Ivanti ได้แก้ไขช่องโหว่ระดับ Critical ในซอฟต์แวร์ Endpoint Management (EPM) ซึ่งทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนเซิร์ฟเวอร์ได้

Ivanti EPM เป็นซอฟต์แวร์ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการ client devices ที่ทำงานบนแพลตฟอร์มต่าง ๆ เช่น Windows, macOS, Chrome OS และระบบปฏิบัติการ IoT

ช่องโหว่ดังกล่าวมีหมายเลข (CVE-2024-29847) โดยเป็นช่องโหว่ deserialization ข้อมูลที่ไม่น่าเชื่อถือใน agent portal ซึ่งได้มีการแก้ไขช่องโหว่ไปแล้วในแพตช์เร่งด่วนของ Ivanti EPM 2024 และ Ivanti EPM 2022 Service Update 6 (SU6)

ทาง Ivanti ได้ระบุในคำแนะนำที่เผยแพร่ออกมาเมื่อวันที่ 10 กันยายน 2024 ว่า หากผู้โจมตีสามารถโจมตีได้สำเร็จ อาจนำไปสู่การเข้าถึงเซิร์ฟเวอร์ของ EPM โดยที่ไม่ได้รับอนุญาต

Ivanti ระบุเพิ่มเติมว่า ไม่มั่นใจว่ามีลูกค้ารายใดบ้างที่ถูกโจมตีจากช่องโหว่นี้ในขณะที่มีการเปิดเผยข้อมูลนี้ แต่ปัจจุบันยังไม่มีการเปิดเผยว่ามีการใช้ช่องโหว่นี้ในการโจมตีแบบสาธารณะ ซึ่งจะสามารถนำมาใช้เพื่อจัดทำ list ของ IOCs ได้

วันที่ 10 กันยายน 2024 Ivanti ได้แก้ไขช่องโหว่ Ivanti EPM ระดับ Critical อีก 2 รายการ ใน Workspace Control (IWC) และ Cloud Service Appliance (CSA) ซึ่งเป็นช่องโหว่ที่ยังไม่พบการถูกนำมาใช้ในการโจมตีก่อนที่จะมีการอัปเดตแพตซ์

ในเดือนมกราคม บริษัท Ivanti ได้แก้ไขช่องโหว่ RCE ที่คล้ายกันนี้ (CVE-2023-39336) ใน Ivanti EPM ซึ่งสามารถถูกโจมตีเพื่อเข้าถึงเซิร์ฟเวอร์ หรืออุปกรณ์ที่ลงทะเบียนไว้ได้

ช่องโหว่ได้รับการแก้ไขเพิ่มมากขึ้น เนื่องจากมีการปรับปรุงระบบความปลอดภัย

Ivanti ระบุว่า ได้มีการทำ internal scanning, manual exploitation และ testing capabilities เพิ่มขึ้นในช่วงหลายเดือนที่ผ่านมา ในขณะเดียวกันก็ได้มีการปรับปรุงการทำงานของระบบ เพื่อแก้ไขปัญหาที่อาจเกิดขึ้นในเร็ว ๆ นี้

Ivanti ระบุว่า เหตุการณ์นี้ทำให้ค้นพบข้อมูลว่ามีช่องโหว่เกิดขึ้น และมีความเห็นตรงกันกับคำแนะนำจาก CISA ที่ระบุว่า เมื่อพบช่องโหว่ควรนำช่องโหว่ที่พบมาเปิดเผย เพื่อเป็นการรับผิดชอบ และจะได้มีการตรวจสอบ code analysis และ testing community ซึ่งเป็นสิ่งที่ถูกต้องสำหรับผู้ให้บริการ

