Google ได้ประกาศแพตช์อัปเดตให้กับเบราว์เซอร์ Google Chrome เพื่อแก้ไขช่องโหว่ Zero-day ที่มีระดับความรุนแรงสูง

รายละเอียดของ Zero-day

โดยปกติแล้ว Google จะไม่มีการเปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่ Zero-day จนกว่าผู้ใช้งาน Chrome ส่วนใหญ่จะได้รับการอัปเดต

ซึ่งช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-2856 เป็นช่องโหว่ที่มีระดับความรุนแรงสูง เนื่องจากเป็นช่องโหว่เรื่องการตรวจสอบอินพุตในฟีเจอร์ที่เรียกแอปพลิเคชัน และบริการเว็บโดยตรงจากหน้าเว็บเพจ

การตรวจสอบความถูกต้องของอินพุตที่ไม่เหมาะสมในซอฟต์แวร์สามารถนำไปสู่ buffer overflow , directory traversal , SQL injection , cross-site scripting, null byte injection และอื่นๆ

ช่องโหว่นี้ถูกค้นพบ และรายงานโดย Ashley Shen และ Christian Resell ซึ่งเป็นสมาชิกของ Google Threat Analysis Group (TAG)

การอัปเดตครั้งนี้ถือเป็นช่องโหว่ Zero-day ครั้งที่ 5 นับตั้งแต่ต้นปี โดยช่องโหว่ zero-day 4 รายการก่อนหน้านี้ที่ถูกพบ และแก้ไขไปแล้วในปี 2565 ได้แก่ :

CVE-2022-0609 - Use-after-free in Animation – February 14

CVE-2022-1096 - Type confusion in V8 – March 25

CVE-2022-1364 - Type confusion in V8 – April 14

CVE-2022-2294 - Heap buffer overflow in WebRTC – July 4

Google แนะนำให้ผู้ใช้งานอัปเดตเป็นเวอร์ชัน 104.0.5112.101 สำหรับ macOS และ Linux และเวอร์ชัน 104.0.5112.102/101 สำหรับ Windows เพื่อลดความเสี่ยงจากการถูกโจมตีที่อาจเกิดขึ้นกับผู้ใช้งานเบราว์เซอร์ที่ใช้ Chromium เช่น Microsoft Edge, Brave, Opera และ Vivaldi จึงแนะนำให้ผู้ใช้งานทำการการอัปเดตเวอร์ชันก่อนการใช้งาน

ที่มา : bleepingcomputer

พบช่องโหว่ authentication bypass ใน Zimbra Email ที่กำลังถูกใช้ในการโจมตีเซิร์ฟเวอร์อีเมล Zimbra Collaboration Suite (ZCS) หลายแห่งทั่วโลก

Zimbra เป็นแพลตฟอร์มอีเมลที่ใช้ในธุรกิจมากกว่า 200,000 แห่งจากกว่า 140 ประเทศ รวมถึงหน่วยงานภาครัฐ และภาคการเงินมากกว่า 1,000 แห่ง

Volexity บริษัทข่าวกรองด้านภัยคุกคามเปิดเผยว่า กำลังพบการโจมตีโดยใช้ช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลของ ZCS ซึ่งมีหมายเลข CVE-2022-27925 ร่วมกับช่องโหว่ authentication bypass ที่มีหมายเลข CVE-2022-37042 ซึ่งปัจจุบัน Zimbra ออกแพตซ์สำหรับแก้ไขช่องโหว่ออกมาแล้วในวันที่ 10 สิงหาคม 2565

Volexity ระบุว่าช่องโหว่นี้ถูกใช้ในลักษณะที่เหมือนกับช่องโหว่ zero-day ของ Microsoft Exchange ที่ถูกพบเมื่อต้นปี 2564 ซึ่งหากโจมตีได้สำเร็จ ผู้โจมตีจะสามารถติดตั้ง web shells บนเซิร์ฟเวอร์ที่ถูกโจมตี เพื่อให้สามารถกลับเข้ามาควบคุมเครื่องได้ตลอดเวลา หากผู้ใช้งานมีการใช้งาน Zimbra เวอร์ชัน 8.8.15 patch 33 หรือ Zimbra 9.0.0 patch 26 ควรรีบอัปเดตแพตช์เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

เซิร์ฟเวอร์มากกว่า 1,000 แห่งอาจกำลังถูกบุกรุก

หลังจากมีหลักฐานจากการตรวจสอบเซิร์ฟเวอร์อีเมล Zimbra ที่ถูกโจมตีโดยใช้ช่องโหว่ CVE-2022-27925 และช่องโหว่ authentication bypass CVE-2022-37042

