ช่องโหว่ Microsoft Exchange ที่รู้จักในชื่อ ProxyLogon (https://proxylogon.com/) เป็นช่องโหว่ที่ถูกค้นพบโดยบริษัท DEVCORE ที่แจ้งไปยัง Microsoft และ Microsoft แก้ไขในแพตช์ด่วนไปเมื่อ 3 มีนาคม 2021 ที่ผ่านมา แต่จากการตรวจสอบของบริษัทด้านความปลอดภัยต่างๆ เช่น Volexity, Unit 42, Rapid 7 และ CrowdStrike พบว่ามีการโจมตีก่อนที่จะมีการออกแพตช์ในช่วงปลายเดือนกุมภาพันธ์ 2021 ซึ่งเมื่อวิเคราะห์ข้อมูลการโจมตีโดยละเอียดพบว่าการโจมตีมีความผิดปกติ คือใช้ POC ของบริษัท DEVCORE ที่ส่งให้ Microsoft เพื่อทำการออกแพตช์ จึงเป็นไปได้ที่จะมีการรั่วไหลของ POC ของช่องโหว่ Exchange เกิดขึ้นก่อนการแพตช์

ทางบริษัท DEVCORE ออกแถลงการณ์ระบุว่าทางบริษัทได้ทำการตรวจสอบแล้วและไม่พบว่ามีการรั่วไหลของ POC จากฝั่ง DEVCORE ในขณะที่ทาง Microsoft อยู่ระหว่างการทำการสืบสวน ซึ่งจะมุ่งไปที่โปรแกรม Microsoft Active Protections Program (Mapp) ที่ทาง Microsoft จะให้ข้อมูลบริษัทด้านความปลอดภัยต่างๆ อย่างบริษัทผลิตภัณฑ์ป้องกันมัลแวร์ทราบข้อมูลเกี่ยวกับภัยคุกคามก่อนล่วงหน้า โดยในกรณีช่องโหว่ ProxyLogon นี้ ทาง Microsoft ได้ส่ง POC ให้กับบริษัทในโครงการ Mapp เมื่อวันที่ 23 กุมภาพันธ์ 2021 ที่ผ่านมา

ที่มา : wsj | zdnet

Pwn2Own Tokyo 2020 ผู้เข้าแข่งขันได้สาธิตการแฮกเราท์เตอร์, ผลิตภัณฑ์ NAS และทีวี และสามารถกวาดเงินรางวัลไปจำนวน 136,000 ดอลลาร์

การเเข่งขัน Pwn2Own Tokyo 2020 ซึ่งเป็นการเเข่งขันการโจมตีช่องโหว่ในเป้าหมายที่กำหนดโดย ZDI จาก Trend Micro สิ้นสุดลงแล้ว โดยในปี 2020 มีผู้เข้าร่วมการเเข่งขันมากมายและช่องโหว่ที่ผู้เข้าร่วมการแข่งขันให้ความสนใจเป็นพิเศษคือเราท์เตอร์, ผลิตภัณฑ์ NAS และทีวี ซึ่งมีจำนวนช่องโหว่ 23 ช่องโหว่ในอุปกรณ์ 6 ชนิดที่ถูกเปิดเผย

สำหรับทีมที่เป็นผู้ชนะในปีนี้คือทีม Flashback ซึ่งได้รับเงินรางวัลรวม 40,000 ดอลลาร์จากการแฮกเราท์เตอร์ TP-Link AC175 และ NETGEAR Nighthawk R7800

ทีมอันดับที่สองคือทีม DEVCORE ได้รับเงินรางวัล 20,000 ดอลลาร์จากการสาธิตการใช้ประโยชน์จากช่องโหว่บนผลิตภัณฑ์ Synology DiskStation DS418Play NAS ได้สำเร็จและเงินรางวัล 17,500 ดอลลาร์สำหรับการใช้ประโยชน์จากช่องโหว่บนอุปกรณ์ NAS Western Digital My Cloud Pro Series PR4100

ทีม Trapa Security ได้รับเงินรางวัล 20,000 ดอลลาร์สำหรับการใช้ประโยชน์จากช่องโหว่บนอุปกรณ์ WD และเงินรางวัล 5,000 ดอลลาร์สำหรับแฮกเราท์เตอร์ NETGEAR ทีม STARLabs ได้รับยอดรวมเท่ากันสำหรับการหาประโยชน์จากเราท์เตอร์ NETGEAR และอุปกรณ์ Synology NAS

ผู้เข้าแข่งขันสามารถกวาดเงินรางวัลการแข่งขันครั้งนี้เป็นจำนวนเงินมากว่า 136,000 ดอลลาร์หรือเป็นเงิน 4,146,368 บาท และทางผู้ผลิตมีเวลา 120 วันในการเเพตซ์ช่องโหว่ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ

ทั้งนี้ในงานแข่งขันผู้เข้าร่วมยังสามารถการใช้ประโยชน์จากช่องโหว่แฮกสมาร์ททีวี Samgung และ Sony แต่พวกเขาไม่ได้รับเงินเนื่องจากช่องโหว่ที่พวกเขาใช้ถูกเปิดเผยแล้ว

ที่มา: securityweek