Tietoturvauutiset ja blogipostaukset

[Eidzei]

Suositussa Dnsmasqissa on useita haavoitttuvuuksia. Ubuntu, Pi-Hole, reitittimet jne.

Debian julkaissut päivitykset jo Bookworm ja Trixie jakeluihin.

CVE-2026-5172

Pi-Hole: Release Pi-hole FTL v6.6.2 · pi-hole/FTL

dnsmasq contains several vulnerabilities, including attacker DNS redirect,
privilege escalation, and heap manipulation
URL: CERT/CC Vulnerability Note VU#471747
Classification: Severe, Solution: Official Fix, Exploit Maturity: Not Defined, CVSSv3.1: 8.4
CVEs: CVE-2026-2291, CVE-2026-4890, CVE-2026-4891, CVE-2026-4892, CVE-2026-4893, CVE-2026-5172

dnsmasq is affected by multiple memory safety and input validation
vulnerabilities, including heap buffer overflows, heap corruption, and code
execution flaws. Collectively, these vulnerabilities enable attackers to
poison cached DNS records, bypass security controls, crash the dnsmasq
process, or under certain conditions, achieve local privilege escalation.

DoS (CVE-2026-2291, CVE-2026-4890, CVE-2026-5172) — dnsmasq may crash or
become unresponsive, terminating DNS resolution and affecting dependent
services.

Cache Poisoning / Redirection (CVE-2026-2291, CVE-2026-4893) — Attackers may
overwrite cache entries or manipulate response routing, enabling the silent
redirection of users to malicious domains.

Information Disclosure (CVE-2026-4891, CVE-2026-4893) — Internal memory and
network information may be inadvertently exposed.

Local Privilege Escalation (CVE-2026-4892) — A local attacker may execute
arbitrary code as root via DHCPv6 manipulation.

Eräiden routereiden päivityksiä (Ubiquiti) odotellessa en pidättele hengitystä, mutta mitigoida nähdäkseni voisi joillain liikkeillä: cache nollaan, clienttien DNS:ksi suoraan ulkoiset (laitteille, joilla sisäresolvointia ei tarvita), IPv6 pois...

 

[Sire]

Samalta tyypiltä, joka n. kuukausi sitten julkaisi 3kpl Defenderin nollapäivähaavoittuvuuksia (BlueHammer, RedSun, UnDefend) on löytänyt pari muuta nollapäivää, eli YellowKey (BitLocker bypass) ja GreenPlasma (CTFMON privilege escalation). Varsinkin tuo YellowKey on mielenkiintoinen... Löytäjä vinkkaa jopa mahdollisen backdoorin suuntaan. Koskee vain W11 ja Windows Server 2022/2025.

EDIT: lisäänpä vielä sen verran, että YellowKeyn käyttämä haavoittuvuus on ilmeisesti Windowsin recovery environmentissa (WinRE). Pitää olla joko sopivalla tavalla valmisteltu USB-tallennusmedia tai pitää olla päässyt peukaloimaan (kryptaamatonta) EFI system partitiota koneen levyllä. USB-mediaa käyttävä hyökkäys ei vaadi medialta buuttaamista, riittää kun median saa koneeseen kiinni. Eli ei auta vaikka boottivaihtoehdot olisi BIOS-salasanan takana, mutta fyysinen pääsy on oltava. Lueskelin myös, että YellowKey osaisi ohittaa myös PIN-koodilla suojatun BitLockerin.

Windows Zero-Days Expose BitLocker Bypasses And CTFMON Privilege Escalation

YellowKey bypasses BitLocker via WinRE USB FsTx files, exposing Windows 11 and Server 2022/2025 systems.

thehackernews.com

GitHub - Nightmare-Eclipse/YellowKey: YellowKey Bitlocker Bypass Vulnerability

YellowKey Bitlocker Bypass Vulnerability. Contribute to Nightmare-Eclipse/YellowKey development by creating an account on GitHub.

github.com

 

[EliEli]

EDIT: lisäänpä vielä sen verran, että YellowKeyn käyttämä haavoittuvuus on ilmeisesti Windowsin recovery environmentissa (WinRE). Pitää olla joko sopivalla tavalla valmisteltu USB-tallennusmedia tai pitää olla päässyt peukaloimaan (kryptaamatonta) EFI system partitiota koneen levyllä. USB-mediaa käyttävä hyökkäys ei vaadi medialta buuttaamista, riittää kun median saa koneeseen kiinni. Eli ei auta vaikka boottivaihtoehdot olisi BIOS-salasanan takana, mutta fyysinen pääsy on oltava. Lueskelin myös, että YellowKey osaisi ohittaa myös PIN-koodilla suojatun BitLockerin.

Jaa-ha, ottaen huomioon kuinka paljon meilläkin on työpaikalla teroitettu Bitlockerin käytön tärkeydestä, jos läppäri varastetaan tms. Ilmeisesti data on silti vaarassa, ennenkuin tuohon tulee korjaus?

