Tietoturvauutiset ja blogipostaukset

[=JP=]

Päivitelkääs laitteet...

Apple fixes WebKit zero-day exploited in ‘extremely sophisticated’ attacks

Apple has released emergency security updates to patch a zero-day bug the company describes as exploited in "extremely sophisticated" attacks.

www.bleepingcomputer.com

Apple has released emergency security updates to patch a zero-day bug the company describes as exploited in "extremely sophisticated" attacks.
attackers can exploit the CVE-2025-24201 vulnerability using maliciously crafted web content to break out of the Web Content sandbox.

Google fixes Android zero-day exploited by Serbian authorities

Google has released patches for 43 vulnerabilities in Android's March 2025 security update, including two zero-days. Serbian authorities have used one of the zero-days to unlock confiscated devices.

www.bleepingcomputer.com

Google has released patches for 43 vulnerabilities in Android's March 2025 security update, including two zero-days exploited in targeted attacks.

Microsoft March 2025 Patch Tuesday fixes 7 zero-days, 57 flaws

Today is Microsoft's March 2025 Patch Tuesday, which includes security updates for 57 flaws, including six actively exploited zero-day vulnerabilities.

www.bleepingcomputer.com

Microsoft's March 2025 Patch Tuesday, which includes security updates for 57 flaws, including six actively exploited zero-day vulnerabilities.

 

[djmake]

Tuo on totta. Ei se loppujen lopuksi hirveän hankalaa ole, mutta selvästi siinä on ajateltu nostaa kynnystä, kun ihan hyvin se voisi olla vain suomi.fi -tunnistuksen takana oleva rasti ruutuun. Itse tein tuon jo viime vuonna, kun asia nousi ensimmäisen kerran esille. Ei todellakaan ole ok, että tällaisia tietoja pääsee käsittelemään pätkääkään liian hövelisti, jos lainkaan.

Joitain vuosia sitten Trafi (tai ex maistraatti, joku paremmin muistava tarkentakoon) lisäsi tietojen luovutuksia ja vaikka ennalta kaikki kiellot niin uudet olivat oletuksena sallittuja.

Tuota "jos lainkaan" komppaan kyllä. Varsinkaan ko. tietoja ei pitäisi oletuksena luovuttaa mihinkään. Tuossahan rekisteriin lisätään ties mitä tietoja ilman, että rekisteröity tietää asiasta yhtään mitään. Samaan aikaan oletuksena rekisterien pitäjiltä odotetaan kattavaa tietoturvaselostetta jossa mukana "tietojen luovutuksen". Moniko on ajatellut joskus vuosikausia sitten Kanta-luvan antaessaan luovutuksia tulevaisuudessa ties minne?
Kantaanhan haluttaisiin rannekkeiden / kellojen tallentamat terveyteen liittyvät tiedotkin. Miten ymmärrettävästi lopulta kerrotaan, mihin kaikkeen tulevaisuudessa tietoja luovutetaan?

 

[Rollerix]

TP-Link Archereiden ohjelmistossa aukko, jota hyödynnetään.

Onko kotonasi tällainen reititin? Tarkista päivitykset – hyökkäykset käynnissä

Reititin on vaarassa, jos päivitystä ei ole asennettu.

www.is.fi

 

[vindicator rapeto]

Supo: Venäjä ja Kiina ovat merkittävä kyberuhka Suomelle

Suojelupoliisi avasi ensimmäistä kertaa Suomeen kohdistuvia kyberuhkia.

yle.fi

 

[pulatunnus]

https://etn.fi/index.php/13-news/17259-kiinalainen-takaportti-osoittautui-uutisankaksi

Linkin mukaan ESP32 sarjassa on dokumentoimattomia komentoja , kommennot tarjoavat laitetason pääsyn mm muistiin. Avattiin että tuosta löytyneet kommennont ovat ihan tyyppillisiä tuotekehitysvaiheessa, mutta julkaisun myötä siivotaan pois.

