SandboxEscaper เผยแพร่ช่องโหว่ zero-day ของระบบปฏิบัติการวินโดวส์อีกครั้งในวันที่ 23 พฤษภาคม 2019 โดยปล่อยช่องโหว่ดังกล่าวหลังจาก Microsoft ออกแพตช์ประจำเดือนพฤษภาคม 2019 เพียง 1 สัปดาห์

ซึ่งช่องโหว่นี้เป็นครั้งที่ห้าที่ SandboxEscaper ออกมาเผยแพร่โดยเริ่มจากเมื่อปลายเดือนสิงหาคม 2018 ช่องโหว่ในครั้งนี้เป็นช่องโหว่ที่ทำให้ผู้ใช้งานที่มีสิทธิ์จำกัดสามารถควบคุมไฟล์ที่เข้าถึงได้เฉพาะสิทธิ์สูงสุดอย่าง SYSTEM และ TrustedInstaller เท่านั้น

เช่นเดียวกับช่องโหว่ที่เคยถูกเผยแพร่ SandboxEscaper จะมุ่งเน้นการหาช่องโหว่ใน Task Scheduler โดยใช้ Task Scheduler นำเข้าระบบ tasks เก่าๆ เช่น นำเข้า Task ในรูปแบบ .JOB ซึ่งเป็นรูปแบบ Task ในสมัย Windows XP แต่ยังสามารถเพิ่ม .JOB ในระบบปฏิบัติการเวอร์ชันที่ใหม่กว่าได้

เมื่อ Task Scheduler นำเข้าไฟล์ .JOB ที่มี DACL (discretionary access control list) ที่ไม่ถูกต้อง ระบบจะให้สิทธิ์การเข้าถึงไฟล์แก่ผู้ใช้อย่างเต็มรูปแบบ โดย SandboxEscaper ทำการโจมตี Task Scheduler บน Windows 10 โดยการเรียกใช้คำสั่ง executables 'schtasks.

Microsoft เตือนช่องโหว่ RDP ตัวใหม่ อาจถูกนำไปแพร่มัลแวร์ ออกแพตช์พิเศษให้แม้แต่ Windows Server 2003, และ Windows XP

Microsoft อัปเดตแพตช์ล่าสุดเป็นการแก้ไขความปลอดภัยช่องโหว่ที่สำคัญ CVE-2019-0708 เกี่ยวข้องกันการใช้งาน Remote Desktop Services หรือ Terminal Services เป็นช่องโหว่ที่อนุญาตให้สามารถเรียกใช้คำสั่งได้จากระยะไกลโดยไม่ต้องมีการพิสูจน์ตัวตน ช่องโหว่ดังกล่าวไม่กระทบ Windows 8 และ Windows 10 แต่ส่งผลกระทบกับระบบปฎิบัติการรุ่นเก่าอย่าง Windows 7, Windows Server 2008 R2, Windows Server 2008, Windows Server 2003, และ Windows XP

ซึ่ง Microsoft ได้ออกแพตช์พิเศษให้กับ Windows XP และ Windows Server 2003 ซึ่งยกเลิกการสนับสนุนไปแล้วอีกด้วย โดยสามารถดูรายละเอียดได้จาก https://support.

Microsoft ได้ทำการปล่อยแพตช์แก้ไขช่องโหว่ประจำเดือนเมษายน 2019 โดยแก้ไขช่องโหว่ทั้งหมด 74 ช่องโหว่ โดย 15 ช่องโหว่จัดอยู่ในระดับ Critical และได้มีการแก้ไขช่องโหว่ Win32k จำนวน 2 ช่องโหว่ที่กำลังถูกใช้โจมตีอยู่ด้วย

