SAP ออกคำแนะนำด้าน Security 13 รายการ

Security Patch Day ของ SAP เดือนกุมภาพันธ์ 2563 มีการประกาศคำแนะนำด้าน Security ใหม่ 13 รายการ และอัปเดตคำแนะนำในอดีต 2 รายการ

คำแนะนำด้าน Security ใหม่ 13 รายการนี้มีความสำคัญ High 3 รายการ มีความสำคัญ Medium 10 รายการ โดยรายการที่ถูกอัปเดตในอดีตมีความสำคัญระดับ Hot New 1 รายการและ Medium อีก 1 รายการ
Hot News ดังกล่าว (คะแนน CVSS 9.8) เป็นการอัปเดตใน SAP Business Client ให้รองรับ Chromium ซึ่งเปิดตัวครั้งแรกใน Patch Day ใน เดือนเมษายน 2018
ช่องโหว่ความสำคัญ High แรกระบุถึงช่องโหว่ของ Denial of Service (DoS) ใน SAP Host Agent (CVE-2020-6186, คะเเนน CVSS 7.5) ปัญหานี้ส่งผลกระทบต่อการ Authentication ผู้ใช้งาน โดย SAP Host Agent มีการจัดการการโจมตีแบบ brute force ด้วยการหน่วงเวลา ซึ่งช่องโหว่ดังกล่าวเกิดจากการที่สามารถรองรับ Authentication พร้อมๆกันได้จำกัด ทำให้ผู้ที่เข้าสู่ระบบปกติ ไม่ได้ทำการโจมตี อาจเข้าสู่ระบบไม่ได้หากพยายามเข้าสู่ระบบในระหว่างที่มีผู้โจมตีกำลังโจมตี
ช่องโหว่ความสำคัญ High อีกสองช่องโหว่เป็นแก้ช่องโหว่ใน SAP Landscape Management (CVE-2020-6191 และ CVE-2020-6192 ทั้งคู่มีคะเเนน CVSS 7.2) ซึ่งเป็นช่องโหว่ที่ทำให้สามารถยกระดับสิทธิเป็นผู้ดูแลระบบได้
ผู้ดูแลระบบ SAP ควรตรวจสอบและอัปเดตแพตช์เพื่อความปลอดภัย

ที่มา : securityweek

ช่องโหว่ในคำสั่ง sudo ให้ผู้ใช้ Linux และ macOS ที่ไม่มีสิทธิพิเศษเรียกใช้คำสั่งด้วยสิทธิ์ Root ได้
Joe Vennix แห่ง Apple security พบช่องโหว่ที่สำคัญประการหนึ่งในคำสั่ง sudo หากตั้งค่าบางอย่างไว้ อาจอนุญาตให้ผู้ใช้ที่มีสิทธิ์ต่ำหรือโปรแกรมที่เป็นอันตรายในการรันคำสั่งโดยพลการด้วยสิทธิ์ระดับผู้ดูแล ('root') บนระบบ Linux หรือ macOS
sudo เป็นหนึ่งใน utilities ที่สำคัญที่มีประสิทธิภาพและใช้กันอย่างแพร่หลาย มาพร้อมกับ core command ที่ติดตั้งไว้ล่วงหน้าบน macOS และเกือบทุกระบบปฏิบัติการบน UNIX หรือ Linux ซึ่ง sudo ได้รับการออกแบบ เพื่อให้ผู้ใช้เรียกใช้แอพหรือคำสั่ง ด้วยสิทธิ์ของผู้ใช้ที่แตกต่างกัน โดยไม่ต้อง switching environments ต่างๆ
Vennix ระบุว่าข้อบกพร่องสามารถถูกโจมตีได้เมื่อเปิดใช้งานตัวเลือก "pwfeedback" เท่านั้นในไฟล์การกำหนดค่า sudoers ซึ่ง pwfeedback เป็นคุณสมบัติที่ช่วยให้เห็น Visual Feedback คือเห็น * เมื่อผู้ใช้ป้อนรหัสผ่านใน terminal
คุณลักษณะ pwfeedback ไม่ได้ถูกเปิดใช้งานโดยค่าเริ่มต้นในเวอร์ชั่นต้นเเบบของ sudo หรือแพ็คเกจอื่น ๆ อย่างไรก็ตาม ลีนุกซ์บางรุ่น เช่น Linux Mint และ Elementary OS มีการเปิดใช้งานคุณลักษณะ pwfeedback ในไฟล์ sudoers เป็นค่าเริ่มต้น
เมื่อ pwfeedback ถูกเปิดใช้งาน ผู้ใช้ใดๆ ก็สามารถใช้ประโยชน์จากช่องโหว่นี้ได้ เเม้ไม่มี sudo permissions ทำให้สามารถโจมตีเพื่อยกระดับสิทธิ์เป็น root ได้
คุณสามารถตรวจสอบได้ว่าคุณได้รับผลกระทบหรือไม่ โดยสามารถเรียกใช้ "sudo -l" command บน Terminal Linux หรือ macOS ของคุณ เพื่อค้นหาว่า "pwfeedback" ถูกเปิดใช้งานหรือไม่
หากเปิดใช้งาน, คุณสามารถปิดการใช้งานองค์ประกอบที่มีช่องโหว่ได้ โดยเปลี่ยน "Defaults pwfeedback" เป็น "Defaults !pwfeedback" ในไฟล์การกำหนดค่า sudoers เพื่อป้องกันการใช้ประโยชน์จากช่องโหว่
โดยคำสั่ง sudo รุ่นที่ได้รับผลกระทบคือรุ่น 1.7.1 ถึง 1.8.30 ซึ่ง Apple ได้ออกแพตช์ให้กับ macOS เพื่อแก้ไขช่องโหว่นี้แล้ว

