Oracle ออกแพตช์ด่วนให้ช่องโหว่ Oracle WebLogic ที่กำลังถูกโจมตี

ช่องโหว่ใหม่ CVE-2019-2729 ใน Oracle WebLogic ได้รับการออกแพตช์พิเศษจาก Oracle โดยช่องโหว่ดังกล่าวมีความร้ายแรงมาก (Critical) โดยช่องโหว่นี้เกิดจากการที่มีผู้โจมตีสามารถ bypass แพตช์ของช่องโหว่ CVE-2019-2725 ที่ Oracle เพิ่งออกแพตช์แก้ไขเมื่อปลายเดือนเมษายน 2019 ได้

ทั้งนี้ทีมนักวิจัย KnownSec 404 ได้ออกแจ้งเตือนถึงการโจมตีช่องโหว่ CVE-2019-2729 แล้วตั้งแต่วันที่ 15 มิถุนายน 2019

ช่องโหว่ CVE-2019-2729 ส่งผลกระทบ Oracle WebLogic รุ่น 10.3.6.0.0, 12.1.3.0.0 และ 12.2.1.3.0

ที่มา https://medium.

Oracle ออกแพตช์อัปเดตสำคัญเพื่อแก้ไขช่องโหว่ 297 ช่องโหว่ในหลายผลิตภัณฑ์

Oracle ออกแพตช์อัปเดตสำคัญประจำเดือนเมษายน 2019 เพื่อแก้ไขช่องโหว่กว่า 297 ช่องโหว่ในหลายผลิตภัณฑ์ เป็นช่องโหว่ที่ร้ายแรงมาก (critical) กว่า 53 ช่องโหว่ โดย Oracle Fusion Middleware เป็นผลิตภัณฑ์ที่ถูกแก้ไขมากที่สุดในแพตช์ครั้งนี้ด้วยช่องโหว่กว่า 53 ช่องโหว่ ผลิตภัณฑ์ที่ได้รับการแก้ไขมากรองลงมาเป็น Oracle MySQL ได้รับการแก้ไข 45 ช่องโหว่

รายชื่อผลิตภัณฑ์ทั้งหมดที่ถูกแก้ไขในแพตช์อัปเดตนี้ได้แก่
Oracle Database Server
Oracle Berkeley DB
Oracle Commerce
Oracle Communications Applications
Oracle Construction and Engineering Suite
Oracle E-Business Suite
Oracle Enterprise Manager Products Suite
Oracle Financial Services Applications
Oracle Food and Beverage Applications
Oracle Fusion Middleware
Oracle Health Sciences Applications
Oracle Hospitality Applications
Oracle Java SE
Oracle JD Edwards Products
Oracle MySQL
Oracle PeopleSoft Products
Oracle Retail Applications
Oracle Siebel CRM
Oracle Sun Systems Products
Oracle Supply Chain Products
Oracle Support Tools
Oracle Utilities Applications
Oracle Virtualization

ผู้ดูแลระบบควรตรวจสอบรายการแพตช์ดังกล่าวบน oracle และทำการอัปเดตเพื่อลดความเสี่ยงจากการถูกโจมตีโดยช่องโหว่ต่างๆ

ที่มา: us-cert , securityweek

Oracle ได้ออกแพตช์อัปเดตประจำเดือนมกราคม เพื่อแก้ไขช่องโหว่จำนวน 284 ช่องโหว่ในหลายผลิตภัณฑ์ ซึ่งบางผลิตภัณฑ์มีการแก้ไขช่องโหว่ที่อยู่ในระดับ critical ซึ่งผู้โจมตีสามารถทำการ remote ผ่านช่องโหว่เหล่านี้เพื่อควบคุมระบบได้ แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบ Oracle Critical Patch Update ประจำเดือนมกราคม 2019
ที่มา: Oracle

นักวิจัยช่องโหว่ของรัสเซีย เผยแพร่ข้อมูลเกี่ยวกับช่องโหว่ zero-day ใน VirtualBox พร้อมขั้นตอนการทดสอบโจมตี

