Tietoturvauutiset ja blogipostaukset

[Alensia]

New TP-Link zero-day surfaces as CISA warns other flaws are exploited

TP-Link has confirmed the existence of an unpatched zero-day vulnerability impacting multiple router models, as CISA warns that other router flaws have been exploited in attacks.

www.bleepingcomputer.com

The researcher confirmed through testing that TP-Link Archer AX10 and Archer AX1500 use vulnerable CWMP binaries.
Mehrun also noted that EX141, Archer VR400, TD-W9970, and possibly several other router models from TP-Link are potentially affected.

Until TP-Link determines which devices are vulnerable and releases fixes for them, users should change default admin passwords, disable CWMP if not needed, and apply the latest firmware update for their device. If possible, segment the router from critical networks.

Yksi syy lisää olla käyttämättä TP-Linkin rojuja missään, suurin syy toki suora linkki Kiinan kommunistiseen puolueeseen. Monikohan vanhempi, edelleen käytössä oleva laite jää patchia vaille..

 

[Mocca]

Yle Areenasta löytyy mielenkiintoinen dokkarisarjat Vakoojat. Erityisesti tämä jakso- moderni vakoilu, kannattaa kuunnella, paljon asiaa esim Pegasus yms vakoiluohjelmista

Moderni vakoilu – Avoin data ja tietovuodot

 

[Ravishing_Grimness]

New TP-Link zero-day surfaces as CISA warns other flaws are exploited

TP-Link has confirmed the existence of an unpatched zero-day vulnerability impacting multiple router models, as CISA warns that other router flaws have been exploited in attacks.

www.bleepingcomputer.com

The researcher confirmed through testing that TP-Link Archer AX10 and Archer AX1500 use vulnerable CWMP binaries.
Mehrun also noted that EX141, Archer VR400, TD-W9970, and possibly several other router models from TP-Link are potentially affected.

Until TP-Link determines which devices are vulnerable and releases fixes for them, users should change default admin passwords, disable CWMP if not needed, and apply the latest firmware update for their device. If possible, segment the router from critical networks.

Koskeekohan tätä tuotetta?

 

[Hyrava]

Koskeekohan tätä tuotetta?

Ei pitäisi koskea, tuossa artikkelissa mainittiin reitittimissä olevasta haavoittuvuudesta ja tuohan on Wifi/BT -kortti. Tosin, TP-Linkillähän on kyllä viime aikoina ollut muitakin haavoittuvuuksia, niistä en sitten tiedä osuuko joku tuohonkin laitteeseen.

 

[ztec]

Kun sille Chat Controllille ei perustettu omaa lankaa, niin isketään tähän.

Vanhaparta Petterikin heräsi tähän asiaan:
Tekoäly tekee CSAM-aloitteesta entistä pelottavamman

Sekä myös chatcontrol.fi sivustoa on näköjään päivitetty pitkästä aikaa.

 

[Hyrava]

Vanhaparta Petterikin heräsi tähän asiaan:
Tekoäly tekee CSAM-aloitteesta entistä07 pelottavamman

Sekä myös chatcontrol.fi sivustoa on näköjään päivitetty pitkästä aikaa.

Vaikka en enää liiemmin Petteri Järvistä arvostakaan niin tässä asiassa hän on kyllä oikeassa. Toivottavasti edes jotkut päättävässä asemassa olevat kuuntelevat häntä että tietoisuus tuon CSAM:n älyttömyydestä leviää eikä mennä tekemään hölmöjä päätöksiä. Tuossa on kertakaikkiaan liki joka ikinen asia ihan täysiä aivopieruja jota jotkut tekniikasta täysin tietämättömät yrittävät väkisin ajaa eivätkä yhtään ymmärrä tuon haittapuolia.

 

[Infy]

Tuossa nyt Tanskan ajamassa Chat control esityksessä ei ole kyse pelkästään CSAM-materiaalista, vaan myös viranomaisille halutaan pääsy viestintäsovelluksiin.

CSAM-materiaalin suodatus voitaisiin tehdä laitteessa paikallisesti, jolloin end-to-end salaus voitaisiin edelleen toteuttaa, mutta viranomaisten takaoven myötä sille voidaan heittää hyvästit.

 

[SamCer]

Proton on siirtämässä infraansa pois Sveitsistä, koska siellä ollaan ajamassa chat control tyyppistä, mutta vielä pahempaa, lakia nimeltä OSCPT läpi:

Reddit - The heart of the internet

www.reddit.com

Infoa OSCPT:stä:

Switzerland’s Privacy and Encryption Under Attack: Proposed Surveillance Laws Threaten Fundamental Rights and Cripples Encryption - ISOC Switzerland Chapter

Zurich, May 6, 2025 – A sweeping revision of he Ordinance on the Surveillance of Postal and Telecommunications Traffic (VÜPF/OSCPT) and the ordinance of the Federal Department of Justice and Police (VD-ÜPF/OME-SCPT) , concludes its public consultation today [1]. But the proposed changes pose a...

www.isoc.ch

10min YouTube-video Protonin infran siirrosta ja sen syistä:

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.

