Google ได้ออกแพตซ์อัปเดตบน Chrome เวอร์ชัน 103.0.5060.114 สำหรับผู้ใช้ Windows เพื่อแก้ไขช่องโหว่ Zero-day ที่มีระดับความรุนแรงสูง ซึ่งเป็น Zero-day ตัวที่ 4 ในปี 2565

ปัจจุบัน Chrome เวอร์ชัน 103.0.5060.114 มีการอัปเดตโดยอัตโนมัติเรียบร้อยแล้ว โดย Google ระบุว่าอาจต้องใช้เวลาหลายวัน หรือหลายสัปดาห์กว่ากลุ่มผู้ใช้งานจะสามารถอัปเดตได้ครบทั้งหมด BleepingComputer ทำการตรวจสอบการอัปเดตโดยไปที่เมนู Chrome menu > Help > About Google Chrome เว็บเบราว์เซอร์จะตรวจสอบการอัปเดตใหม่ และติดตั้งโดยอัตโนมัติ

รายละเอียดการโจมตียังไม่ได้มีการเปิดเผย
ช่องโหว่ zero-day ที่ได้รับการแก้ไขในวันนี้ (CVE-2022-2294) เป็นช่องโหว่ heap-based buffer overflow ที่มีความรุนแรงสูงใน WebRTC (Web Real-Time Communications) ถูกรายงานโดย Jan Vojtesek จากทีม Avast Threat Intelligence เมื่อวันศุกร์ที่ 1 กรกฎาคม 2565

ผลกระทบจากช่องโหว่ heap overflow อาจทำให้เกิดการหยุดการทำงานของโปรแกรม และการถูกสั่งรันโค้ดที่เป็นอันตราย ไปจนถึงการหลีกเลี่ยงการตรวจจับจากอุปกรณ์ป้องกันด้านความปลอดภัยหากมีการเรียกใช้โค้ดที่เป็นอันตรายระหว่างการโจมตี แม้ว่า Google จะบอกว่าช่องโหว่ zero-day นี้เริ่มถูกใช้ในการโจมตีแล้วในปัจจุบัน แต่ก็ยังไม่ได้เปิดเผยรายละเอียดทางเทคนิค หรือข้อมูลใดๆ Google ระบุว่า “รายละเอียดช่องโหว่จะยังไม่ถูกเปิดเผยจนกว่าผู้ใช้ส่วนใหญ่จะได้รับการอัปเดต"

การแก้ไขช่องโหว่ zero-day ของ Chrome ครั้งที่ 4 ในปีนี้

การอัปเดตครั้งนี้ถือเป็นช่องโหว่ Zero-day ครั้งที่ 4 นับตั้งแต่ต้นปี โดยช่องโหว่ zero-day 3 รายการก่อนหน้านี้ที่ถูกพบ และแก้ไขไปแล้วในปี 2565 ได้แก่:

CVE-2022-1364 - April 14th
CVE-2022-1096 - March 25th
CVE-2022-0609 - February 14th

ช่องโหว่ที่ได้รับการแก้ไขในเดือนกุมภาพันธ์ CVE-2022-0609 ถูกใช้โดยแฮ็กเกอร์ที่ได้รับการสนับสนุนจากเกาหลีเหนือหลายสัปดาห์ก่อนที่จะมีแพตช์อัปเดตออกมาในเดือนกุมภาพันธ์ ตามรายงานของ Google Threat Analysis Group (TAG) โดยการโจมตีครั้งแรกถูกพบเมื่อวันที่ 4 มกราคม พ.ศ. 2565

ที่มา : bleepingcomputer

รายละเอียดการโจมตี
เมื่อวันที่ 3 กรกฎาคมที่ผ่านมา บัญชี Twitter และ YouTube ของกองทัพอังกฤษ ถูกผู้ไม่หวังดีแฮ็กเพื่อทำการโปรโมทเว็บไซต์ Non-Fungible Tokens (NFTs) และ crypto ปลอม

โดยบัญชี YouTube นั้น มีการเปลี่ยนชื่อเป็น Ark Invest และถ่ายทอดสดคลิป "Ark Invest" ที่เป็นคลิปเก่าของ Elon Musk เพื่อหลอกให้เป้าหมายเข้าไปยังเว็บสกุลเงินดิจิทัล