Volexity จึงได้ทำการสแกนเพื่อระบุอินสแตนซ์ของ ZCS กว่า 1,000 รายการทั่วโลกที่มีช่องโหว่ และคาดว่าน่าจะถูกโจมตีไปแล้ว โดยสังเกตจากข้อมูล web shells ที่ถูกติดตั้งไว้บนระบบ ซึ่งอินสแตนซ์ ZCS เหล่านี้เป็นขององค์กรระดับโลกหลายแห่ง รวมถึงหน่วยงาน และกระทรวงของรัฐบาล หน่วยงานทหาร และธุรกิจทั่วโลกที่มีรายได้หลายพันล้านดอลลาร์

โดย Volexity ระบุว่าได้รายงานข้อมูลทั้งหมดไปยัง Zimbra และทีม Computer Emergency Response Team (CERTs) ในแต่ละประเทศที่พบว่ามีองค์กรถูกโจมตี โดยปัจจุบัน Zimbra ได้ออกแพตซ์อัปเดตเวอร์ชัน 8.8.15 patch 33 และ Zimbra 9.0.0 patch 26 ผู้ดูแลระบบควรอัปเดตแพตช์เซิร์ฟเวอร์ทันทีเพื่อป้องกันการถูกการโจมตี

นอกจากนี้ CISA ได้มีการเพิ่มช่องโหว่ของ Zimbra ที่มีระดับความรุนแรงสูงอีก 1 รายการ ที่มีหมายเลข CVE-2022-27924 ไปยัง Known Exploited Vulnerabilities Catalog ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ได้ผ่านการตรวจสอบสิทธิ์สามารถขโมยข้อมูลประจำตัวของผู้ใช้งานออกไปได้

ที่มา: bleepingcomputer

มีการเปิดเผย Exploit code สำหรับโจมตีช่องโหว่ระดับ Critical บนอุปกรณ์ Network ที่ใช้ RTL819x system on a chip (SoC) ของ Realtek ทำให้อาจส่งผลกระทบกับอุปกรณ์ต่าง ๆ จำนวนมาก

ช่องโหว่นี้มีหมายเลข CVE-2022-27255 โดยผู้โจมตีสามารถใช้ช่องโหว่นี้ในการเข้าควบคุมอุปกรณ์จากหลายผู้ผลิต (OEMs) ตั้งแต่ Router, Access Point ไปจนถึง Signal Repeater

นักวิจัยด้านความปลอดภัยจากบริษัท Faraday Security ในอาร์เจนตินา ค้นพบช่องโหว่ใน Realtek SDK สำหรับ Open-Source eCos Operating System และได้เปิดเผยรายละเอียดทางเทคนิคในสัปดาห์ที่ผ่านมาในงานประชุม DEFCON

นักวิจัยทั้งสี่ราย (Octavio Gianatiempo, Octavio Galland, Emilio Couto, Javier Aguinaga) ที่ได้รับเครดิตจากการค้นพบช่องโหว่นี้ เป็นนักศึกษาสาขาวิทยาการคอมพิวเตอร์ที่มหาวิทยาลัยบัวโนสไอเรส

รายงานของพวกเขาครอบคลุมทั้งหมดตั้งแต่การเลือกเป้าหมายเพื่อวิเคราะห์ Firmware การเจาะช่องโหว่ และการทำระบบอัตโนมัติสำหรับตรวจสอบช่องโหว่บน Firmware อื่น ๆ ซึ่งนำไปสู่การค้นพบปัญหาทางด้านความปลอดภัยดังกล่าว

CVE-2022-27255 เป็นช่องโหว่ประเภท Stack-based Buffer Overflow ที่มีระดับความรุนแรง 9.8 ซึ่งทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายได้โดยไม่ต้องยืนยันตัวตน โดยการใช้ SIP packets ที่สร้างขึ้นมาเป็นพิเศษโดยมีโค้ดอันตรายฝังไว้ในข้อมูล SDP

Realtek ได้แก้ไขช่องโหว่นี้ในเดือนมีนาคม ซึ่งช่องโหว่มีผลกระทบกับอุปกรณ์เวอร์ชัน rtl819x-eCos-v0.x และ rtl819x-eCos-v1.x โดยคาดว่าช่องโหว่น่าจะถูกใช้งานผ่านทาง WAN interface

