Cisco ออกแพตช์แก้ไขช่องโหว่ใน Email Security Appliance ผู้โจมตีสามารถโจมตีได้เพียงส่งอีเมลเข้าสู่ระบบ

เมื่อวันที่ 9 มกราคม 2019 ที่ผ่านมา Cisco ออกแพตช์ความปลอดภัยให้กับผลิตภัณฑ์ในเครือ โดยมีการแก้ไขช่องโหว่ทั้งหมด 18 ช่องโหว่ในหลายผลิตภัณฑ์ รวมถึงช่องโหว่ที่สำคัญสองช่องโหว่ใน AsyncOS ที่ถูกใช้ใน Cisco Email Security Appliances คือช่องโหว่ CVE-2018-15453 และช่องโหว่ CVE-2018-15460

ช่องโหว่ CVE-2018-15453 มีความร้ายแรงมาก (critical) อาจจะทำให้เกิดการหยุดทำงานถาวร (permanent DoS) บนอุปกรณ์ที่ถูกโจมตีได้ ช่องโหว่นี้เกิดจากการตรวจสอบข้อมูลของอีเมลที่ใช้ S/MIME ไม่ดีพอ เมื่อได้รับข้อมูลในอีเมลที่ใช้ S/MIME ที่นอกเหนือความสามารถของระบบ จะทำให้ระบบหยุดทำงาน ซึ่งระบบจะพยายามกลับไปทำกระบวนการเดิมที่ทำให้หยุดทำงานซ้ำๆ จนเกิดการหยุดทำงานถาวร (permanent DoS) โดยผู้โจมตีสามารถโจมตีช่องโหว่ดังกล่าวได้เพียงแค่ส่งอีเมลเข้าสู่ระบบ

ช่องโหว่ CVE-2018-15460 เป็นข้อบกพร่องในความสามารถคัดกรองข้อความในอีเมลที่มี URL อยู่ใน whitelist ข้อบกพร่องดังกล่าวทำให้เมื่อผู้โจมตีสามารถส่งอีเมลที่มี URL อยู่ใน whitelist จำนวนมากๆ เข้าสู่ระบบ ทำให้ CPU ของระบบทำงานเต็มที่จนระบบหยุดทำงาน

ทั้งนี้ Cisco ยังไม่พบการโจมตีด้วยช่องโหว่ทั้งสองช่องโหว่ แต่ผู้ดูแลระบบความทำการอัปเดตเพื่อลดความเสี่ยง

ที่มา : threatpost

SAP ปล่อยอัพเดทแพทช์ด้านความปลอดภัยแรกของปี 2019 ครอบคลุมช่องโหว่ 11 รายการ มี 2 รายการที่ต้องได้รับการแก้ไขโดยด่วนที่สุด

ช่องโหว่สำคัญที่ต้องได้รับการแก้ไข ถูกพบในผลิตภัณฑ์ SAP Cloud Connector (CVE-2019-0246 และ CVE-2019-0247) มีค่าความรุนแรง 9.3 หากโจมตีสำเร็จจะส่งผลให้ผู้โจมตีสามารถอ่าน, แก้ไข หรือลบข้อมูลได้ รวมทั้งสามารถเข้าถึงการทำงานในส่วนสำคัญๆ ที่ต้องมีสิทธิ์ admin เท่านั้นได้ด้วย ผู้โจมตีสามารถใช้ช่องโหว่ในการสั่งรันคำสั่งระดับระบบปฏิบัติการ (OS Command) ตามสิทธิ์ของบริการ (SAP Service) ที่ได้รับเมื่อโจมตีสำเร็จ รวมทั้งสามารถเข้าถึง file system สำคัญที่อยู่ใน SAP server และเข้าถึง source code ของแอพพลิเคชั่น และ configuration ได้

ช่องโหว่ถัดมามีความรุนแรง 9.1 (CVE-2019-0249) ถูกพบใน Landscape Management ของ SAP ส่งผลให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่สำคัญของระบบ ซึ่งสามารถถูกนำไปใช้เพื่อโจมตีระบบต่อไปได้

นอกจากนี้มีช่องโหว่อื่นๆ ที่มีความรุนแรงระดับสูง (High) 1 รายการ เป็นช่องโหว่ในส่วนของ Missing Authorization ใน SAP BW / 4HANA นอกเหนือจากนี้เป็นช่องโหว่ความรุนแรงระดับกลาง (Medium) ทั้งหมด

ผู้ใช้งานที่มีการใช้ผลิตภัณฑ์ของ SAP อยู่ควรตรวจสอบข้อมูลจากเว็บไซต์ทางการ และทำการอัพเดทให้เป็นเวอร์ชั่นล่าสุดทันที

ข้อมูลเพิ่มเติม: https://erpscan.