Sergey Zelenyuk ได้ทำการทดสอบเจาะช่องโหว่ VirtualBox ที่ติดตั้งบน Ubuntu 16.04 และ 18.04 ทั้ง x86 และ x64 ได้สำเร็จและทำการเผยแพร่โดยยังไม่แจ้งให้ทางผู้พัฒนาทราบ โดยอาศัยช่องโหว่ใน Network Address Translation (NAT) บน Intel PRO / 1000 MT Desktop (82540EM) ซึ่งเป็นค่าเริ่มต้นที่อนุญาตให้ Guest สามารถเข้าถึงเครือข่ายภายนอกได้ ช่องโหว่ส่งผลให้ผู้โจมตีที่มีสิทธิ์ root / administrator ใน Guest สามารถเพิ่มสิทธิ์ของตนเองได้ถึง ring 3 หรือ user mode ของ hardware (จากทั้งหมด 4 ระดับ) ได้ จากนั้นสามารถใช้เทคนิคที่มีอยู่เพื่อเพิ่มสิทธิ์ไปเป็น ring 0 หรือ kernel mode ได้ ผ่าน /dev/vboxdrv แล้วเข้าควบคุมระบบทั้งหมด โดยอาศัยช่องโหว่ที่เกิดจากทำ overflow

ก่อนหน้านี้ Sergey Zelenyuk ได้มีการรายงานช่องโหว่ของตัว VirtualBox สำหรับเวอร์ชัน 5.2.10 แต่ด้วยเหตุผลบางอย่าง Oracle ได้แก้ไขปัญหาในเวอร์ชัน 5.2.18 โดยไม่ได้ให้เครดิตแก่นักวิจัยในการค้นหาและรายงานช่องโหว่นี้

ที่มา: bleepingcomputer

Oracle ได้ประกาศอัพเดตแพทช์ประจำ Q3 สำหรับช่องโหว่ที่เป็น Critical จำนวน 301 ช่องโหว่ โดยมีการระบุว่าเป็นช่องโหว่ที่ได้รับคะแนน 9.8/10 ทั้งหมด 45 รายการ และช่องโหว่ที่มีคะแนนเต็ม 10 อีก 1 รายการ โดยช่องโหว่เหล่านี้เป็นช่องโหว่ที่สามารถโจมตีได้จากระยะไกล (remote), ช่องโหว่ที่ไม่ต้องการการ authentication รวมทั้งช่องโหว่ที่ไม่ต้องใช้ความสามารถขั้นสูงในการโจมตี โดย Oracle จะค่อยๆ ปล่อยรายละเอียดของแต่ละช่องโหว่ออกมา หลังจากที่ทำการปรับปรุงแอพพลิเคชั่นที่ได้รับผลกระทบเรียบร้อยแล้ว โดยรายละเอียดที่เปิดเผยออกมาคร่าวๆ มีดังนี้

1. ช่องโหว่ที่มีคะแนนความรุนแรงระดับ 10 เป็นช่องโหว่ที่เกี่ยวกับ Oracle GoldenGate ซึ่งเป็น framework สำหรับการสำรองข้อมูลปริมาณมากแบบ real-time โดยจะมีผลกระทบกับ Add-in ของ Oracle GoldenGate ที่ใช้งานบนผลิตภัณฑ์อื่นๆ เช่น Oracle Database Server, DB2, MySQL, Sybase, Terradata และอื่น ๆ เท่านั้น ไม่มีผลต่อผลิตภัณฑ์ Oracle GoldenGate โตยตรง

2. ช่องโหว่ที่มีคะแนนความรุนแรงระดับ 9.8 มีผลต่อผลิตภัณฑ์อย่างเช่น Oracle Database Server, Oracle Communications, Oracle Construction and Engineering Suite, Oracle Enterprise Manager Suite, Oracle Fusion Middleware, Oracle Insurance Applications, Oracle JD Edwards , MySQL, Oracle Retail, Oracle Siebel CRM และ Oracle Sun Systems Products Suite

หากพบว่าผลิตภัณฑ์ที่ตนเองใช้งานอยู่เป็นหนึ่งในรายการดังกล่าวข้างต้น แนะนำให้ทำการอัพเดตแพทช์เป็นเวอร์ชั่นล่าสุดทันที

