Cisco ได้ทำการแก้ไขช่องโหว่ร้ายแรงมากสองช่องโหว่ในซอฟต์แวร์ Data Center Network Manager ซึ่งอาจทำให้ผู้โจมตีจากระยะไกลสามารถยึดอุปกรณ์ที่ได้รับผลกระทบ

Cisco ออกแพตช์ให้กับ Data Center Network Manager (DCNM) ซึ่งเป็นแพลตฟอร์มการจัดการเครือข่ายของ Cisco สำหรับ Switch ที่ทำงานบนระบบปฏิบัติการเครือข่าย NX-OS รวมถึง Switch Cisco Nexus Series โดยรวมแล้วแพตช์นี้ได้ทำการแก้ไขข้อบกพร่อง 4 ข้อที่มีอยู่ในซอฟต์แวร์บนแพลตฟอร์มนี้ประกอบด้วย 2 ช่องโหว่ร้ายแรงมาก 1 ช่องโหว่ร้ายแรงและ 1 ช่องโหว่ระดับปานกลาง

หนึ่งในช่องโหว่ร้ายแรง CVE-2019-1620 เป็นช่องโหว่ในการอัปโหลดไฟล์โดยพลการซึ่งสามารถเปิดใช้งานการเรียกใช้โค้ดจากระยะไกลบนอุปกรณ์ที่ได้รับผลกระทบ ผู้โจมตีสามารถอัปโหลดไฟล์ที่สร้างเป็นพิเศษขึ้นไปบนอุปกรณ์ที่ได้รับผลกระทบแล้วจะสามารถรันคำสั่งในสิทธิ์ root ได้ กระทบ DCNM รุ่นต่ำกว่า 11.2(1)

ส่วนอีกช่องโหว่ร้ายแรงคือ CVE-2019-1619 กระทบ DCNM รุ่นต่ำกว่า 11.1(1) เป็นช่องโหว่ที่ทำให้ผู้โจมตีหลบหลีกการยืนยันตัวตนและใช้สิทธิ์ระดับ administrative บนอุปกรณ์ได้

Pedro Ribeiro นักวิจัยด้านความปลอดภัยเป็นผู้ค้นพบทั้งสองช่องโหว่ร้ายแรง โดยรายงานต่อโปรแกรมช่องโหว่ Vulnerability Contributor ของ iDefense

สำหรับช่องโหว่ร้ายแรง CVE-2019-1621 ใน DCNM เกิดจากการตั้งค่าสิทธิ์ที่ไม่ถูกต้องและอาจทำให้ผู้โจมตีจากระยะไกลที่ไม่ได้ลอกอินเข้าถึงไฟล์สำคัญ และช่องโหว่ความรุนแรงปานกลาง (CVE-2019-1622) ที่เกิดจากการควบคุมการเข้าถึงที่ไม่เหมาะสมสำหรับ URL ในซอฟต์แวร์ DCNM และอาจทำให้ผู้โจมตีจากระยะไกลสามารถเรียกเข้าถึงข้อมูลสำคัญได้

นอกจากแพตช์นี้ Cisco ได้ทำการจัดการช่องโหว่หลายช่องโหว่มาตลอดเดือน รวมถึงช่องโหว่ที่สำคัญในศูนย์เครือข่ายดิจิตอล Digital Network Architecture (DNA) ซึ่งอาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถเข้าถึงบริการภายในที่สำคัญได้ และแก้ช่องโหว่ที่มีความรุนแรงสูงในซอฟต์แวร์สำหรับ Routers และ Switch ซึ่งอาจทำให้ผู้โจมตีจากระยะไกลสามารถกำหนดค่าใหม่หรือเรียกใช้คำสั่งบนอุปกรณ์ที่ได้รับผลกระทบ

ที่มา: threatpost.

