สำหรับเทศกาล Patch Tuesday ของ Microsoft ในเดือนนี้นั้น Microsoft ได้มีการประกาศแพตช์ด้านความปลอดภัยให้กับหลายผลิตภัณฑ์ ทั้งหมด 55 ช่องโหว่ รวมไปถึงแพตช์ฉุกเฉินสำหรับช่องโหว่ Microsoft Malware Protection Engine ที่พึ่งถูกค้นพบโดย Google Project Zero ตามรายละเอียดดังต่อไปนี้
สำหรับรายการแพตช์ทั่วไป ผลิตภัณฑ์ที่จำเป็นต้องมีการอัพเดตแพตช์ได้แก่ Internet Explorer, Microsoft Edge, Microsoft Windows (ทั้งแบบเดสทอปก์และแบบเซิร์ฟเวอร์), Microsoft Office และ .NET Framework โดยมีช่องโหว่ร้ายแรงอยู่ที่ช่องโหว่ของ Microsoft Office ที่ทำให้ผู้โจมตีสามารถรรันโค้ดที่เป็นอันตรายได้จากระยะไกลผ่านไฟล์ EPS และพบการโจมตีช่องโหว่นี้แล้ว รวมไปถึงช่องโหว่ยกระดับสิทธิ์ใน Windows Kernel ซึ่งก็ตรวจพบการใช้ช่องโหว่นี้ในการโจมตีแล้วเช่นเดียวกัน
นอกเหนือจากรายการแพตช์ทั่วไปแล้ว Microsoft ยังได้มีการออกแพตช์ด้านความปลอดภัยฉุกเฉินสำหรับช่องโหว่ใน Microsoft Malware Protection Engine ซึ่งถูกค้นพบโดยทีมแฮกเกอร์จาก Google Project Zero ด้วย แนะนำให้อัพเดตทุกๆ แพตช์โดยด่วนที่สุดครับ
ที่มา : Microsoft

แพตช์ด้านความปลอดภัยสำหรับผลิตภัณฑ์ของ Adobe ประจำเดือนพฤกษาคม 2017 ได้ถูกประกาศออกมาแล้วเมื่อวานที่ผ่านมา โดยในรอบนี้นั้นมีซอฟต์วแวร์ที่จำเป็นต้องมีการอัพเดตอยู่สองรายการได้แก่ Adobe Flash Player และ Adobe Experience Manager Forms
สำหรับ Adobe Flash Player นั้น แพตช์ที่ออกมาจะปกป้องผู้ใช้งานจาก 7 ช่องโหว่ใหญ่ซึ่งกระทบทุกๆ ระบบปฏิบัติการตั้งแต่ Windows, Mac, Linux ไปจนถึง Chrome OS ผู้ใช้งานสามารถเข้าไปตรวจสอบเวอร์ชันปัจจุบันที่ใช้อยู่ได้ที่ http://www.

Google Project Zero (Natalie Silvanovich และ Tavis Ormandy) พบช่องโหว่ใน Malware Protection service (MsMpEng) ซึ่งเป็น module ที่ถูก enable โดย default ใน Windows 8, 8.1, 10 และ Windows Server 2012 และอื่นๆ ทำให้ผู้ใช้งานทั่วไปตกเป็นเหยื่อของการยึดเครื่องจากระยะไกลได้

MsMpEng ถูก enable ใน Windows รุ่นต่างๆ รวมถึงเป็น core engine ที่ใช้งานร่วมกับ Windows Security Essential, System Centre Endpoint Protection, และ product ทางด้าน security ใดๆของ Microsoft อีกด้วย ซึ่ง MsMpEng ถูกรันโดยใช้สิทธิ์ NT AUTHORITY\SYSTEM อีกทั้ง engine ดังกล่าวไม่มีการรันผ่าน Sandbox และสามารถเข้าถึง service ได้โดยไม่จำเป็นต้อง authentication ผ่าน service ต่างๆไม่ว่าจะเป็น Windows services, Exchange, IIS และอื่นๆอีกด้วย ทำให้หากมีการโจมตีเกิดขึ้น Hacker จะสามารถได้ทั้งสิทธิ์สูงสุดของเครื่องพร้อมทั้งสามารถสั่งงานเครื่องได้ทันทีโดยไม่ต้องเหนื่อย bypass Sandbox แต่อย่างใด