ที่มา : thehackernews

Trend Micro แก้ไขช่องโหว่เพิ่มเติม ใน Anti-Threat Toolkit
Trend Micro ออกแพตช์ให้ช่องโหว่สำหรับ Anti-Threat Toolkit (ATTK) ที่เริ่มต้นแก้ไขในเดือนตุลาคม 2019 ซึ่งมีนักวิจัยพบวิธีการโจมตีเพิ่มเติมจากช่องโหว่เดิม
Trend Micro ATTK ช่วยให้ผู้ใช้ทำการสแกนทาง forensic ของระบบของพวกเขาเเละทำการ clean rootkit, ransomware, MBR และการติดเชื้อมัลแวร์ประเภทอื่นๆ ATTK ยังถูกใช้โดยผลิตภัณฑ์อื่น ๆ ของ Trend Micro รวมถึง WCRY Patch Tool เเละ OfficeScan Toolbox
นักวิจัย John Page นางแฝง hyp3rlinx ค้นพบเมื่อปีที่แล้วว่า ATTK ได้รับผลกระทบโดยช่องโหว่ที่อาจถูกโจมตีได้จากระยะไกลเพื่อรันโค้ดต่างๆ ตามต้องการด้วยการยกระดับสิทธิ์ใช้งานโดยการสร้างไฟล์ที่เป็นอันตรายชื่อ cmd.

Cisco แก้ช่องโหว่ Cisco Discovery Protocol (CDP) กระทบหลายผลิตภัณฑ์

5 ช่องโหว่ในระดับ critical ถูกค้นพบในการ Cisco Discovery Protocol (CDP) ช่องโหว่เหล่านี้อนุญาตให้ผู้โจมตีที่เข้าถึง local network สามารถยึดอุปกรณ์ได้ กระทบอุปกรณ์เน็ตเวิร์คระดับองค์กรมากกว่าล้านชิ้น ช่องโหว่เหล่านี้ถูกค้นพบโดยบริษัทด้านความปลอดภัยของ IoT (Armis)
CDP คือโปรโตคอลที่มีการใช้งานใน Layer 2 (Data Link Layer) บนอุปกรณ์เน็ตเวิร์คที่เป็นของทาง Cisco มีค่าตั้งค่าเริ่มต้นให้มีการใช้งานในทุกอุปกรณ์ โดยปัจจุบันยังไม่มีให้แก้ไขหรือปิดการใช้งานจากผู้ใช้งานได้โดยตรง