No, minä olen muutenkin pyrkinyt pyristelemään eroon siitä että (työ)elämäni on kiinni jollain tietyllä läppärillä tai sen kadotessa/hajotessa katoaisi myös jotain tärkeää dataa, eli en talleta itse läppärille juuri mitään tärkeää vaan firman palvelimille. Tässä on sekin etu että tarvittaessa voin tehdä ja jatkaa töitäni miltä tahansa koneelta, pitää vain päästä kiinni firman koneisiin. Jossain vaiheessa kokeilin jo onnistuisiko työnteko hätätapauksessa jopa näppäimistöllä varustetulta Android-tabletilta.

Jos joku varastaa työläppärini niin ei hänen pitäisi sieltä mitään merkittävää dataa löytää. Pystyy kyllä näkemään mihin palvelimiin otan työssäni yhteyttä mutta ei pääse niihin tietämättä salasanaani ja puhelimessa olevaa 2FA-koodia.

 

[Sire]

Jaa-ha, ottaen huomioon kuinka paljon meilläkin on työpaikalla teroitettu Bitlockerin käytön tärkeydestä, jos läppäri varastetaan tms. Ilmeisesti data on silti vaarassa, ennenkuin tuohon tulee korjaus?

Ei BitLockerin tärkeyttä ole suotta toitotettu, levysalaus kuitenkin suojaa aika paljolta. Tietysti hyvä, jos läppärillä itsellään ei ole dataa, mutta kryptauksen ohi pääsy mahdollistaa paljon muutakin. Tunkeutuja voi mm. luoda koneelle itseään varten paikallisen admin-tilin, asentaa (haitta)ohjelmia, muuttaa asetuksia ym. En tiedä, onko mahdollista resetoida koneen varsinaisen käyttäjän käyttäjätilin salasana ja kirjautua hänen tililleen niin, että pilvisynkat toimii edelleen ja tallennetut kirjautumistiedot saisi kaivettua ulos selaimesta jne.

 

[user9999]

Tuosta Fragnesia haavoittumuudesta niin Debianilla työn alla.
Debian: CVE-2026-46300

CVE-2026-46300 (Fragnesia): Linux Kernel ESP-in-TCP LPE FAQ | Tenable®

CVE-2026-46300 (Fragnesia) is a Linux kernel privilege escalation in the XFRM ESP-in-TCP subsystem. Public PoC, no race condition. Dirty Frag patches do not fix it.

www.tenable.com

 

[leripe]

Ei BitLockerin tärkeyttä ole suotta toitotettu, levysalaus kuitenkin suojaa aika paljolta. Tietysti hyvä, jos läppärillä itsellään ei ole dataa, mutta kryptauksen ohi pääsy mahdollistaa paljon muutakin. Tunkeutuja voi mm. luoda koneelle itseään varten paikallisen admin-tilin, asentaa (haitta)ohjelmia, muuttaa asetuksia ym. En tiedä, onko mahdollista resetoida koneen varsinaisen käyttäjän käyttäjätilin salasana ja kirjautua hänen tililleen niin, että pilvisynkat toimii edelleen ja tallennetut kirjautumistiedot saisi kaivettua ulos selaimesta jne.

Niin ja bitlocker pitää olla pin koodilla bootissa avattavassa modessa eikä millään windows loginilla/windows hello jne.
Nuo muut on jo pitkään voinut ilman tätäkin haavaa ohittaa jollain 20e palikalla.
Töissä joskus joutunut vääntämään rautalangasta porukalle, että miksi bitlockerin avaus tehdään tuolla "hankalamalla" tavalla.

 

[Sire]

Niin ja bitlocker pitää olla pin koodilla bootissa avattavassa modessa eikä millään windows loginilla/windows hello jne.
Nuo muut on jo pitkään voinut ilman tätäkin haavaa ohittaa jollain 20e palikalla.
Töissä joskus joutunut vääntämään rautalangasta porukalle, että miksi bitlockerin avaus tehdään tuolla "hankalamalla" tavalla.

Normaali tilanne on käsittääkseni se, että TPM unlockaa BitLockerin buutissa automaattisesti. BitLockerin PIN-koodi käytännössä pyytää vahvistuksen käyttäjältä, ennen kuin TPM unlockaa salatun levyosion. En tiedä voiko tuota edes toteuttaa Windows loginilla tai Windows Hellolla, koska eihän mikään käyttiskomponentti voi käynnistyä tuossa vaiheessa, nehän ovat siellä salatulla osiolla.

Tuo 20e palikkahomma on kai se, että koneessa olisi CPU:n ulkopuolinen TPM, sitten konetta avataan sen verran että avauskoodi saadaan luettua suoraan TPM-lutikan jaloista jtms?

En ole BitLockerin PIN-koodista sen ihmeemmin perillä, se kai pyydetään aina buutissa, oli se kylmäkäynnistys tai uudelleenkäynnistys? Eli jos läppäri olisi laukussa lepotilassa ja se pöllittäisiin, YellowKeyllä pääsisi levylle käsiksi.