ช่องโหว่ Win32k ที่กำลังถูกใช้โจมตีอยู่นี้เป็นช่องโหว่ที่ผู้โจมตีสามารถใช้ยกระดับสิทธิ์ได้ ประกอบด้วย CVE-2019-0803 ถูกค้นพบโดย Alibaba Cloud Intelligence Security Team และช่องโหว่ที่ 2 ถูกค้นพบโดย Kaspersky ได้รับ CVE-2019-0859 ซึ่งทั้งสองช่องโหว่นี้เกิดจากการที่ Win32k จัดการหน่วยความจำได้ไม่ดี ทำให้หากถูกโจมตีจะทำให้ผู้โจมตีสามารถติดตั้งโปรแกรม ดูการเปลี่ยนแปลงหรือลบข้อมูล หรือสร้างบัญชีใหม่ที่มีสิทธิ์สูงสุดในการใช้งาน

นอกจากนี้นักวิจัยผู้ค้นพบช่องโหว่ CVE-2019-0841 ซึ่งมีการอัปเดตในแพตช์นี้เช่นกันได้เผยแพร่ Proof-of-concept สำหรับใช้โจมตีออกมาแล้ว ช่องโหว่ CVE-2019-0841 นี้เป็นช่องโหว่ใน AppX Deployment Service (AppXSVC) ที่สามารถใช้เพื่อยกระดับสิทธิ์ได้ใน Windows 10 และ Windows Server 2019

ผู้ใช้งานหรือผู้ดูแลระบบควรทำการอัปเดตแพตช์เพื่อลดความเสี่ยงจากการถูกโจมตีด้วยช่องโหว่เหล่านี้

ที่มา : bleepingcomputer , bleepingcomputer

นักวิจัยด้านความปลอดภัยออกมาเปิดเผยรายละเอียดสำหรับช่องโหว่ CVE-2018-8476 บนWindows Server ช่องโหว่ดังกล่าวถูกแก้ไขในแพตช์ประจำเดือนพฤศจิกายน ปี 2561 ที่ผ่านมา ช่องโหว่นี้ส่งผลทำให้แฮกเกอร์สามารถโจมตีด้วยวิธีแทรกแซง Windows Server installation และใช้บริการ Windows Deployment Services (WDS) ในทางที่ผิดเพื่อยึดเครื่องและวาง backdoor ได้ โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อตั้งแต่ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุดและกระทบ Windows Deployment Services (WDS) ที่มาพร้อมกับระบบ
Omri Herscovici นักวิจัย Check Point ได้ทดสอบสร้างแพ็กเก็ตที่มีรูปแบบไม่ถูกต้องซึ่งจะทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายบน Windows Server ทำให้แฮกเกอร์สามารถเข้ายึด Windows Server ได้
ทั้งนี้หากแฮกเกอร์เข้าควบคุม Windows Server ได้เขาจะสามารถควบคุมเครือข่ายทั้งหมดได้อย่างสมบูรณ์และสามารถใช้บริการ WDS เดียวกันเพื่อลงโปรแกรมอันตราย เช่น backdoor ไปยังระบบภายในได้อย่างง่ายดาย
ทางด้าน Microsoft และ Herscovici ยังไม่พบการโจมตีใด ๆ จากช่องโหว่นี้ แต่หลังจากมีการเผยแพร่รายงานนี้อาจมีผู้ไม่หวังดีพยายามโจมตีช่องโหว่ได้
ข้อแนะนำ: ผู้ดูแลระบบควรอัพเดทแพทช์ประจำเดือนพฤศจิกายน 2561 ให้กับ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุด

ที่มา: zdnet.

