พบช่องโหว่ใน Forcepoint VPN Client ทำให้เกิดการโจมตีแบบเพิ่มระดับสิทธิ์

ช่องโหว่ CVE-2019-6145 อยู่ในตั้งแต่เวอร์ชัน 6.6.1 ลงมาของ Forcepoint’s VPN Client สำหรับ Windows โดยเวอร์ชัน 6.6.1 ได้รับการแก้ไขแล้ว ช่องโหว่นี้เกิดเมื่อ VPN client เริ่มทำงาน มันจะมองหาและพยายามรัน C:\Program.

นักวิจัยเตือนว่าการตั้งค่าใน Google Calendar บอกผู้ใช้ไม่ชัดเจนพอ ทำให้ผู้ใช้ตั้ง Google Calendar เป็นสาธารณะซึ่งทำให้ทุกคนบนโลกสามารถดูได้ เป็นการเปิดเผยข้อมูลโดยไม่ตั้งใจ

โปรดทราบว่าไม่มีช่องโหว่ในการตั้งค่า Google Calendar แต่สิ่งที่เป็นปัญหาคือการผิดพลาดด้านความเป็นส่วนตัวเมื่อกำหนดค่า Google Calendar ให้แบ่งปันกับผู้อื่น นักวิจัย Avinash Jain ที่ให้รายละเอียดของปัญหาอ้างว่าการตั้งค่าปฏิทินของ Google ไม่ได้เตือนผู้ใช้อย่างเพียงพอว่าการแบ่งปัน Google Calendar กับผู้อื่นโดยใช้ลิงก์สามารถเปิดเผยปฏิทินนั้นต่อสาธารณะ รวมถึงสามารถค้นหาได้จาก Google search engine

ผู้คนอาจทำให้ปฏิทินของพวกเขาเป็นสาธารณะเพื่อที่จะแชร์ URL กับองค์กรหรือบางคนเท่านั้น แต่ URL กลับสามารถถูกจัดทำดัชนีโดย Google Search แล้วถูกค้นหาได้ ข้อสำคัญคือในกรณีที่ปฏิทินนั้นตั้งให้สาธารณะสามารถเพิ่มกิจกรรมหรือลิงก์ได้จะยิ่งอันตราย

Jain ทดสอบด้วยการใช้คำค้นหาขั้นสูงของ Google เขาพบปฏิทินสาธารณะมากกว่า 200 ปฏิทิน ซึ่งบางปฏิทินมีการเผยแพร่ข้อมูลอย่างข้อมูลภายในบริษัทและข้อมูลสำคัญอื่นๆอีกมาก

นอกจากจะใช้คำค้นหาเพื่อหาปฏิทินที่ตั้งเป็นสาธารณะได้แล้ว ยังดูจากการวางที่อยู่อีเมลของเหยื่อใน URL นี้ (https://calendar.

หลังจากวิเคราะห์สถานะการใช้งานของลูกค้า Microsoft Exchange ทาง Microsoft ได้ตัดสินใจขยายการสนับสนุนสำหรับ Exchange Server 2010 เป็น 13 ตุลาคม 2563

เดิมที Microsoft วางแผนที่จะยุติการสนับสนุน Microsoft Exchange 2010 ในวันที่ 14 มกราคม 2020 แต่หลังจากได้เห็นว่ามีองค์กรจำนวนมากที่ใช้ Exchange Server 2010 และยังไม่ยอมเปลี่ยนเป็นรุ่นที่ใหม่กว่า พวกเขาจึงตัดสินใจที่จะขยายการสนับสนุนเป็น 13 ตุลาคม 2020 เพื่อให้ลูกค้า Exchange Server 2010 มีเวลามากขึ้นในการย้ายข้อมูลให้เสร็จสมบูรณ์ โดยการขยายเวลานี้สอดคล้องกับช่วงสิ้นสุดการสนับสนุนสำหรับ Office 2010 และ SharePoint Server 2010

ถึงแม้ว่าองค์กรจะได้รับการขยายเวลาสนับสนุน Microsoft Exchange 2010 แต่ Windows Server 2008 และ Windows Server 2008 R2 ซึ่งเป็นระบบปฏิบัติการที่ใช้ร่วมกับ Microsoft Exchange 2010 จะหมดการสนับสนุนในวันที่ 11 มกราคม 2020 และจะไม่ได้รับแพตช์อัปเดตความปลอดภัยอีกต่อไป Microsoft จึงแนะนำให้ผู้ใช้งาน Microsoft Exchange 2010 ย้ายข้อมูลไปยังระบบที่ใหม่กว่าให้เร็วที่สุด