ตัว MsMpEng มีส่วน scan และ analysis ที่ชื่อว่า mpengine ซึ่งเป็นช่องโหว่ของการโจมตีขนาดใหญ่และซับซ้อน เนื่องด้วย engine ดังกล่าวมีการ scan และ analysis ไฟล์ที่หลากหลายมาก ทำให้ Hacker สามารถเข้าถึงได้หลากหลายนั่นเอง โดย NScript เป็นส่วนหนึ่ง (Component) ของ mpengine ที่จะใช้ประเมิณ filesystem และการใช้งานทางด้าน network ใดๆที่ดูแล้วน่าจะเป็น javascript แต่ NScript ไม่มีการตรวจสอบ input ที่ดีพอทำให้เกิด Remote Code Execution (RCE) ได้

หากเป็นเครื่อง Workstation ใช้งานทั่วไป Hacker สามารถเข้าถึง Engine ดังกล่าวได้โดยการส่ง email ไปยัง user หาก user ทำการกด link ใน browser หรือใดๆก็แล้วแต่ MsMpEng ก็จะทำงานขึ้นมาเพื่อทำการตรวจสอบ filesystem ต่างๆที่เกิดจาก event การเปิดไฟล์นั้น ซึ่งจะทำให้ MsMpEng ได้รับไฟล์ input จากที่ Hacker เขียนลงไปใน Harddisk ซึ่งไฟล์ดังกล่าวจะเป็นการเขียนไฟล์อันตรายที่ทำให้เกิด Remote Code Execution หรือ Privilege Escalation ได้นั่นเอง

ตอนนี้ทาง Microsoft ได้ออก patch ออกมาแก้ไขแล้วครับ (CVE-2017-0290)
ระบบที่ได้รับผลกระทบ: Microsoft Malware Protection version About จะพบ Engine Version

ที่มา: technet.

ความขัดแย้งระหว่างผู้ผลิตเบราว์เซอร์หลักสองรายคือกูเกิลและมอซิลล่า (ผู้สร้างไฟร์ฟอกซ์) กับธุรกิจออกใบรับรองดิจิตอลของไซแมนเทคยังไม่จบและความขัดแย้งยังดูไม่มีทีท่าว่าจะหาทางออกที่พอใจทั้งสองฝ่ายได้ หลังจากที่กูเกิลเสนอให้บีบอายุใบรับรองของไซแมนเทคเหลือเพียง 9 เดือน ล่าสุดกูเกิลก็ส่งตัวแทนไปเจรจากับไซแมคเทคอีกครั้ง และได้ข้อเสนอใหม่ออกมา

ข้อเสนอใหม่ของกูเกิลระบุให้ไซแมนเทคสร้าง sub-CA ขึ้นใหม่พร้อมกับ cross-sign กับ root CA ของไซแมนเทคเอง แต่ sub-CA นี้จะต้องดำเนินการจากผู้ให้บริการอื่นที่ได้รับความเชื่อถือ ขณะที่ตัวไซแมนเทคเองจะกลายเป็นเพียงฝ่ายขายที่ทำหน้าที่ขายใบรับรองอย่างเดียว ส่วนลูกค้าจะยังคงเห็นใบรับรองว่ามาจากไซแมนเทคอยู่

การเจรจาระหว่างกูเกิลและไซแมนเทคเป็นการเจรจาภายใน ไซแมนเทคได้เปิดเผยข้อมูลแผนการปรับปรุงระบบของตัวเองที่ยังไม่เปิดเผยต่อสาธารณะ ข้อเสนอของกูเกิลอ้างถึงการปรับปรุงนั้นว่าหลังจากทำเรียบร้อยแล้วไซแมนเทคจะสามารถดึงการดำเนินการ CA กลับมาจากผู้ให้บริการอื่นมาให้บริการต่อเอง

กูเกิลระบุว่าหากไซแมนเทคดำเนินการตามนี้ก็จะมีแนวทางการแก้ไขให้ลูกค้าเดิม โดยไม่ต้องติดข้อกำหนดอายุใบรับรอง 9 เดือนหรือถูกถอดสิทธิ์การแสดง EV แต่อย่างใด
Gervase Markham นักพัฒนาจากมอซิลล่าออกมาแสดงความเห็นด้วยกับแนวทางของกูเกิลโดยรวม โดยระบุว่าหากไซแมนเทคไม่ทำตามข้อเสนอของกูเกิลไฟร์ฟอกซ์จะจำกัดอายุใบรับรองจากไซแมนเทคเหลือ 13 เดือน ทั้งใบรับรองเดิมและใบรับรองใหม่ แต่เขาไม่เห็นด้วยที่จะถอดสิทธิ์การออกใบรับรอง EV เพราะเป็นส่วนที่ไม่ได้รับผลกระทบจากความผิดพลาด

ด้านไซแมนเทคออกมาตอบข้อเสนอของทั้งสองหน่วยงาน ระบุว่าบริษัทได้เสนอแนวทางการปรับปรุงไปแล้ว โดยจะมีการตรวจสอบจากภายนอกใหม่ แม้ทั้งการปรับปรุงระบบและตรวจสอบใบรับรองที่ออกไปแล้วทั้งหมด ตอนนี้กระบวนการตรวจสอบใบรับรองโดย Registration Authority (RA - หน่วยงานภายนอกที่ออกใบรับรองด้วยระบบของไซแมนเทค) ดำเนินการไปแล้วระหว่าง 85-99% โดยพบความผิดพลาดตั้งแต่ 0.3-5% บางกรณีเป็นความผิดพลาดเล็กน้อยเช่นการเรียกชื่อเมืองผิด

ตัวเลขล่าสุดของไซแมนเทคแสดงให้เห็นว่ามีใบรับรองที่ออกโดย RA มากกว่า 30,000 ใบตรงกับที่กูเกิลระบุในรายงานครั้งแรก และตอนนี้พบใบรับรองผิดพลาดแล้วมากกว่า 500 ใบซึ่งมากกว่ารายงานจากไซแมนเทคซึ่งระบุว่ามีเพียง 127 ใบถึงสี่เท่าตัว และการตรวจสอบยังไม่เสร็จสิ้น

ที่มา: blognone, docs.

โปรแกรม PuTTY ได้ถูกปล่อยเวอร์ชันใหม่ในเวอร์ชัน 0.69 เมื่อช่วงปลายเดือนเมษายนที่ผ่านมา โดยในรุ่นล่าสุดนั้น PuTTY ได้ถูกแก้ไขช่องโหว่ DLL Hijacking บนแพลตฟอร์มของวินโดวส์ ที่ผู้โจมตีสามารถสร้างไฟล์ DLL ด้วยชื่อเฉพาะที่เป็นอันตรายและให้มีการโหลดขึ้นมาทำงานทันทีที่ PuTTY เริ่มการทำงานได้

นอกเหนือจากนั้นยังมีการแก้ปัญหาการรองรับการทำงานบน Kerberos ที่พบในเวอร์ชันก่อนหน้าพร้อมทั้งปัญหาทั่วไปอื่นๆ ด้วย
สำหรับผู้ที่ต้องการอัพเดตเป็นเวอร์ชันใหม่ แนะนำให้ทำการดาวน์โหลดจากแหล่งที่เชื่อถือได้และตรวจสอบความสมบูรณ์ของไฟล์ด้วยทุกครั้งเพื่อลดความเสี่ยงที่จะถูกโจมตีหรือถูกขโมยจากโปรแกรมที่ถูกดัดแปลง

ที่มา : chiark

นักวิจัยด้านความปลอดภัย Pali Rohár ได้ค้นพบช่องโหว่ซึ่งถูกเรียกว่า Riddle ซึ่งเป็นช่องโหว่ที่อนุญาตให้ผู้โจมตีทำการ MITM ได้อันเนื่องมาจากความบกพร่องในการตรวจสอบคุณสมบัติด้านความปลอดภัยของการเชื่อมต่อ ช่องโหว่ Riddle ได้ถูกแพตช์ไปแล้วโดยใน MySQL 5.5.55

Again Riddle เป็นช่องโหว่ที่ถูกค้นพบอีกครั้งบน MySQL 5.5.55 โดยเป็นช่องโหว่ในลักษณะเดียวกันกับ Riddle คือ หากไฟล์ libmyclient.

