannmur konfigurasjonsfiler lagret i enkelte MySonicWall kontoer. Angriperne fikk tilgang via brute force angrep mot API tjenesten for skylagring av backup. Eksponerte filer kan inneholde sensitiv informasjon som kan gjøre det enklere for en angriper å utnytte brannmurene. Det er kun kontoer med backup til skyen som er rammet. SonicWall har utgitt en sjekkliste med kritiske tiltak for å minimere risikoen.

at No comments:

Wednesday, 17 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.17

Apples Backports-rettelse for CVE-2025-43300 utnyttet i sofistikert spionprogramangrep. Ny FileFix-variant leverer StealC-skadevare gjennom flerspråklig phishing-nettsted. Phoenix RowHammer-angrep omgår avansert DDR5-minnebeskyttelse på 109 sekunder.

Apples Backports-rettelse for CVE-2025-43300 utnyttet i sofistikert spionprogramangrep

Apple har backportet en kritisk sikkerhetsoppdatering for CVE-2025-43300 (CVSS 8.8), en out-of-bounds write-sårbarhet i ImageIO som kan føre til minnekorrupsjon ved åpning av ondsinnede bildefiler. Sårbarheten er allerede aktivt utnyttet i svært sofistikerte spionvareangrep mot under 200 målrettede personer, ofte i kombinasjon med CVE-2025-55177 i WhatsApp. Opprinnelig fikset i iOS 18.6.2, iPadOS 18.6.2, macOS Ventura 13.7.8, Sonoma 14.7.8 og Sequoia 15.6.1, er oppdateringen nå også tilgjengelig for eldre enheter (iOS 16.7.12, 15.8.5 og tilsvarende iPadOS). Samtidig har Apple utgitt oppdateringer som retter en rekke andre sårbarheter (bl.a. i IOKit, LaunchServices, Safari, WebKit, AppSandbox, CoreAudio, Spotlight og Xcode).

Anbefaling:

Apple-brukere bør umiddelbart oppdatere til siste tilgjengelige versjon, inkludert eldre enheter som har fått backportede oppdateringer. Dette er spesielt kritisk for organisasjoner og individer med høy risiko for målrettede angrep.

Ny FileFix-variant leverer StealC-skadevare gjennom flerspråklig phishing-nettsted

En ny kampanje misbruker en variant av «FileFix» sosial-engineering-teknikken for å levere StealC-informasjonstyveri via svært overbevisende, flerspråklige phishing-sider (f.eks. falsk Facebook Security). Angrepet får offeret til å kopiere og lime inn en tilsynelatende harmløs filbane i File Explorer, men clipboard-innholdet er hijacket til en obfuskert PowerShell-kommando som laster ned et tilsynelatende bilde fra en Bitbucket-repo, dekoder det til neste fase og til slutt starter en Go-loader som laster shellcode og kjører StealC. Phishing-siden bruker anti-analyse, tung obfuskasjon og fragmentering; angriperne benytter også varianter som MSHTA-kall og weaponized AutoHotkey (AHK)-skript for å levere ytterligere verktøy (AnyDesk, TeamViewer, clipper/malware). Metoden unngår behov for å åpne Run-dialogen ved å utnytte nettleserens filopplastings/clipboard-funksjoner, noe som gjør det vanskeligere å oppdage via tradisjonelle policyer.

Phoenix RowHammer-angrep omgår avansert DDR5-minnebeskyttelse på 109 sekunder

Et forskerteam fra ETH Zürich og Google har avdekket en ny RowHammer-variant kalt Phoenix (CVE-2025-6202, CVSS 7.1) som påviselig omgår avanserte DDR5-beskyttelser (bl.a. TRR/on-die-ECC) på SK Hynix DDR5-brikker produsert i perioden 2021–2024. Forskerne demonstrerer en end-to-end privilege-escalation som kan gi root på en standard desktop-maskin med DDR5 på under 109 sekunder ved å utløse bit-flips gjennom utilstrekkelig sampling av visse oppfriskningsintervaller. Forskerne påpeker at DRAM-enheter i felten ikke kan oppdateres, og anbefaler økt oppfriskningsrate (3x i eksperimentet stoppet Phoenix-flipps).

Anbefaling:

Øk DRAM-refresh for kritiske systemer — forskerne rapporterer at ~3× refresh stoppet Phoenix i deres tester.

