SAP บริษัทซอฟต์แวร์สัญชาติเยอรมัน ประกาศอัปเดตแพตซ์ช่องโหว่ด้านความปลอดภัย 20 รายการ และอีก 3 รายการที่เป็นส่วนหนึ่งของช่องโหว่ในรอบที่ผ่านมา โดยการอัปเดตครั้งนี้เป็นรอบการอัปเดตในเดือนกรกฎาคม 2022 ซึ่งในการอัปเดตแพตซ์ดังกล่าวจะมีช่องโหว่ 4 รายการที่มีระดับความรุนแรงสูง โดยเป็นช่องโหว่ที่ส่งผลกระทบต่อ SAP BusinessObjects 1 รายการ และช่องโหว่ที่ส่งผลกระทบต่อ Business One อีก 3 รายการ

ช่องโหว่ที่มีความรุนแรงที่สุดคือ CVE-2022-35228 (คะแนน CVSS 8.3) ซึ่งเป็นช่องโหว่ information disclosure ใน central management console ที่ส่งผลกระทบต่อ SAP BusinessObjects Business Intelligence Platform

(more…)

Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่อีก 2 รายการเข้าสุ่รายการเฝ้าระวังช่องโหว่ร้ายแรงที่กำลังถูกนำมาใช้ในการโจมตีจริง ช่องโหว่แรกคือช่องโหว่ code injection บน Spring Cloud Gateway library และอีกหนึ่งช่องโหว่ command injection ในเฟิร์มแวร์ของ Zyxel บนอุปกรณ์ไฟร์วอลล์ และ VPN

โดยช่องโหว่ Spring Framework (CVE-2022-22947) เป็นช่องโหว่ระดับ Critical ที่สามารถทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้บนเครื่องที่ยังไม่ได้อัปเดตแพตซ์

ซึ่งปัจจุบัน Botnet ที่รู้จักกันในชื่อ Sysrv เริ่มดำเนินการโจมตีเพื่อติดตั้งมัลแวร์ cryptomining บนเซิร์ฟเวอร์ Windows และ Linux ที่มีช่องโหว่

ผู้โจมตียังโจมตีโดยใช้ช่องโหว่ในเฟิร์มแวร์ของ Zyxel (CVE-2022-30525) ซึ่งพึ่งได้รับการแก้ไขไปเมื่อวันที่ 12 พฤษภาคม และเริ่มพบการโจมตีทันทีหลังจากวันที่ทาง Zyxel ออกแพตซ์อัปเดตออกมา

Rapid7 พบผลิตภัณฑ์ของ Zyxel ที่มีช่องโหว่มากกว่า 15,000 เครื่องที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ในขณะที่ Shadowserver ตรวจพบอุปกรณ์ที่อาจได้รับผลกระทบอย่างน้อย 20,000 เครื่อง

นับตั้งแต่การโจมตีเริ่มต้นขึ้น Rob Joyce ผู้อำนวยการด้านความปลอดภัยทางไซเบอร์ของ NSA ยังเตือนผู้ดูแลระบบเกี่ยวกับการโจมตีที่เริ่มพบมากขึ้นเรื่อยๆ และแนะนำให้รีบอัปเดตเฟิร์มแวร์ของไฟร์วอลล์ Zyxel โดยเร็วที่สุด

(more…)

SAP ประกาศการอัปเดตเเพตช์ความปลอดภัยประจำเดือนธันวาคม 2020 หรือ SAP Security Patch Day December 2020 โดยในเดือนธันวาคมนี้ SAP ได้ออกเเพตซ์เเก้ไขช่องโหว่ที่สำคัญจำนวน 13 รายการ ซึ่งช่องโหว่ที่ได้รับการเเก้ไขมี 4 รายการที่มีช่องโหว่ระดับความรุนแรงจาก CVSSv3 อยู่ที่ 9.1 - 10 และส่งผลกระทบต่อผลิตภัณฑ์ SAP NetWeaver AS JAVA, SAP BusinessObjects Business Intelligence Platform, SAP Business Warehouse และ SAP AS ABAP and S/4 HANA โดยรายละเอียดของโหว่ที่มีความสำคัญมีดังนี้