Aimis ได้แสดงวีดีโอสาธิตการใช้ช่องโหว่ใน CDP ซึ่งมีการตั้งชื่อเล่นให้ว่า CDPwn ช่องโหว่ที่พบเป็นช่องโหว่เกี่ยวกับ Remote code execution 4 ช่องโหว่ และ denial of service 1 ช่องโหว่ จากการสาธิตแสดงให้เห็นว่านักวิจัยสามารถดักฟังข้อมูลจากโทรศัพท์ ภาพ และ เสียง ขโมยข้อมูลผ่านทาง switch รวมถึงทำการโจมตีข้ามไปยังเครือข่ายต่างๆ ได้

ช่องโหว่ CDPwn ส่งผลต่ออุปกรณ์ของ Cisco มากมายรวมถึงเราเตอร์ Cisco IOS XR สวิตช์ Cisco NX-OS, ระบบ Cisco NCS, ไฟร์วอลล์ Cisco FirePower, Cisco 8000 IP Camera Series และ Cisco IP Phone 7800 และ 8800 series

ปัจจุบัน Cisco ได้ให้ข้อมูลอัปเดตเพิ่มเติมและรายละเอียดการลดผลกระทบจากช่องโหว่ของ CDPwn ในหน้า Security Advisory เมื่อวันที่ 5 กุมภาพันธ์ร่วมกับ Armis โดยสามารถดูได้จาก https://tools.

Abuse.ch ออก "I Got Phished" ส่งคำเตือนไปยังองค์กรเมื่อพบว่าบุคลากรในองค์กรหลงเชื่อ Phishing

“I Got Phished" คือโปรเจคจาก Abuse.

Adobe ออกอัปเดตแพตช์ประจำเดือนกุมภาพันธ์ 2020

Adobe ออกอัปเดตแพตช์ประจำเดือนกุมภาพันธ์เพื่อแก้ไข 42 ช่องโหว่ใน 5 ผลิตภัณฑ์ ได้แก่ Framemaker, Acrobat รวมถึง Reader, Flash Player, Digital Editions และ Experience Manager

ช่องโหว่ใน Framemaker ส่วนใหญ่ถูกจัดอยู่ในความรุนแรงระดับ Critical และมีผลกระทบกับ Framemaker บนระบบปฏิบัติการ Windows โดยช่องโหว่ที่พบคือ buffer overflow, heap overflow, out-of-bounds write, และ memory corrupt flaws ส่งผลให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายด้วยสิทธิของผู้ใช้งานปัจจุบันได้

นอกจากนี้ทาง Adobe ยังกล่าวถึงช่องโหว่อีก 17 ช่องโหว่ของผลิตภัณฑ์ Acrobat รวมถึง Reader ในระบบปฏิบัติการ Windows และ MasOs ซึ่งเป็นช่องโหว่ที่มีความรุนแรงระดับ Critical 2 ช่องโหว่ ได้แก่ช่องโหว่ memory corruption ที่ส่งผลให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายบนอุปกรณ์ที่มีช่องโหว่ และช่องโหว่ privilege escalation bugs ที่อนุญาตให้ผู้โจมตีสามารถเขียนไฟล์ที่เป็นอันตรายไปยังระบบได้ ในส่วนของข้อบกพร่องที่เหลืออยู่ใน Acrobat and Reader ถูกจัดลำดับความรุนแรงในระดับปานกลางได้แก่ช่องโหว่ memory leaks และช่องโหว่ information disclosure ข้อบกพร่องถูกรายงานไปยัง Adobe โดยผู้เชี่ยวชาญอิสระและนักวิจัยจาก Qihoo 360, Tencent, Renmin University of China, Cisco Talos, the Chinese Academy of Sciences, Baidu, และ McAfee

