Ivanti แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical ใน Endpoint Management software (EPM) ที่ทำให้ Hacker สามารถเข้าควบคุมเครื่อง enrolled devices หรือ core server ได้

Ivanti EPM เป็นซอฟต์แวร์ช่วยจัดการอุปกรณ์ไคลเอนต์ที่ใช้แพลตฟอร์มที่หลากหลาย ตั้งแต่ Windows และ macOS ไปจนถึง Chrome OS และระบบปฏิบัติการ IoT โดย Ivanti เป็นบริษัทจัดการสินทรัพย์ และระบบไอที ที่มีบริษัทใช้งานมากกว่า 40,000 แห่งทั่วโลก

ช่องโหว่ CVE-2023-39336 (คะแนน CVSS 9.6/10 ความรุนแรงระดับ Critical) ส่งผลกระทบต่อ Ivanti EPM ทุกเวอร์ชัน และได้รับการแก้ไขไปแล้วในเวอร์ชัน 2022 Service Update 5

โดยผู้โจมตีที่สามารถเข้าถึงเครือข่ายภายในของเป้าหมาย สามารถใช้ประโยชน์จากช่องโหว่ในการโจมตีที่มีความซับซ้อนต่ำ รวมถึงไม่ต้องการสิทธิ์ที่สูง หรือการโต้ตอบจากผู้ใช้งาน

โดย Ivanti ระบุว่า “ผู้โจมตีที่สามารถเข้าถึงเครือข่ายภายใน สามารถใช้ประโยชน์จากการโจมตีแบบ SQL injection เพื่อสั่งการ SQL queries และดึงข้อมูลออกมาได้โดยไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์ รวมถึงอาจทำให้ผู้โจมตีสามารถเข้าควบคุมเครื่องที่มีการติดตั้ง EPM agent ได้ หาก core server ได้รับการกำหนดค่าให้ใช้ SQL express ซึ่งเป็นสาเหตุให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) บน core server ได้”

(more…)

EasyPark บริษัทสัญชาติสวีเดนที่ดำเนินธุรกิจบริการที่จอดรถใน 20 ประเทศกว่า 4,000 เมือง ครอบคลุมพื้นที่ส่วนใหญ่ของยุโรป สหรัฐอเมริกา ออสเตรเลีย นิวซีแลนด์ และสหราชอาณาจักร ซึ่งเป็นบริการยอดนิยมในรูปแบบของแอปพลิเคชันสำหรับการชำระค่าจอดรถ ค้นหาที่จอดรถบนถนน ในใจกลางเมือง หรือในสนามบิน ที่บ้าน หรือต่างประเทศ รวมถึงการค้นหาจุดชาร์จ EV ได้ออกมาประกาศบนเว็บไซต์ของตนเกี่ยวกับข้อมูลของผู้ใช้งานรั่วไหลออกสู่สาธารณะในวันอาทิตย์ที่ 10 ธันวาคม 2023 ที่ผ่านมา ส่งผลกระทบต่อผู้ใช้หลายล้านรายโดยไม่ทราบจำนวนที่แน่ชัด

(more…)

องค์กรต่าง ๆ ในภาคอุตสาหกรรมการป้องกันประเทศ (DIB) ตกเป็นเป้าหมายของกลุ่มแฮ็กเกอร์ชาวอิหร่าน ซึ่งเป็นส่วนหนึ่งของแคมเปญที่ออกแบบมาเพื่อติดตั้ง Backdoor ตัวใหม่ที่ชื่อ FalseFont ซึ่ง Microsoft ตรวจพบจากการติดตามพฤติกรรมของกลุ่ม Peach Sandstorm (Holmium) ซึ่งเป็นที่รู้จักในชื่อ APT33, Elfin และ Refined Kitten

(more…)

พบช่องโหว่ zero-day ใหม่ใน Apache OfBiz ซึ่งเป็นระบบ Enterprise Resource Planning (ERP) แบบ open-source ที่อาจถูกนำไปใช้ประโยชน์ในการโจมตีเพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์

ช่องโหว่ CVE-2023-51467 อยู่ในฟังก์ชันการเข้าสู่ระบบ และเป็นผลมาจากแพตซ์ที่ไม่สมบูรณ์สำหรับช่องโหว่ระดับ critical อีกรายการหนึ่ง (CVE-2023-49070, คะแนน CVSS: 9.8) ที่เปิดตัวเมื่อต้นเดือนธันวาคมที่ผ่านมา

“มาตรการรักษาความปลอดภัยที่ใช้ในแพตซ์ CVE-2023-49070 ยังไม่สามารถแก้ปัญหาได้ ดังนั้นการ bypass authentication ยังสามารถทำได้อยู่” ทีมวิจัยด้านภัยคุกคามจาก SonicWall Capture Labs ซึ่งเป็นผู้ค้นพบช่องโหว่ดังกล่าวระบุในแถลงการณ์

CVE-2023-49070 เป็นช่องโหว่ pre-authenticated สำหรับการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ซึ่งส่งผลกระทบต่อเวอร์ชัน 18.12.10 ซึ่งหากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีสามารถเข้าควบคุมเซิร์ฟเวอร์ได้อย่างเต็มรูปแบบ และสามารถนำข้อมูลออกไปได้ โดยสาเหตุมาจากคอมโพเนนต์ XML-RPC ที่เลิกใช้แล้วภายใน Apache OFBiz

จากข้อมูลของ SonicWall พบว่าช่องโหว่ CVE-2023-51467 สามารถถูก triggered ได้โดยใช้ USERNAME และ PASSWORD parameters ที่ไม่ถูกต้อง หรือเป็นค่าว่างใน HTTP request เพื่อแสดงข้อความการตรวจสอบสิทธิ์สำเร็จ และทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลภายในที่ไม่ได้รับอนุญาตได้

การโจมตีขึ้นอยู่กับพารามิเตอร์ "requirePasswordChange" ถูกตั้งค่าเป็น "Y" ใน URL ทำให้การ authentication ถูก bypass โดยไม่คำนึงถึงค่าที่ใส่ใน username และ password fields

คำอธิบายของช่องโหว่ในฐานข้อมูลช่องโหว่แห่งชาติ NIST (NVD) ระบุว่า “ช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถ bypass authentication สำหรับการโจมตีแบบ Server-Side Request Forgery (SSRF)”

โดยล่าสุด Shadowserver Foundation ระบุว่าได้สังเกตเห็นความพยายามโจมตีโดยใช้ช่องโหว่ CVE-2023-49070 แล้ว ทำให้ผู้ใช้งานจำเป็นต้องอัปเดต Apache OFbiz เป็นเวอร์ชัน 18.12.11 หรือใหม่กว่าโดยเร็วที่สุดเพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้น

ที่มา : thehackernews.

Microsoft ยกเลิกการใช้งาน MSIX ms-appinstaller protocol handler อีกครั้ง หลังพบความเกี่ยวข้องกับหลายกลุ่ม hacker ที่นำไปใช้ในทางที่ผิด โดยการแพร่กระจายมัลแวร์ลงบนเครื่องของผู้ใช้งาน Windows

(more…)

พบมัลแวร์ใช้ Google OAuth endpoint กู้คืน cookie เพื่อขโมยบัญชีผู้ใช้

พบ information-stealing malware หรือมัลแวร์ขโมยข้อมูลหลายตัว ได้ใช้ Google OAuth endpoint ที่พึ่งถูกค้นพบในชื่อ "MultiLogin" เพื่อกู้คืน Session cookie ที่ใช้ในการตรวจสอบสิทธิ์ที่หมดอายุ และลงชื่อเข้าใช้บัญชีของผู้ใช้ แม้ว่ารหัสผ่านของบัญชีจะถูกรีเซ็ตไปแล้วก็ตาม

(more…)

มัลแวร์ Xamalicious ตัวใหม่บน Android ถูกติดตั้งไปแล้วกว่า 330,000 ครั้งบน Google Play

พบ Android backdoor ที่ยังไม่เคยถูกพบมาก่อนในชื่อ 'Xamalicious' ได้ถูกติดตั้งไปยังอุปกรณ์ Android ไปแล้วรวมกันกว่า 338,300 เครื่อง ผ่านแอปพลิเคชันที่เป็นอันตรายบน Google Play ซึ่งเป็น App Store อย่างเป็นทางการของ Android

(more…)

Google ประกาศว่าฟีเจอร์ Chrome Safety Check จะทำงานเบื้องหลังเพื่อตรวจสอบว่ารหัสผ่านที่บันทึกไว้ในเว็บเบราว์เซอร์นั้นรั่วไหลหรือไม่

Chrome จะแจ้งเตือนผู้ใช้บนเดสก์ท็อป หากพบว่ามีการใช้ Extensions ที่ถูกระบุว่าอันตราย (ถูกถอดจาก Chrome Web Store), แนะนำ Chrome เวอร์ชันล่าสุด รวมถึงเปิดใช้งาน Safe Browsing เพื่อบล็อกเว็บไซต์ในรายการเว็บไซต์ที่อาจไม่ปลอดภัยของ Google

Sabine Borsay - Product Manager ของ Chrome Group ระบุว่า "Safety Check สำหรับ Chrome บนเดสก์ท็อปจะทำงานอัตโนมัติในเบื้องหลัง การแจ้งเตือนเหล่านี้จะปรากฏในเมนู three-dot เพื่อให้ผู้ใช้สามารถดำเนินการต่อได้ (more…)

พบแคมเปญฟิชชิ่งรูปแบบใหม่ที่แอบอ้างว่าเป็นอีเมล "แจ้งการละเมิดลิขสิทธิ์" เพื่อขโมยรหัสสำรองของผู้ใช้ Instagram ทำให้ Hacker สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์แบบ two-factor authentication (2FA) ที่กำหนดค่าไว้ในบัญชีได้ (more…)

โปรเจกต์ Python ใหม่ที่ชื่อว่า 'Wall of Flippers' สามารถตรวจจับการโจมตี Bluetooth spam ที่ส่งมาจากอุปกรณ์ Flipper Zero และอุปกรณ์ Android ได้

ด้วยการตรวจจับการโจมตี และระบุต้นทาง ผู้ใช้งานสามารถดำเนินมาตรการป้องกันแบบกำหนดเป้าหมายได้ และผู้กระทำความผิดอาจต้องรับผิดชอบต่อการกระทำของพวกเขา (more…)