Podsumowanie podatności i zagrożeń w styczniu 2024

Zagrożenie ze strony hakerów nie jest poważne❓ Nie używamy produktów, które mogą zostać zhakowane❔ Sprawdźmy więc, jak zaczął się nowy rok! Kto został zaatakowany, kto miał dziury bezpieczeństwa w swoich produktach. Znajdź produkty i dostawców, z których korzystasz ⬇

📩 Microsoft – każdemu zdarza się zapomnieć o środowisku testowym… a wykorzystanie takiego słabo zabezpieczonego przyczółku w środowisku firmy dało hakerom możliwość dostępu do poczty pracowników Microsoft

🐛 Microsoft – dla  różnych produktów (m.in. Outlook, Office, SharePoint, przeglądarka EDGE), tylko w styczniu,  pojawiło się 27 nowych CVE z datą 2024 (CVE to system gromadzenia informacji na temat ujawnionych błędów bezpieczeństwa)

📲 Apple – Chińczycy deklarują, że udało im się zhakować AirDrop, dzięki czemu możliwe jest poznanie danych użytkowników

🍏 Apple – CVE-2024-23222 zero-day  (czyli podatność, która była wykorzystywana przez hakerów przed odkryciem jej przez producenta i zareagowaniu w postaci wydania łatki bezpieczeństwa) ocenione w CVSS na 8.8 (w 10-cio stopniowej skali, a więc poważne zagrożenie)

🌐 Google Chrome – kolejne błędy bezpieczeństwa, w tym ocenione na w CVSS na 9.8!

📑 WordPress – 40 nowych CVE – być może Wasza strona jest oparta o ten popularny silnik. Ilość błędów w samym WP, jak i wielu wtyczkach jest bardzo duża.

📚 Confluence – 3 CVE z czego dwa wycenione na 8.8 umożliwiające zdalne wykonanie kodu

🎛 CISCO – 8 nowych CVE

A przeglądając listę nowych, ujawnionych podatności na cve.org można znaleźć jeszcze wiele znanych dostawców, z których usług korzysta Twoja firma 🎯

To zestawienie przykładowe, obejmujące jednych z największych, chętnie atakowanych, ale przecież mojej firmy to nie dotyczy, prawda? Jak sytuacja wygląda w naszym kraju?

💵 Bank Spółdzielczy w Zambrowie – oficjalnie, pierwszy polski bank zhakowany. Systemy banku zostały zaszyfrowane, a dane klientów mogły zostać skradzione.

👩‍⚕️ Multidiagnostica – badacz przypadkowo odkrył podatność w systemie Multidiagnostica, za pomocą których możliwe było przeglądanie wyników i danych innych pacjentów – bez żadnego uwierzytelnienia

😷 ALAB – to co prawda jeszcze zeszły rok, ale w styczniu w darknecie opublikowano uporządkowane dane pacjentów. Szacuje się, że to dane ok. 187000 osób – wyniki badań, PESEL, adres. Opublikowano także listę pracowników z informacjami o ich zarobkach.

Może jednak warto zadbać o bezpieczeństwo cyfrowe swojej firmy?