Eli tuosta jäi mielikuva että sana takaportti oli liianvoimakas kuvaamaan juttua. Ja maalikkona jos miettii niin koodari voi tehtä tuotteeseen sen takaportin varmaan ilmankin noita käskyjä.

 

[Humanoid]

OmaPosti alkaa keräämään dataa profilointia varten:

Laajempi kuva asiakkuudestasi – Keräämme asiakastietoihisi tietoja lähetysten toimituksesta ja luovutuksesta. Tämä koskee meidän kuljettamiamme seurattavia lähetyksiä. Kerättäviä tietoja ovat seurattavan lähetyksen lähettäjän ja vastaanottajan nimi- ja yhteystiedot, lähetyksen yksilöivä tunniste, toimitustapa, lähetysten sisältö- ja tullaustiedot sekä tiedot lähetysten määrästä ja luovutuksesta.
Käytämme näitä tietoja muiden asiakastietojesi ohella liiketoimintamme suunnitteluun, toteuttamiseen ja kehittämiseen sekä tilastointiin ja raportointiin. Käytämme tietoja myös palveluistamme tiedottamiseen ja markkinointiin. Tämä henkilötietojen käsittely perustuu sähköisen suoramarkkinoinnin osalta suostumukseesi, muilta osin Postin oikeutettuun etuun.

Yksilöllisemmät palvelut ja suositukset profiloinnin avulla – Käytämme asiakastietojasi palveluidemme suunnitteluun ja kehittämiseen sekä personoidun sisällön ja mainonnan kohdentamiseen. Toisin sanoen analysoimme tietojesi perusteella, mitkä palvelut ja sisällöt voisivat olla sinulle hyödyllisiä. Myös seurattavia lähetyksiä koskevia tietoja käytetään tähän tarkoitukseen. Tämä henkilötietojen käsittely perustuu Postin oikeutettuun etuun. Voit kieltää tämän profiloinnin käyttäjätilisi asetuksissa.

Asetuksen voi sammuttaa vain nettisivujen kautta:

 

[SamCer]

OmaPosti alkaa keräämään dataa profilointia varten:



Asetuksen voi sammuttaa vain nettisivujen kautta:

Kiitos vinkkauksesta, että tuosta voi kieltäytyä. Ois muuten menny varmaan täysin ohi kun en ainakaan musita, että olisin saanut minkäänlaista viestiä, että tuollaine olisi tulossa.

 

[Ahaweli]

Kiitos vinkkauksesta, että tuosta voi kieltäytyä. Ois muuten menny varmaan täysin ohi kun en ainakaan musita, että olisin saanut minkäänlaista viestiä, että tuollaine olisi tulossa.

Just 22 min sitten tuli sähköpostia asiasta...

 

[SamCer]

Just 22 min sitten tuli sähköpostia asiasta...

Aaa.. Se on niin tuore asia.

Kävin kattelemassa omat mailit, eikä sinne oo vielä tullu mitään, tai sitten oon vaan poistanu sen lukematta.

 

[Alensia]

OmaPosti alkaa keräämään dataa profilointia varten:



Asetuksen voi sammuttaa vain nettisivujen kautta:

Jos kerran kuussa kilahtaa Kaalimadon paketti, alkaako Posti myydä näitä tietoja siis kilpaileville perseensuristinkaupoille? Vai jakavatko vaan Postinen-lehdykän välissä sitten kohdennetusti seksilelumainoksia? Ei sillä, mainoskielto minulla on niin fyysisessä postilaatikossa kuin aivan joka palvelussa, mihin olen rekisteröitynyt, mutta mielenkiinnosta tuota heidän "toimintansa kehittämistä" kohtaan..