Microsoft ได้ปล่อยอัพเดทแพทช์ประจำเดือนมกราคม 2019 เป็นการแก้ไขช่องโหว่ 51 รายการ รวมถึง Adobe Flash Player และ Servicing Stack Updates (SSU) โดยมีช่องโหว่ที่ส่งผลกระทบในระดับความรุนแรง Critical อยู่ 7 รายการต่อไปนี้

ช่องโหว่ในส่วนของ Chakra scripting engine ใน Microsoft Edge ส่งผลให้ผู้โจมตีสามารถทำ remote code execution ได้
1. Chakra Scripting Engine Memory Corruption Vulnerability (CVE-2019-0539)
2. Chakra Scripting Engine Memory Corruption Vulnerability(CVE-2019-0567)
3. Chakra Scripting Engine Memory Corruption Vulnerability(CVE-2019-0568)

ช่องโหว่ในส่วนของ DHCP client ส่งผลให้ผู้โจมตีสามารถส่ง DHCP response ที่ได้รับการแก้ไขแล้วมายัง client เพื่อสั่งรันคำสั่งอันตรายได้
4. Windows DHCP Client Remote Code Execution Vulnerability(CVE-2019-0547)

ช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำ remote code execution ผ่านช่องโหว่การตรวจสอบค่า input ของ host server ที่รับมาจากเครื่อง guest ส่งผลให้ผู้โจมตีสามารถรันคำสั่งอันตรายบน Hyper-V host ได้
5. Windows Hyper-V Remote Code Execution Vulnerability(CVE-2019-0550)
6. Windows Hyper-V Remote Code Execution Vulnerability(CVE-2019-0551)

ช่องโหว่ที่ทำให้ผู้โจมตีสามารถทำ remote code execution เมื่อเข้าเว็บไซต์ที่เป็นอันตราย โดยผู้โจมตีจะได้รับสิทธิ์เทียบเท่ากับผู้ใช้งานขณะนั้น หากผู้ใช้งานมีสิทธิ์เป็น admin จะส่งผลให้ผู้โจมตีสามารถลงโปรแกรม, ดู, แก้ไข และลบข้อมูล หรือสร้าง account ใหม่ได้
7. Microsoft Edge Memory Corruption Vulnerability(CVE-2019-0565)

ที่มา:bleepingcomputer.

โค้ดสำหรับโจมตีช่องโหว่ CVE-2018-8629 บนเว็บเบราเซอร์ Microsoft Edge ถูกเผยแพร่โดยนักวิจัยที่พบช่องโหว่นั้น โดยโค้ดนี้สามารถถูกใช้เพื่อทำการโจมตีจากระยะไกลบนเครื่องที่ยังไม่มีการแพตช์ได้

ช่องโหว่ CVE-2018-8629 กระทบ Chakra ซึ่งเป็น JavaScript engine ภายใน Edge ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันคำสั่งอันตรายด้วยสิทธิเดียวกับผู้ใช้งานที่เข้าสู่ระบบอยู่ ช่องโหว่นี้ถูกระบุว่ามีผลกระทบร้ายแรง (critical) กับระบบปฏิบัติการแทบทุกรุ่นของ Microsoft ยกเว้น Windows Server 2019 และ 2016 ที่ได้รับผลกระทบจากช่องโหว่นี้ระดับปานกลาง (moderate) ซึ่งทาง MIcrosoft ได้แก้ไขช่องโหว่นี้แล้วในแพตช์ปรับปรุงความปลอดภัยของเดือนธันวาคม 2018

Bruno Keith นักวิจัยผู้เป็นคนค้นพบช่องโหว่ได้ปล่อยตัวอย่างโค้ดสำหรับโจมตีช่องโหว่ออกมาเมื่อวันที่ 28 ธันวาคม 2018 โดยโค้ดที่ถูกปล่อยออกมาโดยนักวิจัยสามารถทำให้เกิดการอ่านข้อมูลในหน่วยความจำเกินกว่าที่ควร (out-of-bounds memory read leak) ซึ่งไม่ทำให้เกิดผลกระทบร้ายแรงโดยตรง แต่สามารถถูกผู้ไม่หวังดีนำไปดัดแปลงต่อได้

ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตระบบเพื่อความปลอดภัยจากการโจมตีด้วยช่องโหว่ดังกล่าว

ที่มา: bleepingcomputer.