นอกจากนี้ทาง Adobe ยังเปิดเผยถึงช่องโหว่ arbitrary code execution ใน Flash Player ซึ่งหากผู้โจมตีสามารถรันคำสั่งแปลกปลอมด้วยสิทธิของผู้ใช้งานปัจจุบัน รวมถึงช่องโหว่ใน Digital Editions ได้แก่ ช่องโหว่ command injection bug, information disclosure และช่องโหว่ denial-of-service (DoS) ที่ส่งผลกระทบกับ Adobe Experience Manager เวอร์ชั่น 6.5 และ 6.4

โดยทาง Adobe ยื่นยันว่ายังไม่พบการโจมตีผ่านช่องโหว่ทั้งหมดนี้เกิดขึ้น

ที่มา : securityaffairs

ไมโครซอฟต์ออกแพตช์ประจำเดือนกุมภาพันธ์ 2020
ไมโครซอฟต์ได้แก้ไขข้อบกพร่อง 99 รายการซึ่งรวมไปถึงช่องโหว่ 0 day ใน Internet Explorer (IE) ในแพตช์ประจำเดือนกุมภาพันธ์ 2020 มีช่องโหว่ระดับ Critical 10 ช่องโหว่ ระดับ Important 87 ช่องโหว่และระดับ Moderate 2 ช่องโหว่
ในการแก้ไขครั้งนี้ยังรวมไปถึงการแก้ไขช่องโหว่ CVE-2020-0674 ช่องโหว่ 0 day ใน Internet Explorer (IE) ซึ่งมีการพบการโจมตีแล้ว
ผู้ใช้ควรอัปเดทติดตั้งความปลอดภัยโดยเร็วที่สุดเพื่อป้องกันวินโดว์จากความเสี่ยงด้านความปลอดภัยที่ถูกเปิดเผยแล้ว
นอกเหนือจากช่องโหว่ IE CVE-2020-0674 แล้วไมโครซอฟต์ระบุว่ามีการเปิดเผยช่องโหว่อื่นอีกสามช่องโหว่ต่อสาธารณชนแต่ยังไม่พบการโจมตีช่องโหว่เหล่านี้ ได้แก่ CVE-2020-0683 ช่องโหว่ยกระดับสิทธิ์ใน Windows Installer CVE-2020-0686 ช่องโหว่ยกระดับสิทธิ์ใน Windows Installer และ CVE-2020-0706 ช่องโหว่การเปิดเผยข้อมูลใน Microsoft Browser

ที่มา : bleepcomputer

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ของสหรัฐอเมริกาออกคำเตือนถึงการเพิ่มขึ้นของการโจมตีด้วยมัลแวร์ Emotet
Emotet เป็นโทรจันที่มีความซับซ้อนซึ่งโดยทั่วไปจะทำหน้าที่เป็นตัวดาวน์โหลดหรือ dropper มัลแวร์อื่น ๆ โดยส่วนใหญ่มัลแวร์ดังกล่าวจะแพร่กระจายผ่านไฟล์แนบทางอีเมลที่เป็นอันตรายและพยายามแพร่กระจายภายในเครือข่ายโดยการ Brute Force ข้อมูลประจำตัวของผู้ใช้และการ shared drives หากโจมตีสำเร็จผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญของผู้ใช้งานได้

CISA แนะนำผู้ใช้งานและผู้ดูแลระบบปฏิบัติตาม best practice ต่อไปนี้เพื่อป้องกัน

บล็อกไฟล์อันตรายที่ถูกแนบมากับอีเมล (เช่น ไฟล์ .dll และ .exe)
บล็อกไฟล์แนบอีเมลที่ไม่สามารถสแกนได้โดยซอฟต์แวร์ป้องกันไวรัส (เช่นไฟล์. zip)
แนะนำให้ทำการตั้งค่า Group Policy Object และ Firewall rule
แนะนำให้ติดตั้งโปรแกรมป้องกันไวรัสและทำการแพทช์อย่างสม่ำเสมอ
ติดตั้งตัวกรองที่เกตเวย์อีเมลและบล็อก IP ที่น่าสงสัยที่ไฟร์วอลล์
ยึดตามหลักการของ least privilege
ตั้งค่า Domain-Based Message Authentication, Reporting & Conformance (DMARC)
จัดการแบ่งโซนเน็ตเวิร์ค
จำกัดสิทธิการเข้าถึงที่ไม่จำเป็น

CISA แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบแหล่งข้อมูลต่อไปนี้สำหรับข้อมูลเกี่ยวกับการป้องกัน Emotet และมัลแวร์อื่น ๆ

CISA Alert Emotet Malware https://www.

