IBM ได้มีการปล่อยอัพเดทเพื่อปิดช่องโหว่ที่พบในซอฟต์แวร์ IBM Cisco MDS Series Switches Data Center Network Manager (DCNM) หากถูกเจาะผ่านช่องโหว่ดังกล่าว จะทำให้ผู้ที่โจมตีสามารถเข้าควบคุมระบบที่ได้รับผลกระทบดังกล่าวได้ ทาง US-CERT กระตุ้นให้ทางผู้ใช้งาน และผู้ดูแลระบบทำการทบทวนรายละเอียดคำแนะนำเกี่ยวกับเรื่องของช่องโหว่ และรายละเอียดการบรรเทาผลกระทบ

ที่มา : us-cert

Cisco ทำการ patch 9 ช่องโหว่อันตรายของ remote code execution พบใน SNMP subsystem ที่กำลังใช้งานอยู่ใน IOS และ IOS XE software ซึ่งช่องโหว่ดังกล่าวถูกเปิดเผยออกสู่สาธารณชน ทาง Cisco ได้แจ้งเตือนไปยังผู้ใช้งานว่า patch สำหรับการ update พร้อมให้ download แล้ว Cisco IOS และ IOS XE ทุกตัวของ CISCO ได้รับผลกระทบหมด เช่นเดียวกันกับทุกเวอร์ชันของ SNMP(1, 2c และ 3) 9 ช่องโหว่ดังกล่าวข้างต้น อาจนำไปสู่การเข้าระบบโดยไม่ต้องทำการ authen ของผู้ที่โจมตีได้ เพื่อที่จะใช้ SNMP packet แบบเฉพาะที่สร้างขึ้นมาเจาะผ่านช่องโหว่ และทำการ execute code remotely หรือ สั่งให้ระบบทำการ reload ตัวเอง ระบบที่กำลังใช้งาน SNMP เวอร์ชัน 2c หรือก่อนหน้านั้นอาจถูกโจมตีได้หากผู้ที่โจมตีรู้ SNMP read-only community string สำหรับระบบนั้นๆ หากเป็นเวอร์ชัน 3 ผู้ที่โจมตีจะต้องรู้ข้อมูลเฉพาะของระบบนั้นถึงจะทำการโจมตีได้ หากทำสำเร็จผู้ที่โจมตีจะสามารถ execute arbitrary code และ เข้าควบคุมระบบนั้น หรือสั่งให้ระบบนั้น reload ตัวเองได้
Cisco ได้บอกว่า MIB (management information base) มีช่องโหว่ด้วยเช่นกัน ถึงแม้ว่า MIBs อาจไม่อยู่ในทุกระบบ หรือเวอร์ชัน แต่เมื่อมีอยู่จะถูกตั้งค่าให้ enabled Cisco ยังได้บอกอีกว่า MIBs จะไม่ถูกแสดงบนหน้าจอทุกตัว ถึงแม้จะมีการใช้คำสั่ง show snmp mib แต่อาจยังถูกตั้งให้ enabled ไว้อยู่ นอกจากนี้ทาง Cisco ยังได้แนะนำให้ทางผู้ดูแล Network ทำการเปลี่ยน password อยู่เป็นประจำ และให้เลือกใช้ password ที่มีจำนวน Character ไม่น้อย หรือเดาได้ง่าย
ที่มา : threatpost

CISCO ประกาศข่าวน่าตกใจว่าพบช่องโหว่ Buffer Overflow ในส่วน Simple Network Management Protocol (SNMP) Service ในทุกๆ version ที่ให้บริการใน CISCO IOS, IOS XE

CISCO กล่าวว่า SNMP ทุกๆ version (v1,v2c,v3) ที่ให้บริการใน CISCO IOS, IOS XE นั้นมีช่องโหว่ Buffer Overflow อยู่ทำให้สามารถถูก exploit แล้วกลายเป็น Denila of Service (ส่งผลให้เครื่องไม่สามารถให้บริการได้) หรือ Remote Code Execution (สั่งงานเครื่องจากระยะไกล) ได้ โดยหากเป็นบริการ SNMP v1,v2c ผู้โจมตีสามารถโจมตีได้โดยที่จำเป็นต้องรู้ SNMP community string แต่หากเป็น SNMPv3 จำเป็นต้องมี username, password ด้วย

