Progress แนะนำให้ผู้ดูแลระบบแก้ไขช่องโหว่ระดับ Critical ใน WhatsUp Gold โดยเร็วที่สุด

Progress Software แจ้งเตือนลูกค้าให้แก้ไขช่องโหว่ระดับ critical หลายรายการใน network monitoring tool ของ WhatsUp Gold โดยด่วนที่สุด

อย่างไรก็ตาม แม้ว่าบริษัทจะเปิดตัว WhatsUp Gold 24.0.1 ที่แก้ไขช่องโหว่ดังกล่าวไปแล้วเมื่อวันศุกร์ที่ 20 กันยายน 2024 และเผยแพร่คำแนะนำเมื่อวันอังคารที่ 24 กันยายน 2024 แต่บริษัทก็ยังไม่ได้ให้รายละเอียดใด ๆ เกี่ยวกับช่องโหว่เหล่านี้

ทีมงาน WhatsUp Gold ได้ระบุช่องโหว่ 6 รายการที่มีอยู่ในเวอร์ชันที่ต่ำกว่า 24.0.1 โดย Progress ได้ออกแจ้งเตือนลูกค้าในสัปดาห์นี้

มีการติดต่อลูกค้า WhatsUp Gold ทุกรายเพื่อทำการอัปเกรดแพตช์เป็นเวอร์ชัน 24.0.1 โดยด่วนที่สุด ซึ่งออกแพตช์ไปแล้วในวันศุกร์ที่ 20 กันยายน 2024 หากใช้งานเวอร์ชันที่เก่ากว่า 24.0.1 และยังไม่ได้อัปเกรดแพตช์ อุปกรณ์นั้นจะค่อนข้างมีความเสี่ยง

ข้อมูลช่องโหว่ 6 รายการ ได้รับการรายงานโดย Sina Kheirkhah จาก Summoning Team, Andy Niu จาก Trend Micro และนักวิจัยของ Tenable รวมไปถึงได้รับ CVE ID และแต่ละช่องโหว่มีคะแนน CVSS ดังต่อไปนี้

  • CVE-2024-46905 : คะแนน CVSS 8.8/10 (รายงานโดย Sina Kheirkhah)
  • CVE-2024-46906 : คะแนน CVSS 8.8/10 (รายงานโดย Sina Kheirkhah)
  • CVE-2024-46907 : คะแนน CVSS 8.8/10 (รายงานโดย Sina Kheirkhah)
  • CVE-2024-46908 : คะแนน CVSS 8.8/10 (รายงานโดย Sina Kheirkhah)
  • CVE-2024-46909 : คะแนน CVSS 9.8/10 (รายงานโดย Andy Niu)
  • CVE-2024-8785 : คะแนน CVSS 9.8/10 (รายงานโดย Tenable)

หากต้องการอัปเกรดเป็นเวอร์ชันล่าสุด ให้ดาวน์โหลดตัวติดตั้ง WhatsUp Gold 24.0.1 จากเว็บไซต์ community.progress.com ในส่วนของ Product Downloads และให้รันบนเซิร์ฟเวอร์ WhatsUp Gold ที่มีช่องโหว่ และทำตามคำแนะนำ

ตั้งแต่วันที่ 30 สิงหาคม 2024 ผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่ SQL injection ของ WhatsUp Gold ทั้ง 2 ช่องโหว่ ได้แก่ CVE-2024-6670 และ CVE-2024-6671 และช่องโหว่ทั้งสองได้รับการแก้ไขไปแล้วเมื่อวันที่ 16 สิงหาคม 2024 หลังจากที่ Sina Kheirkhah นักวิจัยด้านความปลอดภัยได้รายงานให้ Progress ทราบผ่าน Zero Day Initiative (ZDI) เมื่อวันที่ 22 พฤษภาคม 2024

Kheirkhah ได้เผยแพร่ proof-of-concept (PoC) สำหรับช่องโหว่ดังกล่าวสองสัปดาห์หลังจากที่มีการแก้ไขไปเมื่อวันที่ 30 สิงหาคม 2024 (บริษัทด้านความปลอดภัยทางไซเบอร์ Trend Micro เชื่อว่าผู้โจมตีได้ใช้ PoC exploit เพื่อ bypass การยืนยันตัวตน และเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้สำเร็จ)

ในช่วงต้นเดือนสิงหาคม องค์กรตรวจสอบภัยคุกคาม Shadowserver Foundation ยังได้สังเกตเห็นความพยายามในการโจมตีช่องโหว่ CVE-2024-4885 ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลของ WhatsUp Gold ที่ถูกเปิดเผยเมื่อวันที่ 25 มิถุนายน 2024 โดย Kheirkhah พบช่องโหว่ CVE-2024-4885 และเผยแพร่รายละเอียดทั้งหมดบนบล็อกของเขาสองสัปดาห์ต่อมา

ที่มา : bleepingcomputer.com