พบการปล่อยโค้ดโจมตีสำหรับช่องโหว่ CVE-2020-0609 และ CVE-2020-0610

ช่องโหว่ใน Windows RD Gateway (CVE-2020-0609 และ CVE-2020-0610) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) โดยที่ผู้โจมตีไม่จำเป็นต้องเข้าสู่ระบบ เพียงแค่เชื่อมต่อด้วย RDP และส่ง request อันตรายไปยังเครื่องเป้าหมายเท่านั้น ส่งผลกระทบ Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 และ Windows Server 2019 ทั้งสองช่องโหว่เพิ่งได้รับการแก้ไขในแพตช์ประจำเดือนมกราคม 2020

ปัจจุบันมีการปล่อยตัวแสกนหาช่องโหว่และโค้ดสำหรับโจมตีออกมาแล้ว ซึ่งโค้ดสำหรับโจมตีที่ถูกปล่อยมานี้ยังไม่ใช้โค้ดที่ทำการโจมตีเพื่อการรันคำสั่งจากระยะไกล เป็นเพียงโค้ดสำหรับการโจมตีเพื่อให้หยุดทำงาน (Denial-of-Service) เท่านั้น แต่เป็นไปได้ที่จะมีความพยายามต่อยอดโค้ดโจมตีดังกล่าวให้ร้ายแรงขึ้นในไม่ช้า

สามารถอ่านรายละเอียดของช่องโหว่ CVE-2020-0609 และ CVE-2020-0610 โดยละเอียดได้จาก kryptoslogic โดยบทความดังกล่าวระบุว่าช่องโหว่ทั้งสองเกิดจากความผิดพลาดในส่วนจัดการ UDP

ที่มา : MalwareTechBlog

Microsoft ตั้งค่าผิด ข้อมูลลูกค้าถูกเปิดเผย

Microsoft เปิดเผยรายละเอียดเกี่ยวกับเหตุการณ์ฐานข้อมูลของลูกค้ารั่วไหล เกิดจากการตั้งค่าผิดพลาด ซึ่งเกิดขึ้นเมื่อช่วง 5 ธันวาคม - 31 ธันวาคม 2019 และได้มีแจ้งรายงานไปยัง Microsoft โดย Bob Diachenko นักวิจัยด้านความปลอดภัย โดยข้อมูลดังกล่าวเป็นของลูกค้าที่เคยใช้บริการ customer support

การรั่วไหลของข้อมูลเกิดบน Elasticsearch 5 Server ซึ่งข้อมูลใน Server ทั้งห้าเป็นข้อมูลที่ซ้ำกันเพื่อสำรองซึ่งกันและกัน มีประมาณ 250 ล้านรายการ เช่น ที่อยู่อีเมล, ที่อยู่ IP และรายละเอียดต่างๆ แต่ข้อมูลบันทึกส่วนใหญ่ไม่มีข้อมูลผู้ใช้ส่วนบุคคล

สำหรับกรณีนี้ Microsoft ได้เริ่มแจ้งไปยังลูกค้าที่ได้รับผลกระทบถึงแม้ว่าจะไม่พบการใช้งานที่เป็นอันตรายของข้อมูล และได้กล่าวว่าเหตุการณ์ดังกล่าวเป็นผลมากจากการตั้ง Azure security rules ที่ไม่ถูกต้อง ซึ่งปรับใช้เมื่อวันที่ 5 ธันวาคม และตอนนี้ได้ทำการแก้ไขเรียบร้อยแล้วและเพิ่มมาตรการการรักษาความปลอดภัยและการตั้งค่าให้รัดกุมขึ้น

ที่มา : ZDNet