CVE-2020-26829 (CVSSv3: 10/10) เป็นช่องโหว่ที่เกิดจากปัญหาในการตรวจสอบการพิสูจน์ตัวตนใน SAP NetWeaver AS JAVA (P2P Cluster Communication) ช่องโหว่จะมีผลกระทบกับ (P2P Cluster Communication) เวอร์ชัน 7.11, 7.20, 7.30, 7.31, 7.40 และ 7.50
CVE-2020-26831 (CVSSv3: 9.6/10) เป็นช่องโหว่การขาดการตรวจสอบ XML ใน BusinessObjects Business Intelligence Platform (Crystal Report) ช่องโหว่จะทำให้ผู้โจมตีสามารถแทรกเอนทิตี XML โดยช่องโหว่จะมีผลกระทบกับ BusinessObjects Business Intelligence Platform (Crystal Report) เวอร์ชัน 4.1, 4.2 และ 4.3
CVE-2020-26838 (CVSSv3: 9.1/10) เป็นช่องโหว่ Code Injection ใน SAP Business Warehouse (Master Data Management) และ SAP BW4HANA ช่องโหว่จะมีผลกระทบกับ SAP AS ABAP(DMIS) เวอร์ชัน 011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020 และ SAP S4 HANA(DMIS) เวอร์ชัน 101, 102, 103, 104, 105
CVE-2020-26837 (CVSSv3: 9.1/10) เป็นช่องโหว่ Path traversal และช่องโหว่ที่เกิดจากปัญหาในการตรวจสอบการพิสูจน์ตัวตนใน SAP Solution Manager 7.2 (User Experience Monitoring) โดยช่องโหว่จะมีผลกระทบกับ SAP Solution Manager เวอร์ชัน 7.2
ทั้งนี้ผู้ดูแลระบบและผู้ใช้งานควรรีบทำการอัปเดตเเพตซ์เป็นการด่วนเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ ผู้ที่สนใจรายละเอียดแพตช์เพิ่มเติมสามารถดูได้จากเเหล่งที่มา

ที่มา: securityweek | wiki.

SAP ออกเเพตซ์การอัปเดตความปลอดภัยประจำเดือนพฤศจิกายน 2020 โดยในเดือนพฤศจิกายนนี้ SAP ได้ออกเเพตซ์เเก้ไขช่องโหว่ที่สำคัญ 19 รายการ ซึ่งช่องโหว่ที่ได้รับการเเก้ไขนี้จะส่งผลกระทบต่อผลิตภัณฑ์ Solution Manager (SolMan), Data Services, ABAP, S4/HANA และ NetWeaver อย่างไรก็ดีช่องโหว่ที่ความสำคัญมีรายละเอียดดังนี้

ช่องโหว่ CVE-2020-26821, CVE-2020-26822, CVE-2020-26823, CVE-2020-26824 และ CVE-2020-6207 (CVSSv3: 10/10) เป็นช่องโหว่ที่เกิดจากปัญหาในการตรวจสอบการพิสูจน์ตัวตนใน SAP Solution Manager (Java stack) ช่องโหว่จะมีผลกระทบกับ SAP Solution Manager (JAVA stack) เวอร์ชัน 7.2
ช่องโหว่ CVE-2019-0230, CVE-2019-0233 (CVSSv3: 9.8/10) เป็นช่องโหว่ภายใน SAP Data Services โดยช่องโหว่จะมีผลกระทบกับ SAP Data Services เวอร์ชัน 4.2
ช่องโหว่ CVE-2020-26808 (CVSSv3: 9.1/10) เป็นช่องโหว่ Code injection ใน SAP AS ABAP และ S/4 HANA (DMIS) โดยช่องโหว่จะมีผลกระทบกับ SAP AS ABAP(DMIS) เวอร์ชัน 2011_1_620, 2011_1_640, 2011_1_700, 2011_1_710, 2011_1_730, 2011_1_731, 2011_1_752, 2020 และ SAP S4 HANA(DMIS) เวอร์ชัน 101, 102, 103, 104, 105
ช่องโหว่ CVE-2020-26820 เป็นช่องโหว่การยกระดับสิทธิ หรือ Privilege escalation ใน SAP NetWeaver Application Server for Java (UDDI Server) โดยช่องโหว่จะมีผลกระทบกับ SAP NetWeaver AS Java เวอร์ชัน 7.20, 7.30, 7.31, 7.40, 7.50
ช่องโหว่ CVE-2020-6284 เป็นช่องโหว่ Cross-site scripting (XSS) ใน SAP NetWeaver โดยช่องโหว่จะมีผลกระทบกับ SAP NetWeaver เวอร์ชัน 7.30, 7.31, 7.40, 7.50