 

[leripe]

Normaali tilanne on käsittääkseni se, että TPM unlockaa BitLockerin buutissa automaattisesti. BitLockerin PIN-koodi käytännössä pyytää vahvistuksen käyttäjältä, ennen kuin TPM unlockaa salatun levyosion. En tiedä voiko tuota edes toteuttaa Windows loginilla tai Windows Hellolla, koska eihän mikään käyttiskomponentti voi käynnistyä tuossa vaiheessa, nehän ovat siellä salatulla osiolla.

Tuo 20e palikkahomma on kai se, että koneessa olisi CPU:n ulkopuolinen TPM, sitten konetta avataan sen verran että avauskoodi saadaan luettua suoraan TPM-lutikan jaloista jtms?

En ole BitLockerin PIN-koodista sen ihmeemmin perillä, se kai pyydetään aina buutissa, oli se kylmäkäynnistys tai uudelleenkäynnistys? Eli jos läppäri olisi laukussa lepotilassa ja se pöllittäisiin, YellowKeyllä pääsisi levylle käsiksi.

Jep se kysytään aina bootissa.
Jos kone ei ole sammuksissa ja pöllitään, niin dataan pääsyyn on muitakin vaihtoehtoja.

 

[samim]

No, TPM+PIN does not help, the issue is still exploitable regardless, I asked myself this question, can it still work in a TPM+PIN environment ? Yes it does, I'm just not publishing the PoC, I think what's out there is already bad enough."

Taitaa olla että erillinen BIOSissa oleva salasana, joka vaaditaan, että laite edes boottaa, pystyy mitigoimaan tätä. Käyttäjäystävällinen? No ei…

 

[arthur3.0]

Huomaamaton kortinlukulaite löydetty vantaalaiselta kylmäasemalta

Rikosepäilyt | Huomaamaton laite kopioi Antti Savolaisen pankkikortin kesken tankkauksen

”Tuli todella nostalginen olo”, rikosylikonstaapeli Janne Levälampi sanoi pankkikorttien kopiointikoneen paljastuttua. Rikosilmiö oli yleisempi takavuosina.

www.hs.fi

 

[pyrjola]

Onko tosiaan käytössä vielä pelkästään magneettiraidallisia kortteja? Tiedän kyllä, että sirupohjaiset kortit ovat turvallisempia, mutteivät 100%. Ideahan on, että sirukortillisen tiedot saadaan talteen ja luodaan magneettikortteja, joilla sitten operoidaan.

Edit - täsmensin, että vain magneettiraidallisia kortteja.

 

[pulatunnus]

Onko tosiaan käytössä vielä pelkästään magneettiraidallisia kortteja?

On

 

[pyrjola]

Niin taisi olla jutussakin, että kohteena olisi ollut juurikin nuo raskaan liikenteen firmakortit, joissa on tuo magneettijuova yhä käytössä.

 

[Sommite]

Onko tosiaan käytössä vielä pelkästään magneettiraidallisia kortteja? Tiedän kyllä, että sirupohjaiset kortit ovat turvallisempia, mutteivät 100%. Ideahan on, että sirukortillisen tiedot saadaan talteen ja luodaan magneettikortteja, joilla sitten operoidaan.

Edit - täsmensin, että vain magneettiraidallisia kortteja.

Olen ihmetellyt, miksi korteissa ei ole yleisemmin mahdollisuutta estää magneettijuovaostoja ja varmentamattomia verkkomaksuja silloin, kun ei välttämättä tarvita. Nämä estäisivät ison osan petoksista.

 

[arthur3.0]

Olen ihmetellyt, miksi korteissa ei ole yleisemmin mahdollisuutta estää magneettijuovaostoja ja varmentamattomia verkkomaksuja silloin, kun ei välttämättä tarvita. Nämä estäisivät ison osan petoksista.

Fyysisestihän tuon pystyy estämään (=tuhoamaan)

 

[ojisama]

Fyysisestihän tuon pystyy estämään (=tuhoamaan)

Mikä saattaisi olla ihan järkevää skimmauslaitteita ajatellen. Maksukortin numeron, voimassaolon ja haltijan nimen kai saa luettua juovalta. Kävi mielessä, että teoriassa, jos tapahtumia on paljon, niin ehkä cvc/cvv (vai mitkä ne ny oli) koodit voi vilahtaa muutamassa kortissa kuvassakin sen verran, että tekoälyn kanssa kolme numeroa saisi irti pikselimössöstä.

Tosin onneksi yleensä on se käyttäjän varmistus verkko-ostoissa....

 

[user9999]

UniFi OS julkaistu päivityksiä.

Ubiquiti patches three max severity UniFi OS vulnerabilities

Ubiquiti has released security updates to patch three maximum severity vulnerabilities in UniFi OS that can be exploited by remote attackers without privileges.

www.bleepingcomputer.com

 

[pulssi]

Eihän noiden selaimien tallentamat salasanat ole muutenkaan turvassa, ne kun voi helposti kaivaa selväkielisenä muutenkin. Ellei käytä joissakin selaimissa olevaa master password ominaisuutta.