ถ้าคุณคือผู้ใช้โปรแกรม VLC media player อยู่โปรดระวังจะโดนโจมตีจากแฮคเกอร์ อย่าเปิดเล่นวิดีโอที่ไม่น่าไว้วางใจและดาวน์โหลดไฟล์วิดีโอที่ไม่ปลอดภัย เพราะเป็นช่องโหว่ที่จะทำให้แฮคเกอร์สามารถเข้าถึงระบบคอมพิวเตอร์ และควบคุมการทำงานบนคอมพิวเตอร์ของคุณได้

โปรแกรม VLC media player เวอร์ชั่นก่อนหน้า 3.0.7 พบ 2 ช่องโหว่ในการถูกโจมตีที่มีความเสี่ยงสูง เป็นช่องโหว่ประเภท remote code execution เปิดโอกาสให้แฮคเกอร์สั่งรันโค้ดอันตรายบนเครื่องของผู้ใช้เพื่อเข้ามายึดเครื่องได้ ช่องโหว่นี้มีรหัส CVE-2019-5439 และ CVE-2019-12874 ช่องโหว่ดังกล่าวถูกค้นพบโดย Symeon Paraschoudis นักวิจัยจากบริษัท Pen Test Partners

สาเหตุของช่องโหว่เกิดจากข้อผิดพลาดในฟังก์ชันการประมวลผลไฟล์วิดีโอ ทำให้แฮคเกอร์สามารถแทรกโค้ดอันตรายเข้ามาในไฟล์ .avi หรือ .mkv ได้ ซึ่งหากเหยื่อใช้โปรแกรม VLC เปิดไฟล์ดังกล่าว โค้ดอันตรายที่ฝังอยู่ก็จะถูกโหลดไปประมวลผล โดยสิทธิ์ที่แฮคเกอร์ได้รับนั้นจะเทียบเท่ากับสิทธิ์ของผู้ใช้ที่เปิดโปรแกรม VLC media player ทั้งนี้ เนื่องจากช่องโหว่นี้มีผลกระทบกับ VLC media player เวอร์ชันที่เป็นปลั๊กอินของเบราว์เซอร์ด้วย ดังนั้นการโจมตีอาจไม่ได้จำกัดแค่การส่งไฟล์วิดีโอมาให้เปิดแต่อาจใช้วิธีหลอกให้ผู้ใช้เข้าไปยังเว็บไซต์ที่มีการเล่นไฟล์วิดีโอก็ได้

แนะนำให้ผู้ที่ใช้โปรแกรม VLC media player อัพเดทโปรแกรมให้เป็นเวอร์ชั่น 3.0.7 หรือเวอร์ชั่นใหม่ล่าสุดและหลีกเลี่ยงการเปิดวิดีโอและเล่นไฟล์วิดีโอจากแหล่งที่ไม่น่าเชื่อถือ รวมถึงหากไม่สามารถอัปเดตได้ควรงดใช้โปรแกรม VLC media player เปิดไฟล์วิดีโอและปิดการใช้งานปลั๊กอิน VLC ในเบราว์เซอร์ก่อนเป็นการชั่วคราว

ที่มา: thehackernews.

Adobe ทำการแก้ไขช่องโหว่ด้านความปลอดภัยบน Flash, ColdFusion และ Campaign Classic

Adobe ออกแพตช์แก้ไขประจำเดือนมิถุนายน 2019 ช่องโหว่ส่วนใหญ่ที่ถูกแก้นี้มักจะเป็นช่องโหว่ที่ทำให้รันโค้ดได้โดยไม่ได้รับอนุญาต

ใน Adobe Flash มีการแก้ไขเพียงช่องโหว่เดียวสำหรับซอฟต์แวร์รุ่น 32.0.0.192 และก่อนหน้าบนระบบ Windows, macOS, Linux และ Chrome OS คือช่องโหว่ CVE-2019-7845 ช่องโหว่ด้านความปลอดภัยที่ทำให้ผู้โจมตีสามารถรันโค้ดได้โดยไม่ได้รับอนุญาตได้

Adobe ColdFusion รุ่น 11 , 2016 และ 2018 มีแก้ไข 3 ช่องโหว่ คือ CVE-2019-7838, CVE-2019-7839 และ CVE-2019-7840 เป็นช่องโหว่ที่สามารถแนบไฟล์ที่เป็นอันตราย ช่องโหว่ command injection และช่องโหว่ที่ทำให้รันโค้ดที่ไม่ปลอดภัยโดยไม่ได้รับอนุญาตได้