 

[Hyrava]

Jos kerran kuussa kilahtaa Kaalimadon paketti, alkaako Posti myydä näitä tietoja siis kilpaileville perseensuristinkaupoille? Vai jakavatko vaan Postinen-lehdykän välissä sitten kohdennetusti seksilelumainoksia? Ei sillä, mainoskielto minulla on niin fyysisessä postilaatikossa kuin aivan joka palvelussa, mihin olen rekisteröitynyt, mutta mielenkiinnosta tuota heidän "toimintansa kehittämistä" kohtaan..

Paha sanoa mitä noilla tiedoilla aikovat tehdä mutta itse kävin nappaamassa ruksin pois. (sähköpostia asiasta ei ainakaan itselleni ole vielä tullut) Mielestäni tuollaiset pitäisi olla opt-in eikä opt-out, nykyään tuntuu joka paikka muutenkin keräävän kaikenlaista tietoa ja monesti asiasta mainitaan vain jossain nurkassa pienellä präntillä. Sinänsä plussaa Postille jos ovat jo joillekin asiasta lähettäneet sentään sähköpostia että ihan ilman tiedotusta eivät tuota tee.

Kannattaa muuten välillä käydä katselemassa muidenkin verkkopalveluiden omia käyttäjäasetuksia, joihinkin on ilmaantunut vastaavia profilointiasetuksia ja vähemmän yllättäen profilointi on oletuksena päällä... Yhtäkkiä en muista mistä palveluista noita on löytynyt mutta ainakin parista paikasta olen noita ruksinut pois päältä, tänä vuonna kun olen koittanut vähän käydä esim eri verkkokauppojen käyttäjäasetuksia katselemassa ettei siellä ole mitään hölmöä.

Samalla kun tuolla OmaPosti-sivulla kävin, huomasin että "oma noutopaikka" -toiminto poistuu samalla päivämäärällä, toivottavasti paketit eivät tulevaisuudessa rupea menemään taas ihan minne sattuu...

 

[Alensia]

Samalla kun tuolla OmaPosti-sivulla kävin, huomasin että "oma noutopaikka" -toiminto poistuu samalla päivämäärällä, toivottavasti paketit eivät tulevaisuudessa rupea menemään taas ihan minne sattuu...

Voi sun helvetti Itsellä jos ei ole noutopistettä mahdollista valita, menevät tämän osoitteen paketit oletuksena keskustan s-markettiin, joka on vihonviimeinen paikka noutaa yhtään mitään. Aamusta pitkälle iltapäivään älyttömän ruuhkainen, ei saa autoa mihinkään lähimaillekaan ja ilta-aikaan paikka on muuten niin luotaantyöntävä ettei paljoa tee mieli asioida. Tuo Oma noutopaikka on ollut pelastus, kun on voinut ohjata paketit laitakaupungin rauhalliseen K-markettiin. Mutta se off-topicista, kävinpä napsimassa ruksit pois itsekin.

 

[root]

Melkoisesti vaivaa kelmit ovat valmiit näkemään kalasteluyrityksiensä eteen. Tässä tapauksessa kohteen Gmailiin tulee kalastelusähköposti, jonka lähettäjä on Google ja DKIM-allekirjoitus täsmää. Twiittiketjun puolivälistä alkaen kerrotaan miten tuo on tehty.

 

[Agent_007]

Ylempi postaus unrollattuna

Thread by @nicksdjohnson on Thread Reader App

@nicksdjohnson: Recently I was targeted by an extremely sophisticated phishing attack, and I want to highlight it here. It exploits a vulnerability in Google's infrastructure, and given their refusal to fix it, we'r...…

threadreaderapp.com

 

[Kautium]

Muskin porukka taas vähän säästää/sekoilee USA:ssa, eikä siellä järki paljon päätä pakota kohteita valittaessa. Tällä kerralla kohteena on Mitren CVE-ohjelma, joka on mahdollisesti tärkein haavoittuvuustietokantajärjestelmä globaalisti.