ส่วน Official Account บน Twitter กลุ่มแฮ็กเกอร์ได้ทำการเปลี่ยนชื่อ เป็น "pssssd" โดยมีการเปลี่ยนแปลงรูปภาพส่วนหัว และโปรไฟล์ หลังจากนั้นเริ่มทำการรีทวีทลิงค์ที่ไปยังเว็บไซต์ crypto ปลอมเช่นกัน

ในครั้งนี้ บัญชี Twitter ของกองทัพอังกฤษที่ถูกแฮ็กนั้น เป็นบัญชีที่มี "blue badge" ซึ่งปกติการได้รับ blue badge ไม่ใช่เรื่องง่าย ผู้ใช้ Twitter จะต้องสมัครเพื่อยืนยัน และส่งเอกสารประกอบเพื่อแสดงว่าเหตุใดบัญชีของพวกเขาถึงควรได้รับ blue badge นอกจากนี้ Twitter จะตรวจสอบบัญชีที่ขอ blue badge ก็ต่อเมื่อเป็นตัวแทนของคนดัง นักการเมือง นักข่าว นักเคลื่อนไหว ผู้มีอิทธิพลที่มีชื่อเสียง และองค์กรภาครัฐและเอกชนเท่านั้น ทำให้เหตุการณ์นี้มีความน่าเชื่อถือมากขึ้น อาจมีผู้ตกเป็นเหยื่อจำนวนมาก

จากเหตุการณ์ดังกล่าว ผู้เชี่ยวชาญจาก BleepingComputer ได้รายงานว่าในช่วงปีที่ผ่านมา บัญชี blue badge มักตกเป็นเป้าหมายหลักของแฮ็กเกอร์ เนื่องจากเป็นบัญชีที่ได้รับการยืนยันจาก Twitter และคลิปที่ชื่อ Ark Invest ของ Elon Musk บน YouTube เคยมีการสตรีมสดในเดือนพฤษภาคมที่ผ่านมา โดยผู้อยู่เบื้องหลังการโจมตีดังกล่าวได้ขโมยเงินไปแล้วกว่า 1.3 ล้านเหรียญสหรัฐ

ปัจจุบัน ยังไม่เป็นที่ทราบแน่ชัดว่าบัญชีโซเชียลมีเดียสองบัญชีของกองทัพอังกฤษถูกแฮ็กพร้อมกันได้อย่างไร และมีใครบ้างตกเป็นเหยื่อครั้งนี้

แนวทางการป้องกัน

เปิดใช้งาน 2FA ทุกครั้งในการเข้าใช้งานระบบ
ตรวจสอบ URL ทุกครั้งก่อนจะพิมพ์ข้อมูลลงบนหน้าเว็บไซต์
ติดตามข่าวสารอย่างสม่ำเสมอ

ที่มา : bleepingcomputer

Open Management Infrastructure (OMI) Agent จะถูกติดตั้งมาโดยอัตโนมัติบน Azure cloud ทุกเครื่องที่เป็นระบบปฏิบัติการ Linux โดยล่าสุดพบว่ามีช่องโหว่ privilege escalation (CVE-2022-29149) และมี CVSS: 7.8 ซึ่งทำให้สามารถยกระดับสิทธ์ของ user บน Linux ได้

บริการบน Azure ที่ได้รับผลกระทบ:

Azure Automation, Azure Diagnostics, Azure HDInsight, Azure Stack Hub, Azure DSC, SCOM, Azure OMS, Azure Security Center (ASC) , Container Monitoring Solution, Sentinel

วิธีแก้ไข:

หากมีการใช้งาน Azure service ที่มีการติดตั้ง OMI ไว้อยู่แล้ว ผู้ใช้งานต้องทำการอัปเดตด้วยตนเอง สามารถดูวิธีการ update patch ได้ที่ https://github.

