PMASA-2017-9: XSRF/CSRF vulnerability in phpMyAdmin

แจ้งเตือนช่องโหว่ XSRF/CSRF บน phpMyAdmin ความร้ายแรงระดับ Critical

โครงการ phpMyAdmin ได้มีการปล่อยแพตช์ช่องโหว่รหัส PMASA-2017-9 ซึ่งเป็นช่องโหว่ XSRF/CSRF ที่ถูกระบุว่ามีความร้ายแรงระดับสูงสุด (critical) เมื่อช่วงปลายเดือนที่ผ่านมา โดยมีเวอร์ชันที่ได้รับผลกระทบคือเวอร์ชัน 4.7.x (ก่อนหน้า 4.7.7)

ช่องโหว่ Cross-site Request Forgery (CSRF) เป็นช่องโหว่ที่เกิดจากการไม่ตรวจสอบแหล่งที่มาของข้อมูลที่ถูกส่งมาเว็บแอปพลิเคชันที่ชัดเจน รวมไปถึงไม่มีการป้องกันการส่งข้อมูลในลักษณะดังกล่าวที่เหมาะสม เช่น ผู้โจมตีอาจใช้ช่องโหว่นี้ในการหลอก/บังคับให้ผู้ใช้งานคลิก URL ที่ผู้โจมตีเตรียมไว้เพื่อใช้ประโยชน์จากสิทธิ์หรือการยืนยันตัวตนของผู้ใช้งาน ส่งผลเป็นการโจมตีระบบได้

แพตช์สำหรับช่องโหว่นี้มาแล้ว แนะนำให้ตรวจสอบรายละเอียดแพตช์จากแหล่งที่มา

Recommendation: แพตช์สำหรับช่องโหว่นี้มาแล้ว แนะนำให้ตรวจสอบรายละเอียดแพตช์จากแหล่งที่มา

ที่มา phpmyadmin

Cisco Patches Critical WebEx Vulnerabilities

Cisco ออก Patch อุดช่องโหว่ WebEx ซึ่งเป็นแพลตฟอร์มของการติดต่อสื่อสารหรือประชุมออนไลน์ ที่มีช่องโหว่ความรุนแรงระดับ Critical ส่งผลให้ผู้โจมตีสามารถทำ Remote Code Execution ได้
ช่องโหว่ 6 รายการ ส่งผลกระทบต่อ WebEx Network Recording Player สำหรับ Advanced Recording Format (ARF) และไฟล์ WebEx Recording Format (WRF) ทำให้ผู้บุกรุกสามารถโจมตีได้จากระยะไกลเพื่อทำให้เกิด Denial-of-Service (DoS) ในซอฟต์แวร์และอาจจะรันโค้ดที่เป็นอันตรายโดยการหลอกให้เหยื่อเปิดไฟล์ ARF หรือ WRF ที่สร้างขึ้นมาเป็นพิเศษ และผู้บุกรุกยังสามารถส่งไฟล์ที่เป็นอันตรายไปยังเหยื่อได้ทางอีเมลล์หรือสั่งให้เปิดเว็บโฮสติ้งได้อีกด้วย

ช่องโหว่ที่ได้รับการแก้ไข ได้แก่ WebEx Business Suite meeting sites, WebEx Meetings sites, WebEx Meetings Server, และ WebEx ARF และ WRF Players Cisco ให้ข้อมูลรายละเอียดเกี่ยวกับเวอร์ชันที่ได้รับผลกระทบและการแก้ไข โดยช่องโหว่ได้รับรหัส CVE ดังต่อไปนี้ : CVE-2017-12367, CVE-2017-12368, CVE-2017-12369, CVE-2017-12370, CVE-2017-12371 และ CVE-2017-12372
ช่องโหว่เหล่านี้ถูกรายงานโดย Andrea Micalizzi (rgod) และ Steven Seeley จาก Offensive Security โดยใช้ Zero Day Initiative ของ Trend Micro (ZDI)

ที่มา: securityweek

Cisco patched critical and high severity vulnerabilities in several products, including the Cloud Services Platform (CSP).

Cisco ได้ทำการ patch ช่องโหว่ความรุนแรงระดับสูง(High) และสูงมาก(Critical) ที่พบในผลิตภัณฑ์ ซึ่งประกอบไปด้วย Cloud Services Platform (CSP), Firepower Extensible Operating System (FXOS), NX-OS และ Small Business IP phones ช่องโหว่ที่ร้ายแรงที่สุดในครั้งนี้คือ CVE-2017-12251, เป็นการเข้าถึงโดยไม่ได้รับอนุญาติซึ่งส่งผลต่อ Cloud Services Platform 2100

Cloud Services Platform(CSP) เป็นบริการที่ถูกใช้ในหลายองค์กร เพื่อที่จะนำบริการของ Cisco หรือบริการ Virtual Network รายอื่นๆ มาใช้งาน ช่องโหว่นี้ถูกพบใน Web Console ของ CSP หากโจมตี และสามารถ Authenticate ได้สำเร็จ จะสามารถเข้าถึงบริการ หรือแม้กระทั่ง virtual machines (VMs) บนอุปกรณ์ CSP ที่ได้รับผลกระทบ รายงานได้ระบุว่ายังไม่พบว่ามีการโจมตีช่องโหว่นี้เกิดขึ้น โดยเวอร์ชันที่ได้รับผลกระทบ คือ 2.1.0, 2.1.1, 2.1.2, 2.2.0, 2.2.1 และ 2.2.2