คำแนะนำนี้เกิดขึ้นภายหลังจากการถูกโจมตีจากช่องโหว่ zero-day ของ Ivanti หลายครั้งในช่วงหลายปีที่ผ่านมา เช่น อุปกรณ์ VPN ของ Ivanti ที่ตกเป็นเป้าหมายตั้งแต่เดือนธันวาคม 2023 โดยเป็นช่องโหว่ command injection ที่มีความเชื่อมโยงกับช่องโหว่หมายเลข CVE-2024-21887 และช่องโหว่การ bypass การตรวจสอบยืนยันตัวตนหมายเลข CVE-2023-46805

บริษัท Ivanti ได้แจ้งเตือนถึงช่องโหว่ Zero-Day ครั้งที่สาม (ซึ่งเป็นช่องโหว่ server-side request forgery โดยมีหมายเลข CVE-2024-21893) ทั้งนี้ช่องโหว่ดังกล่าวถูกนำไปใช้โจมตีหลายครั้งในช่วงเดือนกุมภาพันธ์ที่ผ่านมา ทำให้ผู้โจมตีสามารถ bypass การตรวจสอบยืนยันตัวตนจากอุปกรณ์ ICS, IPS และ ZTA gateways ที่มีช่องโหว่ได้

Ivanti ระบุว่ามี partners มากกว่า 7,000 รายทั่วโลก และบริษัทมากกว่า 40,000 ราย ที่ใช้ผลิตภัณฑ์ของ Ivanti อยู่ เพื่อจัดการ IT assets และระบบภายในบริษัท

ที่มา : bleepingcomputer

SonicWall ออกมาแจ้งเตือนว่าช่องโหว่ access control ใน SonicOS กำลังถูกนำไปใช้ในการโจมตี โดย SonicWall มีการออกแพตช์แก้ไขช่องโหว่ไปแล้วก่อนหน้านี้ ซึ่งช่องโหว่ดังกล่าวมี (more…)

Progress Software ออกแพตซ์แก้ไขช่องโหว่ที่มีระดับความรุนแรงสูงสุด (10/10) ซึ่งส่งผลกระทบต่อผลิตภัณฑ์ LoadMaster และ LoadMaster Multi-Tenant (MT) Hypervisor ที่ทำให้ (more…)

Apache ได้แก้ไขช่องโหว่ระดับ critical ในซอฟต์แวร์โอเพ่นซอร์ส OFBiz (Open For Business) ซึ่งเป็นช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถรันโค้ดได้ตามที่ต้องการบนเซิร์ฟเวอร์ Linux และ Windows ที่มีช่องโหว่ (more…)

กลุ่มผู้โจมตีจากเกาหลีเหนือถูกพบว่าใช้ LinkedIn เป็นช่องทางในการโจมตีนักพัฒนาซอฟต์แวร์ โดยใช้วิธีการล่อลวงเหยื่อจากเรื่องของการรับสมัครงานปลอม

Mandiant บริษัทในเครือของ Google ระบุในรายงานฉบับใหม่เกี่ยวกับภัยคุกคาม Web3 sector ว่า การโจมตีเหล่านี้ใช้การทดสอบการเขียนโค้ดเป็นวิธีหลักในการเริ่มต้นการแพร่กระจายมัลแวร์

(more…)

Zyxel ออกแพตซ์อัปเดตซอฟต์แวร์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ที่ส่งผลกระทบต่อ Access point (AP) และเราเตอร์บางรุ่น โดยช่องโหว่นี้อาจนำไปสู่การเรียกใช้คำสั่งที่ไม่ได้รับอนุญาตได้

ช่องโหว่นี้มีหมายเลข CVE-2024-7261 (คะแนน CVSS: 9.8) โดยเป็นช่องโหว่ OS command injection

(more…)

Veeam ออกแพตช์แก้ไขช่องโหว่ในเดือน กันยายน 2024 ซึ่งเป็นช่องโหว่ความรุนแรงระดับ High และ Critical ทั้งหมด 18 รายการ ใน Veeam Backup & Replication, Service Provider Console และ One (more…)