เมื่อวันพฤหัสบดีทีมรักษาความปลอดภัยของ Jenkins ได้ประกาศช่องโหว่ 34 รายการซึ่งส่งผลกระทบต่อปลั๊กอิน 29 รายการสำหรับ open source automation server ของ Jenkins และช่องโหว่ 29 รายการยังไม่มีการอัปเดตแพตซ์

Jenkins เป็นแพลตฟอร์มที่ได้รับความนิยมอย่างสูง (รองรับปลั๊กอินมากกว่า 1,700 รายการ) ที่องค์กรทั่วโลกใช้ในการสร้าง, ทดสอบ และติดตั้งซอฟต์แวร์

CVSS ของช่องโหว่มีตั้งแต่ระดับความรุนแรงต่ำไปจนถึงระดับสูง และจากสถิติของ Jenkins ปลั๊กอินที่ได้รับผลกระทบมีการติดตั้งไปแล้วมากกว่า 22,000 ครั้ง

รายการช่องโหว่ทั้งหมดที่ยังไม่ได้แก้ไขได้แก่ XSS, Stored XSS, Cross-Site Request Forgery (CSRF) bugs, การตรวจสอบสิทธิ์ที่ไม่ถูกต้อง, รวมไปถึงการเก็บข้อมูลรหัสผ่าน API keys และ Tokens ไว้ในรูปแบบ plain text โชคดีที่ Zero-day ที่มีความรุนแรงสูงส่วนใหญ่ ยังต้องการให้ผู้ใช้งานมีการกระทำบางอย่างจึงจะสามารถโจมตีได้สำเร็จ จากข้อมูลของ Shodan ปัจจุบันมีเซิร์ฟเวอร์ Jenkins ที่เข้าถึงได้จากอินเทอร์เน็ตมากกว่า 144,000 เซิร์ฟเวอร์ ที่อาจตกเป็นเป้าหมายในการโจมตีหากมีใช้งานปลั๊กอินที่ยังไม่ได้รับการอัปเดตแพตช์

 

ในขณะที่ทีม Jenkins ได้แก้ไขปลั๊กอินไปแล้วสี่ตัว, (เช่น GitLab, requests-plugin, TestNG Results, XebiaLabs XL Release) แต่ยังมีอีกหลายรายการที่ยังไม่ได้รับการแก้ไข ซึ่งรวมถึง:

Build Notifications Plugin up to and including 1.5.0
build-metrics Plugin up to and including 1.3
Cisco Spark Plugin up to and including 1.1.1
Deployment Dashboard Plugin up to and including 1.0.10
Elasticsearch Query Plugin up to and including 1.2
eXtreme Feedback Panel Plugin up to and including 2.0.1
Failed Job Deactivator Plugin up to and including 1.2.1
GitLab Plugin up to and including 1.5.34
HPE Network Virtualization Plugin up to and including 1.0
Jigomerge Plugin up to and including 0.9
Matrix Reloaded Plugin up to and including 1.1.3
OpsGenie Plugin up to and including 1.9
Plot Plugin up to and including 2.1.10
Project Inheritance Plugin up to and including 21.04.03
Recipe Plugin up to and including 1.2
Request Rename Or Delete Plugin up to and including 1.1.0
requests-plugin Plugin up to and including 2.2.16
Rich Text Publisher Plugin up to and including 1.4
RocketChat Notifier Plugin up to and including 1.5.2
RQM Plugin up to and including 2.8
Skype notifier Plugin up to and including 1.1.0
TestNG Results Plugin up to and including 554.va4a552116332
Validating Email Parameter Plugin up to and including 1.10
XebiaLabs XL Release Plugin up to and including 22.0.0
XPath Configuration Viewer Plugin up to and including 1.1.1

แม้ว่าจะไม่มีรายการใดที่เป็นช่องโหว่ร้ายแรงที่อาจทำให้ผู้โจมตีสามารถรันโค้ด หรือคำสั่งที่เป็นอันตรายจากระยะไกลบนเซิร์ฟเวอร์ที่มีช่องโหว่เพื่อเข้าควบคุมได้ในทันที อย่างไรก็ตามผู้โจมตีก็มีแนวโน้มที่จะใช้ zero-day เพื่อทำให้พวกเขาได้ข้อมูลมากขึ้นบนระบบของเป้าหมายเพื่อใช้ในการโจมตีในรูปแบบอื่นๆต่อไป

