FortiGate firewalls หลายแสนเครื่องมีความเสี่ยงจากการถูกโจมตีจากช่องโหว่ระดับ Critical ที่มีหมายเลข CVE-2023-27997 ภายหลังจากที่ Fortinet ปล่อยแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวเมื่อเดือนที่ผ่านมา

ช่องโหว่ดังกล่าวเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote code execution) โดยมีคะแนน CVSS 9.8 เต็ม 10 ซึ่งเป็นผลมาจากช่องโหว่ heap-based buffer overflow ใน FortiOS ซึ่งเป็นระบบปฏิบัติการที่เชื่อมต่อส่วนประกอบเครือข่ายทั้งหมดของ Fortinet เพื่อรวมเข้ากับแพลตฟอร์ม Security Fabric

หากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ผ่านทาง SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต

Fortinet ได้แก้ไขช่องโหว่ดังกล่าวไปแล้วเมื่อวันที่ 11 มิถุนายนที่ผ่านมา ด้วยเฟิร์มแวร์ FortiOS เวอร์ชัน 6.0.17, 6.2.15, 6.4.13, 7.0.12 และ 7.2.5

Bishop Fox บริษัทโซลูชันด้านความปลอดภัยเชิงรุกรายงานเมื่อวันศุกร์ที่ผ่านมาว่า แม้จะมีการแนะนำให้ผู้ใช้งานรีบอัปเดตแพตช์ แต่ก็พบว่ามีอุปกรณ์ FortiGate firewalls มากกว่า 300,000 เครื่องที่ยังเสี่ยงต่อการถูกโจมตี และสามารถเข้าถึงได้จากอินเทอร์เน็ต

นักวิจัย Bishop Fox ใช้เครื่องมือค้นหา Shodan เพื่อค้นหาอุปกรณ์ที่มี SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต โดยสังเกตจาก specific HTTP response header โดยนับเฉพาะผลลัพธ์ที่มีการเปลี่ยนเส้นทางไปยัง '/remote/login' ซึ่งแสดงให้เห็นว่าเป็น SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต

จากข้อมูลที่พบทั้งหมด 489,337 เครื่อง นักวิจัยพบว่าไม่ใช่ทุกเครื่องที่มีความเสี่ยงจากช่องโหว่ CVE-2023-27997 เนื่องจากมีอุปกรณ์กว่า 153,414 รายการที่ได้รับการอัปเดตเป็น FortiOS เวอร์ชันที่ปลอดภัยแล้ว

ซึ่งหมายความว่า FortiGate firewalls ประมาณ 335,900 เครื่อง มีความเสี่ยงที่จะถูกโจมตีได้สำเร็จ ซึ่งเป็นตัวเลขที่สูงกว่าการประมาณการครั้งล่าสุดที่ 250,000 รายการจากการค้นหาอื่น ๆ ที่มีความแม่นยำน้อยกว่า

การค้นพบอีกอย่างที่นักวิจัยของ Bishop Fox ทำคืออุปกรณ์ FortiGate ที่เข้าถึงได้จากอินเทอร์เน็ตจำนวนมากไม่ได้รับการอัปเดตเลยในช่วง 8 ปีที่ผ่านมา ซึ่งบางอุปกรณ์ยังใช้ FortiOS 6 ซึ่ง {}end of support ไปแล้วตั้งแต่ 29 กันยายนปีก่อน ทำให้อุปกรณ์เหล่านี้มีความเสี่ยงต่อช่องโหว่ระดับ Critical หลายรายการ ซึ่งได้มีการเปิดเผยรายละเอียดการโจมตีออกสู่สาธารณะแล้ว

เพื่อแสดงให้เห็นว่า CVE-2023-27997 สามารถใช้เพื่อสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ได้ Bishop Fox ได้ทดสอบการโจมตีช่องโหว่ที่แสดงให้เห็นการเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี ดาวน์โหลดไบนารี BusyBox และเปิด interactive shell

 

ที่มา : bleepingcomputer

Akamai เปิดเผยการค้นพบแคมเปญการโจมตีของกลุ่ม Hacker ที่ได้มุ่งเป้าการโจมตีไปยัง SSH servers ที่มีช่องโหว่ ด้วยการโจมตีแบบ proxyjacking และนำแบนด์วิธอินเทอร์เน็ตที่ไม่ได้ใช้ของ SSH servers ที่ถูกโจมตีไปขายต่อเพื่อสร้างรายได้ ในลักษณะเดียวกันกับการโจมตีแบบ cryptojacking ที่กลุ่ม Hacker ได้ทำการใช้ประโยชน์จาก SSH servers ที่ถูกโจมตีเพื่อขุดเหรียญ cryptocurrency โดยกลยุทธ์ทั้งหมดนี้เป็นการใช้ประโยชน์จากเครื่อง SSH servers ที่ถูกโจมตี เพื่อสร้างรายได้ให้แก่กลุ่ม Hacker

ทั้งนี้ Akamai พบว่าการโจมตีแบบ proxyjacking ตรวจจับได้ค่อนข้างยาก เนื่องจาก Hacker จะใช้เฉพาะแบนด์วิธที่ไม่ได้ใช้งานของระบบที่ถูกโจมตี ซึ่งไม่ส่งผลกระทบต่อความเสถียร และประสิทธิภาพการใช้งาน เนื่องจาก Hacker ได้ทำการตั้งค่า proxy ที่สามารถช่วยปกปิดร่องรอยการโจมตี โดยมีเป้าหมายเพื่อขายแบนด์วิธอินเทอร์เน็ตเท่านั้น ทำให้เหยื่อสามารถตรวจจับได้ยาก

นักวิจัยพบว่า Hacker จะโจมตีไปยัง SSH servers ที่มีช่องโหว่ โดยใช้ SSH Protocol ในการการเข้าถึงเครื่องจากระยะไกล และเรียกใช้ scripts อันตรายที่แอบเชื่อมต่อเซิร์ฟเวอร์ของเหยื่อเข้าสู่เครือข่าย peer-to-peer (P2P) เช่น Peer2Proxy หรือ Honeygain

โดยทาง Akamai ได้พบรายการ IP ที่เกี่ยวข้องจากการตรวจสอบ และ proxy อื่น ๆ อีกอย่างน้อย 16,500 รายการ ที่ถูกแชร์ไว้บนฟอรัมออนไลน์

การบริการ Proxyware และ Docker containers

นักวิจัยของ Akamai พบการโจมตีครั้งแรกเมื่อวันที่ 8 มิถุนายน 2023 หลังพบการเชื่อมต่อ SSH หลายจุดใน honeypots ที่ถูกสร้างขึ้นโดยทีม Security Intelligence Response Team (SIRT)

ทีม SIRT พบว่า เมื่อ Hacker ทำการเชื่อมต่อกับหนึ่งใน SSH servers ที่มีช่องโหว่ Hacker จะใช้สคริปต์ Bash ที่เข้ารหัส Base64 เพื่อเพิ่ม SSH servers ที่ถูกโจมตีไปยังเครือข่าย proxy ของ Honeygain หรือ Peer2Profit

โดยสคริปต์ดังกล่าวจะทำการตั้งค่า container ด้วยการดาวน์โหลดอิมเมจ Peer2Profit หรือ Honeygain Docker และทำการกำจัด bandwidth-sharing container ที่มีอยู่เดิมอีกด้วย รวมไปถึงการติดตั้ง cryptominer เพื่อทำการโจมตี cryptojacking ในเครื่องดังกล่าว และติดตั้ง hacking tools อื่น ๆ เพิ่มเติม

ทั้งนี้แคมเปญที่พบดังกล่าวเป็นแค่เพียงส่วนหนึ่งของการโจมตีแบบ proxyjacking เท่านั้น เนื่องจากก่อนหน้านี้ก็พบการรายงานการโจมตีประเภทดังกล่าวจาก Cisco Talos และ Ahnlab เช่นเดียวกัน โดยได้เชื่อมต่อไปยังเครือข่าย proxy ของ Honeygain, Nanowire, Peer2Profit, IPRoyal และอื่น ๆ เช่นเดียวกันกับที่ทาง Sysdig ได้ค้นพบแคมเปญการโจมตี proxyjackers ในเดือนเมษายน 2023 ที่ Hacker ได้โจมตีผ่านช่องโหว่ Log4j เพื่อเข้าถึงระบบ ทำให้สามารถสร้างรายได้ได้สูงถึง $1,000 สำหรับอุปกรณ์ทุก ๆ 100 เครื่องที่ถูกเพิ่มลงในรายการ proxyware botnet

 

ที่มา : bleepingcomputer

Akira ransomware เวอร์ชัน Linux ถูกพบครั้งแรกโดยนักวิเคราะห์มัลแวร์จาก rivitna ที่รายงานตัวอย่างของเครื่องมือการเข้ารหัสใหม่ใน VirusTotal เมื่อสัปดาห์ที่ผ่านมา

Akira ถูกพบครั้งแรกในเดือนมีนาคม 2023 โดยมีเป้าหมายเป็นระบบ Windows ในอุตสาหกรรมต่าง ๆ รวมถึงการศึกษา การเงิน อสังหาริมทรัพย์ การผลิต และการให้คำปรึกษา

เช่นเดียวกับกลุ่มแรนซัมแวร์ที่โจมตีองค์กรอื่น ๆ ผู้โจมตีจะขโมยข้อมูลจากเครือข่ายขององค์กรที่ถูกโจมตี และเข้ารหัสไฟล์เพื่อเรียกค่าไถ่ซ้ำกับเหยื่อ โดยเรียกร้องเงินที่สูงถึงหลายล้านดอลลาร์

นับตั้งแต่เปิดตัว มีการเปิดเผยว่ามีเหยื่อมากกว่า 30 รายในสหรัฐอเมริกาเพียงแห่งเดียว โดยมีกิจกรรมที่แตกต่างกันสองรายการที่เพิ่มขึ้นอย่างมากใน ID Ransomware ในช่วงปลายเดือนพฤษภาคม และปัจจุบัน

Akira ตั้งเป้าไปที่ VMware ESXi

Akira เวอร์ชัน Linux ถูกพบครั้งแรกโดยนักวิเคราะห์มัลแวร์ rivitna ซึ่งรายงานตัวอย่างของเครื่องมือการเข้ารหัสใหม่ใน VirusTotal เมื่อสัปดาห์ที่ผ่านมา

การวิเคราะห์ตัวเข้ารหัส Linux ของ BleepingComputer แสดงให้เห็นว่ามีชื่อโปรเจ็กต์เป็น 'Esxi_Build_Esxi6' ซึ่งบ่งบอกว่าผู้โจมตีออกแบบมาเพื่อกำหนดเป้าหมายไปยัง VMware ESXi เซิร์ฟเวอร์โดยเฉพาะ

ตัวอย่างเช่น ไฟล์ซอร์สโค้ดของโปรเจ็กต์ไฟล์หนึ่งคือ /mnt/d/vcprojects/Esxi_Build_Esxi6/argh.

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดตัวเครื่องมือใหม่ชื่อว่า 'Snappy' ที่สามารถช่วยตรวจจับจุดเชื่อมต่อ WiFi ปลอม หรือหลอกลวงที่พยายามขโมยข้อมูลที่ถูกติดตั้งจากผู้ไม่หวังดี

โดยผู้โจมตีสามารถสร้างจุดเชื่อมต่อปลอมในซูเปอร์มาร์เก็ต, ร้านกาแฟ และห้างสรรพสินค้า เพื่อหลอกว่าเป็น access points จริงที่ติดตั้งไว้แล้วในสถานที่นั้น ซึ่งเป็นการทำขึ้นเพื่อหลอกให้ผู้ใช้เชื่อมต่อกับจุดเชื่อมต่อที่เป็นอันตราย และส่งต่อข้อมูลที่มีความสำคัญผ่านอุปกรณ์ของผู้โจมตี

ในขณะที่ผู้โจมตีควบคุมเราเตอร์ไว้ ทำให้สามารถดักจับภาพหน้าจอ ทำการวิเคราะห์ข้อมูล และส่งข้อมูลออกไปได้ ผ่านการโจมตีแบบ MiTM (Man-in-the-middle attacks.

Cybersecurity & Infrastructure Security Agency (CISA) ของสหรัฐอเมริกา ได้เพิ่มช่องโหว่ที่ส่งผลกระทบต่อโทรศัพท์มือถือ Samsung จำนวนหลายรายการลงในแคตตาล็อกของช่องโหว่ที่มีข้อมูลว่ากำลังถูกใช้ในการโจมตี (Known Exploited Vulnerabilities Catalog) และปัจจุบันช่องโหว่ดังกล่าวพบว่ากำลังถูกใช้ในการโจมตีจาก Spyware

ในวันพฤหัสบดีที่ผ่านมา CISA ได้เพิ่มช่องโหว่ใหม่ 8 รายการลงในแคตตาล็อก ซึ่งรวมถึงช่องโหว่ของเราเตอร์ และ access point ของ D-Link ที่ถูกใช้ประโยชน์โดย Mirai botnet และยังมีช่องโหว่ความปลอดภัยที่เหลืออีก 6 รายการที่ส่งผลกระทบต่ออุปกรณ์มือถือ Samsung และทั้งหมดได้รับการแก้ไขไปแล้วในปี 2021

ช่องโหว่ดังกล่าวรวมถึง CVE-2021-25487 ที่เป็นช่องโหว่ out-of-bounds read ใน modem interface driver ที่อาจทำให้สามารถสั่งรันโค้ดที่เป็นอันตรายได้โดยไม่ได้รับอนุญาต ซึ่งได้รับการแก้ไขไปแล้วตั้งแต่เดือนตุลาคม 2021 แม้ว่า Samsung จะจัดระดับความรุนแรงของช่องโหว่อยู่ในระดับ 'ปานกลาง' แต่คำแนะนำของ NVD ระบุว่าเป็นช่องโหว่ 'ระดับความรุนแรงสูง' ตามคะแนน CVSS

แพตซ์อัปเดตรอบเดียวกันในเดือนตุลาคม 2021 ยังรวมถึงการแก้ไขช่องโหว่ CVE-2021-25489 ซึ่งเป็นช่องโหว่ของ format string ที่มีระดับความรุนแรงต่ำใน modem interface driver ซึ่งอาจนำไปสู่เงื่อนไขการโจมตีแบบ DoS ได้

CISA ยังเพิ่มช่องโหว่ CVE-2021-25394 และ CVE-2021-25395 ซึ่งเป็นช่องโหว่ระดับ 'ปานกลาง' ที่เกี่ยวข้องกับช่องโหว่ use-after-free ใน MFC charger driver และทั้ง 2 ช่องโหว่ได้รับการแก้ไขโดย Samsung ในเดือนพฤษภาคม 2021

2 ช่องโหว่ที่เหลือคือ CVE-2021-25371 เป็นช่องโหว่ระดับ 'ปานกลาง' ที่ทำให้ผู้โจมตีสามารถโหลดไฟล์ ELF ที่ไม่เกี่ยวข้องภายใน DSP driver ได้ และ CVE-2021-25372 เป็นช่องโหว่ out-of-bounds access ระดับ 'ปานกลาง' ใน DSP driver เช่นเดียวกัน ซึ่งทั้ง 2 ช่องโหว่ได้รับการแก้ไขไปแล้วในเดือนมีนาคม 2021

ยังไม่มีรายงานที่อธิบายวิธีการโจมตีช่องโหว่ของอุปกรณ์มือถือ Samsung ที่ถูกเพิ่มในรายการ 'must-patch' ของ CISA ในสัปดาห์นี้ อย่างไรก็ตาม มีความเป็นไปได้ที่ช่องโหว่เหล่านี้กำลังถูกใช้ประโยชน์โดย Spyware

Samsung และ CISA ได้เตือนผู้ใช้งานเกี่ยวกับช่องโหว่ CVE-2023-21492 ที่เกี่ยวข้องกับ kernel pointer exposure ที่เกี่ยวข้องกับ log files ซึ่งอาจทำให้ผู้โจมตีที่มีสิทธิสูงในระบบ สามารถละเลยเทคนิคการป้องกันการโจมตีแบบ ASLR ได้

นักวิจัยจาก Google ผู้พบช่องโหว่ CVE-2023-21492 ได้ระบุว่าช่องโหว่นี้เป็นช่องโหว่ที่เป็นรู้จักมาตั้งแต่ปี 2021

นอกจากนี้ ในเดือนพฤศจิกายน 2022 Google ได้เปิดเผยรายละเอียดของช่องโหว่ในโทรศัพท์ Samsung 3 รายการที่คล้ายกันกับ CVE ปี 2021 ซึ่งได้ถูกใช้ประโยชน์จาก Spyware

ช่องโหว่ทั้ง 3 รายการที่เปิดเผยในเดือนพฤศจิกายน 2022 ได้รับการแก้ไขไปแล้วตั้งแต่เดือนมีนาคม 2021 นอกจากนี้ Google ยังได้ระบุว่าได้รับทราบช่องโหว่อื่น ๆ ของ Samsung อีกหลายช่องโหว่ที่มีรหัสระบุ CVE ในปี 2021 ซึ่งถูกนำมาใช้ประโยชน์ในการโจมตี ถือเป็นข้อมูลที่แสดงให้เห็นว่าช่องโหว่ที่ CISA เพิ่มในรายการในสัปดาห์นี้ได้ถูกใช้ประโยชน์จาก Spyware ซึ่งพฤติกรรมดังกล่าวได้รับการตรวจสอบโดย Google

โดยทวีตจาก Maddie Stone นักวิจัยของ Google Project Zero ที่ยืนยันว่าช่องโหว่ทั้งหมดของ Samsung ถูกค้นพบโดยเป็นส่วนหนึ่งของการวิจัยเดียวกัน และได้ถูกเพิ่มลงใน Google’s zero-day exploitation tracker ของ Google สำหรับปี 2021

อ้างอิง : https://www.

มีการเปิดเผยช่องโหว่ SQL injection หลายรายการใน Gentoo Soko ที่อาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) บนระบบที่มีช่องโหว่ได้

Thomas Chauchefoin นักวิจัยจาก SonarSource ระบุว่าช่องโหว่ SQL Injections เหล่านี้เกิดขึ้นจากการใช้งาน ORM (Object-Relational Mapping) library และ prepared statements รวมถึง misconfiguration ของ database

ช่องโหว่ที่พบอยู่ในฟีเจอร์การค้นหาของ Soko ซึ่งมีหมายเลข CVE-2023-28424 (คะแนน CVSS: 9.1) และได้รับการแก้ไขภายใน 24 ชั่วโมงหลังจากการเปิดเผยข้อมูลออกมาเมื่อวันที่ 17 มีนาคม 2023

Soko เป็นโมดูลซอฟต์แวร์ภาษา Go ที่มีความสามารถในการค้นหาแพ็คเกจต่าง ๆ ใน Gentoo Linux distribution ผ่าน packages.

นักวิจัยเปิดเผยเวอร์ชันอัปเดตของมัลแวร์ Rustbucket บนระบบปฏิบัติการ Apple macOS ที่มาพร้อมความสามารถที่ดีขึ้น และสามารถหลบเลี่ยงการตรวจจับโดยซอฟต์แวร์รักษาความปลอดภัย

นักวิจัยจาก Elastic Security Labs ระบุในรายงานที่เผยแพร่ในสัปดาห์นี้ว่า Rustbucket เป็นมัลแวร์ที่มีเป้าหมายเป็นระบบ macOS ที่เพิ่มความสามารถในการโจมตีที่ไม่เคยพบมาก่อน โดยใช้โครงสร้างพื้นฐานของเครือข่ายแบบไดนามิกในการควบคุม และสั่งการ

RustBucket เป็นผลงานของกลุ่มผู้โจมตีจากเกาหลีเหนือที่รู้จักในนาม "BlueNoroff" ซึ่งเป็นส่วนหนึ่งของกลุ่มโจมตีขนาดใหญ่ในชื่อ Lazarus Group ซึ่งเป็นกลุ่มแฮ็กเกอร์ภายใต้การกำกับดูแลของหน่วยงาน Reconnaissance General Bureau, RGB

payload ที่สองของมัลแวร์ (second-stage malware) ที่ถูกเขียนด้วยภาษา Swift ซึ่งถูกออกแบบให้ดาวน์โหลดมาจากเซิร์ฟเวอร์ command-and-control (C2) ส่วนมัลแวร์หลักคือไบนารีที่ใช้ภาษา Rust มีคุณสมบัติในการเก็บรวบรวมข้อมูลอย่างละเอียด รวมถึงดึง และเรียกใช้ไบนารี Mach-O หรือ shell scripts บนระบบที่ถูกโจมตี

เป็นครั้งแรกที่มัลแวร์ BlueNoroff มีเป้าหมายเป็นผู้ใช้ macOS โดยเฉพาะ แม้ว่าจะมีเวอร์ชันของ RustBucket ใน .NET ที่มีฟีเจอร์ที่คล้ายกัน

บริษัทความปลอดภัยทางไซเบอร์จากฝรั่งเศส Sekoia ระบุในการวิเคราะห์แคมเปญ RustBucket เมื่อสิ้นเดือนพฤษภาคม 2023 ว่ากิจกรรมของ Bluenoroff ล่าสุดนี้ทำให้เห็นว่าผู้โจมตีพยายามใช้ภาษาที่สามารถรองรับหลายแพลตฟอร์มในการพัฒนามัลแวร์ เพื่อขยายความสามารถ ซึ่งมีความเป็นไปได้สูงที่จะขยายขอบเขตของกลุ่มเป้าหมาย

ลำดับการโจมตีประกอบด้วยไฟล์ติดตั้งบน macOS ที่ติดตั้งโปรแกรมอ่านไฟล์ PDF ซึ่งจะถูกแฝงโปรแกรม backdoor และยังคงใช้งานโปรแกรมได้ตามปกติ สิ่งที่สำคัญในการโจมตี คือ malicious activity จะถูกเรียกใช้เมื่อไฟล์ PDF ที่ถูกใส่ในโปรแกรมตัวอ่าน PDF ที่อันตรายเปิดใช้งาน มัลแวร์จะเริ่มการโจมตีเบื้องต้น รวมถึงอีเมลฟิชชิ่ง และการสร้างข้อมูลปลอมบน social networks เช่น LinkedIn

จาการสังเกตการโจมตี มีลักษณะเป็นการเจาะจง และเน้นไปที่สถาบันทางการเงินที่อยู่ในเอเชีย ยุโรป และสหรัฐอเมริกา โดยการโจมตีนี้เน้นการสร้างรายได้อย่างผิดกฏหมายเพื่อหลีกเลี่ยงบทลงโทษตามกฎหมาย

สิ่งที่ทำให้การตรวจพบเวอร์ชันใหม่
([hxxps[:]//www[.]virustotal.

ปัจจุบันมีจำนวนเว็บไซต์ WordPress มากถึง 200,000 เว็บไซต์ที่มีความเสี่ยงต่อการโจมตีโดยใช้ช่องโหว่ด้านความปลอดภัยระดับ Critical ที่ยังไม่ได้รับการแก้ไขในปลั๊กอิน Ultimate Member

ช่องโหว่นี้มีหมายเลข CVE-2023-3460 (คะแนน CVSS: 9.8) มีผลกระทบต่อเวอร์ชันทั้งหมดของปลั๊กอิน Ultimate Member รวมถึงเวอร์ชันล่าสุด (เวอร์ชัน 2.6.6) ที่ปล่อยออกมาเมื่อวันที่ 29 มิถุนายน 2023

Ultimate Member เป็นปลั๊กอินที่ได้รับความนิยมสำหรับการสร้างโปรไฟล์ผู้ใช้งาน และชุมชนบนเว็บไซต์ WordPress โดยยังมีฟีเจอร์การจัดการบัญชีให้ใช้งานอีกด้วย

WPScan บริษัทความปลอดภัยของ WordPress ได้แจ้งเตือนว่า "ช่องโหว่ดังกล่าวมีความอันตรายมาก เนื่องจากผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์อาจใช้ช่องโหว่นี้เพื่อสร้างบัญชีผู้ใช้ใหม่ที่มีสิทธิ์ของผู้ดูแลระบบ ซึ่งจะทำให้พวกเขามีสิทธิ์ในการควบคุมเว็บไซต์ที่ได้รับผลกระทบ"

แม้ว่าจะยังไม่มีรายละเอียดเกี่ยวกับช่องโหว่ แต่ช่องโหว่นี้เกิดจาก blocklist logic ที่ไม่เหมาะสม ซึ่งถูกนำเข้ามาเพื่อเปลี่ยนค่าของ wp_capabilities ในข้อมูลของผู้ใช้งานใหม่ให้เป็นผู้ดูแลระบบ และทำให้ผู้โจมตีได้รับสิทธิ์การเข้าถึงเต็มรูปแบบของเว็บไซต์

นักวิจัยจาก Wordfence ชื่อ Chloe Chamberland ระบุว่า "แม้ว่าปลั๊กอินจะมีรายการคีย์ที่ถูกห้ามตามที่กำหนดไว้ล่วงหน้า ซึ่งผู้ใช้งานไม่ควรสามารถอัปเดตได้ แต่ก็มีวิธีเล็ก ๆ น้อย ๆ ในการเลี่ยงผ่านการตรวจสอบ เช่นการใช้ตัวอักษรต่าง ๆ, slashes และการเข้ารหัสตัวอักษรในค่า meta key ที่มีช่องโหว่ในเวอร์ชันของปลั๊กอิน"

ช่องโหว่นี้ถูกเปิดเผยขึ้นภายหลังจากที่มีรายงานเกี่ยวกับการเพิ่มบัญชีผู้ดูแลระบบที่ไม่ถูกต้องไปยังเว็บไซต์ที่ได้รับผลกระทบ ส่งผลให้ผู้ดูแลปลั๊กอินต้องออกเวอร์ชันแก้ไขบางส่วนในเวอร์ชัน 2.6.4, 2.6.5, และ 2.6.6 โดยการอัปเดตใหม่คาดว่าจะถูกปล่อยในเร็ว ๆ นี้

Ultimate Member ระบุในบันทึกการอัปเดตว่า "ช่องโหว่ในการยกระดับสิทธิพิเศษที่ใช้ผ่าน UM Forms ทำให้ผู้โจมตีสามารถสร้างผู้ใช้งาน WordPress ระดับผู้ดูแลระบบได้"

WPScan ระบุว่าการแก้ไขช่องโหว่ยังไม่สมบูรณ์ และพบวิธีการหลีกเลี่ยงการตรวจสอบที่สามารถใช้ได้ ซึ่งหมายความว่าช่องโหว่ยังคงสามารถถูกนำมาใช้ประโยชน์ในการโจมตีได้อย่างต่อเนื่อง

ในการโจมตีที่ตรวจพบ ช่องโหว่ถูกนำมาใช้ในการลงทะเบียนบัญชีใหม่ในชื่อ apadmins, se_brutal, segs_brutal, wpadmins, wpengine_backup, และ wpenginer เพื่ออัปโหลดปลั๊กอินที่เป็น malware และ themes ผ่านทาง administration panel ของเว็บไซต์

ผู้ใช้งาน Ultimate Member ควรปิดการใช้งานปลั๊กอินจนกว่าจะมีการแก้ไขที่เหมาะสม ในการปิดช่องโหว่ด้านความปลอดภัยได้อย่างสมบูรณ์ นอกจากนี้ยังแนะนำให้ตรวจสอบผู้ใช้งานระดับผู้ดูแลระบบทั้งหมดบนเว็บไซต์เพื่อตรวจสอบว่ามีบัญชีที่ไม่ได้รับอนุญาตถูกเพิ่มเข้ามาหรือไม่

Ultimate Member เวอร์ชัน 2.6.7 ถูกปล่อยออกมาแล้ว

Ultimate Member ได้ปล่อยแพตซ์อัปเดตเวอร์ชัน 2.6.7 ของปลั๊กอิน เมื่อวันที่ 1 กรกฎาคม 2023 เพื่อแก้ไขช่องโหว่การเพิ่มสิทธิ์ที่กำลังถูกนำมาใช้ในการโจมตีอย่างต่อเนื่อง ในมาตรการความปลอดภัยเพิ่มเติม ผู้พัฒนายังวางแผนที่จะเพิ่มคุณสมบัติใหม่ในปลั๊กอินเพื่อให้ผู้ดูแลเว็บไซต์สามารถรีเซ็ตรหัสผ่านสำหรับผู้ใช้งานทั้งหมดได้

ผู้พัฒนาระบุว่า "ในเวอร์ชัน 2.6.7 ได้ทำการเพิ่มรายการที่อนุญาตให้ใช้งานเฉพาะ (whitelisting) สำหรับ meta keys ที่เก็บไว้ขณะที่ sending forms" และยังแยกข้อมูลการตั้งค่าแบบฟอร์ม, ข้อมูลที่ส่งเข้ามาแยกกัน และดำเนินการด้วยตัวแปรสองตัวที่แตกต่างกัน

ที่มา: https://thehackernews.

นักวิเคราะห์ด้านความปลอดภัยพบ remote access trojan (RAT) ชื่อ 'EarlyRAT' ซึ่งถูกใช้งานโดย Andariel ซึ่งเป็นกลุ่มย่อยของกลุ่มแฮ็กเกอร์ Lazarus ของเกาหลีเหนือที่ได้รับการสนับสนุนโดยรัฐบาล

Andariel (หรือที่รู้จักในชื่อ Stonefly) เป็นส่วนหนึ่งของกลุ่มแฮ็กเกอร์ Lazarus ที่รู้จักกันในการใช้ (more…)

Arcserve ผู้ให้บริการด้านการปกป้องข้อมูล ได้ออกแพตซ์อัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับสูงใน Unified Data Protection (UDP) ที่มีหมายเลข CVE-2023-26258 ที่ทำให้สามารถหลีกเลี่ยงการตรวจสอบสิทธิ์ และได้รับสิทธิ์ของผู้ดูแลระบบได้

Arcserve Unified Data Protection (UDP) เป็นโซลูชันการป้องกันข้อมูล และแรนซัมแวร์ที่ (more…)