นักวิจัยทั้งสี่จาก Faraday Security ได้สร้าง Proof-of-Concept (PoC) Exploit code สำหรับ CVE-2022-27255 ที่ทำงานได้บน Nexxt Nebula 300 Plus Router โดยพวกเขายังได้แชร์วิดีโอที่แสดงให้เห็นว่าผู้โจมตีสามารถเข้าควบคุมอุปกรณ์ได้แม้ฟีเจอร์ Remote Management จะถูกปิดอยู่

นักวิจัยยังระบุอีกว่า CVE-2022-27255 นั้นเป็นช่องโหว่แบบ Zero-Click ซึ่งหมายความว่าการใช้ประโยชน์จากช่องโหว่นี้สามารถเกิดขึ้นได้โดยไม่ต้องมีการโต้ตอบใด ๆ จากผู้ใช้งาน และอาจเกิดขึ้นได้โดยผู้ใช้งานไม่รู้ตัว

ผู้โจมตีสามารถโจมตีช่องโหว่นี้ได้เพียงแค่รู้ข้อมูล External IP Address ของอุปกรณ์ที่มีช่องโหว่เท่านั้น

Johannes Ullrich นักวิจัยจาก SANS กล่าวว่า ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ในการทำสิ่งต่าง ๆ ดังนี้

ทำให้อุปกรณ์พังเสียหาย
รันโค้ดบนอุปกรณ์ได้ตามที่ต้องการ
สร้าง Backdoor เพื่อสามารถกลับมาเข้าถึงอุปกรณ์ได้ในภายหลัง
เปลี่ยนเส้นทางของ Network Traffic
ดักข้อมูลจาก Network Traffic

หากช่องโหว่ CVE-2022-27255 ถูกนำไปใช้ในการแพร่กระจาย Worm อาจจะทำให้สามารถแพร่กระจายไปทั่วเครือข่าย Internet ได้ภายในไม่กี่นาที
ถึงแม้ว่าแพตซ์แก้ไขจะถูกปล่อยออกมาแล้วเมื่อเดือนมีนาคม แต่ช่องโหว่ที่มีผลกระทบกับอุปกรณ์จำนวนหลักล้านอุปกรณ์นั้น การจะแก้ไขให้ทั่วถึงทุกอุปกรณ์นั้นเป็นไปได้ยาก เนื่องจากหลาย ๆ Vendor นั้นใช้ Realtek SDK ที่มีช่องโหว่บน RTL819x SoC เป็นส่วนใหญ่ และยังไม่ได้ออก Firmware มาเพื่ออัปเดต

ยังไม่เป็นที่แน่ชัดว่ามีอุปกรณ์ Network จำนวนเท่าไรที่ใช้งานชิป RTL819x แต่อุปกรณ์ที่ใช้ชิปเวอร์ชัน RTL819xD นั้นพบในอุปกรณ์จากมากกว่า 60 Vendors เช่น ASUSTek, Belkin, Buffalo, D-Link, Edimax, TRENDnet, และ Zyxel

นักวิจัยระบุข้อมูลเพิ่มเติมดังนี้

อุปกรณ์ที่ใช้ Firmware ที่สร้างจาก Realtek eCOS SDK ก่อนเดือนมีนาคม 2022 นั้นมีช่องโหว่
อุปกรณ์มีช่องโหว่ถึงแม้ว่าจะไม่ได้มีการเปิดให้เข้าถึง admin interface
ผู้โจมตีอาจใช้ UDP เพียง Packet เดียว ที่ส่งผ่านทาง Port ใดก็ได้เพื่อโจมตีช่องโหว่
ช่องโหว่นี้ส่งผลกระทบกับ Router เป็นส่วนใหญ่ แต่อุปกรณ์ IoT ที่ใช้ Firmware จาก Realtek SDK ก็อาจจะได้รับผลกระทบด้วยเช่นเดียวกัน

นักวิจัยได้สร้าง Snort rule ที่สามารถตรวจสอบช่องโหว่นี้ได้ มันจะตรวจหาข้อความ “INVITE” ที่มีสตริง "m=audio" และจะแจ้งเตือนเมื่อสตริงมีขนาดมากกว่า 128 bytes และไม่มี Carriage Return (128 bytes เป็นขนาดของ Buffer ที่กำหนดไว้โดย Realtek SDK)