ที่มา: zdnet

สืบเนื่องจากข่าว พบช่องโหว่ CVE-2018-11776 ที่ส่งผลต่อโค้ดหลักโดยไม่ต้องใช้งานปลั๊กอิน และช่วยให้แฮกเกอร์สามารถสั่งรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ที่มีช่องโหว่ ที่มีการใช้งาน Apache Struts 2

จากรายงานได้กล่าวว่าทาง Oracle ได้ออกมาแจ้งเตือนกลุ่มลูกค้าของทาง Oracle ว่าจากช่องโหว่ CVE-2018-11776 ส่งผลทำให้ผลิตภัณฑ์ของ Oracle จำนวนมากได้รับผลกระทบ โดยแฮกเกอร์สามารถใช้ประโยชน์จากช่องโหว่เพื่อการขุดบิทคอยน์ได้

รายชื่อผลิตภัณฑ์ที่ได้รับผลกระทบจากช่องโหว่นี้จะถูกส่งให้ลูกค้าของ Oracle เท่านั้น ทั้งนี้ Oracle ได้เคยแจ้งรายการของผลิตภัณฑ์ที่มีการใช้งาน Apache Struts ไปแล้วเมื่อปีที่แล้ว (ดูได้จากลิ้งค์ด้านล่าง) ซึ่งผลิตภัณฑ์เหล่านั้นจัดอยู่ในกลุ่มของ MySQL Enterprise Monitor, Communications Policy Management, FLEXCUBE Private Banking, Retail XBRi, Siebel, WebLogic Server และผลิตภัณฑ์ที่ให้บริการทางการเงินและประกันภัยต่างๆ

ปัจจุบันทาง Oracle แจ้งว่ากำลังจะมีแพทช์ ออกมาแก้ไข Oracle Critical Patch Update (CPU) ภายในวันที่ 16 ตุลาคม 2561

รายการผลิตภัณฑ์ที่มีการใช้งาน Apache Struts --> http://www.

Oracle ออกอัปเดตแก้ไขช่องโหว่ร้ายแรงในโปรแกรมระบบฐานข้อมูล Oracle Database

เมื่อวันศุกร์ที่ 10 สิงหาคม 2018 ที่ผ่านมา บริษัท Oracle ได้ออกแพตช์อัปเดตเพื่อแก้ไขช่องโหว่ร้ายแรงในโปรแกรมระบบฐานข้อมูล Oracle Database และเตือนให้ผู้ใช้อัปเดตแพตช์ดังกล่าวให้เร็วที่สุด

ช่องโหว่ดังกล่าวคือ CVE-2018-3110 เป็นช่องโหว่ของ Java VM ที่อยู่ภายในระบบ Oracle Database Server ผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวเพื่อยึดระบบฐานข้อมูล Oracle Database และสามารถเข้าถึง shell ของเซิร์ฟเวอร์ที่ลงฐานข้อมูลดังกล่าวได้ ช่วงโหว่ดังกล่าวกระทบระบบฐานข้อมูล Oracle Database รุ่น 11.2.0.4 และ 12.2.0.1 บน Windows และ รุ่น 12.1.0.2 บน Windows และ Linux

ผู้ใช้ระบบฐานข้อมูลรุ่นดังกล่าวควรทำการอัปเดตให้เร็วที่สุดเพื่อป้องกันความเสี่ยงจากช่องโหว่ดังกล่าว

ที่มา : securityweek

นักวิจัยด้านความปลอดภัย Wolfgang Ettlinger จาก SEC Consult Vulnerability Lab ได้มีการเปิดเผยถึงการค้นพบช่องโหว่ล่าสุดรหัส CVE-2018-2879 ในซอฟต์แวร์ Oracle Access Manager (OAM) ซึ่งทำให้ผู้โจมตีสามารถข้ามผ่านระบบการตรวจสอบตัวตน รวมไปถึงยึดบัญชีของผู้ใช้งานอื่นๆ ได้

Oracle Access Manager (OAM) เป็นซอฟต์แวร์จากค่าย Oracle ซึ่งมีหน้าที่ในการช่วยจัดการกระบวนการพิสูจน์และยืนยันตัวตนในรูปแบบของ Single Sign-On ในหลายรูปแบบอุปกรณ์