En suosittele käyttämään tärkeissä palveluissa/sivustoilla.

Näin vuonna 2026, millä tavalla Chromesta voi kaivaa salasanat selkokielisenä helposti? Esimerkiksi App-bound encryption on kaksi vuotta vanha ominaisuus.

 

[Jamboa]

tokmanni.fi sivustolle ei pääse kirjautumaan, mikäli tuota yllä olevaa oikeutta ei salli. On samaa kyllä muutkin palvelut joskus kyselleet, mutta kirjautuminen on mielestäni onnistunut vaikka on painanut "Block". Onko tietoa mistä johtuu että tämä sivusto vaatii tuollaisen oikeuden? Ilman oikeuden antamista tulee tällainen virheilmoitus:

Mozilla tukisivut sanovat tuosta oikeudesta näin, eikä tuo mielestäni näytä sellaiselta että ko.sivuston pitäisi tuota oikeutta tarvita kirjautumisessa

 

[Hyrava]

tokmanni.fi sivustolle ei pääse kirjautumaan, mikäli tuota yllä olevaa oikeutta ei salli. On samaa kyllä muutkin palvelut joskus kyselleet, mutta kirjautuminen on mielestäni onnistunut vaikka on painanut "Block". Onko tietoa mistä johtuu että tämä sivusto vaatii tuollaisen oikeuden? Ilman oikeuden antamista tulee tällainen virheilmoitus:

Mozilla tukisivut sanovat tuosta oikeudesta näin, eikä tuo mielestäni näytä sellaiselta että ko.sivuston pitäisi tuota oikeutta tarvita kirjautumisessa

Haiskahtaisi vähän siltä että tuo sivusto yrittäisi jostain syystä etsiä jotain kirjautumiseen käytettävää laitetta "lähiverkosta" joka saattaa tässä tapauksessa tarkoittaa jopa ihan suoraan tietokoneeseen liitettyä laitetta, esim älykortinlukijaa. Sinänsä tuo olisi ok, jos olisi joku vaihtoehto "käytän laitetta x kirjautumiseen" mutta joku tuolla sivuilla mättää kun kaikille tuota vinkuu. Kai olet pistänyt infoa tuosta tokmannin suuntaan?

 

[tarmo2011]

tokmanni.fi sivustolle ei pääse kirjautumaan, mikäli tuota yllä olevaa oikeutta ei salli. On samaa kyllä muutkin palvelut joskus kyselleet, mutta kirjautuminen on mielestäni onnistunut vaikka on painanut "Block". Onko tietoa mistä johtuu että tämä sivusto vaatii tuollaisen oikeuden? Ilman oikeuden antamista tulee tällainen virheilmoitus:

Mozilla tukisivut sanovat tuosta oikeudesta näin, eikä tuo mielestäni näytä sellaiselta että ko.sivuston pitäisi tuota oikeutta tarvita kirjautumisessa

Ei minulla kyllä kysele oheista, eikä myöskään ole annettu tuollaista oikeutta. Millä laitteella käytät?

 

[Jamboa]

Haiskahtaisi vähän siltä että tuo sivusto yrittäisi jostain syystä etsiä jotain kirjautumiseen käytettävää laitetta "lähiverkosta" joka saattaa tässä tapauksessa tarkoittaa jopa ihan suoraan tietokoneeseen liitettyä laitetta, esim älykortinlukijaa. Sinänsä tuo olisi ok, jos olisi joku vaihtoehto "käytän laitetta x kirjautumiseen" mutta joku tuolla sivuilla mättää kun kaikille tuota vinkuu. Kai olet pistänyt infoa tuosta tokmannin suuntaan?

En toki. Tietoturvamielessä tuota nyt kyselin. Kaipahan Tokmannilla on joku töissä joka tuollaisia asioita hoitaa

 

[Jamboa]

Ei minulla kyllä kysele oheista, eikä myöskään ole annettu tuollaista oikeutta. Millä laitteella käytät?

Win 11 Firefoxilla, WebRTC estettynä ja uBlock mainoksenestolla, mutta lisäosat ei näyttäneet tuohon vaikuttavan

 

[teppomies]

Voitasko keskittyä otsikon mukaiseen sisältöön ja postailla muut asiat omiin ketjuihinsa? Viime aikoina postailtu tänne aika paljon muuta...

 

[vindicator rapeto]

Amnesty: Generatiivinen tekoäly perustuu miljardien ihmisten tietojen keruuseen ilman lupaa

Kyselin aikaisemmin mitäs kaikkea käyttämäni tekoäly minusta tietää. Oli melko leuatloksauttava vastaus, sillä tietoa oli kertynyt niin paljon.

 

[Jamboa]

Amnesty: Generatiivinen tekoäly perustuu miljardien ihmisten tietojen keruuseen ilman lupaa

Kyselin aikaisemmin mitäs kaikkea käyttämäni tekoäly minusta tietää. Oli melko leuatloksauttava vastaus, sillä tietoa oli kertynyt niin paljon.