Sårbarheter:
at No comments:

Tuesday, 16 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.16

Ny HybridPetya ransomware kan omgå UEFI Secure Boot.

Ny HybridPetya ransomware kan omgå UEFI Secure Boot

En ny ransomware-variant kalt HybridPetya kan omgå UEFI Secure Boot ved å dra nytte av sårbarheten CVE-2024-7344. Den lar angriperen installere et bootkit i EFI System Partition (ESP), inkludert modifisert bootloader, fallback loader, og sporings-/konfigurasjonsfiler for å kryptere systemets Master File Table (MFT) med Salsa20-algoritme. Etter initiering vises en falsk CHKDSK-melding, deretter feilmelding (BSOD), reboot og ved oppstart krav om løsepenger ($1000 i Bitcoin) med nøkkel for gjenoppretting av original bootloader. Sårbarheten ble fikset i Microsofts sikkerhetsoppdatering i januar 2025. HybridPetya er per nå observert på VirusTotal som proof-of-concept eller tidlig testversjon, ikke i aktive angrep mot sluttbrukere.

Anbefaling:

ørg for at alle Windows-systemer installerer de nødvendige sikkerhetsoppdateringene, spesielt de som adresserer CVE-2024-7344

Sårbarheter:
at No comments:

Monday, 15 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.15

Ny VoidProxy phishing tjeneste rettet mot Microsoft 365 og Google kontoer.

Ny VoidProxy phishing tjeneste rettet mot Microsoft 365 og Google kontoer.

VoidProxy er en ny phishing plattform som leies ut som tjeneste, og som gjør det mulig for angripere å stjele brukernavn, passord, MFA koder og gyldige sesjons cookies fra ofre. Den bruker en såkalt "adversary-in-the-middle" teknikk som setter seg mellom offeret og den ekte innloggingstjenesten, slik at innloggingsdata og cookies blir fanget opp i sanntid. Angrepene starter ofte fra kompromitterte legitime e-post kontoer, og utnytter kjeder av videresendte linker, Cloudflare CAPTCHA og billige èn-gangs domener for å unngå blokkering. For innloggingstjenester som krever ekstra autentisering (f.eks. via Okta eller andre SSO løsninger), kan VoidProxy etterligne denne prosessen og samtidig stjele autentiseringsdata. Dette gjør at angripere får full tilgang til kontoer selv om MFA er aktivert.

at No comments:

Friday, 12 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.12

Ny VMScape Attack Bryter Gjeste-Vert Isolasjon på AMD og Intel CPUer. DDoS Defender Målrettet i 1,5 Bpps Denial-of-Service Attack.

Ny VMScape Attack Bryter Gjeste-Vert Isolasjon på AMD og Intel CPUer

En ny Spectre-lignende sårbarhet kalt VMScape gjør det mulig for en ondsinnet virtuell maskin (VM) å bryte isolasjonen mellom gjeste-VM og vert/hypervisor og dermed lekke sensitive data. Angrepet fungerer mot uendrede QEMU-hypervisorer med standard maskinvare- og programvaremitigasjoner aktivert. Det påvirker alle AMD-prosessorer fra Zen 1 til Zen 5, og Intel “Coffee Lake”-generasjonen. Nyere Intel-kjerner som “Raptor Cove” og “Gracemont” ser ikke ut til å være sårbare. Forskerne brukte en Spectre-BTI (Branch Target Injection) for å lure et indirekte hopp i QEMU til å spekulativt eksekvere en “disclosure gadget”, kombinert med en FLUSH+RELOAD cache side-kanal for å lese ut hemmeligheter. Teknisk sett kan for eksempel en 4 KB nøkkel lekkes på ca. 128 sekunder, etter ASLR-bypass, med byte-nøyaktighet på ~98,7 % og en total suksessrate på ~43 %. Mitigasjon finnes i Linux-kjernen ved bruk av IBPB («Indirect Branch Prediction Barrier») ved VMEXIT som tømmer branch prediction units (BPU)

Anbefaling:

Oppdatere Linux-kjerner til versjoner med IBPB ved VMEXIT-mitigasjon implementert

Sårbarheter:

DDoS Defender Målrettet i 1,5 Bpps Denial-of-Service Attack

En europeisk DDoS-mitigeringstjeneste ble utsatt for et massivt pakke-flodbølgeangrep (packet rate flood) på 1,5 milliarder pakker per sekund (1,5 Bpps). Angrepet kom fra tusenvis av kompromitterte IoT-enheter og MikroTik-rutere, spredt over mer enn 11 000 unike nettverk globalt. Trafikken bestod hovedsakelig av UDP-flood. Tjenesteleverandøren brukte FastNetMon som verktøy, og benyttet tiltak som å bruke scrubbing facility, tilgangskontrollister (ACLs) på edge-rutere kjent for å kunne forsterke slike angrep, for å begrense skadeomfanget.

at No comments:

Wednesday, 10 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.10

SAP retter feil med utførelse av NetWeaver kommandoer med maksimal alvorlighetsgrad. Fra MostereRAT til ClickFix: Nye skadevarekampanjer fremhever økende risikoer for AI og phishing. Økning i nettverksskanninger rettet mot Cisco ASA enheter vekker bekymring.

SAP retter feil med utførelse av NetWeaver kommandoer med maksimal alvorlighetsgrad

SAP utgir i september 2025 en sikkerhetsoppdatering som retter tre kritiske sårbarheter i NetWeaver. Hovedsakelig en deserialiseringsfeil (CVE-2025-42944) med CVSS 10/10, som tillater uautentisert angriper å utføre OS kommandoer via RMI-P4. I tillegg er det en fil operasjonsfeil (CVE-2025-42922, CVSS 9.9) som muliggjør vilkårlig filopplasting via Deploy Web Service, og en manglende autentisering (CVE-2025-42958, CVSS 9.1) som gir uautoriserte høyt privilegerte brukere tilgang til sensitiv data og administrasjonsfunksjoner

Anbefaling:

Det anbefales å følge SAPs patch- og mitigasjonsanbefalinger umiddelbart ved å anvende de nye security note-oppdateringene som er publisert via SAPs supportportal

Fra MostereRAT til ClickFix: Nye skadevarekampanjer fremhever økende risikoer for AI og phishing

Cybersecurityforskere rapporterer i september 2025 om en phishing kampanje som leverer «MostereRAT», en "stealthy" skadevare som kombinerer "banking" skadevare med funksjonalitet som fjernstyrings trojan (RAT). Kampanjen bruker flere avanserte teknikker for å unngå oppdagelse, inkludert en "staged payload" utviklet i Easy Programming Language (EPL), funksjoner for å skjule ondsinnede operasjoner og deaktivere sikkerhetsverktøy, bruk av mutual TLS for sikre C2 kommunikasjoner, støtte for distribusjon av sekundære plugins og evnen til å installere vanlige fjerntilgang verktøy.

Økning i nettverksskanninger rettet mot Cisco ASA enheter vekker bekymring

I slutten av august 2025 ble det observert to markante bølger av nettverksskanninger rettet mot Cisco ASA enheter, hovedsakelig omkring innloggingsportaler og Telnet/SSH, med opptil 25 000 unike IP-adresser involvert. Den andre bølgen 26. august ble drevet av et brasiliansk bot-nett med cirka 17 000 IP-er. Skanningene brukte "Chrome-lignende" brukeragenter, noe som tyder på felles opprinnelse. Disse skanningene kan både være forsøk på å utnytte allerede kjente, patchede sårbarheter, men fungerer ofte som rekognoseringsaktivitet før nye sårbarheter offentliggjøres. Systemadministratorer rådes til å oppdatere ASA enheter, innføre MFA ved ekstern tilgang, skjule eller ikke eksponere ASA innlogging portaler, og bruke VPN, reverse proxy eller tilgangs gateway med geo blokkering og rate limiting for beskyttelse.

at No comments:

Monday, 8 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.08

Kritisk SAP S/4HANA sårbarhet (CVE-2025-42957) utnyttes nå aktivt i angrep. Kritisk Argo CD sårbarhet i API eksponerer repository legitimasjon.

Kritisk SAP S/4HANA sårbarhet (CVE-2025-42957) utnyttes nå aktivt i angrep

En svært alvorlig ABAP kodeinjeksjonsfeil i SAP S/4HANA, identifisert som CVE-2025-42957 (CVSS 9.9), blir nå aktivt utnyttet. Sårbarheten finnes i en funksjonsmodul eksponert via RFC, som lar brukere med lavt privilegium injisere vilkårlig ABAP kode, omgå autorisasjon og i praksis overta hele SAP systemet. SAP utstedte en sikkerhetsoppdatering 11. august 2025, men flere systemer er fortsatt ubeskyttet og derfor i fare. SecurityBridge har bekreftet faktisk utnyttelse, og sårbarheten er alvorlig fordi patchen enkelt kan omgås via reversering, gitt at ABAP kildekoden er åpen.