สำหรับช่องโหว่ที่มีการค้นพบนั้น ที่มาที่แท้จริงของช่องโหว่มาจากปัญหาในการทำ Padding อย่างไม่เหมาะสมเมื่อมีการเข้ารหัสข้อมูลซึ่งนำไปสู่การโจมตีที่เรียกว่า Padding Oracle ได้ การทำ Padding Oracle จะทำให้กระบวกการเข้ารหัสที่มีอยู่นั้นอ่อนแอลง และนำไปสู่การเข้าถึงและแก้ไขข้อมูลที่ความอ่อนไหวสูงได้
Recommendation ช่องโหว่ดังกล่าวถูกค้นพบใน OAM รุ่น 11.1.2.3.0 และ 12.2.1.3.0 รวมไปถึงเวอร์ชันก่อนหน้าทั้งหมด ในขณะนี้ Oracle ได้มีการประกาศแพตช์สำหรับช่องโหว่นี้ออกมาแล้วในซอฟต์แวร์รุ่นล่าสุด แนะนำให้ผู้ดูแลระบบทำการอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดโดยด่วน

ที่มา : Theregister

Oracle ประกาศแพตช์ด้านความปลอดภัยประจำเดือนเมษายน 2018 โดยแพตช์ด้านความปลอดภัยนี้นั้นมีจำนวนช่องโหว่ที่ถูกแพตช์ไปแล้วรวมทั้งหมด 251 รายการ ซึ่งมีช่องโหว่ที่มีความร้ายแรงในระดับวิกฤติ (คะแนน 9.8 เต็ม 10) อยู่ในหลายผลิตภัณฑ์ อาทิ Oracle Enterprise Manager Products Suite และ Oracle Financial Services Applications

แนะนำให้ผู้ดูแลระบบเข้าไปตรวจสอบรายละเอียดเพิ่มเติมจากแหล่งที่มา และดำเนินการแพตช์เพื่อลดความเสี่ยงที่จะถูกโจมตีโดยช่องโหว่ดังกล่าวโดยด่วน

ที่มา : http://www.

Oracle ได้ปล่อยแพตช์การรักษาความปลอดภัยเพื่อแก้ไขปัญหาช่องโหว่ที่อาจเกิดจากการโจมตีจากระยะไกล ซึ่งส่งผลกระทบต่อเครื่อง MICROS point-of-sale (POS) ที่ถูกใช้แพร่หลายในอุตสาหกรรมด้านการบริการกว่า 300,000 ร้านค้าทั่วโลก โดยแพตช์ที่ปล่อยออกมาเป็นหนึ่งในแพตช์ Oracle เดือนมกราคม 2018 ซึ่งมีช่องโหว่ด้านความปลอดภัย 238 ช่องโหว่ในผลิตภัณฑ์ต่างๆ ของบริษัท

ช่องโหว่ (CVE-2018-2636) อาจทำให้ผู้โจมตีสามารถอ่านข้อมูลสำคัญ ไฟล์บันทึกการบริการและไฟล์ Configuration ได้จาก MICROS workstation ที่มีช่องโหว่ โดยไม่จำเป็นที่จะต้องมีการตรวจสอบสิทธิ์ใด ๆ นักวิจัยเตือนว่า ผู้บุกรุกสามารถขโมยชื่อผู้ใช้และรหัสผ่านของฐานข้อมูลและเข้าถึงฐานข้อมูลทั้งหมดได้ นอกจากนี้ ERPScan ซึ่งเป็นผู้คนพบ ยังได้ทำการพิสูจน์การใช้ประโยชน์จาก Python ซึ่งถ้ารันบนเซิร์ฟเวอร์ MICROS ที่มีช่องโหว่ จะสามารถรันคำสั่งที่เป็นอันตรายเพื่อดึงไฟล์ข้อมูลสำคัญได้

แพทช์ Oracle ในเดือนมกราคมปีพ. ศ. 2561 ยังมีการแก้ไขปัญหาช่องโหว่ของโปรเซสเซอร์ Spectre และ Meltdown ที่มีผลต่อผลิตภัณฑ์ Oracle บางตัวอีกด้วย

ที่มา : thehackernews