Kysyitkö siis suoraan omalla nimelläsi? Miltä tekoälyltä kysyit?

ChatGPT kertoi näin:
"En voi auttaa kokoamaan tai etsimään tietoja yksityishenkilöstä pelkän nimen ja asuinalueen perusteella. Se voisi käytännössä tarkoittaa henkilön tunnistamista tai profilointia."

 

[pulatunnus]

Kyselin aikaisemmin mitäs kaikkea käyttämäni tekoäly minusta tietää. Oli melko leuatloksauttava vastaus, sillä tietoa oli kertynyt niin paljon.

Yleisellä tasolla, jok aktiivinen netin nimimerkki, niin niihen perehtynyt varmaan tietää paljon, ehkä enemmänkin kuin päälle päin näyttää. Yleisellä tasolla joku oikea henkilö josta krjoitettu paljon, jota paljon haasteteltu, josta paljon tietoa eri lähteistä saatavilla, niin varmaan joku malli voi tehdä jäätävän hyvän yhteenvedon. Verrattuna sitten että yksityiseen henkilöön, jonka nimeä ei juuri esiinnyt asiakirjoissta, ei julkisissa lähteissä, netissä ei kirjoitettu jne. eikä ole tuupannut omaan henkilökohtaista dataa sille (eikä muut käyttäjät).

Sitten tulee yleisellä tasolla mieleen sitten yksilöt jotka ovat keränneet isestään paljon dataa ja ovat sen tuupannut käyttämälleen AIlle, jos kyse vielä AIsta jolla käytössä henkilön muiden luastojen keräämä data, niin onha siellä enemmän dataa, louhittavaa tietoa kuin henkilöllä itsellään päässään.

Kolmantena sitten työpaikkat, yhteisöt, joissa henkilö töissä tai joissa henkilön tietoja on, niin niissä sitä toki on.


Mutta heitto menee sarjaan, että jos minusta on kansio, niin siellä on minusta tietoa, se AI nyt enemmänkin väline sen käsittelyyn.

 

[leripe]

Amnesty: Generatiivinen tekoäly perustuu miljardien ihmisten tietojen keruuseen ilman lupaa

Kyselin aikaisemmin mitäs kaikkea käyttämäni tekoäly minusta tietää. Oli melko leuatloksauttava vastaus, sillä tietoa oli kertynyt niin paljon.

Laita ilmaiseen julkiseen nettipalveluun henkilökohtaista dataa ja ylläty, että sinun tiedoista on tullut koulutus ja rahateon väline.
Vesi=märkää tason tutkimus.

 

[Pakana]

Kysyitkö siis suoraan omalla nimelläsi? Miltä tekoälyltä kysyit?

ChatGPT kertoi näin:
"En voi auttaa kokoamaan tai etsimään tietoja yksityishenkilöstä pelkän nimen ja asuinalueen perusteella. Se voisi käytännössä tarkoittaa henkilön tunnistamista tai profilointia."

LTT linus joskus tekoälyä tuolla kiuasasi, ja sainsen myöntämään että oikeasti kerää tietoa, vaikka ensin valehtelikin ettei niin tekisi.

Oikeastaan sitä tekoälyä ei voi estää keräämästä yksityisistä ihmisistä tuollaista tietopankkia, se voidaan vain ohjeistaa väittämään että se ei niin tee, mutta sopivalla kiuasaamisella sen saa sivuuttamaan nuo alkuperäiset ohjeistukset ja myöntämään sen kuten myös näyttämään keräämänsä datan.

 

[pulatunnus]

LTT linus joskus tekoälyä tuolla kiuasasi, ...

ChatGPT, testas, vai jotain muuta ?
Ja mihin tietojen kerämiiseen viitataan.

Oikeastaan sitä tekoälyä ei voi estää keräämästä yksityisistä ihmisistä tuollaista tietopankkia

ChatGPTstä puhe, vai yleisesti.
Jos yleisesti niin ilmanmuuta voidaan estää, jos jokin tietty, niin riippuu sen materiaalista, jos sille annetaan yksityishekilöiden tietoja, niin jos data itsessään ei erottele onko yksityishenkilön tietoa, niin sen pitää tunnistaa ne omin avuin, jonka jälkeen se voidaan sitten estää. Voi silloinkin siis olla parempi kuin ihminen, mutta ei virheetön.

 

[Pakana]

ChatGPT, testas, vai jotain muuta ?
Ja mihin tietojen kerämiiseen viitataan.


ChatGPTstä puhe, vai yleisesti.
Jos yleisesti niin ilmanmuuta voidaan estää, jos jokin tietty, niin riippuu sen materiaalista, jos sille annetaan yksityishekilöiden tietoja, niin jos data itsessään ei erottele onko yksityishenkilön tietoa, niin sen pitää tunnistaa ne omin avuin, jonka jälkeen se voidaan sitten estää. Voi silloinkin siis olla parempi kuin ihminen, mutta ei virheetön.