Sårbarheter:

Kritisk Argo CD sårbarhet i API eksponerer repository legitimasjon

En kritisk sårbarhet i Argo CD (CVE-2025-55190) gjør at API tokens med begrensede rettigheter kan aksessere endpoints og hente ut alle repository legitimasjoner i klartekst. Sårbarheten har maksimal CVSS score på 10.0 og bryter isolasjonsmekanismer designet for å beskytte sensitive data, noe som muliggjør uautorisert kloning av kode, manipulering, eller videre kompromittering.

Anbefaling:

Oppgrader Argo CD til oppdatert versjon snarest: v2.13.9, v2.14.16, v3.0.14 eller v3.1.2.

Sårbarheter:
at No comments:

Friday, 5 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.05

CISA flagger TP-Link-ruterfeilene CVE-2023-50224 og CVE-2025-9377 som aktivt utnyttet. Microsoft: August 2025 Windows-oppdateringer forårsaker uventede UAC-prompt og problemer ved app-installasjon. HexStrike-AI weaponiseres: Hurtigere angrep mot n-day sårbarheter.

CISA flagger TP-Link-ruterfeilene CVE-2023-50224 og CVE-2025-9377 som aktivt utnyttet

CISA har 4. september 2025 ført to sikkerhetssårbarheter i TP-Link-rutere opp i sin Known Exploited Vulnerabilities (KEV)-katalog, da det er dokumentert aktiv utnyttelse i feltet. Sårbarhetene omfatter:

  • CVE-2023-50224 (CVSS 6.5): Autentiseringsomgåelse via spoofing i httpd-tjenesten på TL-WR841N, som fører til eksponering av lagrede legitimasjoner i "/tmp/dropbear/dropbearpwd".

  • CVE-2025-9377 (CVSS 8.6): Operativsystem-kommandoinjeksjon i Archer C7 (EU) V2 og TL-WR841N/ND (MS) V9, som muliggjør fjernkjøring av kode.TP-Link har utgitt firmware-oppdateringer for disse i november 2024, men produktene har nå oppnådd end-of-service (EOS) status og mottar altså ingen aktive sikkerhetsoppdateringer lenger. CISA anbefaler at berørte nettverk – spesielt i den føderale sivile sektoren – gjennomfører nødvendige tiltak innen 24. september 2025

Anbefaling:

Installer tilgjengelige firmware-oppdateringer utgitt i november 2024.

Microsoft: August 2025 Windows-oppdateringer forårsaker uventede UAC-prompt og problemer ved app-installasjon

I august 2025 introduserte Microsoft en sikkerhetsoppdatering (f.eks. KB5063878 og KB5063875) som tetter igjen et privilegieeskaleringshull i Windows Installer (CVE-2025-50173). Som en uønsket konsekvens begynte standardbrukere å få UAC-adgangsprompt (administrator-godkjenning) for normale MSI-installasjoner og reparasjoner — noe som tidligere fungerte uten krav om administratorrettigheter Problemene involverer blant annet msiexec /fu-kommandoer, bruk av Autodesk-produkter (AutoCAD, Civil 3D, Inventor CAM), installasjoner per bruker, Active Setup, ConfigMgr-distribusjoner basert på bruker-spesifikke annonseringskonfigurasjoner, og aktivering av Secure Desktop. Hvis en MSI-reparasjon blir initiert uten UI av en standardbruker, vil installasjonen feile med feilkoden Error 1730

Anbefaling:

Brukere bør midlertidig kjøre installasjonen som administrator—høyreklikk programmet → Run as administrator—for å omgå UAC-prompt. IT-administratorer kan aktivere en Known Issue Rollback (KIR)—en spesiell gruppepoli som tillater at apper kan utføre MSI-reparasjoner uten UAC-prompt. KIR er tilgjengelig for Windows 10 og 11 (versjoner 21H2, 22H2, 23H2, 24H2) og Windows Server 2022 og 2025. For å få tilgang, må organisasjoner kontakte Microsoft Support for Business.