ที่มา bleepingcomputer

เมื่อวันที่ 29 มิถุนายน 2565 ที่ผ่านมา ทาง Apache Shiro ได้ออกมาประกาศเกี่ยวกับช่องโหว่ Bypass การตรวจสิทธิ์ ระดับความรุนแรงสูง โดยมีหมายเลข CVE-2022-32532 โดยช่องโหว่ Apache Shiro เกิดจากแอปพลิเคชั่นที่ใช้ RegExPatternMatcher ด้วย “.” ใน Regular expression ซึ่งทำให้ผู้โจมตีสามารถส่งคำสั่ง HTTP ที่ออกแบบมาเป็นพิเศษเพื่อหลีกเลี่ยงกระบวนการตรวจสอบสิทธิ์ และสามารถเข้าถึงแอปพลิเคชันโดยไม่ได้รับอนุญาตได้

Apache Shiro เป็น Java security framework ที่มีประสิทธิภาพ และใช้งานง่าย ซึ่งใช้งานสำหรับ Authentication, Authorization, Cryptograph และ Session Management และด้วย API ที่ใช้งานได้ง่ายของ Shiro จึงสามารถนำมาใช้กับแอปพลิเคชั่นใด ๆ ได้อย่างรวดเร็ว และง่ายดาย ทั้งจากแอปพลิเคชั่นบนมือถือ ไปจนถึงเว็บ และแอปพลิเคชั่นในระดับองค์กร

Apache Shiro เวอร์ชันที่มีช่องโหว่คือเวอร์ชันตั้งแต่ 1.9.0 ลงไป ซึ่งปัจจุบัน Apache Shiro ออกเวอร์ชัน 1.9.1 เพื่อแก้ไขช่องโหว่ดังกล่าวแล้วดังนี้

[SHIRO-871] – ActiveDirectoryRealm – append suffix only if missing from username
[SHIRO-872] – fix Reproducible Builds issues
[SHIRO-883] – Add support for case insensitive regex path matching Dependency upgrade
[SHIRO-878] – Update Spring Dependencies to 5.2.20
[SHIRO-882] – Upgrade to apache pom parent 26
[SHIRO-881] – pom.

ผู้โจมตีใช้มัลแวร์ตัวใหม่เพื่อเป็น backdoor บน Microsoft Exchange server ของรัฐบาล และองค์กรทางการทหารจากยุโรป ตะวันออกกลาง เอเชีย และแอฟริกา อย่างลับๆ  โดยตัวมัลแวร์ชื่อ SessionManager ถูกพบโดยนักวิจัยด้านความปลอดภัยจาก Kaspersky ครั้งแรกเมื่อต้นปี 2565 โดยมัลแวร์เป็นลักษณะ native-code module สำหรับ Microsoft's Internet Information Services (IIS) เว็บเซิร์ฟเวอร์

ตัวมัลแวร์ถูกใช้ในการโจมตีมาตั้งแต่เดือนมีนาคมปี 2021 จากการโจมตีระลอกใหญ่ด้วยช่องโหว่ ProxyLogon แต่มัลแวร์ดังกล่าวกลับไม่เคยถูกตรวจพบมาก่อน  Kaspersky ระบุว่า "SessionManager backdoor จะช่วยให้ผู้โจมตีสามารถแฝงตัวอยู่บนระบบของเหยื่อได้เป็นอย่างดี"

"เมื่อเข้าถึงระบบของเหยื่อได้แล้ว มันจะเปิดช่องทางให้ผู้โจมตีสามารถเข้าถึงอีเมลของบริษัท ดาวน์โหลดมัลแวร์ตัวอื่นเพิ่มเติม หรือแม้แต่เข้าควบคุมเซิร์ฟเวอร์ของเหยื่อเพื่อใช้เป็นฐานในการโจมตีต่อไป"

(more…)

Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่ Linux ที่มีความรุนแรงสูงที่รู้จักในชื่อ PwnKit ในรายการช่องโหว่ที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน

ช่องโหว่ด้านความปลอดภัยหมายเลข CVE-2021-4034 (คะแนน CVSS: 7.8) เกิดจาก component pkexec ของ Polkit ที่ถูกใช้ใน Linux distributions ต่างๆ เช่น Ubuntu, Debian, Fedora และ CentOS  โดย PwnKit จะเป็นการโจมตีในรูปแบบ memory corruption ซึ่งจะทำให้ผู้โจมตีสามารถได้สิทธิ์ root บนระบบได้

นักวิจัยจาก Qualys ซึ่งเป็นผู้พบช่องโหว่ดังกล่าวระบุว่าช่องโหว่เกิดจาก pkexec ซึ่งหมายความว่าจะส่งผลกระทบกับ Polkit ทุกเวอร์ชัน และไม่เคยมีใครพบช่องโหว่ดังกล่าวมาก่อนหน้านี้เลยกว่า 12 ปี ตั้งแต่ที่มีการเปิดตัวครั้งแรกของ pkexec ในเดือนพฤษภาคม 2552  โดยมีการปล่อยโค้ด proof-of-concept (PoC) exploit ออกมา หลังจากที่ Qualys เผยแพร่รายละเอียดทางเทคนิคสำหรับช่องโหว่ PwnKit เพียง 3 ชั่วโมงเท่านั้น

(more…)

นักวิจัยจาก Palo Alto Unit 42 พบช่องโหว่ FabricScape (CVE-2022-30137) บน Service Fabric ของ Microsoft ที่มักถูกใช้งานบน Azure ซึ่งทำให้ผู้โจมตีสามารถยกระดับสิทธิ์บน Linux containers เพื่อเพิ่มสิทธิ์ของ user เป็น root และเข้าควบคุม Fabric Nodes ทุกตัวใน cluster ได้โดยที่เงื่อนไขในการโจมตีช่องโหว่นี้จำเป็นต้องมีการตั้งค่าเปิด Fabric runtime access ซึ่งถูกเปิดเป็น default ใน container ทุกตัว

ข้อมูลจาก Microsoft พบว่า Service Fabric ถูกใช้งานบนแอปพลิเคชันจำนวนมาก เช่น Azure Service Fabric, Azure SQL Database และ Azure CosmosDB รวมถึงผลิตภัณฑ์อื่นๆ ของ Microsoft อย่าง Cortana และ Microsoft Power BI

(more…)

Microsoft ประกาศในวันนี้ถึงความพร้อมใช้งานของฟีเจอร์การตั้งเวลาหมดอายุของ session ที่ไม่ได้มีการใช้งาน ของผู้ใช้งานทั่วไปสำหรับ Microsoft 365 เพื่อช่วยปกป้องข้อมูลสำคัญบนอุปกรณ์ที่มีการใช้ร่วมกัน หรืออุปกรณ์ที่ไม่ใช่ของบริษัทที่มีการเปิดทิ้งไว้โดยไม่มีผู้ดูแล

เมื่อมีการเปิดใช้งาน ฟีเจอร์ดังกล่าวจะช่วยป้องกันการรั่วไหลของข้อมูลหากพนักงานลืมล็อกเอาต์จากเครื่อง โดยหลังจากที่ผู้ดูแลระบบ Microsoft 365 หรือ Office 365 เปิดใช้งานฟีเจอร์ใหม่นี้ ผู้ใช้งานที่ถึงระยะเวลาที่กำหนดเมื่อไม่มีการใช้งาน (ในเว็บเบราว์เซอร์ทั้งหมดที่ทำงานอยู่บนทุกอุปกรณ์) จะได้รับการแจ้งเตือนว่ากำลังจะออกจากระบบโดยอัตโนมัติ

(more…)

เมื่อวันเสาร์ที่ผ่านมา เว็บไซต์ DataBreaches.net ได้เผยแพร่ข้อมูลเกี่ยวกับโรงพยาบาล Fitzgibbon ในรัฐมิสซูรีที่ถูก Ransomware โจมตีจากกลุ่มที่แฮ็กเกอร์ที่มีชื่อว่า Daixin Team พวกเขาอ้างว่าได้ขโมยข้อมูลขนาด 40 GB ออกมา และเผยแพร่ไฟล์ที่ได้มาบางส่วนผ่าน Dark Web หนึ่งในไฟล์ที่ถูกเผยแพร่เป็นบัญชีอีเมลจากโรงพยาบาล Fitzgibbon ในช่วงปี 2552-2557