ผู้ใช้งานควรตรวจสอบว่าอุปกรณ์ Network ของตนเองนั้นมีช่องโหว่หรือไม่ และทำการอัปเดต Firmware จาก Vendor ที่ปล่อยออกมาหลังจากเดือนมีนาคมเป็นต้นไป หากเป็นไปได้ นอกเหนือจากนี้องค์กรต่าง ๆ ควรทำการ Block UDP request ที่ไม่ได้มีความจำเป็นต้องเปิดให้มีการเชื่อมต่อ

สไลด์นำเสนอสำหรับงานประชุม DEFCON และสคริปต์สำหรับตรวจสอบช่องโหว่ CVE-2022-27255 สามารถตรวจสอบได้จาก GitHub repository

ที่มา: bleepingcomputer

นักวิจัยจาก Wiz พบช่องโหว่ใน PostgreSQL-as-a-Service จากผู้ให้บริการ Cloud หลายแห่ง เช่น Google Cloud Platform (GCP), Azure รวมไปถึงผู้ให้บริการรายอื่นๆ โดยช่องโหว่สามารถทำให้เกิดการยกระดับสิทธิ role ใน database เป็น cloudsqladmin ได้ จึงทำให้ผู้โจมตีสามารถสั่งรันโค้ดบนระบบปฏิบัติการได้, และยังสามารถยกระดับสิทธิเป็น root โดยใช้เทคนิด symlink attack และสุดท้ายเนื่องจาก container ใช้ network interfaces เดียวกันกับเครื่อง Host นักวิจัยจึงสามารถใช้วิธีการ TCP injection ปลอมแปลง response metadata service ทำให้สามารถควบคุม SSH key ของเครื่อง Host และทำการ remote เข้าเครื่อง Host ได้

PostgreSQL privilege escalation
เริ่มแรก user จะใช้สิทธิ cloudsqlsuperuser ซึ่งจะยังไม่สามารถ execute OS command ได้

เมื่อรวมสองเทคนิคเข้าด้วยกัน ถ้ามีการสร้าง table owner เป็น cloudsqladmin และ ใช้ index function run SQL query ด้วยสิทธิ owner จะทำให้นักวิจัยสามารถรัน OS command อะไรก็ได้โดยใช้ สิทธิของ cloudsqladmin

Local privilege escalation to root
นักวิจัยพบ directory /pgsql ที่ user postgres เป็น owner

ซึ่งภายใน directory จะมีไฟล์ iptables-save ที่ใช้สำหรับ iptables rules ซึ่งมี root เป็น owner

โดยทุกครั้งที่มีการแก้ไข network rule บน Cloud SQL console ไฟล์ iptables-save จะถูกอัปเดตด้วยทุกครั้ง

iptables-save

จากข้อมูลด้านบนทำให้นักวิจัยพบวิธีการโจมตีโดยมีขั้นตอนดังนี้

สร้าง shell shared library ไว้ที่ path ‘1.1.1.1/32’
สร้าง symlink iptables-save ไปที่ /etc/ld.

นักวิจัยด้านความปลอดภัยค้นพบแพ็คเกจ PyPI ปลอมตัวใหม่ที่ชื่อว่า 'secretslib' ที่ถูกออกแบบมาเพื่อวาง fileless cryptominer บนระบบปฏิบัติการ Linux โดย "secretslib" ถูกดาวน์โหลดไปแล้ว 93 ครั้งก่อนที่จะถูกลบ ถูกเผยแพร่ใน Python Package Index (PyPI) ตั้งแต่เมื่อวันที่ 6 สิงหาคม พ.ศ. 2565 Axe Sharma นักวิจัยจาก Sonatype ได้ระบุในรายงานการตรวจสอบว่า แพ็คเกจดังกล่าวจะแอบเรียกใช้ cryptominers บนหน่วยความจำบนเครื่องของเหยื่อโดยตรง ซึ่งเป็นเทคนิคที่มักถูกใช้จากพวก Fileless มัลแวร์ โดยมันจะเรียกใช้ Linux executable file ที่ถูกดาวน์โหลดมาจากเซิร์ฟเวอร์ภายนอกที่ชื่อว่า "memfd" ซึ่งจริงๆแล้วคือ Monero cryptominer

โดยผู้ที่อยู่เบื้องหลังแพ็คเกจดังกล่าวมีการใช้ข้อมูลระบุตัวตน และข้อมูลติดต่อของวิศวกรซอฟต์แวร์ที่น่าเชื่อถือที่ทำงานให้กับ Argonne National Laboratory ซึ่งเป็นห้องปฏิบัติการที่ได้รับทุนสนับสนุนจากกระทรวงพลังงานของสหรัฐฯ เพื่อให้แพ็คเกจดังกล่าวมีความน่าเชื่อถือ เมื่อไม่กี่วันก่อน นักวิจัย Check Point พึ่งค้นพบแพ็คเกจที่เป็นอันตรายอีก 10 แพ็คเกจใน Python Package Index (PyPI) โดยแพ็คเกจจะทำให้ผู้โจมตีสามารถขโมยข้อมูลส่วนตัวของนักพัฒนาได้

ที่มา : thehackernews.