Sårbarheter:

HexStrike-AI weaponiseres: Hurtigere angrep mot n-day sårbarheter

Hackers har raskt tatt i bruk det AI-drevne offensive rammeverket HexStrike-AI i reelle angrep for å utnytte nylig offentliggjorte n-day sårbarheter, inkludert tre alvorlige Citrix NetScaler-feil: CVE-2025-7775, CVE-2025-7776, og CVE-2025-8424. Særlig CVE-2025-7775, som tillater uautentisert fjernkodekjøring, er allerede aktivt utnyttet, og nesten 8 000 endepunkter er fortsatt sårbare per 2. september 2025, ned fra 28 000 uken før.

Verktøyet HexStrike-AI, opprinnelig laget for sikkerhetstestere (red teaming), kan orkestrere over 150 sikkerhetsverktøy via AI-agentstyring og ekstern LLM -interaksjon – og automatiserer skanning, utnyttelse og vedvarende tilgang gjennom gjentakende logikk for feilhåndtering. Dette muliggjør at angrep som tidligere tok dager eller uker, nå kan gjennomføres på under ti minutter

Anbefaling:

Patching øyeblikkelig: Citrix har utgitt oppdateringer for NetScaler ADC og Gateway – disse må implementeres umiddelbart

at No comments:

Thursday, 4 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.04

Trusselaktører misbruker X's Grok AI til å spre ondsinnede lenker.

Trusselaktører misbruker X's Grok AI til å spre ondsinnede lenker

Trusselaktører har funnet en måte å misbruke Grok, X sin (tidligere Twitter) innebygde AI-assistent til å spre ondsinnede lenker. Lenken skjules i metadata feltet “From:”, et område som ikke skannes av X for skadelig innhold. Når brukere stiller spørsmål til Grok som «hvor kommer denne videoen fra?» eller «hva er lenken til denne videoen?», deler AI-en den skjulte lenken videre uten å fange opp trusselen. Dette gjør at angripere kan omgå sikkerhetsmekanismer og lure brukere via tilsynelatende legitime annonsekampanjer.

at No comments:

Wednesday, 3 September 2025

Daglig Nyhetsbrev fra Telenor Sikkerhetssenter - 2025.09.03

Amazon stopper vannhulls-kampanje utført av russisk APT29. WhatsApp har utgitt nødoppdatering for null-klikk utnyttelse mot iOS og macOS.

Amazon stopper vannhulls-kampanje utført av russisk APT29

Amazon Web Services sitt trusselintelligens team har oppdaget og stoppet en vannhulls-kampanje utført av den russiske statssponsede aktøren APT29. Angriperne kompromitterte legitime nettsider og injiserte skjult JavaScript som omdirigerte omtrent 10% av besøkende til ondsinnede domener som etterlignet Cloudflare sider. Hensikten var å lure brukere til å autorisere angriper kontrollerte enheter via Microsofts enhetskode autentisering. Kampanjen benyttet teknikker som Base64 koding, tilfeldig omdirigering, bruk av cookies for å unngå gjentatt omdirigering, samt hurtig bytte av infrastruktur ved forstyrrelser. Amazon isolerte berørte EC2 instansene, samarbeidet med Cloudflare og Microsoft, og stengte ned de ondsinnede domenene.

Anbefaling:

Det anbefales at brukere er oppmerksomme på uvanlige omdirigeringer, aktiverer MFA, verifiserer enhetsautorisasjoner og at IT-avdelinger vurderer betinget tilgang og logging for bedre beskyttelse.

WhatsApp har utgitt nødoppdatering for null-klikk utnyttelse mot iOS og macOS

WhatsApp har utgitt en nødoppdatering for en null-klikk sårbarhet som rammer iOS- og macOS-versjoner. Feilen, som ble oppdaget og re-evaluert av WhatsApps interne sikkerhetsteam, skyldes manglende autorisasjon i synkroniseringsmeldinger mellom enheter. Dette kunne gjøre det mulig for angripere å sende innhold via en ondsinnet URL som automatisk ble behandlet på offerets enhet uten noen interaksjon. WhatsApp oppgir at sårbarheten kan ha blitt brukt sammen med Apples CVE-2025-43300 i målrettede angrep. De berørte versjonene inkluderer WhatsApp for iOS før 2.25.21.73, WhatsApp Business for iOS 2.25.21.78, og WhatsApp for Mac 2.25.21.78.

Anbefaling:

Oppdater WhatsApp til versjon 2.25.21.73 (iOS) eller 2.25.21.78 (Mac). Eventuelt bør man også utføre fabrikktilbakestilling dersom enheten er kompromittert.

at No comments: