News

Microsoft เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่ Zero-day ใน Internet Explorer (IE) ที่กำลังถูกโจมตีในช่วงนี้

เบื้องต้นทาง Microsoft ระบุว่าการโจมตีดังกล่าวไม่ได้โจมตีเป็นวงกว้าง จำกัดแค่ผู้ใช้งานส่วนหนึ่ง แต่ได้ทำการออกวิธีการแก้ไขปัญหาและการลดผลกระทบที่สามารถนำไปใช้เพื่อป้องกันระบบที่มีช่องโหว่จากการโจมตีเท่านั้น แล้วจะออก Patch สำหรับแก้ไขช่องโหว่ดังกล่าวตามมาในอนาคต

Microsoft อธิบายถึงช่องโหว่ Zero-day ใน IE ซึ่งได้รับ CVE-2020-0674 ว่าเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลเพื่อเข้าถึงระบบ (remote code execution หรือ RCE ) โดยเกิดจากข้อผิดพลาดของหน่วยความจำเสียหายใน IE's scripting engine องค์ประกอบของเบราว์เซอร์ที่จัดการ JavaScript (Jscript9.dll) ช่องโหว่ดังกล่าวส่งผลกระทบกับ IE9 ถึง IE11 บน Windows desktop และ Windows Server

ผู้โจมตีสามารถออกแบบเว็บไซต์เป็นพิเศษเพื่อใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วโน้มน้าวให้ผู้ใช้ดูเว็บไซต์ดังกล่าว เช่น การส่งอีเมล

วิธีการแก้ไขปัญหาและการลดผลกระทบของช่องโหว่ดังกล่าวคือตั้งค่าเพื่อจำกัดการเข้าถึง Jscript9.dll โดยสามารถอ่านวิธีได้จาก www.

Microsoft เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่ Zero-day ใน Internet Explorer (IE) ที่กำลังถูกโจมตีในช่วงนี้
เบื้องต้นทาง Microsoft ระบุว่าการโจมตีดังกล่าวไม่ได้โจมตีเป็นวงกว้าง จำกัดแค่ผู้ใช้งานส่วนหนึ่ง แต่ได้ทำการออกวิธีการแก้ไขปัญหาและการลดผลกระทบที่สามารถนำไปใช้เพื่อป้องกันระบบที่มีช่องโหว่จากการโจมตีเท่านั้น แล้วจะออก Patch สำหรับแก้ไขช่องโหว่ดังกล่าวตามมาในอนาคต
Microsoft อธิบายถึงช่องโหว่ Zero-day ใน IE ซึ่งได้รับ CVE-2020-0674 ว่าเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายจากระยะไกลเพื่อเข้าถึงระบบ (remote code execution หรือ RCE ) โดยเกิดจากข้อผิดพลาดของหน่วยความจำเสียหายใน IE's scripting engine องค์ประกอบของเบราว์เซอร์ที่จัดการ JavaScript (Jscript9.dll) ช่องโหว่ดังกล่าวส่งผลกระทบกับ IE9 ถึง IE11 บน Windows desktop และ Windows Server
ผู้โจมตีสามารถออกแบบเว็บไซต์เป็นพิเศษเพื่อใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วโน้มน้าวให้ผู้ใช้ดูเว็บไซต์ดังกล่าว เช่น การส่งอีเมล
วิธีการแก้ไขปัญหาและการลดผลกระทบของช่องโหว่ดังกล่าวคือตั้งค่าเพื่อจำกัดการเข้าถึง Jscript9.dll โดยสามารถอ่านวิธีได้จาก microsoft ซึ่ง Microsoft เตือนว่าต้องยกเลิกการตั้งค่าดังกล่าวก่อนที่จะอัปเดต Patch สำหรับช่องโหว่นี้ที่จะออกมาในอนาคต

ที่มา ZDNet

Cisco แก้ช่องโหว่ความรุนแรงสูงใน Webex ที่ยอมให้รันคำสั่งจากระยะไกล

ระบบ Cisco ได้ปล่อยแพทช์แก้ไขด้านความปลอดภัยสำหรับสองช่องโหว่ที่ร้ายแรงในผลิตภัณฑ์นั้นๆ ที่สามารถโจมตีเพื่อรันคำสั่งอันตรายจากระยะไกลได้ในแพลตฟอร์มการประชุมทางวิดีโอของ Webex และซอฟต์แวร์ IOS XE

ข้อผิดพลาด Webex อยู่ในอินเตอร์เฟซการจัดการ web-based ของ Cisco Webex Video Mesh ที่ยอมให้ผู้โจมตีที่เข้าสู่ระบบแล้วด้วยสิทธิ์ผู้ดูแลระบบสามารถรันคำสั่งอันตรายได้

Cisco Webex Video Mesh Software ที่ได้รับผลกระทบเป็นเวอร์ชันที่ปล่อยออกมาก่อน 2019.09.19.1956m

อีกช่องโหว่เป็นช่องโหว่บนเว็บ UI ­ของ Cisco IOS และ Cisco IOS XE ทำให้ผู้โจมตีที่ไม่ต้องเข้าสู่ระบบสามารถโจมตี cross-site request forgery (CSRF) ได้ ผู้โจมตีอาจใช้ช่องโหว่จากการชักชวนผู้ใช้ผ่านหน้าอินเตอร์เฟสให้เข้าลิงค์ที่เป็นอันตรายเพื่อส่งการร้องขอปลอมต่อ webserver ในการสั่งการทำงานบนอุปกรณ์ หากสามารถทำได้จะทำให้ผู้โจมตีทำอะไรก็ตามด้วยระดับสิทธิ์เดียวกับผู้ใช้นั้น

ปัญหานี้มีผลต่ออุปกรณ์ Cisco บน Cisco IOS หรือ Cisco IOS XE Software เวอร์ชันก่อน 16.1.1 ที่เปิดใช้งาน HTTP Server

ที่มา : securityaffairs

With threat response and remediation capability provided on Emergency Incident Response service by our Intelligent Response team, in this post we will cover the latest WannaMine campaign that happened during December 2019, what we have discovered and accomplished during the incident, and technical threat analysis.

Oracle ออกแพตช์ประจำไตรมาสของเดือนมกราคม 2020 แก้ไขช่องโหว่ 334 ช่องโหว่ในหลายผลิตภัณฑ์ มี 43 ช่องโหว่ที่มีความรุนแรงระดับ Critical ทั้งนี้หลายๆ ช่องโหว่สามารถถูกโจมตีระยะไกลได้โดยผู้โจมตีที่ไม่ต้องเข้าสู่ระบบ

ตัวอย่างช่องโหว่ที่สา่มารถโจมตีจากระยะไกลได้โดยผู้โจมตีที่ไม่ต้องเข้าสู่ระบบได้แก่ช่องโหว่ใน Oracle WebLogic Server CVE-2020-2546 และ CVE-2020-2551 ถ้าโจมตีช่องโหว่ทั้งสองนี้สำเร็จจะสามารถรันคำสั่งอันตรายจากระยะไกลได้ (RCE)

CVE-2020-2546 เป็นช่องโหว่ใน WLS Core Component ผู้โจมตีสามารถโจมตีผ่านโปรโตคอล T3 ได้ส่งผลกระทบ WebLogic Server รุ่น 10.3.6.0.0 และ 12.1.3.0.0

CVE-2020-2551 เป็นช่องโหว่ใน Application Container - JavaEE ผู้โจมตีโจมตีผ่านโปรโตคอล IIOP ได้ ส่งผลกระทบ 10.3.6.0.0, 12.1.3.0.0, 12.2.1.3.0 และ 12.2.1.4.0

ทั้งสองช่องโหว่นี้ยังไม่มีการเผยแพร่ POC แต่มีนักวิจัยด้านความปลอดภัยหลายๆ คนเผยแพร่ภาพและวิดีโอว่าสามารถโจมตีช่องโหว่ทั้งสองได้แล้ว

ผู้ดูแลระบบควรอัปเดตแพตช์เพื่อความปลอดภัย ในกรณีที่ไม่สามารถอัปเดตแพตช์ได้ ผู้ดูแลระบบสามารถพิจารณาปิดการใช้งานโปรโตคอล T3 และโปรโตคอล IIOP เพื่อลดความเสี่ยงจากการโจมตี

สามารถดูรายการช่องโหว่ทั้งหมดที่ได้รับการอัปเดตในครั้งนี้ได้จาก https://www.