เมื่อต้นปีที่ผ่านมา นักวิจัยด้านความปลอดภัยได้เผยแพร่เครื่องมือที่สามารถทำการโจมตีแบบฟิชชิ่งและยังสามารถเข้าสู่บัญชีได้โดยเลี่ยงการป้องกัน two-factor authentication (2FA)

Modlishka เครื่องมือใหม่นี้ถูกสร้างขึ้นโดย Piotr Duszyński นักวิจัยชาวโปแลนด์ ใช้วิธี reverse proxy ทำการปรับเปลี่ยนทราฟฟิกขาเข้าจากผู้ใช้เพื่อขโมยข้อมูลจากผู้ใช้เป้าหมาย

Modlishka ตั้งอยู่ระหว่างผู้ใช้เป้าหมายและเว็บไซต์ เช่น Gmail, Yahoo หรือ ProtonMail ผู้ที่ตกเป็นเหยื่อฟิชชิ่งจะเชื่อมต่อกับเซิร์ฟเวอร์ Modlishka (โฮสต์โดเมนฟิชชิ่ง) และ reverse proxy ส่งคำขอไปยังเว็บไซต์ที่ต้องการปลอม

Modlishka ยังจัดการระบบ 2FA ได้ เนื่องจากสามารถรวบรวมโทเค็น 2FA แบบเรียลไทม์ได้โดยไม่ต้องใช้เทมเพลตปลอมใด ๆ พวกเขาสามารถใช้เข้าสู่บัญชีของเหยื่อและสร้างเซสชันใหม่ได้อย่างถูกต้องแต่ผู้โจมตีต้องมีชื่อโดเมนฟิชชิ่ง (ไปยังโฮสต์บนเซิร์ฟเวอร์ Modlishka) และใบรับรอง TLS ที่ถูกต้องเพื่อหลีกเลี่ยงการแจ้งเตือนผู้ใช้เมื่อขาดการเชื่อมต่อ HTTPS

โดยสุดท้ายนั้นเมื่อผู้ใช้งานเข้าสู่ระบบสำเร็จ Modlishka จะเปลี่ยนเส้นทางไปยังเว็บไซต์ที่เป็นของจริงและถูกต้องเพื่อไม่ให้ผู้ใช้งานสงสัยและป้องกันไม่ให้ผู้ใช้งานสังเกตความผิดปกติของโดเมนเนมปลอมที่ผู้โจมตีสร้างขึ้น

ที่มา:zdnet.

Microsoft ได้ปล่อยอัพเดทแพทช์ประจำเดือนมกราคม 2019 เป็นการแก้ไขช่องโหว่ 51 รายการ รวมถึง Adobe Flash Player และ Servicing Stack Updates (SSU) โดยมีช่องโหว่ที่ส่งผลกระทบในระดับความรุนแรง Critical อยู่ 7 รายการต่อไปนี้

ช่องโหว่ในส่วนของ Chakra scripting engine ใน Microsoft Edge ส่งผลให้ผู้โจมตีสามารถทำ remote code execution ได้
1. Chakra Scripting Engine Memory Corruption Vulnerability (CVE-2019-0539)
2. Chakra Scripting Engine Memory Corruption Vulnerability(CVE-2019-0567)
3. Chakra Scripting Engine Memory Corruption Vulnerability(CVE-2019-0568)

ช่องโหว่ในส่วนของ DHCP client ส่งผลให้ผู้โจมตีสามารถส่ง DHCP response ที่ได้รับการแก้ไขแล้วมายัง client เพื่อสั่งรันคำสั่งอันตรายได้
4. Windows DHCP Client Remote Code Execution Vulnerability(CVE-2019-0547)

ช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำ remote code execution ผ่านช่องโหว่การตรวจสอบค่า input ของ host server ที่รับมาจากเครื่อง guest ส่งผลให้ผู้โจมตีสามารถรันคำสั่งอันตรายบน Hyper-V host ได้
5. Windows Hyper-V Remote Code Execution Vulnerability(CVE-2019-0550)
6. Windows Hyper-V Remote Code Execution Vulnerability(CVE-2019-0551)

ช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำ remote code execution เมื่อเข้าเว็บไซต์ที่เป็นอันตราย โดยผู้โจมตีจะได้รับสิทธิ์เทียบเท่ากับผู้ใช้งานขณะนั้น หากผู้ใช้งานมีสิทธิ์เป็น admin จะส่งผลให้ผู้โจมตีสามารถลงโปรแกรม, ดู, แก้ไข และลบข้อมูล หรือสร้าง account ใหม่ได้
7. Microsoft Edge Memory Corruption Vulnerability(CVE-2019-0565)

ที่มา:bleepingcomputer.

มีการพบ Application ที่เป็นมัลแวร์หลุดรอดจากกระบวนการตรวจสอบของ App store บน iOS

Golduck ถูกพบว่าเป็นมัลแวร์ที่จะทำการแพร่กระจาย adware และอาจมีความสามารถในการควบคุมเครื่องได้ ถูกพบครั้งแรกใน Application บนระบบ Android แต่ล่าสุดมีการพบใน Application ที่อยู่ใน Apple App Store และพบว่ามี Application มากกว่า 12 รายการ ที่มีพฤติกรรมการถ่ายโอนข้อมูลไปยังเซิร์ฟเวอร์อันตรายที่เกี่ยวข้องกับ Golduck (C&C) ซึ่งข้อมูลจะประกอบไปด้วย IP Address และข้อมูลตำแหน่ง ประเภทอุปกรณ์และจำนวนโฆษณาที่แสดงบนอุปกรณ์

นักวิจัย Wandera ได้แจ้งรายชื่อเกมส์ 14 รายการตามรายการด้านล่าง ที่มีการเชื่อมต่อกับเซิร์ฟเวอร์ที่เกี่ยวข้องกับการทำงานของมัลแวร์ Golduck ไปยัง Apple โดยล่าสุดทาง Apple ได้นำ Application เหล่านั้นออกจาก Apple Store เป็นที่เรียบร้อยแล้ว และ Application ดังกล่าวส่วนใหญ่ถูกพัฒนาโดยผู้พัฒนาเพียง 3 ราย ได้แก่ Nguyen Hue, Gaing Thi, Tran Tu
• Commando Metal: Classic Contra
• Super Pentron Adventure: Super Hard
• Classic Tank vs Super Bomber
• Super Adventure of Maritron
• Roy Adventure Troll Game
• Trap Dungeons: Super Adventure
• Bounce Classic Legend
• Block Game
• Classic Bomber: Super Legend
• Brain It On: Stickman Physics
• Bomber Game: Classic Bomberman
• Classic Brick – Retro Block
• The Climber Brick
• Chicken Shoot Galaxy Invaders

ที่มา:bleepingcomputer.

บั๊กของซอฟต์แวร์ทำข้อมูลสมาชิกสิงคโปร์แอร์ไลน์รั่วไหล กระทบ 285 บัญชี

สิงคโปร์แอร์ไลน์ (SIA) ประกาศการรั่วไหลของข้อมูลสืบเนื่องจากการเปลี่ยนซอฟต์แวร์ซึ่งทำให้ผู้ใช้งานที่เข้าสู่ระบบสามารถเห็นข้อมูลของผู้ใช้งานอื่นๆ ได้ โดยปัญหาดังกล่าวส่งผลกระทบเฉพาะกับผู้ใช้งานทั้งหมด 285 บัญชี และไม่พบการพยายามแก้ไขข้อมูล

ข้อมูลที่ได้รับผลกระทบจากการรั่วไหลนั้นเป็นข้อมูลที่เกี่ยวข้องกับสมาชิก ประวัติการบิน อีเมลและที่อยู่ของผู้โดยสารและในกรณียังรวมไปถึงรายละเอียดหนังสือเดินและบัตรเครดิตด้วย

ทั้งนี้ SIA ได้ดำเนินการแก้ไขปัญหาดังกล่าวและแจ้งให้กับผู้ได้รับผลกระทบทราบแล้ว อย่างไรก็ตาม SIA อาจจะต้องจ่ายค่าปรับตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบบุคลซึ่งมีโอกาสถูกปรับตั้งแต่ 10,000 ดอลลาร์สิงคโปร์ (7,325 ดอลลาร์สิงคโปร์) และปรับสูงสุดถึง 1 ล้านดอลลาร์สิงคโปร์ (732,532 ดอลลาร์สหรัฐ)

ที่มา:zdnet.