นอกจากนี้ Cisco ยังได้แจ้งไปยังลูกค้าเกี่ยวกับเรื่องช่องโหว่ความรุนแรงระดับสูงของ DoS(CVE-2017-3883) ซึ่งส่งผลกระทบต่อการ Authentication, การ Authorization และ Accounting(AAA) บน FXOS และ NX-OS ผู้โจมตีสามารถทำการ brute-force login กับตัวเครื่องที่มีการตั้งค่าด้วยระบบป้องกัน AAA หากสำเร็จจะสามารถทำการ remote เข้ามาสั่งรีโหลดตัวเครื่องได้ โดยช่องโหว่มีผลกระทบต่อ Firepower appliances, Nexus, Multilayer Director switches, และ Unified Computing System บางตัว

Cisco ยังมีการะบุเพิ่มเติมถึงช่องโหว่อีกสองตัว CVE-2017-12260 และ CVE-2017-12259 ซึ่งส่งผลกระทบต่อ Small Business IP phones โดยช่องโหว่ตัวแรกส่งผลกระทบต่อการทำงานของ Session Initiation Protocol (SIP) ใน IP Phones รุ่น SPA50x, SPA51x และ SPA52x, ตัวที่สองส่งผลกระทบต่อการทำงานเช่นเดียวกัน แต่เป็น IP Phones รุ่น SPA51x เท่านั้น ช่องโหว่สองตัวนี้ทำให้เกิด DoS จากการส่งคำขอพิเศษที่ถูกดัดแปลงแล้ว(specially crafted SIP requests) ไปยังเครื่องเป้าหมาย

ที่มา: securityaffairs

​Jenkins Security Advisory 2017-04-26

Jenkins ออกแพตช์ด้านความปลอดภัยครอบคลุมหลาย 10 ช่องโหว่

Jenkins ประกาศแพตช์ด้านความปลอดภัยวันนี้โดยมีช่องโหวที่ถูกปิดโดยแพตช์ดังกล่าวหลายช่องโหว่ ได้แก่ ช่องโหว่ CSRF ทั้งหมด 22 ช่องโหว่ ช่องโหว่รันโค้ดจากระยะไกลโดยไม่ต้องพิสูจน์ตัวตน 1 ช่องโหว่ซึ่งเป็นปัญหาในกระบวนการ serialization มีความร้ายแรงระดับ critical และช่องโหว่ปลอมแปลงชื่อผู้ใช้งานบน CLI หนึ่งช่องโหว่

สำหรับเวอร์ชันของ Jenkins ที่ได้รับผลกระทบจากใน main line คือเวอร์ชันน้อยกว่า 2.57 และใน LTS คือน้อยกว่าเวอร์ชัน 2.46.2 แนะนำให้อัพเดตเพื่อลดความเสี่ยงของช่องโหว่โดยด่วน

ที่มา: jenkins

ไมโครซอฟท์ออกแพตช์อุดช่องโหว่ร้ายแรงใน Kerberos กระทบ Windows Server ทุกรุ่น

ไมโครซอฟท์ออกแพตช์รุ่นพิเศษ (นอกรอบแพตช์ประจำเดือน) รหัส MS14-068 เพื่ออุดช่องโหว่หมายเลข CVE-2014-6324 ที่มีความร้ายแรงระดับ critical และมีผลต่อ Windows Server ทุกรุ่น (Windows Server 2003 เป็นต้นมา)
ช่องโหว่ตัวนี้เกี่ยวกับโปรโทคอล Kerberos ซึ่งเป็นโปรโทคอลสำหรับยืนยันตัวตนผ่านเครือข่าย โดยผู้ประสงค์ร้ายสามารถใช้ช่องโหว่นี้ล็อกอินเป็นผู้ใช้งานปกติ แล้วทำการยกระดับสิทธิ (elevate privilege) เป็นผู้ดูแลระบบได้

Critical WordPress plugin bug affects hundreds of thousands of sites

บริษัทความปลอดภัย Sucuri รายงานว่าพบช่องโหว่ร้ายแรงระดับ critical ในปลั๊กอิน Custom Contact Forms ซึ่งเป็นปลั๊กอินยอดนิยมอีกตัวหนึ่งของ WordPress ซึ่งช่องโหว่ที่พบจะใช้สิทธิแอดมินของ WordPress สั่งดึงข้อมูลทั้งหมดจากฐานข้อมูล (SQL dump) และอิมพอร์ตข้อมูลกลับเข้าไปใหม่ ผู้ประสงค์ร้ายอาจใช้จังหวะนี้แปลงข้อมูลใน SQL dump (เช่น เพิ่มผู้ใช้บัญชีใหม่) แล้วรอให้ปลั๊กอินดึงกลับเข้าไปในฐานข้อมูล เพื่อใช้ควบคุมเว็บไซต์หลังจากนั้น

Microsoft will roll out fix for two critical flaws in Windows and Internet Explorer

เมื่อวันที่ 9 เมษายน 2013 ที่ผ่านมาไมโครซอฟท์ได้ออกแพทช์แก้ไข 9 ช่องโหว่ ซึ่ง 2 ช่องโหว่นั้นอยู่ในระดับ Critical ส่วน 7 ช่องโหว่ที่เหลืออยู่ในระดับ Important
สำหรับช่องโหว่ในระดับ Critical นั้นเป็นช่องโหว่ที่อนุญาตให้ผู้ไม่หวังดีสามารถโจมตีเครื่องของเหยื่อที่เข้าเว็บไซต์ที่ฝังมัลแวร์ มีผลกระทบต่อ Microsoft Windows และ Internet Explorer

ที่มา: thehackernews