ช่องโหว่สำคัญในแพตช์ประจำเดือนมกราคม 2020 จากไมโครซอฟต์
ไมโครซอฟต์ออกแพตช์ประจำเดือนมกราคม 2020 แก้ไขทั้งหมด 49 ช่องโหว่ โดยแพตช์นี้จะเป็นแพตช์ด้านความปลอดภัยสุดท้ายสำหรับ Windows Server 2008 และ Windows 7 ที่หมดระยะการสนับสนุนแล้ว ในช่องโหว่เหล่านั้นมีช่องโหว่ที่สำคัญและควรให้ความสนใจเป็นพิเศษ 4 ช่องโหว่ เป็นช่องโหว่ระดับ Critical ทั้งหมด เป็นช่องโหว่ใน CryptoAPI 1 ช่องโหว่ (CVE-2020-0601) และช่องโหว่ใน Windows RD Gateway และ Windows Remote Desktop Client 3 ช่องโหว่ (CVE-2020-0609, CVE-2020-0610 และ CVE-2020-0611)
ช่องโหว่ใน CryptoAPI (CVE-2020-0601) เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถปลอม digital certificate เพื่อทำให้โปรแกรมอันตรายน่าเชื่อถือได้ หรือปลอมเพื่อทำ man-in-the-middle (MiTM) เพราะ Windows CryptoAPI ทำการตรวจสอบความถูกต้องของ digital certificate ได้ไม่ดีพอ ช่องโหว่นี้ส่งผลกระทบกับ Windows 10 ทั้งหมดซึ่งจะรวมไปถึง Windows Server 2016 และ 2019 ช่องนี้ค้นพบโดย National Security Agency (NSA) ซึ่งได้ให้คำแนะนำเกี่ยวกับช่องโหว่ไว้ที่ Media Defense

ช่องโหว่ใน Windows RD Gateway (CVE-2020-0609 และ CVE-2020-0610) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) โดยที่ผู้โจมตีไม่จำเป็นต้องเข้าสู่ระบบ เพียงแค่เชื่อมต่อด้วย RDP และส่ง request อันตรายไปยังเครื่องเป้าหมายเท่านั้น ส่งผลกระทบ Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 และ Windows Server 2019
ช่องโหว่ใน Windows Remote Desktop Client (CVE-2020-0611) เป็นช่องโหว่ที่ทำให้สามารถรันคำสั่งจากระยะไกลได้ (Remote Code Execution) เมื่อ Windows Remote Desktop Client เชื่อมต่อไปยัง server ที่เป็นอันตราย ซึ่งการเชื่อมต่อไปยัง server ที่เป็นอันตรายอาจเกิดได้จาก social engineering, Domain Name Server (DNS) poisoning, man-in the-middle หรือผู้โจมตีสามารถควบคุมเครื่อง server ได้ ส่งผลกระทบ Windows ทุกรุ่นที่ยังได้รับการสนับสนุน และมีแพตช์ให้กับ Windows 7 และ Windows 2008 R2
ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตแพตช์เพื่อความปลอดภัย

ที่มา - bleepingcomputer - Us-Cert

more info
https://thehackernews.

Windows Remote desktop service ถูกใช้เป็นส่วนหนึ่งในการโจมตีของมัลแวร์แบบ Fileless

พบการโจมตีด้วยมัลแวร์แบบ Fileless ผ่าน remote desktop protocol (RDP) โดยไม่มีการทิ้งร่องรอยบนอุปกรณ์ที่ถูกโจมตี Cryptocurrency miners, info-stealers และ ransomware มัลแวร์ทั้งสามจะทำงานบน RAM ผ่าน RDP

เนื่องจากมัลแวร์แบบ Fileless จะทำงานบน RAM ทำให้ไม่มีร่องรอยหลงเหลือหากปิดเครื่อง