อาชญากรไซเบอร์กำลังกำหนดเป้าหมายไปยังเครื่องของเหยื่อเพื่อทำการโจมตี โดยโจมตีผ่านทางช่องโหว่ของโปรแกรมเว็บเบราว์เซอร์และส่วนเสริมก่อนที่จะติดตั้งมัลแวร์ที่สามารถขโมยข้อมูลและปล่อยแรนซัมแวร์เข้าสู่ระบบได้ อ้างอิงจากนักวิจัยของ Malwarebytes ซึ่งมีการค้นพบว่าการแพร่กระจายของมัลแวร์ในรูปแบบใหม่นั้นอาศัยทั้งการขโมยข้อมูลและเข้ารหัสในตัวด้วยมัลแวร์สองประเภทคือ Vidar และ GandCrab

Vidar คือมัลแวร์รูปแบบใหม่ซึ่งมีเป้าหมายคือการขโมยข้อมูลจำนวนมหาศาลของผู้ตกเป็นเหยื่อ เช่น รหัสผ่าน เอกสาร ภาพหน้าจอ ประวัติเบราว์เซอร์ ข้อมูลการส่งข้อความ รายละเอียดบัตรเครดิต และอื่นๆ

Vidar ยังสามารถกำหนดเป้าหมายเป็นกระเป๋าเงินเสมือนที่เก็บ Bitcoin และ Cryptocurrencies อื่นๆ ได้ มัลแวร์ตัวนี้มีความสามารถสูงในการปรับแต่งตัวเองและกำลังได้รับความนิยมในกลุ่มแฮกเกอร์ต่างๆ ด้วย สำหรับที่มาของชื่อมัลแวร์ Vidar นั้น ดูเหมือนว่าจะได้รับการตั้งชื่อตามเทพพระเจ้านอร์ส “Víðarr the Silent” ชื่อที่ผู้เขียนอาจเลือกเพื่อสะท้อนความสามารถที่ซ่อนเร้น

Vidar ได้รับการออกแบบมาให้ทำงานอย่างลับๆ ทำให้ผู้ที่ตกเป็นเหยื่อไม่ทราบว่าระบบของพวกเขาถูกโจมตีขณะที่ผู้โจมตีทำให้ข้อมูลส่วนตัวถูกส่งคำสั่งออกไปและควบคุมเครื่องเซิร์ฟเวอร์ (C&C) และยังทำให้เครื่องของเหยื่อทำงานเป็นตัวดาวโหลดมัลแวร์อื่นๆ และทำให้เกิดการแพร่กระจายของ GandCrab Ransomware อีกด้วย

ที่มา:zdnet.

โค้ดสำหรับโจมตีช่องโหว่ CVE-2018-8629 บนเว็บเบราเซอร์ Microsoft Edge ถูกเผยแพร่โดยนักวิจัยที่พบช่องโหว่นั้น โดยโค้ดนี้สามารถถูกใช้เพื่อทำการโจมตีจากระยะไกลบนเครื่องที่ยังไม่มีการแพตช์ได้

ช่องโหว่ CVE-2018-8629 กระทบ Chakra ซึ่งเป็น JavaScript engine ภายใน Edge ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันคำสั่งอันตรายด้วยสิทธิเดียวกับผู้ใช้งานที่เข้าสู่ระบบอยู่ ช่องโหว่นี้ถูกระบุว่ามีผลกระทบร้ายแรง (critical) กับระบบปฏิบัติการแทบทุกรุ่นของ Microsoft ยกเว้น Windows Server 2019 และ 2016 ที่ได้รับผลกระทบจากช่องโหว่นี้ระดับปานกลาง (moderate) ซึ่งทาง MIcrosoft ได้แก้ไขช่องโหว่นี้แล้วในแพตช์ปรับปรุงความปลอดภัยของเดือนธันวาคม 2018