Hyväksy kolmannen osapuolen evästeet

Linkki: https://www.youtube.com/watch?v=w_CsiZf03tM

 

[vindicator rapeto]

Mikko Hyppönen aloittaa Elisan johtavana kyberturvaneuvonantajana​

Mikko Hyppönen aloittaa teleyhtiö Elisan johtavana kyberturvaneuvonantajana.
Elisa kertoo asiasta tiedotteessa.

Toimi on osa-aikainen. Hyppönen auttaa yhtiötä kyberturvan, digitaalisten palvelujen ja tietoliikenteen turvaamisen kysymyksissä.
Hyppönen työskentelee päätoimisesti teknologiayhtiö Sensofusionin tutkimusjohtajana.

 

[Infy]

OnePlus -puhelimissa on tietoturva-aukko, mikä sallii minkä tahansa sovelluksen lukea SMS- ja MMS-viestit. Haavoittuvuuden löytäneet tutkivat ovat yrittäneet monin tavoin viestiä OnePlussalle ongelman korjaamiseksi, mutta OnePlus ei ole vastannut. He ovatkin todenneet OnePlussan olevan "non-responsive vendor".

Rapid7: OnePlus phones vulnerable to SMS theft since 2021

Updated: Rapid7 warns flaw could let any app peek at your SMS, but smartphone vendor won't pick up

www.theregister.com

 

[Admiral General Aladeen]

OnePlus -puhelimissa on tietoturva-aukko, mikä sallii minkä tahansa sovelluksen lukea SMS- ja MMS-viestit. Haavoittuvuuden löytäneet tutkivat ovat yrittäneet monin tavoin viestiä OnePlussalle ongelman korjaamiseksi, mutta OnePlus ei ole vastannut. He ovatkin todenneet OnePlussan olevan "non-responsive vendor".

Rapid7: OnePlus phones vulnerable to SMS theft since 2021

Updated: Rapid7 warns flaw could let any app peek at your SMS, but smartphone vendor won't pick up

www.theregister.com

Kiinapuhelin toki, mutta nyt on kyllä aika läpinäkyvää vakoilua

 

[Seppo77]

Kiinapuhelin toki, mutta nyt on kyllä aika läpinäkyvää vakoilua

Onneksi sentään edes jotkut firmat kuten meillä (ei kaikki) on tajunneet ettei kiinaluureja voi pitää listoilla työpuhelimeksi.

 

[pulatunnus]

OnePlus -puhelimissa on tietoturva-aukko, mikä sallii minkä tahansa sovelluksen lukea SMS- ja MMS-viestit. Haavoittuvuuden löytäneet tutkivat ovat yrittäneet monin tavoin viestiä OnePlussalle ongelman korjaamiseksi, mutta OnePlus ei ole vastannut. He ovatkin todenneet OnePlussan olevan "non-responsive vendor".

https://www.theregister.com/2025/09/23/rapid7_oneplus_android_bug/

Jos oikein ymmärsin niin käyttää rajapintaa jossa SQL haavoittuvuus , ja ei ilmeisesti riipu mitä SMS/MMS ohejelmaa käyttää, ja mahdollistaa myös lähettämisen, ja ilman että näkyy käyttäjälle tai että vaatisi käyttäjän tomia. Tai no täytyy se aukkoa käyttövä koodi asentaa. Eli paikallinen haavoittuvuus.

Jutusta ymmärsin että bugi on tullut Androidin koodista, ( vaikka on com.oneplus.provider.telephony ), jutussa ei pengottu onko Googlen puolelta jotain paikko historiaa, ja en nyt ihan jutusta saanut otetta onko OnePlus paikannut tuota, jutun painopiste oli siinä ettei sieltä ei oltu vastattu.

Ensimmäinen Ilmoitus valmistajalle tehty ensimmäinen toukokuuta 2025. Ilmeisesti loyty Oxygen 12 alaken, eli 2021 2022 vaihteesta asti

 

[avokomposti]

Tuota OnePlus-juttua on päivitetty. Bugifiksin pitäisi tulla lokakuun puolivälissä.

Updated to add at 1229 UTC, September 25​

A OnePlus spokesperson said: "We acknowledge the recent disclosure of CVE-2025-10184 and have implemented a fix. This will be rolled out globally via software update starting from mid-October. OnePlus remains committed to protecting customer data and will continue to prioritize security improvements."