นอกจากนี้ยังพบไฟล์จำนวนมากที่มีข้อมูลด้านสุขภาพของผู้ป่วย เช่น ชื่อผู้ป่วย ข้อมูลการวินิจฉัยหรือการรักษา วันที่ให้บริการ ข้อมูลการประกันสุขภาพ และข้อมูลการเรียกเก็บเงิน

ไฟล์บางไฟล์มีบันทึกเกี่ยวกับผู้ป่วยที่กระทำผิด และกำลังถูกพิจารณาสำหรับการดำเนินการทางกฎหมาย นอกจากข้อมูลเกี่ยวกับผู้ป่วยแล้ว ยังมีไฟล์เกี่ยวกับพนักงานอีกด้วย เช่นไฟล์เงินเดือนของพนักงาน

แต่สิ่งที่น่าเป็นห่วงสุดในการโจมตีครั้งนี้คือ มีไฟล์จำนวนมากที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์ของโรงพยาบาล เช่น ไฟล์ประเมินระบบที่มีจุดอ่อน และต้องทำการแก้ไข, ไฟล์ Incident Report เป็นต้น

รายละเอียดเพิ่มเติม

หลังจากทราบข่าว ทีมจาก DataBreaches ได้ส่งอีเมลสอบถามไปยังโรงยาบาล แต่ไม่ได้รับการตอบกลับ และไม่มีประกาศบนเว็บไซต์เพื่อแจ้งเตือนผู้ป่วยเกี่ยวกับการละเมิด หรือการรั่วไหลของข้อมูลแต่อย่างใด ต่อมาทาง DataBreaches จึงมีการสอบถามไปยัง Daixin Team เพื่อขอรายละเอียดเพิ่มเติมแทน ได้รับคำตอบว่ามีการเข้ารหัสบนเซิร์ฟเวอร์ และระบบ Backup จริง ส่วนจำนวนเงินไม่ได้มีการเปิดเผยว่าเรียกไปเป็นจำนวนเท่าไหร่ นอกจากนี้ ทางโรงพยาบาลมีการ Backup ข้อมูลแบบ Offline อยู่จำนวนหนึ่ง จึงสามารถกู้คืนเองได้บางส่วน และจากเหตุการณ์ทั้งหมด โรงพยาบาล Fitzgibbon อ้างว่าจะจ่ายเงินเพื่อกู้คืนข้อมูล แต่ก็ไม่ได้มีการติดต่อไปยังกลุ่มแฮ็กเกอร์แต่อย่างใด ส่วนข้อมูลเกี่ยวกับตัวแฮ็กเกอร์ โฆษกของ Daixin ไม่เต็มใจที่จะให้ข้อมูล โดยบอกว่าพวกเขาต้องการอยู่ในความมืด และทุกการโจมตีจะไม่ก่อให้เกิดความเสียหายต่อชีวิตมนุษย์ เช่น จะไม่โจมตีระบบการแพทย์ให้หยุดทำงาน ส่วนเป้าหมายที่โจมตีนั้น พวกเขาได้อ้างว่าเคยโจมตีรัสเซีย และกลุ่มประเทศใน CIS แต่ประเทศเหล่านี้ไม่สนใจข้อมูลที่รั่วไหล และไม่มีการจ่ายเงิน จึงไม่ใช่เป้าหมายหลัก เป้าหมายหลักจะมุ่งเน้นไปที่บริษัทหรือองค์กรที่พร้อมจ่ายเงินให้แก่พวกเขา

แนวทางการป้องกัน

อัพเดตแพตช์บนระบบปฏิบัติการให้ล่าสุดเสมอ
อัพเดท Signature หรือเวอร์ชันของ Endpoint ให้เป็นปัจจุบัน
Backup ข้อมูลอย่างสม่ำเสมอ เพื่อป้องกันเหตุการณ์ที่เกิดขึ้นได้ในอนาคต
ติดตามข่าวสารอย่างใกล้ชิด

ที่มา : databreaches