Bruno Keith นักวิจัยผู้เป็นคนค้นพบช่องโหว่ได้ปล่อยตัวอย่างโค้ดสำหรับโจมตีช่องโหว่ออกมาเมื่อวันที่ 28 ธันวาคม 2018 โดยโค้ดที่ถูกปล่อยออกมาโดยนักวิจัยสามารถทำให้เกิดการอ่านข้อมูลในหน่วยความจำเกินกว่าที่ควร (out-of-bounds memory read leak) ซึ่งไม่ทำให้เกิดผลกระทบร้ายแรงโดยตรง แต่สามารถถูกผู้ไม่หวังดีนำไปดัดแปลงต่อได้

ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตระบบเพื่อความปลอดภัยจากการโจมตีด้วยช่องโหว่ดังกล่าว

ที่มา : bleepingcomputer

ไมโครซอฟต์แจ้งเตือนช่องโหว่ระดับวิกฤติ รันโค้ดอันตรายจากระยะไกลผ่าน Windows DNS Server

ไมโครซอฟต์ออกประกาศแจ้งเตือนช่องโหว่ระดับวิกฤติสองรายการเมื่อช่วงสัปดาห์ที่ผานมา โดยช่องโหว่หนึ่งที่มีการประกาศออกมานั้นมีผลลัพธ์ร้ายแรงที่สุดทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตราย (Remote Code Execution - RCE) เพื่อโจมตีระบบจากระยะไกลได้ผ่านช่องโหว่ของฟีเจอร์ DNS

ช่องโหว่แรกรหัส CVE-2018-8611 นั้นเป็นช่องโหว่ยกระดับสิทธิ์ในวินโดวส์เคอร์เนลซึ่งทำให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็นสิทธิ์ของระบบได้ ส่วนช่องโหว่ที่สองรหัส CVE-2018-8626 นั้นเป็นช่องโหว่ heap overflow ในฟีเจอร์ Windows DNS ซึ่งทำให้ผู้โจมตีรันโค้ดที่เป็นอันตรายได้จากระยะไกลด้วยสิทธิ์ของระบบเช่นเดียวกัน

Recommendation
ทั้งสองช่องโหว่ได้มีการประกาศแพตช์ด้านความปลอดภัยเฉพาะกิจออกมาแล้ว ขอให้ผู้ใช้งานทำการอัปเดตระบบปฏิบัติการเพื่อรับแพตช์ด้านความปลอดภัยใหม่โดยด่วน

Affected Platform
Windows 10, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019

ที่มา : darkreading

โค้ดสำหรับโจมตีช่องโหว่ CVE-2018-8629 บนเว็บเบราเซอร์ Microsoft Edge ถูกเผยแพร่โดยนักวิจัยที่พบช่องโหว่นั้น โดยโค้ดนี้สามารถถูกใช้เพื่อทำการโจมตีจากระยะไกลบนเครื่องที่ยังไม่มีการแพตช์ได้

ช่องโหว่ CVE-2018-8629 กระทบ Chakra ซึ่งเป็น JavaScript engine ภายใน Edge ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันคำสั่งอันตรายด้วยสิทธิเดียวกับผู้ใช้งานที่เข้าสู่ระบบอยู่ ช่องโหว่นี้ถูกระบุว่ามีผลกระทบร้ายแรง (critical) กับระบบปฏิบัติการแทบทุกรุ่นของ Microsoft ยกเว้น Windows Server 2019 และ 2016 ที่ได้รับผลกระทบจากช่องโหว่นี้ระดับปานกลาง (moderate) ซึ่งทาง MIcrosoft ได้แก้ไขช่องโหว่นี้แล้วในแพตช์ปรับปรุงความปลอดภัยของเดือนธันวาคม 2018

Bruno Keith นักวิจัยผู้เป็นคนค้นพบช่องโหว่ได้ปล่อยตัวอย่างโค้ดสำหรับโจมตีช่องโหว่ออกมาเมื่อวันที่ 28 ธันวาคม 2018 โดยโค้ดที่ถูกปล่อยออกมาโดยนักวิจัยสามารถทำให้เกิดการอ่านข้อมูลในหน่วยความจำเกินกว่าที่ควร (out-of-bounds memory read leak) ซึ่งไม่ทำให้เกิดผลกระทบร้ายแรงโดยตรง แต่สามารถถูกผู้ไม่หวังดีนำไปดัดแปลงต่อได้

ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตระบบเพื่อความปลอดภัยจากการโจมตีด้วยช่องโหว่ดังกล่าว

ที่มา: bleepingcomputer.