Rapid7: OnePlus phones vulnerable to SMS theft since 2021

Updated: Rapid7 warns flaw could let any app peek at your SMS, but smartphone vendor won't pick up

www.theregister.com

 

[=JP=]

Tätähän ei kukaan ennustanut! Ikinä en ole lähettämässä kuvaa henkkareista millekään palvelulle, edes ulkomaisille pankeille. Kiva sit ku napsahtaa, siinä saattaa mennä mukavasti elämä sekaisin...

Update on a Security Incident Involving Third-Party Customer Service | Discord

At Discord, protecting the privacy and security of our users is a top priority. That’s why it’s important to us that we’re transparent with them about events that impact their personal information.

discord.com

- Discord recently discovered an incident where an unauthorized party compromised one of Discord’s third-party customer service providers.
- The unauthorized party also gained access to a small number of government‑ID images (e.g., driver’s license, passport) from users who had appealed an age determination.

 

[Mocca]

Tätähän ei kukaan ennustanut! Ikinä en ole lähettämässä kuvaa henkkareista millekään palvelulle, edes ulkomaisille pankeille. Kiva sit ku napsahtaa, siinä saattaa mennä mukavasti elämä sekaisin...

Update on a Security Incident Involving Third-Party Customer Service | Discord

At Discord, protecting the privacy and security of our users is a top priority. That’s why it’s important to us that we’re transparent with them about events that impact their personal information.

discord.com

- Discord recently discovered an incident where an unauthorized party compromised one of Discord’s third-party customer service providers.
- The unauthorized party also gained access to a small number of government‑ID images (e.g., driver’s license, passport) from users who had appealed an age determination.

Tämä asia on kyllä vetuttanut jo pitkän aikaa. Nykyään mitään ei voi oikein enää tehdä lähettämättä kuvaa passista tai ajokortista. Siihen suorastaan pakotetaan.

 

[Alensia]

Tämä asia on kyllä vetuttanut jo pitkän aikaa. Nykyään mitään ei voi oikein enää tehdä lähettämättä kuvaa passista tai ajokortista. Siihen suorastaan pakotetaan.

Nyt saat kyllä avata hieman kommenttiasi, en ole joutunut lähettämään henkkareista (ja sähkölaskusta) kuvaa kuin pokerisaitille ensimmäisen rahojen kotiutuksen yhteydessä aikoinaan. He kyllä siihen pakottivat (jos halusi rahaa ulospäin), mutta millaisiin palveluihin sitten rekisteröidyt? En tosiaan kevyin perustein lähettele (ainakaan sensuroimatonta versiota) henkkareita mihinkään.

 

[pulatunnus]

Nyt saat kyllä avata hieman kommenttiasi, en ole joutunut lähettämään henkkareista (ja sähkölaskusta) kuvaa kuin...

Tunnistautumis vaatimusten lisääntymisestä on paljon ollut puhetta, mutta onko ne lisääntyneet. Nuo henkkari, ajokortti, passi osoite kuvien kysely niissä ulkolaisissa yhteksissä joissa ei ole tuettu meidän kansalliset tunnistus menetelmät. Ja se ei ole mikään netin tuoma uusjuttu.

Tai no, Pankki, rahanpesun torjunnan tiukkenemiset ovat kyllä tuoneet uusiin tilanteisiin tunnistamis vaateita. Asiakas on tunnettava. Kun aiemmin riitti että raha tuli tai meni.

 

[Mocca]

Nyt saat kyllä avata hieman kommenttiasi, en ole joutunut lähettämään henkkareista (ja sähkölaskusta) kuvaa kuin pokerisaitille ensimmäisen rahojen kotiutuksen yhteydessä aikoinaan. He kyllä siihen pakottivat (jos halusi rahaa ulospäin), mutta millaisiin palveluihin sitten rekisteröidyt? En tosiaan kevyin perustein lähettele (ainakaan sensuroimatonta versiota) henkkareita mihinkään.

Esim kaikki nettipankit kuten Revolut, Wise, N26 jne pyytää lähettämään selfien lisäksi (mikä sekin on jo tarpeeksi paha) kuvan virallisesta henkilöllisyystodistuksesta, kuten: passi, henkilökortti (ID-kortti) ja
joissain tapauksissa ajokortti. Paypal taitaa vaatia myös, jos tietyt rajat ylittyy. Facebook on tunnetusti pyytänyt myös näitä dokumentteja, varsinkin, jos on ollut ongelmatilanteita profiilin kanssa.

Olen kerran hakenut myös yhteen työpaikkaan tässä pari vuotta sitten, jonne piti ennen haastattelua lähettää ajokortista kuva. Tosin työ oli ajamista, mutta silti tuntui omituiselle, kun jo ensi hakuvaiheessa piti se kuva lähettää, ennen mitään haastattelua.