ที่มา bleepingcomputer

Emotet หนึ่งในบอทเน็ตมัลแวร์ที่อันตรายและใหญ่ที่สุดในวันนี้กลับมามีชีวิตอีกครั้งหลังจากที่ไม่พบการใช้งานนานเกือบสี่เดือนนับตั้งแต่สิ้นเดือนพฤษภาคมปีนี้

ณ ช่วงเวลานั้นเซิร์ฟเวอร์ควบคุมของมัน (C&C) ถูกปิดตัวลง ทำให้ Emotet หยุดทำงานและหยุดแพร่เชื้อ โดยนักวิจัยบางคนเชื่อว่าเซิร์ฟเวอร์ควบคุมถูกปิดด้วยฝีมือเจ้าหน้าที่รัฐ แต่กลับไม่เป็นเช่นนั้น

ในวันที่ 16 กันยายน 2019 พบการส่งอีเมลแพร่เชื่อจาก Emotet โดย Raashid Bhat นักวิจัยด้านความปลอดภัยที่ SpamHaus บอกกับ ZDNet ว่า อีเมลดังกล่าวจะมีไฟล์แนบที่เป็นอันตรายหรือลิงก์ไปยังมัลแวร์ ปล่อยออกจากเซิร์ฟเวอร์ Emotet และมุ่งเป้าไปที่ผู้ใช้ภาษาโปแลนด์และเยอรมันเป็นหลัก

เมื่อผู้ใช้หลงเชื่อเปิดไฟล์แนบอันตรายหรือดาวน์โหลดมัลแวร์ ผู้ใช้จะติดเชื้อ Emotet จากนั้น Emotet จะดาวน์โหลดมัลแวร์ตัวอื่นๆ มาต่อไป ทั้งนี้ Emotet เป็นที่รู้จักกันดีในเรื่องการขโมยรหัสผ่าน แพร่ไปยังเครื่องอื่นๆ ในวงเน็ตเวิร์คเดียวกัน และขโมยอีเมลเพื่อแพร่เชื้อต่อ

นอกจากนี้ผู้อยู่เบื้องหลัง Emotet ว่าทำกิจการ Malware-as-a-Service (MaaS) คือให้ผู้โจมตีรายอื่นๆ สามารถเช่า Emotet เพื่อแพร่เชื้อมัลแวร์ของตัวเอง ตัวอย่างลูกค้าที่ว่าคือกลุ่มเบื้องหลัง Bitpaymer และ Ryuk ransomware นั่นเอง

ลูกค้าที่เป็นที่รู้จักมากที่สุดของ Emotet คือผู้ให้บริการของ Bitpaymer และ Ryuk ransomware ซึ่งมักจะเช่าการเข้าถึงโฮสต์ที่ติดเชื้อของ Emotet เพื่อเข้าถึงเครือข่ายองค์กรหรือรัฐบาลท้องถิ่นด้วยสายพันธุ์ ransomware

ทั้งนี้สามารถติดตาม IOCs ล่าสุดของ Emotet ได้จาก https://twitter.

มีช่องโหว่ remote code-execution (RCEX ในการตั้งค่าของการ์ดจอ AMD Radeon ทำให้ผู้โจมตีควบคุมระบบเป้าหมายได้ โดยการหลอกผู้ใช้การ์ดจอในตระกูล Radeon RX 550 หรือ Radeon 550 ที่มีช่องโหว่เข้าถึงเว็บไซต์ที่สร้างขึ้นแล้วทำให้ pixel shader ทำงานผิดพลาด

pixel shader เป็นโปรแกรมสำหรับควบคุมสี ความสว่าง และปัจจัยอื่นๆ ให้กับ 1 pixel ที่จะปรากฏบนจอของเรา

ช่องโหว่ถูกพบโดย Cisco Talos เมื่อเดือนพฤษภาคม 2019 ทั้งนี้ช่องโหว่มีข้อจำกัดคือพบแค่บนระบบปฏิบัติการที่รัน VMware Workstation 15 และมี guest VM เป็น Windows 10 แบบ 64-bit

ผู้โจมตีสามารถใช้ช่องโหว่นี้ได้โดยการทำให้ pixel shader ทำงานผิดพลาดใน guest VM ซึ่งจะส่งผลออกมาที่ AMD ATIDXX64.DLL บน Host ซึ่งจะทำให้เกิด memory corruption บนโปรเซส vmware-vmx.

VMware ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ใน ESXi และ vCenter
เพื่อแก้ไขช่องโหว่ CVE-2017-16544, CVE-2019-5531, CVE-2019-5532 และ CVE-2019-5534 แนะนำให้ผู้ใช้และผู้ดูแลระบบงานเข้าไปอ่าน VMware Security Advisory VMSA-2019-0013 และให้ทำการอัปเดตเพื่อแก้ไขปัญหาช่องโหว่เหล่านี้

ที่มา us-cert

 

Apple กำลังจะปล่อย iOS 13 ตัวสมบูรณ์ออกมาให้ผู้ใช้งานในวันที่ 20 กันยายน 2019 ตามเวลาประเทศไทย แต่นักวิจัยพบวิธีดูรายชื่อผู้ติดต่อทั้งๆ ที่เครื่องยังล็อกอยู่บน iOS 13

Passcode bypass คือช่องโหว่ที่ยอมให้ใครก็ได้เข้าถึงข้อมูลบนอุปกรณ์แม้ว่ามันจะล็อกอยู่ก็ตาม ซึ่งตามที่ความจะเป็นเมื่ออุปกรณ์ iOS ถูกล็อก ผู้ใช้ไม่ควรได้ดูข้อมูลที่บันทึกไว้ เช่น รายชื่อผู้ติดต่อ รูปภาพ ข้อความ หรือ ข้อมูลอื่นๆ ได้

Jose Rodriguez นักวิจัยด้านความปลอดภัยพบขั้นตอนในการทำ Passcode bypass ด้วยขั้นตอนดังต่อไปนี้

จากวีดีโอ https://www.

 

นักวิจัยปล่อยข้อมูลช่องโหว่ zero-day ใน phpMyAdmin กระทบทุกรุ่น

นักวิจัยด้านความปลอดภัยได้ทำการเปิดเผยรายละเอียดเกี่ยวกับช่องโหว่ zero-day และเผยแพร่โค้ด proof-of-concept สำหรับช่องโหว่ในตัว phpMyAdmin ซึ่งเป็นหนึ่งในแอปที่โด่งดังในการจัดการฐานข้อมูล MySQL และ MariaDB บนเว็บไซต์ เป็น opensource

นักวิจัยและนักเจาะระบบ Manuel Garcia Cardenas พบช่องโหว่ที่ทำให้โจมตีด้วยวิธีการ cross-site request forgery (CSRF) หรือที่เรารู้จักในชื่อ XSRF ซึ่งเป็นการโจมตีที่หลอกให้ผู้ใช้งานทำสิ่งที่แฮกเกอร์ต้องการโดยไม่ตั้งใจ

ช่องโหว่ดังกล่าวได้รับ CVE-2019-12922 จัดอยู่ในระดับปานกลาง เนื่องจากมีข้อจำกัดที่อนุญาตให้ผู้โจมตีลบการตั้งค่าของเซิร์ฟเวอร์ในหน้าการตั้งค่า phpMyAdmin บนเซิร์ฟเวอร์ของเหยื่อเท่านั้น ไม่สามารถใช้เพื่อลบข้อมูลบนฐานข้อมูลได้

ผู้โจมตีจะต้องส่ง URL ที่สร้างขึ้นให้ผู้ดูแลเว็บไซต์เป้าหมายที่กำลังข้าถึง phpMyAdmin อยู่บนเบราว์เซอร์เดียวกันแล้วหลอกให้พวกเขาลบการตั้งค่าของเซิร์ฟเวอร์โดยไม่รู้ตัวเพียงแค่คลิก URL

ข้อบกพร่องมีผลต่อ phpMyAdmin เวอร์ชันสูงสุดและรวมถึง 4.9.0.1 ซึ่งเป็นซอฟต์แวร์รุ่นล่าสุดในขณะนี้ และยังกระทบ phpMyAdmin 5.0.0-alpha1 ซึ่งยังอยู่ในขั้นทดสอบ

Cardenas ค้นพบช่องโหว่นี้ในเดือนมิถุนายน 2562 และรายงานความรับผิดชอบไปยังผู้ดูแลโครงการ แต่ผู้ดูแลระบบ phpMyAdmin ไม่สามารถแก้ไขช่องโหว่ภายใน 90 วันหลังจากได้รับแจ้ง นักวิจัยจึงตัดสินใจที่จะเปิดเผยรายละเอียดช่องโหว่และ PoC ต่อสาธารณะในวันที่ 13 กันยายน ผู้ดูแลเว็บไซต์และผู้ให้บริการโฮสต์ขอแนะนำให้หลีกเลี่ยงการคลิกลิงก์ที่น่าสงสัยจนกว่าผู้ดูแลโครงการ phpMyAdmin จะแก้ไขช่องโหว่