Enhän mä 100varmana muista, sivukorvalla duunin ohella kuuntelin niiden podcastia, todennäköisesti chatgpt, mutta kyllähän tuo koskee periaatteessa kaikkia "yleis" tekoälyjä, jossa on käytetty mahdollisimman laajaa koulutusmateriaalia.

 

[pulatunnus]

Enhän mä 100varmana muista, sivukorvalla duunin ohella kuuntelin niiden podcastia, todennäköisesti chatgpt, mutta kyllähän tuo koskee periaatteessa kaikkia "yleis" tekoälyjä, jossa on käytetty mahdollisimman laajaa koulutusmateriaalia.

Nuo lsuurten kielimallien yleis avustajat, Googlen, Micorosftin, Metan, OpenAI, ChatGPT tyyppiset, joilla lähde materiaalinen on julkisen netin, printint, sun muiden julkaista data, niin ilman muuta on sitä yksityishenkilöiden tietoja, jos miettii ihan meitä kotoisasti, niin isosta prosentista on enemmän tai vähemmän avoimista, lähteistä tietoja.

Eli noissa palveluissa on enemmänkin kyse että mihin sitä käytetään, tunnisaako palvelu yksityishenkilöt ei yksityisistä, mihin vetää jälkimmäisistäkin julkisuuden rajan.

Osalla noista voi olla sitten vielä palveluntarjoajan sille palveluntarjoajalle henkilön tarjoama data, ja jollain Metalla sitten muiden käyttäjän muista käyttäjistä antama data.

 

[Infy]

Ne on syönyt ihmisten julkisesti saatavilla olevat henkilötiedot ja somekeskustelut. Niissä on turva-aidat (eng. guard rails), jotka estää niitä antamasta niitä pihalle vastauksissa. Mutta ne eivät ole aina 100% kattavia. Varsinkin alkuaikoina oli juttuja, että ChatGPT oli antanut ihmisten henkilötietoja vastauksissaan. Mutta kehitys kehittyy ja nyt niin aika harvoin tapahtuu.

Facebook muistaakseni kerää keskustelut tekoälyn koulutukseen ellei sitä erikseen käy pistämässä pois päältä.

 

[Ogeli]

Uusi Kyberkestävyyslaki voimaan 1.6

https://www.traficom.fi/fi/uutiset/uusi-kyberkestavyyslaki-voimaan-16-haavoittuvuuksista-ilmoitettava-traficomille-syksysta-alkaen

Kyberkestävyyssäädös tuo ensimmäistä kertaa EU:n markkinoille tuotetason kyberturvallisuusvaatimukset ohjelmistoille ja laitteille. 1.6.2026 voimaan tuleva laki täydentää EU:n säädöstä ja määrittelee toimintatavat Suomessa. Lisäksi laki täydentää verkkotunnuksia koskevaa sääntelyä.

Joku mua taitavampi voi tehdä analyysin lain merkityksestä.

 

[Algron28]

Uusi Kyberkestävyyslaki voimaan 1.6

https://www.traficom.fi/fi/uutiset/uusi-kyberkestavyyslaki-voimaan-16-haavoittuvuuksista-ilmoitettava-traficomille-syksysta-alkaen

Joku mua taitavampi voi tehdä analyysin lain merkityksestä.

EU säädökset ylittävien hommien osalta ulkomaisia toimijoita tuskin kovin kiinnostaa jonkun kärpäsenpaskan kokoisen banaanivaltion byrokraateille ilmoitella sen ihmeemmin mitään. Toki tällä saadaan taas pari suojatyöpaikkaa luotua varmaan.

 

[arthur3.0]

Uusi Kyberkestävyyslaki voimaan 1.6

https://www.traficom.fi/fi/uutiset/uusi-kyberkestavyyslaki-voimaan-16-haavoittuvuuksista-ilmoitettava-traficomille-syksysta-alkaen

Joku mua taitavampi voi tehdä analyysin lain merkityksestä.

Trafin sivuilla on hieman ymmärrettävämpi selvitys tuosta CRA:sta (CRA = Cyber Resilience Act = Kyberkestävyyslaki)

 

[Kautium]

Trafin sivuilla on hieman ymmärrettävämpi selvitys tuosta CRA:sta (CRA = Cyber Resilience Act = Kyberkestävyyslaki)

Sellainen tarkennus, että nämä eivät ole ihan samoja asioita. Kyberkestävyyslaki on kansallinen laki, joka täydentää EU:n kyberkestävyyssäädöstä. Näistä jälkimmäinen on tuo "Cyber Resilience Act", eli CRA.

Kyberkestävyyssäädös tuo ensimmäistä kertaa EU:n markkinoille tuotetason kyberturvallisuusvaatimukset ohjelmistoille ja laitteille. 1.6.2026 voimaan tuleva laki täydentää EU:n säädöstä ja määrittelee toimintatavat Suomessa. Lisäksi laki täydentää verkkotunnuksia koskevaa sääntelyä.