โดยช่องโหว่ดังกล่าวนี้มี CVE 9 CVE คือ CVE-2017-6736, CVE-2017-6737, CVE-2017-6738, CVE-2017-6739, CVE-2017-6740, CVE-2017-6741, CVE-2017-6742, CVE-2017-6743, CVE-2017-6744 และ CVE แต่ละตัวจะเกี่ยวข้องกับ SNMP Management Information Bases (MIBs) ต่อไปนี้ :

ADSL-LINE-MIB
ALPS-MIB
CISCO-ADSL-DMT-LINE-MIB
CISCO-BSTUN-MIB
CISCO-MAC-AUTH-BYPASS-MIB
CISCO-SLB-EXT-MIB
CISCO-VOICE-DNIS-MIB
CISCO-VOICE-NUMBER-EXPANSION-MIB
TN3270E-RT-MIB
ตอนนี้ทาง CISCO ยังคงทำ patch update ไม่เสร็จ ดังนั้นในระหว่างนี้หากไม่มีความจำเป็นใดๆแนะนำให้ทำการปิด SNMP Access ไปก่อน หรือปิดการใช้งาน MIBs ที่มีช่องโหว่ครับ

ที่มา : TheRegister
แปลโดย : Techsuii

Cisco ได้ประกาศออก Patch เพื่ออุด 3 ช่องโหว่ที่มีความรุนแรงระดับสูงให้กับ Cisco Prime Infrastructure, Cisco WebEx Network Recording Player และ Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) และอีก 22 ช่องโหว่ในความรุนแรงระดับที่ต่ำกว่า โดยมีรายละเอียดของช่องโหว่ความรุนแรงระดับสูงดังนี้

1. Cisco Prime Infrastructure มีช่องโหว่ XML External Entitiy (XXE) ในรุ่น 1.1 ถึง 3.1.6 ทำให้สามารถถูกโจมตีผ่านไฟล์ XML และผู้โจมตีสามารถเข้ามาอ่าน, เขียน และเรียกใช้คำสั่งต่างๆ ผ่านทางระบบที่ถูกโจมตีได้
2. Cisco WebEx Network Recording Player มีช่องโหว่ Buffer Overflow อันจะนำไปสู่การทำ DoS จนระบบหยุดทำงานและเรียกใช้คำสั่งต่างๆ บนระบบได้
3. Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) สามารถถูกโจมตีผ่าน USP Packet ทำให้เกิดการ DoS ระบบได้

Cisco ได้ออก Patch มาอุดช่องโหว่ของทั้ง 3 ผลิตภัณฑ์นี้แล้ว ส่วนอีก 22 ช่องโหว่นั้นปรากฎอยู่บน Cisco ISE, Cisco IOS XR, Cisco Firepower Management Center, Cisco SolarMiner, Cisco StarOS รวมถึงยังมีการออกอัปเดตเพิ่มเติมสำหรับอุดช่องโหว่บน OpenSSL ด้วย

สำหรับรายละเอียดของช่องโหว่ทั้งหมด สามารถติดตามได้ที่ cisco

ที่มา : techtalkthai , threatpost

Cisco ประกาศออก Patch อุดช่องโหว่ร้ายแรงสำหรับ Adaptive Security Appliance (ASA) ที่ผู้โจมตีสามารถทำ Remote Code Execution (RCE) จากการอาศัยช่องโหว่บน Internet Key Exchange (IKE) จนทำให้อุปกรณ์เกิด Heap Buffer Overflow ได้ทั้งบนการใช้งานแบบ IPv4 และ IPv6
สำหรับอุปกรณ์ที่ได้รับผลกระทบนั้นได้แก่

Cisco ASA 5500
ASA 5500-X
ASA Services Module for Catalyst 6500 switches and 7600 Series routers
ASA 1000V Cloud Firewall
Adaptive Security Virtual Appliance
Firepower 9300 ASA module
ISA (Industrial Security Appliance) 3000

หากมีการใช้งาน Cisco ASA ตามที่ระบุไว้ควรทำการ Update Patch ได้ที่ https://tools.

