Apache HTTP Server 2.4.48 haavoittuvuuden vaikutukset Haltun ylläpitämiin järjestelmiin

Tammikuun 31. päivä havaitsimme, että muutamissa asiakkaidemme tuotantoympäristöissä oli hyödynnetty Apache HTTP serveriin liittyvää haavoittuvuutta. Haavoittuvuus oli tyypiltään palvelunesto, eli järjestelmät oli saatettu tilaan, jossa niitä ei voitu käyttää normaalisti. Käytännössä järjestelmä palautti käyttäjälle ikävän näköisen Error 503 sivun.

Haavoittuvuuden aiheutti ympäristöissä käytössä oleva Apache HTTP Serverin versio 2.4.48, johon ei enää tarjota tukea.

Havainto tehtiin aamulla 07:04 ja kaikki tietoomme tulleet palvelunestot korjattiin tilapäisellä ratkaisulla 07:56 mennessä. Asiakkaitamme on tiedotettu haavoittuvuudesta, sen vaikutuksista sekä suositelluista korjaustoimenpiteistä.

Lisätietoa Apachen haavoittuvuudesta: https://nvd.nist.gov/vuln/detail/CVE-2021-40438

Mistäs ne venepaikat varataan?

Kuntien välinen kehitysyhteistyö on synnyttänyt monia avoimen lähdekoodin tuotteita, joita kunnat ovat omien kumppaniensa kanssa räätälöineet käyttöönsä. Kehittämisen keskiössä on ihannetilanteessa yhteistyö, jota koordinoimalla verorahat menevät tehokkaaseen käyttöön ja palvelut kehittyvät ajanmukaisesti.

Yksi tällainen projekti on Respa/Varaamo-tuotteen päälle rakennettu venepaikkojen varaus- (ja myös MAKSU!)järjestelmä, jota mm. Hämeenlinnan kaupunki käyttää. Keskusteltuani monien potentiaalisten asiakkaiden kanssa, on usein noussut esiin se, että kunnalla/kaupungilla on jo työkalut satamainfran hallintaan. Ja hyvä niin, pitääkin olla!

Tästä kuitenkin käy nopeasti selväksi se, että infranhallintaan tarkoitetut työkalut eivät ole tehty asiakkaita eli kuntalaisia varten. Eikä kyllä oikeastaan myöskään kunnan työntekijöitä - varsinaisen satamatyön ulkopuolelta - varten.

Esimerkiksi Hämeenlinnassa vapautui paljon venepaikkoja, joihin aiemmin jouduttiin jonottamaan, koska järjestelmä vaati asukkaita aktiviisuutta ja vahvistaa oman varauksensa ja myös maksamaan sen suoraan verkossa. Näin kaikki nukkuvat ja "perintöpaikkaa" pitävät venepaikkojen haltijat tippuivat pois ja paikat vapautuivat niille, jotka paikkaa aidosti tarvitsivat.

Lisäksi järjestelmä hallitsee myös venepaikoille jonottamisen, jolloin jälkeen yksi hallinnollisesti täysin turha käsityö saatiin automatisoitua.

Ylläpidämme ja kehitämme lukuisia julkisen sektorin palvelua helpottavia avoimen lähdekoodin palveluja ja asiakkaitamme ovat mm. Hämeenlinna, Turku, Helsinki, Janakkala, Parkano, Kangasala, Tampere, Lohja, ... Olemme tunnettuja siitä, että ajattelemme asiakkaidemme etua ja kiinnitämme erityistä huomiota palvelujen käyttäjien (esim. kuntalaiset) kokemaan laatuun.

Samalla varausjärjestelmä teknologialla voidaan varata ja maksaa myös julkisia tiloja vaikkapa kirjastoista tai kouluilta. Myös esim. kunnan omistamat mökit voidaan tuoda järjestelmään.

Voimme hoitaa myös järjestelmien pelkän ylläpidon, kuten toimimme mm. Hämeenlinnan kirjastojen tilavarausten kanssa, toimitusprojekti tuli toiselta kumppanilta.

Tsekkaa Hämeenlinnan varausjärjestelmät täältä: https://varaukset.hameenlinna.fi/

Apache Log4j 2 haavoittuvuuden vaikutukset Haltun ylläpitämiin järjestelmiin

Perjantaina 10.12 Haltun tietoon tuli nollapäivähaavoittuvuus Log4j 2 komponentissa. Arvioimme parhaillaan haavoittuvuuden vaikutuksia ylläpitämiimme järjestelmiin. Tiedotamme asiakkaitamme tilanteen etenemisestä sähköpostitse ja tätä blogipostausta täydentäen.