แอปพลิเคชัน Instagram และ Facebook จะมีลิงก์เว็บไซต์ และโฆษณาต่าง ๆ มากมายภายในแอป โดยเมื่อผู้ใช้คลิกลิงก์เพื่อเปิดเว็บไซต์ แอปพลิเคชันจะเปิดเว็บไซต์ผ่านเว็บเบราว์เซอร์ของมันเอง ซึ่งจะมีการแทรกโค้ด JavaScript (connect.

Palo Alto Networks กำลังดำเนินการแก้ไขปัญหาช่องโหว่ที่ผู้ไม่หวังดีสามารถใช้เทคนิค Reflection Amplification ก่อให้เกิดการปฏิเสธการให้บริการ (DoS) ได้ ซึ่งช่องโหว่นี้ส่งผลกระทบกับ PAN-OS ของ Next-Gen Firewall

ลักษณะการทำงาน

ผู้เชี่ยวชาญจาก Palo Alto Networks พบผู้ไม่หวังดีพยายามใช้ Firewall หลากหลายยี่ห้อ ทำการโจมตีแบบ Reflected denial-of-service (RDoS) แต่ไม่ได้ระบุว่าเป็นยี่ห้อใด และมีองค์กรไหนบ้างได้รับผลกระทบ โดยระบุเพียงว่า Firewall ของตนก็ตกเป็นหนึ่งในอุปกรณ์ถูกที่ใช้สำหรับโจมตี โดยช่องโหว่นี้คือ CVE-2022-0028 (คะแนน CVSS 8.6) ซึ่งเกิดจากการตั้งค่าผิดพลาดบนฟีเจอร์ URL Filtering ของ PAN-OS ส่งผลให้ผู้ไม่หวังดีสามารถใช้ช่องโหว่ดังกล่าวสร้าง DoS attack ได้

การโจมตีดังกล่าวเกิดขึ้นได้บน Firewall Palo Alto ทั้ง PA-Series (hardware), VM-Series (virtual) และ CN-Series (container) อย่างไรก็ตาม การโจมตีจำเป็นต้องมีการระบุเป้าหมายที่จะโจมตีด้วย นอกจากนี้การใช้ประโยชน์จากช่องโหว่ดังกล่าวจะเกิดขึ้นได้ก็ต่อเมื่อ Palo Alto มี Configuration ในรูปแบบดังนี้

1. มีการตั้งค่าฟีเจอร์ URL Filtering ที่มีการบล็อคอย่างน้อย 1 category กับ source zone ที่มี external facing interface

2. ไม่ได้มีการเปิดการใช้งาน TCP Syn With Data และ TCP Fast Open ใน Packet-based attack protection ใน Zone Protection profile

3. ไม่ได้มีการเปิดการใช้งาน SYN Cookies ด้วยค่า activation threshold = 0 ใน Flood protection ใน Zone Protection profile

(more…)

Cisco ยืนยันเมื่อวันที่ 10 สิงหาคม 2565 ว่าถูกกลุ่มแรนซัมแวร์ Yanluowang โจมตีเครือข่ายขององค์กรเมื่อปลายเดือนพฤษภาคม และผู้โจมตีมีการข่มขู่ว่าจะเผยแพร่ไฟล์ที่ถูกขโมยออกไปจากโฟลเดอร์ Box ที่เชื่อมต่อกับบัญชีของพนักงานที่ถูกโจมตี และในวันเดียวกันนี้ ผู้โจมตีได้เผยแพร่ตัวอย่างรายการไฟล์ที่ได้ขโมยออกมาจาก Cisco บน Dark Web

ข้อมูลประจำตัวของพนักงานที่ถูกขโมย และถูกใช้ในการโจมตีเครือข่ายของ Cisco

กลุ่ม Yanluowang เข้าถึงเครือข่ายของ Cisco โดยการใช้ข้อมูลประจำตัวที่ถูกขโมยมาจากพนักงาน หลังจากสามารถเข้าถึงบัญชี Google ส่วนตัวของพนักงาน และมีข้อมูลข้อมูลประจำตัวบางอย่างถูกเก็บไว้บนเบราว์เซอร์