Microsoft ออกแพตช์นอกรอบสำหรับแก้ไขช่องโหว่ zero day ใน IE ที่กำลังถูกใช้โจมตี ควรอัปเดตโดยด่วน

Microsoft ออกแพตช์นอกรอบสำหรับแก้ไขช่องโหว่ zero day ใน Internet Explorer โดยช่องโหว่ดังกล่าวได้รับ CVE-2018-8653 ช่องโหว่นี้ถูกแจ้งมายัง Microsoft โดยนักวิจัยภัยคุกคามของ Google หลังจากพบการโจมตีผ่านช่องโหว่ดังกล่าว

ผู้โจมตีจะทำการสร้างหน้าเว็บที่มีคำสั่งพิเศษเพื่อโจมตีช่องโหว่ จากนั้นหลอกให้ผู้ใช้งานเข้าสู่เว็บดังกล่าว เมื่อโจมตีสำเร็จ ผู้โจมตีสามารถรันคำสั่งอันตรายด้วยสิทธิ์ของผู้ใช้งานที่กำลังใช้งาน Internet Explorer อยู่ในขณะนั้นได้

ช่องโหว่นี้ส่งผลกระทบกับ Internet Explorer 9 ถึง Internet Explorer 11 บน Windows 7 ถึง Windows 10 และ Windows Server 2008 ถึง 2019

นอกจากการอัปเดตแพตช์แล้ว ยังสามารถลดความเสี่ยงจากช่องโหว่นี้ได้โดยปิดการเข้าถึง JScript.

ไมโครซอฟต์และ Adobe ออกแพตช์แก้ไขช่องโหว่ประจำเดือนธันวาคม 2018 แก้ไขช่องโหว่ Zero-day ที่กำลังถูกใช้โจมตี

เมื่อวันที่ 11 ธันวาคม 2018 ไมโครซอฟต์ได้ออกแพตช์แก้ไขช่องโหว่ประจำเดือนธันวาคม 2018 เพื่อแก้ไขช่องโหว่ใน Windows และผลิตภัณฑ์อื่นๆ ทั้งหมด 39 ช่องโหว่ เป็นช่องโหว่ร้ายแรงมาก (Critical) 9 ช่องโหว่ มีการแก้ไขช่องโหว่ที่สำคัญคือ ช่องโหว่ CVE-2018-8611 ซึ่งเป็น Zero-day ที่กำลังถูกใช้โจมตีด้วยมัลแวร์ ช่องโหว่นี้พบใน Windows Kernel ที่ทำให้ผู้โจมตีสามารถรันโปรแกรมเพื่อยกระดับสิทธิ์ได้ ถูกค้นพบโดย Kaspersky

นอกจากนี้ Adobe ยังได้ออกแพตช์เพื่อแก้ไขช่องโหว่ประจำเดือนธันวาคม 2018 เช่นกัน โดยแก้ไขช่องโหว่ใน Adobe Acrobat และ Adobe Reader กว่า 87 ช่องโหว่ เป็นช่องโหว่ร้ายแรงมาก (Critical) ถึง 39 ช่องโหว่

ผู้ใช้งานและผู้ดูแลระบบควรทำการอัปเดตเพื่อลดความเสี่ยงจากช่องโหว่ดังกล่าว

ที่มา : BLEEPINGCOMPUTER

Script engine ของ Internet Explorer เป็นเป้าหมายที่ได้รับความสนใจจากกลุ่มผู้โจมตีทางไซเบอร์ของเกาหลีเหนือในปีนี้ หลังจากที่แฮกเกอร์ได้ใช้ช่องโหว่ zero-day ทั้งใหม่และเก่าเพื่อเป็นเครื่องมือในการโจมตี