Cisco เผยข้อมูลรายได้จากเหตุการณ์ Ransomware ที่คาดการณ์ว่ามีมูลค่าสูงถึง 30 ล้านเหรียญ

นักวิจัยด้าน Cyber security ของ Cisco เปิดเผยว่าพบการเชื่อมโยงระหว่าง Ransomware และการใช้ Angler Exploit Kit ซึ่งเป็นหนึ่งในเครื่องมือเจาะระบบที่มีศักยภาพร้ายแรง โดยจำนวนของเหยื่อเหล่านี้ส่วนใหญ่จะมีการเชื่อมต่อไปที่ผู้ให้บริการ hosting ชื่อ “Limestone” และหลังจากทำการศึกษาต่อ พบว่ากลุ่มกลุ่มเหล่านี้ตั้งเป้าการโจมตีไว้ถึง 90,000 เครื่องต่อวัน ซึ่งจากสถิติพบว่า จะมีผู้ติด ransomware มากกว่า 3600 เครื่องต่อวัน และร้อยละ 3 ในจำนวนผู้จ่ายค่าไถ่ ransomware นั้นต้องจ่ายค่าไถ่สูงถึงกว่า 300 เหรียญ

ที่มา : thehackernews

FireEye รายงานถึงรอม SYNful Knock เป็นรอมที่ถูกดัดแปลงและติดตั้งเข้ากับเราท์เตอร์ใน 4 ประเทศ ได้แก่ ยูเครน, ฟิลิปปินส์, เม็กซิโก, และอินเดีย เราท์เตอร์เหล่านี้ถูกติดตั้งในหลายที่รวมถึงหน่วยงานรัฐบาล ตัวรอมจะเปิดช่องโหว่เพื่อรอรับคำสั่งจากเซิร์ฟเวอร์ ซึ่งเราท์เตอร์ที่พบ SYNful Knock แล้วมี 3 รุ่น ได้แก่ Cisco 1841, Cisco 2811, และ Cisco 3825
รอม SYNful Knock ถูกออกแบบให้เป็นโมดูลที่มีความสามารถแยกกันไป รอมแต่ละชุดสามารถติดตั้งโมดูลเพิ่มเติมได้ถึง 100 ชุด รับคำสั่งจาก TCP SYN ทางพอร์ต 80 ที่ถูกต้องตามเงื่อนไข แพ็กเก็ตนี้สามารถเรียกให้มัลแวร์ในรอมทำงานได้เสมอแม้ตัวเราท์เตอร์จะตั้ง filter ไว้ก็ตาม เมื่อรอมได้รับคำสั่งจากเซิร์ฟเวอร์ เซิร์ฟเวอร์จะสามารถเชื่อมต่อเข้ามาติดตั้งโมดูลเพิ่มเติมได้

ทางซิสโก้ยืนยันการโจมตี และระบุว่าได้ออกประกาศแจ้งเตือนลูกค้าไปก่อนหน้านี้แล้ว โดยการโจมตีนี้ไม่ใช่ช่องโหว่ของสินค้าแต่เป็นการดัดแปลงที่ต้องการสิทธิ์ผู้ดูแลระบบหรือเข้าถึงตัวเครื่องเพื่อดัดแปลงเราท์เตอร์โดยตรง ซึ่งยังไม่มีข้อมูลยืนยันว่าใครเป็นคนสร้างเฟิร์มแวร์นี้ แต่ซีอีโอของ FireEye ระบุว่า คนที่มีทรัพยากรระดับนี้ได้ต้องเป็นระดับรัฐ

ที่มา : thehackernews

ซิสโก้ประกาศแจ้งเตือนว่า ซอฟต์แวร์รักษาความปลอดภัยสามตัว ได้แก่ Web Security Virtual Appliance (WSAv), Email Security Virtual Appliance (ESAv), และ Security Management Virtual Appliance (SMAv) มีช่องโหว่ใช้กุญแจ SSH เป็นค่าเริ่มต้นตรงกันทำให้เสี่ยงต่อการถูกเข้าควบคุมโดยแฮกเกอร์ หากแฮกเกอร์สามารถเชื่อมต่อเข้ามายังพอร์ต SSH ได้

ซิสโก้แจ้งให้ลูกค้าติดตั้งอัพเดตที่ออกมาในวันนี้ โดยสามารถสั่งอัพเดตผ่านกระบวนการปกติ แต่ให้ตรวจสอบว่ามีรายการ "cisco-sa-20150625-ironport SSH Keys Vulnerability Fix" อยู่ในรายชื่อแพตช์ที่อัพเดต

ที่มา : theregister