ทั้งนี้ผู้ดูแลระบบและผู้ใช้งานควรรีบทำการอัปเดตเเพตซ์เป็นการด่วนเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา: wiki.

 

Mozilla เปิดตัวมาตรการป้องกันเพื่อป้องกันการโจมตีด้วย Code Injection ด้วยการลด attack surface ด้วยการนำฟังก์ชัน eval() และฟังก์ชั่นที่คล้ายๆ กันออกไป รวมถึงนำ inline script ออกไปจากหน้า about:pages ของ Firefox

ปกติเราสามารถเข้าถึงหน้า about:pages ของ Firefox ได้ โดยหน้าดังกล่าวมาพร้อมกับเบราว์เซอร์เขียนด้วย HTML และ JavaScript เหมือนกับหน้าเว็บไซต์ทั่วไป ทำให้หน้า about:pages ของ Firefox ตกเป็นเหยื่อการโจมตีแบบ Code Injection ได้

ดังนั้น Mozilla จึงเขียน inline event handler ใหม่ให้มีความปลอดภัยขึ้น รวมถึงนำ inline JavaScript ที่เคยอยู่ในหน้า about:pages ทั้งหมดออกไป รวมถึงใช้ Content Security Policy (CSP) ที่หนาแน่นกว่าเดิม เพื่อให้เมื่อมีความพยายามทำ Code Injection ตัวโค้ดที่ถูกแทรกมาจะไม่ทำงาน

นอกจากนี้ Mozilla ได้ลดความเสี่ยงของ eval() รวมถึงฟังก์ชั่นที่คล้ายๆ กันอย่าง ‘new Function’ และ ‘setTimeout()/setInterval()’ ซึ่งมีโอกาสใช้เพื่อการโจมตีด้วย Code Injection ด้วยการเขียนโค้ดใหม่เช่นกัน

ที่มา bleepingcomputer และ mozilla

Security Patch Day ในเดือนสิงหาคม SAP ออกแพตช์ 16 รายการอุดช่องโหว่ด้านความปลอดภัย โดยจากแพตช์ทั้งหมดนั้น มี 3 รายการเป็นช่องโหว่ที่มีความรุนแรงสูง, 11 รายการเป็นช่องโหว่ที่มีความรุนแรงระดับปานกลาง 2 รายการที่มีความรุนแรงระดับต่ำและอีก 3 รายการที่ Support Package Notes

โดย 3 ช่องโหว่ที่มีความรุนแรงระดับสูงนั้นได้แก่ ช่องโหว่ Directory Traversal บน Netweaver AS Java Web Container, ช่องโหว่ Code Injection ใน Visual Composer Design Tool และช่องโหว่ Cross-site AJAX Request บน BusinessObjects ซึ่งช่องโหว่ ใน Visual Composer 04s iviews จะช่วยให้ผู้โจมตีสามารถแทรกโค้ดที่เป็นอันตรายลงใน backend application เพียงแค่ให้ User เข้าถึง URL ที่ผู้โจมตีสร้างมาเพื่อโจมตีช่องโหว่เท่านั้น

แนะนำติดตั้งแพตช์ด้านความปลอดภัยเพื่อลดความเสี่ยงที่จะถูกโจมตีโดยเร็วที่สุด

ที่มา : securityweek