และใน Adobe Campaign Classic แก้ไข 7ช่องโหว่ มีช่องโหว่ร้ายแรงมากคือ CVE-2019-7850 เป็นช่องโหว่ command injection ส่วนช่องโหว่อื่น CVE-2019-7843, CVE-2019-7941, CVE-2019-7846, CVE-2019-7848 และ CVE-2019-7849 สามารถทำให้ข้อมูลรั่วไหลได้ และ CVE-2019- 7847 ให้สิทธิ์ในการเข้าถึงอ่าน file system ได้

Adobe ได้ขอบคุณนักวิจัยจาก Zero Day Initiative ของ Trend Micro ทีม 404 Booz Allen Hamilton และโซลูชั่น Cyber ของ Aon สำหรับการรายงานช่องโหว่ต่างๆ ในแพตช์ครั้งนี้

ผู้ใช้ควรทำการ update patch เพื่อหลีกเลี่ยงการโจมตีผ่านช่องโหว่ดังกล่าว

ที่มา:zdnet

Microsoft ออกแพตช์ประจำเดือนมิถุนายน 2019 แก้ไขช่องโหว่กว่า 90 ช่องโหว่ รวมถึง 2 ช่องโหว่ในระดับ Critical ที่มีผลกระทบกับโปรโตคอล NTLM

CVE-2019-1040 และ CVE-2019-1019 คือช่องโหว่ภายใน NTLM ที่ทำให้ผู้โจมตีข้ามกลไกการตรวจสอบสิทธิ์ของ NTLM ได้ โดยมีผลกระทบต่อ windows ทุกรุ่น ผู้โจมตีที่ใช้งานช่องโหว่นี้จะสามารถรันโค้ดอันตรายบนเครื่อง windows หรือเข้าถึง HTTP server ที่รองรับ Windows Integrated Authentication (WIA) ซึ่งจะรวมถึง Exchange และ ADFS

NTLM นั่นอาจถูกโจมตีจาก relay attacks ได้ ทำให้ Microsoft เพิ่มกลไกในการป้องกันการโจมตีดังกล่าว แต่นักวิจัยจาก Preempt พบวิธีที่จะข้ามกลไกการป้องกันได้แก่ Message Integrity Code (MIC) SMB Session Signing และ Enhanced Protection for Authentication (EPA) ได้ ทำให้สามารถทำการโจมตีด้วย relay attacks สำเร็จได้

ผู้ใช้ควรทำการ update แพตช์ให้เป็นปัจจุบัน ทำการตั้งค่าบนเครื่อง server ให้ปลอดภัย ได้แก่บังคับใช้SMB Signing, บล็อก NTLMv1, บังคับใช้ LDAP/S Signing และบังคับใช้ EPA และลดการใช้งาน NTLM ในส่วนที่ไม่จำเป็น