ที่มา:thehackernews

 

พบการเผยแพร่ฐานข้อมูลสองฐานข้อมูลจำนวน 21 ล้านรายการและ 14 ล้านรายการ ทั้งสองฐานข้อมูลลงวันที่ล่าสุดช่วงเดือนพฤษภาคม 2019 โดยเป็นข้อมูลผู้โดยสารสายการบิน Malindo Air และ Thai Lion Air ซึ่งอยู่ในเครือของ Lion Air

ข้อมูลที่พบในฐานข้อมูลดังกล่าวได้แก่เลขผู้โดยสาร เลขการจอง ที่อยู่ เบอร์โทรศัพท์ อีเมล ชื่อ วันเกิด เลขหนังสือเดินทาง และวันหมดอายุของหนังสือเดินทาง

ในขณะนี้ยังไม่ทราบว่าข้อมูลดังกล่าวหลุดได้อย่างไร แต่พบการเผยแพร่ครั้งแรกในช่วงเดือนสิงหาคม 2019 ที่ผ่านมาบน AWS bucket ที่สามารถเข้าถึงได้จากสาธารณะ จากนั้นจึงมีการเผยแพร่ไปยังเว็บบอร์ดใต้ดินต่างๆ ซึ่งอาจมีผู้ไม่หวังดีนำข้อมูลไปใช้งานในทางที่ผิดได้ ควรติดตามข่าวสารต่อไป

ที่มา bleepingcomputer

แฮกเกอร์ปล่อยข้อมูลผู้ใช้งาน Lumin PDF บนเว็บไซต์ใต้ดินกว่า 24.3 ล้านคน ผู้ใช้งานควรถอนสิทธิ์ออกจาก Google Drive ก่อนถูกแฮก

ZDNet ได้รับแจ้งจากแหล่งข่าวว่ามีแฮกเกอร์ปล่อยข้อมูลผู้ใช้งาน Lumin PDF บนเว็บไซต์ใต้ดินกว่า 24.3 ล้านคน โดยแฮกเกอร์กล่าวว่าตัดสินใจปล่อยข้อมูลผู้ใช้งานเนื่องจากพยายามติดต่อไปยังผู้ดูแล Lumin PDF หลายครั้งแต่ไม่ได้รับการตอบรับ

โดยเแฮกเกอร์พบฐานข้อมูล MongoDB ของ Lumin PDF ที่ไม่มีการตั้งรหัสผ่านตั้งแต่ช่วงเดือนเมษายน 2019 เขาอ้างว่าพยายามติดต่อ Lumin PDF หลายครั้งแต่ไม่ได้รับการตอบรับ และในเวลาถัดมาเขาพบว่าฐานข้อมูลถูกเข้ารหัสโดยมัลแวร์เรียกค่าไถ่

Lumin PDF เป็นบริการที่ให้ผู้ใช้งานดู แก้ไข และแชร์ PDF ผ่านหน้าเว็บ, browser extension, mobile apps และเป็นหนึ่งในแอปที่ให้บริการใน Google Drive

ข้อมูลที่แฮกเกอร์ปล่อยออกมาประกอบไปด้วย ชื่อนามสกุลของผู้ใช้งาน อีเมล เพศ ภาษาในการตั้งค่านอกจากนั้นสำหรับผู้ใช้งานที่สมัครผ่านเว็บไซต์ Lumin PDF ข้อมูลที่ถูกปล่อยคือรหัสผ่านที่แฮชด้วย Bcrypt แต่สำหรับผู้ที่ใช้งานผ่าน Google Drive ข้อมูลที่ถูกปล่อยคือ Google access token

ซึ่งผู้ไม่หวังดีสามารถใช้ Google access token ปลอมเป็นผู้ใช้งานตาม Google access token นั้นๆ และเข้าถึง Google Drive ได้

เพื่อป้องกันตัวจากความเสี่ยงที่จะถูกใช้ Google access token ที่อาจจะรั่วไหล แนะนำให้ผู้ใช้งานทำการถอด Lumin PDF ไม่ให้เข้าถึง Google Drive ได้ตามขั้นตอนต่อไปนี้

เข้า drive.