MITRE warns that funding for critical CVE program expires today

MITRE Vice President Yosry Barsoum has warned that U.S. government funding for the Common Vulnerabilities and Exposures (CVE) and Common Weakness Enumeration (CWE) programs expires today, which could lead to widespread disruption across the global cybersecurity industry.

www.bleepingcomputer.com

https://thehackernews.com/2025/04/us-govt-funding-for-mitres-cve-ends.html

The U.S. government funding for non-profit research giant MITRE to operate and maintain its Common Vulnerabilities and Exposures (CVE) program will expire Wednesday, an unprecedented development that could shake up one of the foundational pillars of the global cybersecurity ecosystem.

The 25-year-old CVE program is a valuable tool for vulnerability management, offering a de facto standard to identify, define, and catalog publicly disclosed security flaws using CVE IDs. The program has listed over 274,000 CVE records to date.

John Hammondin avautuminen aiheesta:



X:ssä näin mutua, että tuota olisi mahdollisesti tulossa paikkaamaan joku "CVE säätiö" tms, mutta saa nyt nähdä.

Edit.
Täällä on siitä korvaajasta jotain:

 

[kaakau<"'\\/>]

OmaPosti alkaa keräämään dataa profilointia varten:



Asetuksen voi sammuttaa vain nettisivujen kautta:

Paske käyty laittamassa pois päältä. Kiitos tiedosta.

 

[=JP=]

Muskin porukka taas vähän säästää/sekoilee USA:ssa, eikä siellä järki paljon päätä pakota kohteita valittaessa. Tällä kerralla kohteena on Mitren CVE-ohjelma, joka on mahdollisesti tärkein haavoittuvuustietokantajärjestelmä globaalisti.

MITRE warns that funding for critical CVE program expires today

MITRE Vice President Yosry Barsoum has warned that U.S. government funding for the Common Vulnerabilities and Exposures (CVE) and Common Weakness Enumeration (CWE) programs expires today, which could lead to widespread disruption across the global cybersecurity industry.

www.bleepingcomputer.com

https://thehackernews.com/2025/04/us-govt-funding-for-mitres-cve-ends.html

John Hammondin avautuminen aiheesta:



X:ssä näin mutua, että tuota olisi mahdollisesti tulossa paikkaamaan joku "CVE säätiö" tms, mutta saa nyt nähdä.

Edit.
Täällä on siitä korvaajasta jotain:

Rahoitusta jatketaan edelleen...

CISA extends funding to ensure 'no lapse in critical CVE services'

CISA says the U.S. government has extended MITRE's funding to ensure no continuity issues with the critical Common Vulnerabilities and Exposures (CVE) program.

www.bleepingcomputer.com

CISA says the U.S. government has extended MITRE's funding to ensure no continuity issues with the critical Common Vulnerabilities and Exposures (CVE) program.

"The CVE Program is invaluable to cyber community and a priority of CISA," the U.S. cybersecurity agency told BleepingComputer. "Last night, CISA executed the option period on the contract to ensure there will be no lapse in critical CVE services. We appreciate our partners' and stakeholders' patience."

BleepingComputer has learned that the extension of the contract is for 11 months.

 

[Humanoid]

LG:n televisiot alkavat käyttää tekoälypohjaista mallia käyttäjien tunnetilojen tunnistamiseen. Näin saadaan kohdennettua mainontaa entistä tehokkaammin. Tavoitteena on näyttää käyttäjille mainoksia joka herättää varmimmin "tunnereaktioita".

LG TVs’ integrated ads get more personal with tech that analyzes viewer emotions

LG licenses tech for interpreting TV users’ feelings and convictions.

arstechnica.com

 

[leripe]

LG:n televisiot alkavat käyttää tekoälypohjaista mallia käyttäjien tunnetilojen tunnistamiseen. Näin saadaan kohdennettua mainontaa entistä tehokkaammin. Tavoitteena on näyttää käyttäjille mainoksia joka herättää varmimmin "tunnereaktioita".