ที่มา:securityweek

Trend Micro ได้พบมัลแวร์ตัวใหม่โดยตั้งชื่อว่า BlackSquid ซึ่งมีการใช้งานเครื่องมือโจมตีถึง 8 อย่างเพื่อโจมตีเป้าหมาย
นอกจากนั้น BlackSquid ยังมีความสามารถตรวจสอบว่าถูก Debug หรือตรวจสอบว่ารันอยู่ใน Sandbox โดยรูปแบบการติดมัลแวร์ตัวนี้ว่าเป็นไปได้ 3 ทางคือ web servers, network drives และ removable drives ปัจจุบัน BlackSquid มุ่งโจมตีเว็บเซิร์ฟเวอร์เพื่อขุดเหมือง Monero แต่ยังอยู่ในระหว่างการพัฒนาทำให้อาจมีการเปลี่ยนจุดมุ่งหมายในการโจมตีได้
เครื่องมือโจมตีถึง 8 อย่างใน BlackSquid ประกอบด้วยเครื่องมือแฮก EternalBlue และ DoublePulsar ของ NSA เครื่องมือโจมตีช่องโหว่ใน ThinkPHP สำหรับรุ่นที่แตกต่างกันสามรุ่น เครื่องมือโจมตีเพื่อใช้โค้ดจากระยะไกล (remote code execution) ผ่านทาง CVE-2014-6287 บน Rejetto HTTP File Server เครื่องมือโจมตีช่องโหว่ CVE-2017-12615 บน Apache Tomcat และเครื่องมือโจมตี CVE-1017-8464 บน Windows Shell
BlackSquid จะใช้ GetTickCount API เพื่อสุ่มหา live IP ของเว็บเซิร์ฟเวอร์จากนั้นจึงเริ่มการโจมตีผ่านการใช้ช่องโหว่หรือ Brute-force ซึ่ง BlackSquid จะทำการตรวจสอบเครื่องที่จะโจมตีก่อนโดยตรวจสอบปัจจัยต่างๆ อย่างเช่น Username, ไดร์ฟเวอร์ หรือ DLL เพื่อให้แน่ใจว่าไม่ในอยู่ใน sandbox, Virtual Machine หรือ Debugger มิฉะนั้นจะหยุดขั้นตอนการติดเชื้อและไม่แสดงพฤติกรรมน่าสงสัย
เมื่อ BlackSquid แน่ใจว่าตัวเองไม่ได้จากนั้นจึงเริ่มทำงาน ติดตั้ง XMRig เข้ามาเพื่อขุดเหมืองเงินดิจิทัล Monero และหากตรวจสอบพบว่าเครื่องเหยื่อใช้การ์ดจอ Nvidia หรือ AMD ก็จะมีส่วนประกอบเพิ่มเติมเพื่อใช้งาน GPU ร่วมขุดเหมืองด้วย นอกจากนี้ถ้า BlackSquid สามารถโจมตีช่องโหว่ CVE-1017-8464 บน Windows Shell ได้สำเร็จก็จะมีสิทธิ์ระดับเดียว local system user อีกด้วย ซึ่งอาจถูกใช้เพื่อเปิดช่องทางให้ผู้โจมตีเข้าควบคุมเครื่องเพื่อขโมยข้อมูลหรือใช้ประโยชน์อื่นๆ ได้

ที่มา :bleepingcomputer.

นักวิจัยพบช่องโหว่ Zero Day บนระบบปฏิบัติการ MacOS รุ่น Mojave ของ Apple สามารถหลอกระบบปฏิบัติการให้รันคำสั่งอันตรายได้
Patrick Wardle นักวิจัยด้าน MacOS เปิดเผยช่องโหว่ดังกล่าวเมื่อวันจันทร์ (3 มิถุนายน 2019) ว่าในระบบปฏิบัติการ MacOS รุ่น Mojave ของ Apple มีฟังก์ชันจำลองการคลิกเมาส์ (Synthetic Click) ซึ่งอนุญาตให้ใช้งานเฉพาะโปรแกรมที่ได้รับอนุญาต (Trusted Apps) ซึ่ง Patrick Wardle พบว่ามีช่องโหว่ในการตรวจสอบว่าโปรแกรมที่ได้รับอนุญาตนั้นถูกดัดแปลงมาหรือไม่ ในกรณีที่เขาดัดแปลงโปรแกรมที่ได้รับอนุญาตให้เป็นโปรแกรมอันตราย เขาจะสามารถใช้ฟังก์ชันจำลองการคลิกเมาส์ดังกล่าวเพื่อเข้าถึงข้อมูลสำคัญได้ เช่น เปิดไมโครโฟน หรือเข้าถึงข้อมูลพิกัด GPS ของเครื่อง
Patrick Wardle ได้แสดง proof-of-concept การโจมตีด้วยช่องโหว่ดังกล่าวด้วยการดัดแปลงโปรแกรม VLC ซึ่งเป็นหนึ่งในโปรแกรมที่ได้รับอนุญาตให้ใช้ฟังก์ชันจำลองการคลิกเมาส์ (Synthetic Click) และสาธิตการโจมตีด้วยการจำลองการคลิกเมาส์โดยไม่ต้องมี user's interaction ทั้งนี้หากผู้โจมตีต้องการโจมตีอย่างแนบเนียนก็จะสามารถสั่งให้มีการจำลองการคลิกเมาส์เฉพาะเวลาที่เครื่องอยู่ในโหมด sleep ได้
ช่องโหว่ดังกล่าวถูกรายงานต่อ Apple แล้วแต่ยังไม่ได้รับการยืนยันว่าจะแก้ไขหรือไม่ โดย Patrick Wardle ระบุว่าการใช้ช่องโหว่ดังกล่าวถือเป็นการโจมตีขั้นที่สองที่ผู้โจมตีต้องสามารถควบคุมเครื่องได้ก่อน หรือสามารถลงโปรแกรมที่ถูกดัดแปลงไว้ได้แล้ว

