ทีมวิจัยรายงานการโจมตี DROWN ที่สามารถถอดรหัสการเชื่อมต่อ TLS รุ่นใหม่ๆ (ทดสอบใน TLS 1.2) ได้สำเร็จ โดยกระบวนการนี้มีแม้จะอันตรายมากแต่ก็มีเงื่อนไขหลายอย่าง ได้แก่

แฮกเกอร์ต้องดักฟังการเชื่อมต่อ TLS ที่จะโจมตีไว้ล่วงหน้า ประมาณ 1,000 การเชื่อมต่อ (ไม่นับการใช้การเชื่อมต่อ TLS ซ้ำ)
เซิร์ฟเวอร์ต้องรองรับ SSLv2 โดยใช้ใบรับรองใบเดียวกับที่ใช้ TLS
แฮกเกอร์ต้องสามารถเชื่อมต่อ SSLv2 ได้จำนวนมากๆ ประมาณ 40,000 ครั้ง
เซิร์ฟเวอร์ SSLv2 จะต้องรองรับการเชื่อมต่อที่อ่อนแอ (export grade)

แฮกเกอร์มีพลังประมวลผลเหลือเฟือ สามารถคำนวณหากุญแจความซับซ้อนระดับ 2^50 ได้ ค่าใช้จ่ายใน EC2 ประมาณ 440 ดอลลาร์

ทีมวิจัยอาศัยช่องโหว่ padding oracle ของ SSLv2 เพื่อคำนวณหาค่าที่จำเป็นจากการเชื่อมต่อ SSLv2 จำนวนมาก แล้วใช้ค่าเหล่านั้นมาถอดรหัสการเชื่อมต่อ TLS อันใดอันหนึ่งจากที่ดักฟังมา 1,000 การเชื่อมต่อได้ หากเป็นการเชื่อมต่อเว็บ แฮกเกอร์ต้องการถอดรหัสเพียงการเชื่อมต่อเดียวเพื่อจะโมย cookie ไปสวมรอยบัญชี

SSLv2 ไม่ได้รับความนิยมนัก โดยเฉพาะเว็บเซิร์ฟเวอร์ แต่เซิร์ฟเวอร์จำนวนมากก็ใช้ใบรับรองเดียวกันระหว่างเว็บเซิร์ฟเวอร์กับบริการอื่นๆ ที่อาจจะคอนฟิกไว้หละหลวมกว่าเช่นเมลเซิร์ฟเวอร์ ทีมงานพบว่ามีเว็บเซิร์ฟเวอร์ที่ยังรองรับ SSLv2 อยู่ 16% แต่มีการใช้ใบรับรองซ้ำในบริการอื่นที่รองรับ SSLv2 อยู่อีก 17% ทำให้เซิร์ฟเวอร์ที่มีความเสี่ยงรวมเป็น 33%

ทางแก้ที่ตรงไปตรงมาคือการปิดการรองรับ SSLv2 ทุกบริการเสีย ทางด้าน OpenSSL ออกแพตช์มาแล้วในรุ่น 1.0.2g และ 1.0.1s โดยปิดการทำงานการเข้ารหัสในกลุ่ม EXPORT และ LOW ออกทั้งหมดเป็นค่าเริ่มต้น

ช่องโหว่นี้มีคะแนน CVSS ระดับ 5.8 จัดอยู่ในช่องโหว่ระดับสำคัญ ทาง Red Hat นั้นกระทบตั้งแต่ RHEL 5/6/7 ส่วน IIS ของไมโครซอฟท์ระบุว่าเวอร์ชั่นที่ซัพพอร์ตอยู่ตอนนี้ปิด SSLv2 ไปทั้งหมดแล้ว

ที่มา : blognone

Palo Alto Networks ได้ออกมาเปิดเผยถึงช่องโหว่ 4 รายการ ซึ่งรวมถึงช่องโหว่ Remote Code Execution และ DDOS ในนั้นด้วย โดยระบบของ Palo Alto Networks ที่ถูกพบช่องโหว่พร้อมออก Patch มาให้อัพเดตกันอย่างเร่งด่วนมีดังนี้

GlobalProtect/SSL VPN Web Interface พบช่องโหว่ร้ายแรงและช่องโหว่ระดับปานกลางในการทำ Buffer Overflow ที่เปิดให้ผู้โจมตีทำ DoS ได้
Management Web Interface พบช่องโหว่ระดับสูงที่ทำ Remote Code Execution ได้
Command Line Interface พบช่องโหว่ระดับต่ำที่ทำให้ผู้โจมตีสามารถเรียกใช้คำสั่งด้วยสิทธิ์ Root ได้

สำหรับช่องโหว่เหล่านี้ PAN-OS ที่ได้รับผลกระทบนั้นได้แก่รุ่น 5.0.17, 5.1.10, 6.0.12, 6.1.9, 7.0.5 และก่อนหน้าทั้งหมด ดังนั้นผู้ใช้งาน Palo Alto Networks ควรรีบ Patch ทันที

ที่มา : theregister

เมื่อวันที่ 21 กุมภาพันธ์ที่ผ่านมา เว็บไซต์ Linux Mint หนึ่งใน Linux Distro ยอดนิยมได้ออกมาประกาศว่าเว็บไซต์ linuxmint.

