Etusivu: Kyberturvallisuuskeskus
Etusivu: Kyberturvallisuuskeskus
Valikko

Kriittiseksi luokiteltu haavoittuvuus Qlik Sense -tuotteessa mahdollistaa hyökkääjälle oikeuksien korottamisen sekä mielivaltaisen koodin suorittamisen Qlik Sensen arkiston (repository) taustapalvelimella. Kyberturvallisuuskeskus varoittaa haavoittuvuudesta nyt, sillä kiristyshaittaohjelmatoimijan on havaittu hyväksikäyttävän sitä.

Haavoittuvuuden hyväksikäyttö mahdollistaa hyökkääjälle oikeuksien korottamisen sekä mielivaltaisen koodin suorittamisen Qlik Sensen arkiston (repository) taustapalvelimella. Korjaava päivitys on julkaistu alunperin 31.8.2023. Korjaus ei ole kuitenkaan ollut riittävä, joten uusi päivitys on julkaistu 20.9.2023, jossa haavoittuvuus on korjattu uudella CVE tunnisteella CVE-2023-48365.

Arctic Wolf kertoo blogikirjoituksessaan (ulkoinen linkki) (Ulkoinen linkki) havainneensa Cactus -kiristyshaittaohjelmaan liitetyn toimijan hyväksikäyttäneen haavoittuvuutta toiminnassaan.

Haavoittuvuus koskee organisaatioita, jotka käyttävät kyseistä tuotetta.

Kohde

  • Työasemat ja loppukäyttäjäsovellukset

Hyökkäystapa

  • Etäkäyttö
  • Ilman käyttäjän toimia
  • Paikallisesti

Vaikutukset

  • Komentojen mielivaltainen suorittaminen
  • Käyttövaltuuksien laajentaminen

Hyväksikäyttömenetelmä tiedossa

  • Rikollisessa käytössä

Ratkaisu

  • Korjaava ohjelmistopäivitys

Haavoittuvuuden kohde

Kaikki alla olevat Qlik Sense Enterprise for Windows ohjelmiston versiot ja niitä edeltäneet:

>= August 2023 Patch 1
>= May 2023 Patch 5
>= February 2023 Patch 9
>= November 2022 Patch 11
>= August 2022 Patch 13
>= May 2022 Patch 15
>= February 2022 Patch 14
>= November 2021 Patch 16

Mistä on kysymys?

Haavoittuvuuteen on julkaistu korjaava ohjelmistopäivitys. Haavoittuvuus on korjattu seuraavissa Qlik Sense Enterprise for Windows ohjelmiston versioissa:

August 2023 Patch 2
May 2023 Patch 6
February 2023 Patch 10
November 2022 Patch 12
August 2022 Patch 14
May 2022 Patch 16
February 2022 Patch 15
November 2021 Patch 17

Mitä voin tehdä?

Lisätty tieto, ketä haavoittuvuus koskee.

Korjattu artikkelissa ollut virheellinen maininta, jonka mukaan uudet korjaavat päivitykset olisi julkiastu 20.11.2023. Korjaavat päivitykset on julkaistu jo 20.9.2023.