จากนั้นผู้โจมตีพยายามใช้วิธี voice phishing โดยการแอบอ้างเป็นองค์กรที่น่าเชื่อถือ เพื่อให้พนักงานของ Cisco กดลิงค์ยืนยัน MFA ทำให้ผู้โจมตีจึงสามารถเข้าถึงบัญชี VPN ของพนักงานคนดังกล่าวได้

เมื่อเข้าถึงเครือข่ายของ Cisco ได้แล้ว กลุ่ม Yanluowang จึงเชื่อมต่อเข้าไปยังเซิร์ฟเวอร์ Citrix และ domain controllers เพื่อให้ได้รับสิทธิ์ในการเข้าควบคุมระบบ

หลังจากได้รับสิทธิ์ผู้ดูแลระบบบนโดเมนแล้ว ผู้โจมตีมีการใช้เครื่องมือต่างๆ เช่น ntdsutil, adfind และ secretsdump เพื่อเก็บรวบรวมข้อมูลเพิ่มเติม และพยายามติดตั้งเพย์โหลดของมัลแวร์ไปยังระบบที่ถูกโจมตี รวมถึงแบ็คดอร์ด้วย

สุดท้าย Cisco สามารถตรวจพบ และจัดการผู้โจมตีออกจากระบบได้ แต่ยังมีการพยายามในการกลับมาโจมตีอีกครั้งในสัปดาห์ถัดไป แต่ยังไม่สำเร็จ

(more…)

AWS CodeArtifact ทำหน้าที่เป็น private repository เพื่อเก็บ software package ที่ใช้ภายในองค์กร

CodeArtifact มีช่องโหว่ที่หากผู้โจมตีทราบชื่อ package ที่ใช้ภายใน แล้วนำ malicious package ที่เป็นชื่อเดียวกันแต่มีเลข version สูงกว่า upload ไปยัง public repository เมื่อ package manager จะ install package ตัว CodeArtifact จะไปดึง malicious package จาก public repository แทนที่จะเป็น internal package ที่ถูก upload ไว้ใน CodeArtifact

วิธีการแก้ไข

ตั้งแต่เดือนพฤษภาคม 2022 เป็นต้นมา AWS เพิ่ม feature ใหม่ Package Origin Controls โดย Default package ที่ถูก upload ไปยัง CodeArtifact เมือมี package manager install ตัว CodeArtifact จะไม่ดึง package ที่มีชื่อเดียวกันจาก public repository เพื่อป้องกันการโจมตีในลักษณะ dependency confusion

สำหรับ package ทีถูก upload ไปก่อนหน้าพฤษภาคม 2022 ต้องแก้ Origin controls Upstream เป็น Block

ที่มา: zego.

Cisco ได้แก้ไขช่องโหว่ที่มีระดับความรุนแรงสูงซึ่งส่งผลกระทบต่อ Adaptive Security Appliance (ASA) และ Firepower Threat Defense (FTD)

ช่องโหว่มีหมายเลข CVE-2022-20866 โดยเป็นช่องโหว่ที่เกิดจากการจัดการ RSA keys บนอุปกรณ์ ASA และ FTD

หากสามารถโจมตีได้สำเร็จ ผู้โจมตีที่ไม่จำเป็นต้องมีการตรวจสอบสิทธิ์ สามารถเข้าถึง RSA private keys ได้ ซึ่งทำให้ผู้โจมตีสามารถอ่านข้อมูลที่ถูกเข้ารหัสระหว่างการรับส่งข้อมูลของอุปกรณ์ หรือปลอมแปลงเป็นอุปกรณ์ Cisco ASA/FTD ได้

ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Cisco ASA (9.16.1 ขึ้นไป) หรือ Cisco FTD (7.0.0 ขึ้นไป) ได้แก่

ASA 5506-X with FirePOWER Services
ASA 5506H-X with FirePOWER Services
ASA 5506W-X with FirePOWER Services
ASA 5508-X with FirePOWER Services
ASA 5516-X with FirePOWER Services
Firepower 1000 Series Next-Generation Firewall
Firepower 2100 Series Security Appliances
Firepower 4100 Series Security Appliances
Firepower 9300 Series Security Appliances
Secure Firewall 3100

ที่มา : bleepingcomputer.