Moritz Jodeit นักวิจัยด้านความปลอดภัยจาก Blue Frost Security พบช่องโหว่ใน FireEye Virtual Execution Engine (VXE) ทำให้สามารถ bypass การวิเคราะห์มัลแวร์ได้เพียงแค่เปลี่ยนชื่อไฟล์ของมัลแวร์บน Windows ไปเป็นชื่ออื่นซึ่งไม่ได้อยู่ใน whitelist ของชื่อมัลแวร์ที่ทาง FireEye มีอยู่ ซึ่งการทำงานของ VXE คือจะมีการ copy ไฟล์มาไว้ใน Virtual Machine ก่อนที่จะทำการวิเคราะห์ ซึ่งทำให้ bypass โดยการเปลี่ยนชื่อไฟล์ของมัลแวร์ได้โดยใช้คำสั่ง copy ยกตัวอย่าง copy malware.

Tavis Ormandy นักวิจัยด้านความปลอดภัยจาก Google Project Zero พบว่า Comodo Internet Security มีการติดตั้งโปรแกรม GeekBuddy เพื่อให้ฝ่ายซัพพอร์ตของทาง Comodo ได้ติดต่อเข้ามาแก้ปัญหาต่างๆของเครื่องผู้ใช้งานได้ โดยมีการติดตั้ง VNC server และเปิดใช้งานเป็นค่า default ซึ่งมีสิทธิ์เป็น Admin อาจส่งผลกระทบให้ผู้ไม่ประสงค์ดี
สามารถรีโมทเข้ามาควบคุมเครื่องที่ติดตั้ง Comodo ได้

Tavis Ormandy ได้ระบุอีกว่ารหัสผ่านที่ใช้รีโมทเข้าใช้งาน VNC นั้นมี 8 ตัวอักษรซึ่งเป็น 8 ตัวอักษรแรกของ SHA1 (Disk.

นักวิจัยด้านความปลอดภัยจาก Google และ Red Hat ได้ตรวจพบบั๊ก Stack Buffer Overflow ใน GNU C Library (glibc) ที่ใช้ใน DNS Resolver บน Linux ซึ่งผู้โจมตีสามารถใช้ช่องโหว่ในส่วนนี้เพื่อเข้าควบคุมระบบ Linux ของผู้ใช้งานได้
การโจมตีนี้เริ่มต้นจากการที่ผู้โจมตีสร้าง Domain หนึ่งขึ้นมา และพยายามให้ผู้ใช้งาน Linux ทำการ Resolve Domain นั้นๆ ให้ได้ จากนั้นผู้โจมตีก็จะทำการตอบ DNS ผ่าน DNS Server ที่มีการตั้งค่าให้ส่งข้อความเพื่อโจมตีช่องโหว่นี้บน Linux โดยเฉพาะ ซึ่งการโจมตีนี้ส่งผลกระทบกับทั้ง Linux ที่เป็น Server และ Desktop แนะนำให้ผู้ใช้ Linux อัพเดต Patch glibc โดยด่วน

ที่มา : thehackernews

VMware ได้ออก Patch ซ้ำสำหรับ vCenter เพื่อแก้ปัญหาที่เคยแก้ไปแล้วในเดือนตุลาคม 2015 ที่ผ่านมาอีกครั้ง หลังพบว่าการแก้ไขปัญหาครั้งนั้นยังคงมีช่องโหว่อยู่

ช่องโหว่เดิมนั้นมีรหัส CVE-2015-2342 ซึ่งเกิดจากบริการ JMX RMI ที่ตั้งค่าเอาไว้ไม่ปลอดภัยจนทำให้เกิด Remote Code Execution (RCE) ได้บนรุ่น 5.5, 5.1 และ 5.0 ซึ่งล่าสุดนี้ VMware ก็ได้ออก Patch เสริมมาอีกในช่วงสุดสัปดาห์ที่ผ่านมาอุดช่องโหว่เดิมเพิ่มเติมอีกดังนี้ https://kb.