แฮ็กเกอร์เกาหลีเหนือได้ใช้ช่องโหว่ Google Chrome (CVE-2024-7971) ในการติดตั้ง FudModule rootkit เพื่อให้ได้สิทธิ์ SYSTEM และโจมตีผ่าน Windows Kernel โดยช่องโหว่นี้เพิ่งได้รับการแก้ไขไปเมื่อไม่นานมานี้ (more…)

บริษัท ไมโครชิพ เทคโนโลยี จำกัด ผู้ผลิตเซมิคอนดัคเตอร์สัญชาติอเมริกัน ได้ออกมายืนยันถึงกรณีที่ข้อมูลพนักงานถูกโจรกรรมไปในช่วงที่ระบบถูกโจมตีทางไซเบอร์ในเดือนสิงหาคม ซึ่งมีกลุ่มแฮ็กเกอร์ที่ออกมาอ้างความรับผิดชอบคือกลุ่ม Play ransomware

ในสำนักงานใหญ่ ที่ Chandler, รัฐ Arizona ทางผู้ผลิตชิพมีฐานลูกค้าประมาณ 123,000 ราย จากหลายภาคส่วน ซึ่งรวมไปถึงภาคอุตสาหกรรม, ยานยนต์, ผู้บริโภค, การบินและอวกาศ, การป้องกันประเทศ, การสื่อสาร และคอมพิวเตอร์

ในวันที่ 20 สิงหาคม ไมโครชิพ เทคโนโลยีเปิดเผยว่า การดำเนินงานในหลายไลน์การผลิตได้รับผลกระทบจากการโจมตีทางไซเบอร์ ที่ถูกตรวจพบในวันที่ 17 สิงหาคม ซึ่งเหตุการณ์ความเสียหายดังกล่าวนี้ได้ส่งผลกระทบต่อความสามารถในการผลิต จนทำให้ต้องปิดระบบบางส่วน และแยกระบบที่ได้รับผลกระทบออกมาเพื่อควบคุมความเสียหายจากการถูกโจมตี

ในรายงานการยื่นคำร้องต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์ และตลาดหลักทรัพย์สหรัฐอเมริกา ทางไมโครชิพ เทคโนโลยีได้เปิดเผยว่า ส่วนระบบ IT ที่จำเป็นสำหรับการดำเนินงานนั้นได้กลับมาทำงานได้อย่างปกติแล้ว หลังจากมีการดำเนินงานตามคำสั่งซื้อของลูกค้ารวมถึงการส่งมอบเป็นเวลากว่าสัปดาห์

ไมโครชิพ เทคโนโลยี ได้ระบุเพิ่มเติมว่ากลุ่มผู้โจมตีได้ทำการโจรกรรมข้อมูลพนักงานจากหลายระบบ แต่ยังไม่พบหลักฐานใด ๆ ที่ระบุว่าข้อมูลของลูกค้าถูกนำออกไประหว่างการโจมตี

ไมโครชิพ เทคโนโลยีระบุว่า “ขณะที่การสืบสวนสอบสวนยังดำเนินอยู่ บริษัทเชื่อว่าทางฝั่งผู้โจมตีได้ข้อมูลที่อยู่ในระบบ IT บางส่วนไป ซึ่งประกอบไปด้วยข้อมูลการติดต่อพนักงาน และข้อมูลบางส่วนที่ถูกเข้ารหัสไว้ และรหัสผ่านในรูปของแฮช (hash) บางส่วน ทั้งนี้ทางบริษัทยังไม่สามารถระบุได้ว่าข้อมูลลูกค้า หรือผู้จัดจำหน่าย ถูกโจรกรรมออกไปได้แล้ว”

“ทางบริษัทได้รับทราบว่ามีการอ้างถึงข้อมูลที่ถูกนำออกไปจากการโจมตีระบบของทางบริษัทผ่านการโพสต์บนช่องทางออนไลน์ ซึ่งทางบริษัทอยู่ระหว่างการดำเนินการตรวจสอบความถูกต้องของข้อมูลที่ถูกนำไปอ้างนั้น ด้วยความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ และผู้เชี่ยวชาญด้านการพิสูจน์หลักฐานทางไซเบอร์จากองค์กรภายนอกหลายแห่ง”