ผู้โจมตีใช้ประโยชน์จากฟีเจอร์ใน Windows Remote Desktop Services ซึ่งอนุญาตให้ client แชร์ไดร์ฟไปยังระบบ server พร้อมสิทธิในการอ่านและเขียน โดยไดร์ฟที่ปรากฏบน server เรียกว่า tsclient ซึ่งจะสามารถเข้าถึงไดรฟ์ที่ถูกแชร์นี้ได้ผ่าน RDP และทำการรันโปรแกรมได้ ในกรณีที่รันโปรแกรมที่ทำงานเฉพาะใน RAM เมื่อยกเลิกการเชื่อมต่อ RDP ก็จะไม่ทิ้งร่องรอย เพราะเมื่อยกเลิกการเชื่อมต่อ หน่วยความจำที่ใช้จะทำการคืนให้กับระบบ

นักวิเคราะห์มัลแวร์จาก Bitdefender พบว่าผู้โจมตีใช้ประโยชน์จากคุณสมบัติการแชร์ไดร์ฟดังกล่าวแพร่กระจายมัลแวร์หลายประเภทพร้อมกับไฟล์ worker.

VMware ออกแพตช์แก้ไขช่องโหว่

VMware Workstation และ Horizon View Agent มีช่องโหว่การ hijacking DLL (CVE-2019-5539) เนื่องจากการโหลด DLL ที่ไม่ปลอดภัยโดย Cortado Thinprint ซึ่ง VMware ได้ประเมินความรุนแรงของปัญหานี้ในระดับความรุนแรงปานกลางโดยมีคะแนนฐาน CVSSv3 สูงสุด 6.3

ผลิตภัณฑ์ที่ได้รับผลกระทบคือ VMware Workstation Pro / Player for Linux (Workstation) และ VMware Horizon View Agent (View Agent)
ช่องโหว่ดังกล่าวทำให้ผู้โจมตีมีสิทธิ์เข้าถึงการใช้งานในระดับ Client และสามารถยกระดับสิทธิ์เป็น admin ที่ติดตั้ง workstation หรือ View Agent
โดยช่องโหว่ดังกล่าวได้รับการรายงานจาก Peleg Hadar ของ SafeBreach Labs

ผู้ใช้งานควรอัปเดตแพตช์ให้เป็นปัจจุบันเพื่อลดความเสี่ยง

ที่มา: vmware

Cisco ทำการแก้ไขช่องโหว่สำหรับหลบเลี่ยงการยืนยันตัวตนสามช่องโหว่เชื่อมโยงกับแพลตฟอร์ม DCNM ที่ใช้ในการจัดการ NX-OS

Cisco ได้ออกแพตช์แก้ไขช่องโหว่ที่สำคัญสามข้อซึ่งส่งผลกระทบต่อเครื่องมือในการจัดการแพลตฟอร์มเครือข่ายอินเตอร์เน็ตและสวิตช์ ช่องโหว่เหล่านี้อาจอนุญาตให้ผู้โจมตีระยะไกลที่ไม่ได้ยืนยันตัวตนสามารถข้ามการตรวจสอบสิทธิ์และดำเนินการตามอำเภอใจด้วยสิทธิ์ระดับผู้ดูแลระบบบนอุปกรณ์เป้าหมาย

Cisco ได้เปิดเผยข้อบกพร่องที่สำคัญทั้งสาม (CVE-2019-15975, CVE-2019-15976, CVE-2019-15977) ส่งผลกระทบต่อ Cisco Data Center Network Manager (DCNM) ซึ่งเป็นแพลตฟอร์มสำหรับจัดการศูนย์ข้อมูล NX-OS ซึ่ง Cisco NX-OS เป็นระบบปฏิบัติการเครือข่ายบนสวิตช์อีเทอร์เน็ตตระกูล Nexus ของ Cisco และสวิตช์เครือข่ายพื้นที่เก็บข้อมูลไฟเบอร์แชนแนลตระกูล MDS