LG TVs’ integrated ads get more personal with tech that analyzes viewer emotions

LG licenses tech for interpreting TV users’ feelings and convictions.

arstechnica.com

Tämä "ai" tulee kaikkiin ja kaikkeen. Taistella voi vastaan, mutta se on vähän kuin taistelisi käteisen muuttumista korttimaksuun tai googlettamista vastaan tai ehkä fyysisesti lähemmin pikakassoja vastaan.

 

[Humanoid]

Tämä "ai" tulee kaikkiin ja kaikkeen. Taistella voi vastaan, mutta se on vähän kuin taistelisi käteisen muuttumista korttimaksuun tai googlettamista vastaan tai ehkä fyysisesti lähemmin pikakassoja vastaan.

Se on aina vaihtoehto, että pitää TV:n irti Internetistä ja kytkee siihen laitteita joista tietää mihin ne ottavat yhteyttä.

 

[mikajh]

Se on aina vaihtoehto, että pitää TV:n irti Internetistä

Niinkö? Taannoin kun vaihdoin Google accountin salasanan, en voinut käyttää Sonyn tv:tä edes monitorina, ennen kuin kirjauduin uudestaan (aika v-maista näpytellä kaukosäätimellä salasanaa).
Softapäivitykset eivät luonnollisesti olisi mahdollisia ilman internet-yhteyttä, ja todennäköisesti ainakin Google tv:n käyttö on tehty mahdottomaksi out of the box ilman kirjautumista
Edit: Ilmeisesti kirjautuminen ei ole pakollista Käyttöopas | Tilit ja sisäänkirjautuminen

 

[Hyrava]

Se on aina vaihtoehto, että pitää TV:n irti Internetistä ja kytkee siihen laitteita joista tietää mihin ne ottavat yhteyttä.

Näin olisi itsellänikin ajatus tehdä, blokata TV:ltä kaiken mahdollisen "ylimääräisen" liikenteen. Olisi telkkarin osto pikkuhiljaa ajankohtainen, nykyinen alkaa vähän oireilemaan. Johonkin verkkoon se kuitenkin olisi kiva saada että saisi kotiautomaatioon liitettyä (tv päälle/pois, sourcen valinta jne.) mutta taitaa nykytelkkareissa joutua tekemään melkoiset palomuuraukset että itse telkkari toimii mutta ei juttele ihan mitä sattuu nettiin. Nykyiselläänkin kodin telkkarit toimivat oikeastaan vain näyttöinä ja niissä katsottavat materiaalit tulevat Chromecastilta tai muuten HDMI:n kautta.

Pitää oikeastaan jopa ihmetellä miten ei ole enempää uutisoitu älytelkkareiden käyttämisestä verkkohyökkäyksiin, noita kuitenkin alkaa olla vähän joka kodissa ja tavallinen tallaaja ei välttämättä osaa tai jaksa päivitellä niiden softaa. Muutenkin tuollaiset kaikenmaailman kohdennetut mainokset ja käyttäjän vakoilu käyttävät "turhaan" nettiyhteyttä, täällä Suomessa sentään nykyään harvemmalla on mitään datamäärän mukaan laskutettavia liittymiä kotinettinä.

 

[Agent_007]

Softapäivitykset eivät luonnollisesti olisi mahdollisia ilman internet-yhteyttä

Kyllä pitäisi onnistua USB-tikulla suurimmassa osassa televisioita päivitys.

 

[arthur3.0]

OmaPosti alkaa keräämään dataa profilointia varten:



Asetuksen voi sammuttaa vain nettisivujen kautta:

Eikö opt-out (aktiivinen kieltäytyminen?) ole Suomessa (EU:ssa) laiton toimintaperiaate?