 

[amsamsa]

Uusi Kyberkestävyyslaki voimaan 1.6

https://www.traficom.fi/fi/uutiset/uusi-kyberkestavyyslaki-voimaan-16-haavoittuvuuksista-ilmoitettava-traficomille-syksysta-alkaen

Joku mua taitavampi voi tehdä analyysin lain merkityksestä.

Konkreettisin vaikutus varmaan siinä, että nettiin kytkettävän laitteen toimittajan on tarjottava tietoturvapäivityksiä koko laitteen oletetun elinkaaren ajan. Elinkaarta ei ole tietenkään määritelty, mutta tulkitsen, että onhan se oltava tiedossa laitetta hankittaessa. Tämä voi häiritä markkinaa kiinnostavilla tavoilla. Jännä esim. seurata mikä asettuu elinkaareksi eri laitekategorioissa. Ei ole itsellä nyt aikaa pidempään spekulointiin, mutta äkkiseltään tulee mieleen kaikki selkeästi ATK:ta pidempään kestävät "takorautalaitteet" joita voi etäohjata, jääkaapista maalämpöpumppuun. Meneeköhän siihen, että laitteisiin alkaa tulla netti jonkinlaisena moduulina, jotka elävät selkeästi omaa elinkaartaan tjsp. Sitten me tiedämme täällä, että "Whirpoolissa on ASRockin connected fridge module".

Laitteiden tulisi myös olla secure by design, ei admin/admin passuja tehtaalta jne.

Noin muutenhan tämä on vaan EU-asetuksen kansallista implementaatiota sellaisenaan, eli eri banaani- ja perunavaltioissa on erilaisia vastuuviranomaisia, jotka tässä Suomen osalta määritellään. Suomi ei siis ylitä, eikä alita asetusta, eikä sitä voisikaan tehdä. Ulkomainen toimija ei täytä Suomen, vaan EU:n vaatimuksia. Onko koko EU:n sisämarkkina vain isomman kärpäsen jätös, on eri keskustelun aihe.

 

[root]

Kärkkäinen verkkokaupan (karkkainen.com) asiakastietokantaa väitetysti kaupitellaan netissä. Nimet, yhteys- ja osoitetiedot, sekä tilaushistoria.

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.

Hyväksy kolmannen osapuolen evästeet

Linkki: https://x.com/DailyDarkWeb/status/2061574940231373003

 

[Elvis Jagger]

Kärkkäinen verkkokaupan (karkkainen.com) asiakastietokantaa väitetysti kaupitellaan netissä. Nimet, yhteys- ja osoitetiedot, sekä tilaushistoria.

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.

Hyväksy kolmannen osapuolen evästeet

Linkki: https://x.com/DailyDarkWeb/status/2061574940231373003

– Yhtiö on yhteistyössä ulkopuolisen tietoturvakumppanin kanssa tutkinut väitteen todenperäisyyttä ja todennut, että tietoturvapoikkeamaa ei ole tapahtunut. Kärkkäisen järjestelmistä ei ole vuotanut asiakastietoja yhtiön ulkopuolelle, tiedotteessa kerrotaan.

..

Väitteen ympärillä käydyssä keskustelussa on Kärkkäisen mukaan nostettu esille myös muita kaupan alan toimijoita.

– Traficomilta saadun tiedon mukaan tämänkaltaisia huijausyrityksiä on viime aikoina havaittu muitakin. Tehtyjen selvitysten perusteella kyseessä on juuri tällainen tapaus, Kärkkäisen tiedotteessa todetaan.

Tietosuojavaltuutetun toimisto kertoo saaneensa Kärkkäisen asiakastietokannan väitetystä vuodosta yhden yhteydenoton yksityishenkilöltä. Yhtiön tekemää ilmoitusta tietoturvaloukkauksesta ei ole saapunut.

Hurja väite Kärkkäisestä leviää – Yhtiöltä täystyrmäys

Sosiaalisessa mediassa on levinnyt väitteitä, että Kärkkäisen asiakasdata olisi vuodettu ja myynnissä. Yhtiön mukaan kyseessä on huijaus.

www.iltalehti.fi

 

[ojisama]

Http/2 aukko (e. altistaa ddossille tai jopa vain dossille). Päivityksiä / mitigaationa disablointi.

New 'HTTP/2 Bomb' DoS attack crashes web servers in under a minute

A new denial-of-service (DoS) attack dubbed HTTP/2 Bomb can be launched from a single machine to take down web servers within seconds.

www.bleepingcomputer.com

 

[kaakau<"'\\/>]

Http/2 aukko (e. altistaa ddossille tai jopa vain dossille). Päivityksiä / mitigaationa disablointi.

New 'HTTP/2 Bomb' DoS attack crashes web servers in under a minute

A new denial-of-service (DoS) attack dubbed HTTP/2 Bomb can be launched from a single machine to take down web servers within seconds.

www.bleepingcomputer.com

Nginxiin tulikin päivitys varmaan juuri, ainakin oli joku tietoturvapäivitys sille. Onkohan se oletuksena päällä, luulis?

grepillä ei löytynyt sitä /etc/nginx alta, mutta ei varmaan pakko olekaan.