ยังคงวนเวียนกับช่องโหว่ของ WordPress โดยก่อนหน้านี้ได้เคยพูดถึงช่องโหว่ RCE ใน WordPress 4.6 มาคราวนี้ก็ยังเจอในส่วนเดิมคือการจัดการ SERVER_NAME ที่ไม่ดีพอของ WordPress แต่คราวนี้เป็น WordPress ตัวใหม่สุดคือ 4.7.4 และช่องโหว่ดังกล่าวยังไม่มี patch ออกมาแก้ไขอีกด้วย

ผู้ที่ค้นพบช่องโหว่นี้คือ Dawid Golunski ได้รับ CVE เป็น CVE-2017-8295 โดย Dawid พบว่าการ reset password ของ WordPress มีการนำค่าของ SERVER_NAME (ซึ่งสามารถกำหนดได้ผ่าน HOST Header ใน HTTP Request) ไปเป็นค่า From/Return-Path header ของการเมล์ตอบกลับไป reset password หรือก็คือหาก Attacker กำหนด Host เป็น attackers-mxserver.

พบข่องโหว่ร้ายแรงใน Core ของ WordPress 4.6 ทำให้สามารถถูกยึดเครื่องได้ง่ายดายโดยไม่จำเป็นต้องเข้าสู่ระบบแต่อย่างใด (Unauthentication) หากแต่เพียงเว็บไซด์ต้องสามารถเข้าถึงได้โดยไม่ใช้ domain name (Virtual Host) เท่านั้น

Dawid Golunski พบช่องโหว่ RCE ใน WordPress <= 4.6 โดยได้รับ CVE เป็น CVE-2016-10033 ช่องโหว่นี้เกิดจากในส่วนของการส่ง email ไปยัง user จะเป็นการดูจาก SERVER_NAME ที่ client ส่งมาให้ (ตัวอย่าง event ที่จะทำให้เกิดการส่ง email เช่น การ register user, การลืมรหัสผ่าน และอื่นๆ) ซึ่งช่องโหว่นี้จำเป็นต้องมี PHPMailer function ที่มีช่องโหว่ด้วย
โดยปกติค่า SERVER_NAME สามารถกำหนดได้ผ่าน HOST Header ทำให้หาก Hacker ส่ง request การลืมรหัสผ่านของ user admin ไปให้กับ Website เป้าหมาย แล้วกำหนด HOST Header เป็น domain ใดๆพร้อมกับการกำหนด comment ที่เป็น command เข้าไปต่อท้ายกับ domain เมื่อถูกส่งต่อไปทำงานด้วย PHPMailer function ที่มีช่องโหว่ก็จะทำให้เกิด Remote Code Execution ได้นั่นเอง

ตัวอย่างการ request
POST /wordpress/wp-login.

NCCIC ออกประกาศแจ้งเตือนการตรวจพบการโจมตีในวงกว้างหลายระบบและฝังมัลแวร์ PLUGX/SOGU และ REDLEAVES National Cybersecurity and Communications Integration Center (NCCIC) หนึ่งในหน่วยงานภายใต้ Department of Homeland Security (NHS) ออกประกาศแจ้งเตือนการโจมตีในวงกว้างที่เกี่ยวข้องกับหลายองค์กรและหลายระบบ ซึ่งน่าจะมีจุดเริ่มต้นย้อนกลับไปในได้ถึงในเดือนพฤษภาคม 2016 ที่ผ่านมา