DarkHotel กลุ่มผู้โจมตีทางไซเบอร์ที่ McAfee และผู้เชี่ยวชาญจากหลายๆ องค์กรเชื่อว่าน่าจะเกี่ยวข้องกับเกาหลีเหนือ ซึ่งเคยถูกระบุในรายงานของ Kaspersky เมื่อปี 2014 ว่าเป็นกลุ่มที่ทำการโจมตีระบบ WiFi ของโรงแรมมากกว่า 100 แห่งเพื่อทำการแพร่กระจายมัลแแวร์ ล่าสุดกลุ่มดังกล่าวก็ได้ลงมืออีกครั้งในปีนี้ผ่านการใช้ช่องโหว่ของ VBScript engine ของ Internet Explorer 2 ตัว ได้แก่ CVE-2018-8174 ในเดือนเมษายน และ CVE-2018-8373 ในเดือนสิงหาคม ซึ่งทั้งสองช่องโหว่ได้รับการแพทช์โดย Microsoft ไปเรียบร้อยแล้ว และที่เพิ่งถูกรายงานออกมาล่าสุดจาก Qihoo 360 Core ได้ระบุว่ากลุ่มนี้มีการใช้วิธีการโจมตีใหม่ผ่านช่องโหว่ของ IE Script เก่า 2 ตัว คือ CVE-2017-11869 และ CVE-2016-0189

ทั้งนี้ Internet Explorer เป็นจุดที่ค่อนข้างน่ากังวลมากด้านความปลอดภัย เนื่องจากถูกพัฒนามานานมากแล้ว ทำให้ Code บางส่วนอาจจะไม่ปลอดภัยในปัจจุบัน Microsoft เองก็ได้เล็งเห็นถึงจุดนี้ ในเดือนกรกฎาคมปี 2017 จึงได้ปิดความสามารถการรัน VBScript อัตโนมัติบน IE เวอร์ชั่นใหม่ๆ การปรับปรุงในครั้งนั้นอาจจะช่วยป้องกันให้ผู้โจมตีไม่สามารถรัน VBScript ที่เป็นอันตรายบนเครื่อง Windows 10 ผ่าน IE ได้ แต่ก็ไม่สามารถหยุดการโจมตีจากกลุ่ม DarkHotel ซึ่งได้เปลี่ยนวิธีการใหม่เป็นการแนบ Code ไปในเอกสาร Word เพื่อทำการเรียกหน้าเว็บผ่าน IE Frame แทน

ที่มา : zdnet

Microsoft ออกแพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 เพื่อแก้ไขช่องโหว่จำนวนมากซึ่งรวมไปถึงช่องโหว่ที่กำลังมีการใช้โจมตีจริงและช่องโหว่ที่ถูกเผยแพร่วิธีการโจมตี
แพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 นี้มีการแก้ไขช่องโหว่กว่า 60 ช่องโหว่ ซึ่งมีการแก้ไขช่องโหว่ Zero-day หลายช่องโหว่ ได้แก่
CVE-2018-8589 เป็นช่องโหว่ใน win32k.sys ที่ทำให้สามารถยกระดับสิทธิ์ของผู้ใช้ได้ ถูกค้นพบโดย Kaspersky Labs และกำลังถูกใช้โจมตีอยู่ในตะวันออกกลาง
CVE-2018-8566 ช่องโหว่ใน BitLocker ที่ทำให้สามารถดูข้อมูลที่ถูกเข้ารหัสได้เนื่องจากความผิดพลาดในการเข้ารหัสของ SSD
CVE-2018-8584 ช่องโหว่ใน Windows ALPC ที่ทำให้สามารถยกระดับสิทธิ์ของผู้ใช้ได้ ซึ่งถูกเผยแพร่ เมื่อ 24 ตุลาคม 2018 ในทวิตเตอร์ของ @SandboxEscaper

ผู้ใช้ควรตรวจสอบและอัปเดตเพื่อลดความเสี่ยงที่จะเกิดขึ้นจากช่องโหว่ต่างๆ โดยสามารถอ่านรายละเอียดของแพตช์อัปเดตด้านความปลอดภัยประจำเดือนพฤศจิกายน 2018 ได้จาก https://blogs.