 

[Alensia]

Http/2 aukko (e. altistaa ddossille tai jopa vain dossille). Päivityksiä / mitigaationa disablointi.

New 'HTTP/2 Bomb' DoS attack crashes web servers in under a minute

A new denial-of-service (DoS) attack dubbed HTTP/2 Bomb can be launched from a single machine to take down web servers within seconds.

www.bleepingcomputer.com

Tulkitsinko oikein, että WAF:n takana olevat palvelut ovat kuitenkin suojassa? Cloudflaren käyttäjät voinevat huokaista helpotuksesta?

 

[ojisama]

Tulkitsinko oikein, että WAF:n takana olevat palvelut ovat kuitenkin suojassa? Cloudflaren käyttäjät voinevat huokaista helpotuksesta?

Näin on mielestäni uutisoitu, ja sinänsä loogistahan se on.

 

[ojisama]

Nginxiin tulikin päivitys varmaan juuri, ainakin oli joku tietoturvapäivitys sille. Onkohan se oletuksena päällä, luulis?

grepillä ei löytynyt sitä /etc/nginx alta, mutta ei varmaan pakko olekaan.

Meh, en poiminut molempia vastaukseen, niin tulee erilliset viestit, mutta nginx sai kaiketi korjauksen jo edellisessä versiossa. Tämä suolan kanssa, mutta näin muistelen aamupäivältä. Ja oli (mielestäni) default rajoitus.

 

[arthur3.0]

Http/2 aukko (e. altistaa ddossille tai jopa vain dossille). Päivityksiä / mitigaationa disablointi.

New 'HTTP/2 Bomb' DoS attack crashes web servers in under a minute

A new denial-of-service (DoS) attack dubbed HTTP/2 Bomb can be launched from a single machine to take down web servers within seconds.

www.bleepingcomputer.com

Laitetaan vähän lisää yksityiskohtia tuolta linkin takaa:

The technique works on default HTTP/2 configurations of major web servers, including NGINX, Apache HTTP Server, Microsoft IIS, Envoy, and Cloudflare Pingora

When combined, a single client on a 100 Mbps connection can exhaust tens of gigabytes of RAM within seconds, forcing the server to allocate it and then preventing its release.

 

[ojisama]

Laitetaan vähän lisää yksityiskohtia tuolta linkin takaa:

Lisätään vielä, että mm. Ubuntulta on pävitys nyt ulkona.
(
esim.
Version: 2.4.52-1ubuntu4.21 2026-06-04 21:07:31 UTC

UbuntuUpdates - Package "apache2" (jammy 22.04)

)

 

[Wilds]

Palantirin käytöstä Suomessa (poliisi, tulli, rajavartiolaitos). Jotain varmaan tehdään, mutta mitä? Datan analyysiä, rikostorjuntaa, massavalvontaa tekoälyllä vaiko...?

Ylen tiedot: Poliisi, Tulli ja Rajavartiolaitos käyttävät kiistellyn Palantirin teknologiaa salaisiin tarkoituksiin

Palantir tunnetaan Yhdysvaltain maahanmuuttovirasto ICE:n karkotuksista. Sen käyttö aloitettiin Suomessakin jo yli kymmenen vuotta sitten.

yle.fi

Palantir on viime vuosina tahkonnut menestystä ja monikymmenkertaistanut markkina-arvonsa. Viime vuosina se on myös menettänyt sijoittajia ja mahdollisia asiakkaita – osin juuri kritiikin vuoksi.

Esimerkiksi Sveitsin armeija, Saksan tiedustelupalvelut ja Lontoon poliisi (MET) ovat hiljattain torjuneet Palantirin tarjouspyynnöt.

Sveitsin päätöksen taustalla oli huoli tietoturvasta.

Sveitsiläislehti Republikin mukaan Sveitsin armeija oli teettänyt selvityksen Palantirin hyödyistä ja haitoista. Selvityksessä esitettiin huoli siitä, että Palantirin kautta ”Yhdysvaltain hallitus ja tiedustelupalvelut voisivat päästä käsiksi arkaluonteiseen tietoon”.

 

[Algron28]

Palantirin käytöstä Suomessa (poliisi, tulli, rajavartiolaitos). Jotain varmaan tehdään, mutta mitä? Datan analyysiä, rikostorjuntaa, massavalvontaa tekoälyllä vaiko...?

Ylen tiedot: Poliisi, Tulli ja Rajavartiolaitos käyttävät kiistellyn Palantirin teknologiaa salaisiin tarkoituksiin

Palantir tunnetaan Yhdysvaltain maahanmuuttovirasto ICE:n karkotuksista. Sen käyttö aloitettiin Suomessakin jo yli kymmenen vuotta sitten.

yle.fi

Ottaen huomioon suomen viranomaisten kompetenssin tuota varmaan käytetään pääasiassa donitsitarjousten valvontaan...