 

[arthur3.0]

Näin olisi itsellänikin ajatus tehdä, blokata TV:ltä kaiken mahdollisen "ylimääräisen" liikenteen. Olisi telkkarin osto pikkuhiljaa ajankohtainen, nykyinen alkaa vähän oireilemaan. Johonkin verkkoon se kuitenkin olisi kiva saada että saisi kotiautomaatioon liitettyä (tv päälle/pois, sourcen valinta jne.) mutta taitaa nykytelkkareissa joutua tekemään melkoiset palomuuraukset että itse telkkari toimii mutta ei juttele ihan mitä sattuu nettiin. Nykyiselläänkin kodin telkkarit toimivat oikeastaan vain näyttöinä ja niissä katsottavat materiaalit tulevat Chromecastilta tai muuten HDMI:n kautta.

Pitää oikeastaan jopa ihmetellä miten ei ole enempää uutisoitu älytelkkareiden käyttämisestä verkkohyökkäyksiin, noita kuitenkin alkaa olla vähän joka kodissa ja tavallinen tallaaja ei välttämättä osaa tai jaksa päivitellä niiden softaa. Muutenkin tuollaiset kaikenmaailman kohdennetut mainokset ja käyttäjän vakoilu käyttävät "turhaan" nettiyhteyttä, täällä Suomessa sentään nykyään harvemmalla on mitään datamäärän mukaan laskutettavia liittymiä kotinettinä.

Miten ajattelit tämän toteuttaa? Onko sulla mikä muuri käytössä?

 

[Hyrava]

Miten ajattelit tämän toteuttaa? Onko sulla mikä muuri käytössä?

Ihan perinteistä iptablesia olen käyttänyt. Palomuureja minulla on vähän joka laitteessa mihin sellaisen saa, eli ihan sisäverkossakin esim jokaisessa virtuaalikoneessa on oma muuri joka sallii vain kyseisen laitteen tarvitseman liikenteen, reitittimessä olevan muurin lisäksi. Joku voisi sanoa tuota turhaksi ja hulluudeksi mutta itse miellän tuon pikemminkin varautumisena sille että joskus joku muuri saattaa olla epähuomiossa huonosti konffattu ja vuotaakin jotain liikennettä vahingossa läpi tai jos sisäverkkoon jostakin pääsisikin joku lutikka niin eipähän pääse kovin pitkälle riehumaan.

 

[Infy]

Eikö opt-out (aktiivinen kieltäytyminen?) ole Suomessa (EU:ssa) laiton toimintaperiaate?

Kun kysesssä on henkilötietoihin liittyvä toiminta, joka ei ole palvelun kannalta välttämätön, pitää siihen olla GDPR:n mukaan selkeä erikseen annettu lupa.

 

[arthur3.0]

Ihan perinteistä iptablesia olen käyttänyt. Palomuureja minulla on vähän joka laitteessa mihin sellaisen saa, eli ihan sisäverkossakin esim jokaisessa virtuaalikoneessa on oma muuri joka sallii vain kyseisen laitteen tarvitseman liikenteen, reitittimessä olevan muurin lisäksi. Joku voisi sanoa tuota turhaksi ja hulluudeksi mutta itse miellän tuon pikemminkin varautumisena sille että joskus joku muuri saattaa olla epähuomiossa huonosti konffattu ja vuotaakin jotain liikennettä vahingossa läpi tai jos sisäverkkoon jostakin pääsisikin joku lutikka niin eipähän pääse kovin pitkälle riehumaan.

Eli TV:n liikenteen reititys jonkin Linux-koneen kautta?

 

[Hyrava]

Eli TV:n liikenteen reititys jonkin Linux-koneen kautta?

Ihan reitittimessäkin on iptables-palomuuri. Suurin osa reitittimistä taitaa sisältää linuxin ja reitittimen palomuuri on todellisuudessa iptables/nftables-pohjainen vaikka sitä yleensä käpistelläänkin (varsin usein kammottavan) selainkäyttöliittymän kautta. Itselläni on Teltonikan reititin ja siinä olen suosiolla lopettanut selainkäyttöliittymästä palomuurin säätämisen kun se on niin sekava ja naputtelen custom rules -kohtaan ihan tavallisia iptables-loitsuja.