ผลิตภัณฑ์ที่ได้รับผลกระทบได้แก่ ซอฟต์แวร์ Cisco DCNM รุ่นเก่ากว่า 11.3 สำหรับ Microsoft Windows, Linux และแพลตฟอร์มจำลอง OS

ตามที่นักวิจัย Tenable ได้วิเคราะห์ข้อบกพร่องสองข้อ (CVE-2019-15975 และ CVE-2019-15976) ทั้งสองช่องโหว่นี้เป็นช่องโหว่สำหรับหลบเลี่ยงการยืนยันตัวตนใน REST API และ SOAP API สำหรับ Cisco DCNM เนื่องจากกุญแจสำหรับเข้ารหัสเป็นค่าคงที่

Satnam Narang นักวิจัย Tenable ระบุว่าผู้โจมตีระยะไกลที่ไม่ได้รับการพิสูจน์ตัวตนสามารถได้รับสิทธิ์การดูแลระบบผ่าน REST API หรือ SOAP API โดยการส่งคำขอที่สร้างขึ้นเป็นพิเศษซึ่งมีโทเค็นเซสชันที่ถูกต้องซึ่งสร้างขึ้นโดยใช้กุญแจสำหรับเข้ารหัสเป็นค่าคงที่

ข้อผิดพลาดที่สาม (CVE-2019-15976) อธิบายโดย Cisco ว่าเป็นช่องโหว่หลบหลีกการยืนยันตัวตนของตัวจัดการเครือข่ายศูนย์ข้อมูล ข้อบกพร่องนี้มีอยู่ในส่วนต่อประสานการจัดการบนเว็บของ DCNM ซึ่งช่วยให้ผู้โจมตีจากระยะไกลสามารถหลบหลีกการยืนยันตัวตนบนอุปกรณ์ได้

ช่องโหว่เกิดจากการมีอยู่ของข้อมูลประจำตัวแบบคงที่ ผู้โจมตีสามารถโจมตีช่องโหว่นี้ได้โดยใช้ข้อมูลประจำตัวแบบคงที่เพื่อรับรองความถูกต้องกับส่วนต่อประสานผู้ใช้ การโจมตีช่องโหว่ที่ประสบความสำเร็จอาจทำให้ผู้โจมตีเข้าถึงส่วนของเว็บอินเตอร์เฟสและรับข้อมูลที่เป็นความลับจากอุปกรณ์ที่ได้รับผลกระทบ ข้อมูลนี้สามารถใช้เพื่อดำเนินการโจมตีต่อระบบได้

ทั้งสามช่องโหว่ได้รับ Common Vulnerability Scoring System Score (CVSS) เป็น 9.8 นอกเหนือจากข้อบกพร่องที่สำคัญสามข้อแล้ว Cisco ได้ทำการแก้ไขข้อบกพร่องเพิ่มเติมอีกเก้าข้อที่มีความรุนแรงน้อยกว่าซึ่งเชื่อมโยงกับส่วนประกอบ DCNM ด้วย

ที่มา: threatpost.

POC ของช่องโหว่ CVE-2019-19781 ใน Citrix ADC (NetScaler) ถูกเผยแพร่แล้ว

ในช่วงปลายเดือนธันวาคม 2019 มีรายงานการพบช่องโหว่ CVE-2019-19781 ใน Citrix ADC (NetScaler) ซึ่งในเวลาต่อมาไม่นานนักวิจัยด้านความปลอดภัยพบการแสกนจำนวนมากเพื่อค้นหาเครื่องที่มีช่องโหว่ ซึ่งในวันที่ 11 มกราคม 2020 มีการปล่อยโค้ดสำหรับโจมตีช่องโหว่ CVE-2019-19781 ออกมาแล้ว

CVE-2019-19781 ถูกจัดความรุนแรงอยู่ในระดับ Critical และอาจส่งผลให้ผู้โจมตีสามารถรันคำสั่งที่เป็นอันตรายผ่าน Directory Traversal หากทำการโจมตีได้สำเร็จ ซึ่งในขณะนี้ยังไม่มีแพตช์ Citrix ได้ให้คำแนะนำเกี่ยวกับวิธีตั้งค่าเพื่อป้องกันไว้ที่ https://support.