ที่มา :thehackernews.

Cisco ประกาศแพตช์ช่องโหว่ระดับความร้ายแรงสูงสำหรับโซลูชัน Industrial และ Enterprise

Cisco ประกาศแพตช์สำหรับสองช่องโหว่ในโซลูชัน Cisco Industrial Network Director (IND) และ Cisco Unified Presence (Cisco Unified CM IM&P Service, Cisco VCS, and Cisco Expressway Series) วันนี้หลังจากมีการตรวจพบช่องโหว่ที่มีความร้ายแรงระดับสูง

สำหรับ Cisco IND นั้น มีการตรวจพบช่องโหว่รหัส CVE-2019-1861 ซึ่งเป็นช่องโหว่ประเภท Remote Code Execution โดยมีที่มาจากการไม่ตรวจสอบไฟล์ที่ถูกอัปโหลดไปยังแอปพลิเคชันอย่างเหมาะสม ส่งผลให้ผู้โจมตีสามารถอัปโหลดไฟล์ซึ่งเป็นอันตรายได้ด้วยสิทธิ์ของผู้ดูแลระบบ ช่องโหว่ได้คะแนน CVSSv3 เท่ากับ 7.2 โดยผู้ใช้งานสามารถทำการอัปเดตเป็น Cisco IND เวอร์ชัน 1.6.0 เพื่อรับการแก้ไขช่องโหว่ได้

สำหรับ Cisco Unfied Presence นั้น มีการตรวจพบช่องโหว่รหัส CVE-2019-1845 ซึ่งเป็นช่องโหว่ประเภท Denial-of-Service (DoS) ที่คะแนน CVSSv3 เท่ากับ 8.6 โดยที่มาของช่องโหว่นี้มาจากการที่ซอฟต์แวร์ไม่ได้มีการตรวจสอบกระบวนการทำงานซึ่งเกี่ยวข้องกับหน่วยความจำอย่างเหมาะสม ส่งผลให้ผู้โจมตีสามารถส่งแพ็คเกตเฉพาะในโปรโตคอล Extensible Messaging and Presence Protocol (XMPP) เพื่อทำให้เกิดเงื่อนไข DoS ได้ รายการของผลิตภัณฑ์ที่มีช่องโหว่และเวอร์ชันที่มีการแก้ไขช่องโหว่แล้วสามารถตรวจสอบได้จาก Cisco Security Advisory ที่ tools.