เป้าหมายการโจมตีครั้งนี้อยู่ที่ระบบคอมพิวเตอร์และเครือข่ายของบริษัททั่วไปและบริษัทที่เป็นผู้ให้บริการทางด้านเทคโนโลยีสารสนเทศ
ลักษณะ เทคนิคและวิธีการโจมตีที่ผู้โจมตีใช้นั้น ในเบื้องต้น NCCIC ได้พูดถึงประเด็นการเข้าถึงข้อมูลที่เป็นรหัสผ่านหรือข้อมูลที่ใช้ในการยืนยันตัวเพื่อเข้าไปในระบบและดำเนินการฝังมัลแวร์เพื่อเข้าสู่ระบบอื่นๆ โดยวิธีการที่ผู้โจมตีใช้มักจะเป็นเครื่องมือบนภาษาสคริปต์ PowerShell เป็นหลัก

เมื่อมัลแวร์ที่ติดตั้งบนเครื่องของเหยื่อได้แล้ว มัลแวร์จะมีการติดต่อไปยังเซิร์ฟเวอร์ที่ใช้ออกคำสั่งและควบคุม (C2) โดยมีการเข้ารหัสข้อมูลที่มีการรับส่งกันด้วยอัลกอริธึมการเข้ารหัส RC4 ผ่านพอร์ต 443 ไปยังโดเมนปลายทางที่มีการเปลี่ยนหมายเลขไอพีอยู่ตลอดเวลา และในบังคับก็มีการเลียนแบบ C2 เป็นเว็บไซต์ของ Windows Update เพื่อให้สังเกตได้ยากขึ้น มัลแวร์ที่ผู้โจมตีมีการใช้งานนั้นบางส่วนยังไม่ถูกตรวจจับได้ด้วยวิธีการแบบ signature-based ทำให้ยังไม่สามารถระบุประเภทได้ แต่บางส่วนก็สามารถระบุประเภทได้โดยเป็นมัลแวร์ PLUGX/SOGU และ REDLEAVES อย่างไรก็ตาม NCCIC ยังตรวจพบมัลแวร์ที่รันอยู่บนหน่วยความจำอย่างเดียว (fileless) โดยไม่ทิ้งหลักฐานที่เป็นไฟล์อยู่บนเครื่องอีกด้วย

ตัวอย่างของ IOC สามารถตรวจสอบได้จากไฟล์ STIX และ xlsx รวมไปถึงรายละเอียดการวิเคราะห์มัลแวร์ในเบื้องต้นสามารถตรวจสอบได้จากลิงค์แหล่งที่มาด้านล่าง

ที่มา: us-cert.

IBM Storwize เป็น Storage สำหรับองค์กร โดยมีหลากหลายรุ่นให้เลือกใช้ ซึ่งจำเป็นต้องมีการ setup configuration ผ่าน computer ด้วย ซึ่งการ setup configuration นั้นจะกระทำผ่าน USB ที่แนบมาให้ด้วย แต่ล่าสุดพบว่า USB ที่แนบมาด้วยนั้นมีการฝัง malware มาด้วย
ถือว่าความเชื่อถือของ Lenovo กลับมาถูกทำลายอีกครั้งหลังจากพบว่า USB Flash drive ที่เป็นเครื่องมือสำหรับการ setup การเริ่มต้น (initialization tool) ที่มากับ IBM Storwize สำหรับ Lenovo V3500, V3700 และ V5000 Gen 1 storage system พบว่ามีไฟล์ที่ malicious code ฝังอยู่

เมื่อ initialization tool รันจาก USB ใน Computer เพื่อเริ่ม configuration ตัวเครื่องมือจะ copy ตัวเองไปใน folder ชั่วคราวบน Hard drive ของ Desktop ซึ่งทำให้มีการ copy malicious file เข้าไปใน folder ชั่วคราวนั้นด้วย ซึ่งไฟล์นั้นๆจะไม่ถูกรันโดยตัวเครื่องมือ setup เอง ยกเว้นว่า user จะเป็นคนกดรันเอง
ทาง Lenovo แนะนำให้ทำการทำลาย USB flash drive ทันที จากนั้นให้ติดต่อ Lenovo เพื่อขอ USB flash drive ใหม่ หรือไม่ก็ download Initialization tool package จาก Lenovo Support ได้เลย (https://www.