Taustaa

9. Joulukuuta raportoitiin nollapäivähaavoittuvuudesta komponentissa Log4j 2.14.1 ja osassa sen vanhemmissa versioissa. Haavoittuvuus antoi hyökkääjälle mahdollisuuden ajaa mielivaltaisia komentoja hyökkäyksen kohteena olevalla sovelluspalvelimella.

Arviomme vaikutuksista Haltun ylläpitämiin järjestelmiin

Haltun toteuttamat asiakasjärjestelmät eivät ole java-pohjaisia sovelluksia, joita haavoittuvuus koskettaa.

Haltu käyttää Log4j 2 kirjastoa omassa keskitetyssä lokienhallintajärjestelmässään, joka on ollut altis hyökkäyksille. Käsityksemme mukaan haavoittuvuutta ei ole ehditty hyödyntämään ja olemme rajoittaneet ongelmaa poistamalla kyseisen kirjaston käytöstä 12. päivä sunnuntaina.

Lisätietoja aiheesta: https://log4shell.com ja https://www.kyberturvallisuuskeskus.fi/fi/haavoittuvuus_38/2021

Päivitys: 14.12.2021 kello 14:06 Olemme jatkaneet vaikutusten arviointia ja selvittäneet onko haavoittuvuudella vaikutuksia asiakkaidemme järjestelmiin. Emme ole havainneet haittoja ylläpitämissämme asiakasjärjestelmissä. Tutkimme edelleen asiaa.

Päivitys: 17.12.2021 kello 16:48 Emme ole havainneet haittoja ylläpitämissämme asiakasjärjestelmissä. Seuraamme Kyberturvallisuuden haavoittuvuustiedotteita sekä viestintää ja reagoimme tarvittaessa.

Haltulle uusi toimitusjohtaja

Haltun perustajaosakas Mikko Sävilahti jättää toimitusjohtajan tehtävät 1. joulukuuta. Uudeksi toimitusjohtajaksi on valittu Mikki Aalto-Ylevä. Nimityksen taustalla on yhtiön hallituksen ja uuden toimitusjohtajan yhdessä asettamat kasvutavoitteet, joiden saavuttaminen edellyttää tavoitehakuista ja määrätietoista otetta.

"Tunnen markkinan ja Haltun toimintatavat erittäin hyvin ja minulla on jo pitkään ollut hyvä asema tässä työyhteisössä. En voisi kuvitella parempaa lähtökohtaa omalle nimitykselleni", kuvaa Mikki,

Mikko jatkaa Haltun riveissä sekä Haltun että asiakkaiden liiketoimintaa kehittäen. Järjestelyn ansiosta hän voi keskittää oman energiansa puhtaasti sellaisiin asioihin, jotka häntä innostavat ja kiinnostavat.

"Minulla on ilo ja kunnia ojentaa kapula eteenpäin Mikille. Olen toiminut Haltun toimistusjohtajana jo lähes 12 vuoden ajan ja koko ajan ajautunut kauemmaksi siitä, missä olen aidosti paras. Koen, että olen saanut Haltun siihen pisteeseen, kuin omilla johtamisresursseillani on mahdollista ja odotan innolla, että voin vapauttaa enemmän aikaani siihen, että meidän asiakkaamme menestyvät entistä paremmin. Tämä muutos tuntuu ennen kaikkea luonnolliselta seuraavalta askeleelta itselleni ja samalla on mukava antaa tilaa innokkaalle ja erittäin lahjakkaalle uudelle toimarille. Näen, että tässä muutoksessa kyse on uudistumisesta, mutta myös tietyllä tavalla hienolta paluulta entiseen", kertoo Mikko.

Haltun kasvutavoitteet on määritelty tulevalle kolmelle vuodelle. Kehitystä haetaan erityisesti yhtiön käyttökatteeseen mutta myös liikevaihtoon. Henkilökunnan määrää kasvatetaan hyvin maltillisesti ja aikomuksena on pysyä entisessä henkilöstömäärässä myös jatkossa. Yhtiölle ja toimitusjohtajalle asetettujen tavoitteiden saavuttaminen edellyttää entistä paremman palvelun tuottamista asiakkaille. Olemassaolevien asiakkuuksien säilyttäminen ja pitkäaikaisten kumppanuuksien rakentaminen on edelleen toiminnan ytimessä.

Isojen muutosten nopea toteuttaminen ei ole välttämätöntä sillä erinomaisia tuloksia voidaan saavuttaa tekemällä useita asioita pikkasen paremmin. Muutoksen tarpeellisuutta kuvaa hienosti se, että niin yrityksen johto kuin hallituskin olivat kaikki sitä mieltä, että Mikin nimittäminen toimitusjohtajaksi on erinomainen idea. Nimitysuutiset on otettu vastaan henkilöstön keskuudessa kauttaaltaan positiivisessa valossa.