พบช่องโหว่ RDP ใหม่ ผู้โจมตีสามารถขโมย Session ได้

พบช่องโหว่ที่ยังไม่แก้ไขใน Microsoft Windows Remote Desktop Protocol (RDP) โดยผู้โจมตีสามารถผ่านหน้า Lock Screen ของฝั่งผู้ใช้งานที่เชื่อมต่ออยู่ได้ ได้รับ CVE-2019-9510 กระทบ Windows 10 ตั้งแต่เวอร์ชัน 1803 และ Windows Server 2019 ในการโจมตีนี้ทำให้ผู้โจมตีสามารถขโมย session แม้ว่าหน้าจอของผู้ใช้งานถูกล็อกอยู่ โดยเกิดจากฟังก์ชั่น Network Level Authentication (NLA) ที่ทำงานไม่ใช่อย่างที่ควรจะเป็น
ช่องโหว่นี้ถูกค้นพบโดย Joe Tammariello จาก Carnegie Mellon University Software Engineering Institute (SEI) โดยทีม CERT/CC ของ Carnegie Mellon University ได้อธิบายขั้นตอนในการโจมตีดังต่อไปนี้
1. User ใช้เครื่องคอมพิวเตอร์ต้นทางเชื่อมต่อกับเครื่องคอมพิวเตอร์ปลายทางที่เป็น Windows 10 เวอร์ชั่น 1803 หรือ Server 2019 ผ่าน RDP
2. User ล็อก Remote Desktop Sessions
3. User เดินไปทำอย่างอื่นโดยปล่อยให้เครื่องต้นทางยังเชื่อมต่อกับเครื่องปลายทาง (เครื่องต้นทางยังเป็น RDP client)
ผู้โจมตีที่สามารถเข้าถึงเครื่องต้นทางที่ไม่มีคนดูแลจะสามารถโจมตีช่องโหว่ดังกล่าวได้ โดยผู้โจมตีต้องทำให้การเชื่อมต่ออินเตอร์เน็ตของเครื่องต้นทางสะดุดเพื่อให้เกิดการ reconnect RDP ไปยังเครื่องคอมพิวเตอร์ปลายทาง ซึ่งเมื่อ reconnect แล้ว ผู้โจมตีจะสามารถควบคุมเครื่องปลายทางได้แม้กว่าเครื่องปลายทางจะถูกล็อกอยู่
โดย Joe Tammariello ได้มีการแจ้งให้กับ Microsoft ทราบถึงปัญหานี้ในวันที่ 19 เมษายน แต่ทางบริษัทก็ยังไม่มีแผนที่จะแก้ไขในเร็ว ๆ นี้
อย่างไรก็ตามผู้ใช้สามารถป้องกันตัวเองได้โดยทำการตัดการเชื่อมต่อ Remote Desktop Sessions จากเครื่องปลายทางก่อนไปทำอย่างอื่น
ทั้งนี้ NLA สามารถใช้เพื่อป้องกันช่วงโหว่ RDP อีกช่องโหว่หนึ่ง คือช่องโหว่ BlueKeep บน Windows 7 และ Windows Server 2008 ได้

bleepingcomputer.

เครื่องมือที่ใช้ในการแฮคเชื่อว่ามีการพัฒนาขึ้นในอิหร่านถูกเปิดเผยใน Telegram

เครื่องมือที่ใช้ในการแฮคในที่นี้เรียกว่า Jason โดยนักวิจัยด้านความปลอดภัย Omri Segev Moyal กล่าวว่า Jason เป็นเครื่องมือสำหรับโจมตี Microsoft Exchange email servers ด้วยวิธี brute-force ชื่อผู้ใช้งานและรหัสผ่าน เครื่องมือดังกล่าวถูกสร้างขึ้นในปี 2558 โดยอ้างอิงจากข้อมูลการ compile ตัวโปรแกรม ซึ่งหมายความว่าแฮกเกอร์ชาวอิหร่านใช้เครื่องมือนี้อย่างน้อยสี่ปีที่ผ่านมา

โดยก่อนหน้านี้ในช่วงเดือนเมษายน 2562 มีการเปิดเผยข้อมูลเกี่ยวกับกลุ่มผู้โจมตีทางไซเบอร์ภายใต้ชื่อ APT34, Oilrig, หรือ HelixKitten ออกมา โดยเป็นที่เชื่อกันว่ากลุ่มดังกล่าวมีเจ้าหน้าที่รัฐของอิหร่านเป็นสมาชิกอยู่ด้วย โดยมีการเปิดเผยข้อมูลทั้งชื่อจริง เบอร์โทรศัพท์ รูปถ่าย รวมถึงเครื่องมือใช้ในการแฮกจำนวน 6 ตัว

www.