Chris Vickery นักวิจัยทางด้านความปลอดภัยได้ออกมาเปิดเผยถึงช่องโหว่บนเว็บไซต์ Microsoft Career ในส่วนที่เป็น Mobile Site ว่ามีการตั้งค่าของ MongoDB ที่ไม่ปลอดภัยเพียงพอ ทำให้ผู้โจมตีสามารถเข้าถึงฐานข้อมูลที่บันทึกอยู่ภายใน MongoDB ได้โดยไม่ต้องมีการยืนยันตัวตนแต่อย่างใด อีกทั้งยังสามารถเขียนข้อมูลลงไปเพื่อทำการแก้ไขได้อีกด้วย ส่งผลให้การส่งข้อมูล HTML ที่สร้างขึ้นมาเพื่อทำการโจมตีโดยเฉพาะ ประสบความสำเร็จได้ และนำไปสู่การโจมตีแบบ Watering Hole ต่อไป

ทาง Chris Vickery ได้ทำการแจ้งไปยังทีมงาน Punchkick ผู้รับผิดชอบงานดูแลระบบนี้ให้กับ Microsoft เพื่อทำการแก้ไขช่องโหว่ไปเรียบร้อยแล้ว และ Punchkick เองก็ไม่ได้ดูแลเพียงเว็บนี้เว็บเดียวเท่านั้น แต่มีเว็บอื่นๆ อีกจำนวนมากด้วย ในขณะเดียวกันงานวิจัยอื่นๆ ก็ชี้ว่าไม่ได้มีแต่ MongoDB เท่านั้นที่มีปัญหาเรื่องการตั้งค่าใช้งานอย่างไม่ปลอดภัย แต่ Redis, CouchDB, Cassandra และ Riak เองก็เช่นกัน

ที่มา : NetworkWorld

สัปดาห์ที่ผ่านมาได้เกิดกรณี Ransomware โจมตีโรงพยาบาล เข้ารหัสอีเมล์และข้อมูลผู้ป่วย พร้อมเรียกค่าไถ่สูงถึง 3.6 ล้านเหรียญ หรือประมาณ 126 ล้านบาท

โรงพยาบาลที่ถูกโจมตีนี้คือโรงพยาบาลแห่งหนึ่งใน Hollywood เมือง California ทำให้ระบบเครือข่ายล่มไปเป็นเวลานานกว่า 1 สัปดาห์ และสูญเสียข้อมูล Email และข้อมูลผู้ป่วยไปจากการถูกเข้ารหัสด้วย Ransomware

ส่วนสาเหตุที่ทำให้การโจมตีครั้งนี้ประสบความสำเร็จก็คือ การที่ระบบเครือข่ายที่จัดเก็บข้อมูล Sensitive Data กับระบบเครือข่ายสำหรับใช้งานทั่วไปนั้นเชื่อมต่อเป็นระบบเดียวกัน รวมถึงไม่มีนโยบายการรักษาความปลอดภัยที่เพียงพอ อีกทั้งอุปกรณ์การแพทย์และอุปกรณ์อื่นๆ ในระบบนั้นก็ไม่มีการอัพเดตหรืออุดช่องโหว่แต่อย่างใด ทำให้ผู้โจมตีมีช่องทางที่หลากหลายมาก ในขณะที่ข้อมูลทั้งหมดของโรงพยาบาลนั้นล้วนเป็นข้อมูลสำคัญที่ส่งผลกระทบต่อการรักษาพยาบาลโดยตรงทั้งสิ้น ดังนั้นไม่ว่าข้อมูลส่วนใดจะสูญหายไป ความเสียหายก็จะเกิดขึ้นกับโรงพยาบาลอยู่ดี

ทาง McAfee ก็ได้แนะนำแนวทางป้องกันคือ การทำ Backup ให้กับข้อมูล Sensitive Data ทั้งหมดอยู่เสมอ เพื่อที่ถ้าหากถูกโจมตีขึ้นมาจริงๆ ยังกู้ข้อมูลกลับขึ้นมาเพื่อทำงานต่อได้ในเวลาไม่นานนัก

ที่มา : M Blog Central

Cisco ประกาศออก Patch อุดช่องโหว่ร้ายแรงสำหรับ Adaptive Security Appliance (ASA) ที่ผู้โจมตีสามารถทำ Remote Code Execution (RCE) จากการอาศัยช่องโหว่บน Internet Key Exchange (IKE) จนทำให้อุปกรณ์เกิด Heap Buffer Overflow ได้ทั้งบนการใช้งานแบบ IPv4 และ IPv6
สำหรับอุปกรณ์ที่ได้รับผลกระทบนั้นได้แก่

Cisco ASA 5500
ASA 5500-X
ASA Services Module for Catalyst 6500 switches and 7600 Series routers
ASA 1000V Cloud Firewall
Adaptive Security Virtual Appliance
Firepower 9300 ASA module
ISA (Industrial Security Appliance) 3000

หากมีการใช้งาน Cisco ASA ตามที่ระบุไว้ควรทำการ Update Patch ได้ที่ https://tools.