กลุ่มแรนซัมแวร์ Play ได้ออกมาอ้างความรับผิดชอบว่าเป็นผู้อยู่เบื้องหลังของเหตุการณ์โจมตีในครั้งนี้

ไมโครชิพ เทคโนโลยี ยังคงประเมินขอบเขต และผลกระทบของการโจมตีทางไซเบอร์ด้วยความช่วยเหลือจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากองค์กรภายนอก ถึงแม้ว่ายังอยู่ในช่วงของการดำเนินการกู้คืนระบบภายหลังเหตุการณ์การโจมตี แต่ทางบริษัทก็ได้แจ้งว่าสามารถดำเนินการประมวลผลคำสั่งซื้อของทางลูกค้า และการส่งมอบผลิตภัณฑ์มาได้เป็นเวลากว่าสัปดาห์แล้ว

ถึงแม้ว่าบริษัทไมโครชิพ เทคโนโลยีกำลังดำเนินการสืบสวนสอบสวนถึงลักษณะ และขอบเขตของการโจมตีทางไซเบอร์อยู่ แต่กลุ่ม Play ransomware ได้ระบุแล้วว่าเป็นผู้อยู่เบื้องหลังปฏิบัติการนี้เองในวันที่ 29 สิงหาคม เมื่อมีการเพิ่มข้อมูลรั่วไหลของผู้ผลิตชิพสัญชาติอเมริกันลงบน Dark web ดังรูป

อีกทั้งยังระบุถึงประเภทของข้อมูลที่โจรกรรมมาจากระบบของ ไมโครชิพ เทคโนโลยี ที่ประกอบไปด้วย “ข้อมูลส่วนบุคคล, เอกสารของลูกค้า, งบประมาณ, เงินเดือน, บัญชี, สัญญา, ภาษี, บัตรประจำตัวประชาชน, ข้อมูลทางการเงิน และ อื่น ๆ"

กลุ่มแรนซัมแวร์นี้ได้เปิดเผยถึงข้อมูลที่โจรกรรมมาบางส่วนเพื่อข่มขู่ว่าจะเปิดเผยส่วนที่เหลือ แต่ทว่าทางบริษัทก็ไม่ได้มีการดำเนินการใด ๆ ต่อการข่มขู่ดังกล่าว

Play ransomware ได้เริ่มปฏิบัติการตั้งแต่เดือน มิถุนายน 2022 โดยเหยื่อช่วงแรก ๆ ได้ขอความช่วยเหลือผ่านทางบอร์ดข้อความของทาง BleepingComputer ว่าผู้ดำเนินการของ Play ได้ทำการโจรกรรมข้อมูลส่วนบุคคลจากระบบที่เข้ายึดได้ และนำไปใช้ในการเรียกค่าไถ่ โดยพยายามกดดันให้เหยื่อจ่ายค่าไถ่ถ้าไม่ต้องการให้ข้อมูลรั่วไหลบนโลกออนไลน์

บริษัทที่ดังที่ตกเป็นเหยื่อของ กลุ่มแรนซัมแวร์ Play ประกอบไปด้วย บริษัท Cloud computing ชื่อ Rackspace, ผู้ค้าปลีกรถยนต์รายใหญ่ ชื่อ Arnold Clark, เมือง Antwerp ประเทศเบลเยี่ยม, เมือง Oakland ใน California และเหยื่อรายล่าสุดที่เมือง Dallas County

จากความร่วมมือของทาง CISA และศูนย์ความปลอดภัยทางไซเบอร์ออสเตรเลีย (ACSC) รวมถึง FBI ได้ออกคำแนะนำร่วมกันในเดือนธันวาคมเพื่อแจ้งเตือนถึงการโจมตีจากกลุ่มแรนซัมแวร์นี้ว่าได้ทำการโจมตีองค์กรต่าง ๆ ทั่วโลกไปแล้วกว่า 300 แห่ง ในเดือนตุลาคม 2023

ที่มา : bleepingcomputer

Cisco ได้แก้ไขช่องโหว่ command injection ด้วย public exploit code ที่ทำให้ Hacker สามารถยกระดับสิทธิ์เป็น root บนระบบที่มีช่องโหว่ได้

CVE-2024-20469 (คะแนน CVSS 6.0/10.0 ความรุนแรงระดับ Medium) เป็นช่องโหว่ OS command injection ที่เกิดจากการตรวจสอบ input validation ของ user-supplied ที่ไม่เพียงพอใน Cisco ISE เมื่อ Hacker สามารถโจมตีช่องโหว่ได้ด้วยการส่งคำสั่ง CLI ที่เป็นอันตรายในการโจมตี และมีความซับซ้อนต่ำ จึงทำให้ไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้งาน

ทั้งนี้ Hacker จะสามารถใช้ช่องโหว่ในการโจมตีได้สำเร็จ เฉพาะในกรณีที่มีสิทธิ์ของผู้ดูแลระบบ บนระบบที่มีช่องโหว่เท่านั้น

Cisco Identity Services Engine (ISE) ของ Cisco เป็นซอฟต์แวร์ควบคุมการเข้าถึงเครือข่ายตามข้อมูล identity-based และ policy enforcement ที่ช่วยให้สามารถจัดการอุปกรณ์เครือข่าย และควบคุมการเข้าถึงระบบขององค์กร

เวอร์ชันที่ได้รับผลกระทบของ Cisco ISE

Cisco ISE เวอร์ชัน 3.1 และก่อนหน้า ไม่ได้รับผลกระทบ
Cisco ISE เวอร์ชัน 3.2 ได้รับการแก้ไขใน เวอร์ชัน 3.2P7 (Sep 2024)
Cisco ISE เวอร์ชัน 3.3 ได้รับการแก้ไขใน เวอร์ชัน 3.3P4 (Oct 2024)
Cisco ISE เวอร์ชัน 3.4 ไม่ได้รับผลกระทบ

ปัจจุบัน Cisco ยังไม่พบหลักฐานของ Hacker ที่กำลังใช้ช่องโหว่ดังกล่าวในการโจมตี รวมถึง Cisco ได้แจ้งเตือนลูกค้าว่าได้ลบ backdoor account ลับ ๆ ออกจากซอฟต์แวร์ Smart Licensing Utility Windows แล้ว ซึ่ง Hacker สามารถใช้เพื่อเข้าสู่ระบบที่มีช่องโหว่โดยใช้สิทธิ์ของผู้ดูแลระบบ

ในเดือนเมษายน 2024 บริษัทได้ออกแพตช์ความปลอดภัยสำหรับช่องโหว่ Integrated Management Controller (IMC) (CVE-2024-20295) ซึ่งทำให้ Hacker ที่เข้าถึงระบบได้ สามารถยกระดับสิทธิ์ให้เป็นระดับ root ได้อีกด้วย

รวมถึงช่องโหว่ CVE-2024-20401 ซึ่งช่วยให้ Hacker สามารถเพิ่มผู้ใช้ root และทำให้เครื่องมือ Security Email Gateway (SEG) ไม่สามารถตรวจสอบอีเมลที่เป็นอันตราย ซึ่งได้รับการแก้ไขช่องโหว่ไปแล้วเช่นเดียวกันเมื่อเดือนที่ผ่านมา

อีกทั้งมีการแจ้งเตือนเกี่ยวกับ CVE-2024-20419 ช่องโหว่ระดับ Critical ที่ทำให้ Hacker สามารถเปลี่ยนรหัสผ่านผู้ใช้บนเซิร์ฟเวอร์ Cisco Smart Software Manager On-Prem (Cisco SSM On-Prem) ที่มีช่องโหว่ รวมถึงสิทธ์ของผู้ดูแลระบบด้วย

ที่มา : bleepingcomputer