แพตช์ด่วน มีการปล่อย POC สำหรับช่องโหว่ RCE ใน Microsoft SQL Server Reporting Services แล้ว

แพตช์ด่วน มีการปล่อย POC สำหรับช่องโหว่ RCE ใน Microsoft SQL Server Reporting Services แล้ว

ช่องโหว่ CVE-2020-0618 เป็นช่องโหว่ใน Microsoft SQL Server Reporting Services ซึ่งเป็นส่วนสำหรับการออกรายงานใน Microsoft SQL Server ช่องโหว่ดังกล่าวทำให้ผู้โจมตีที่สามารถเข้าสู่ระบบสามารถโจมตีด้วยการรันคำสั่งอันตรายจากระยะไกลได้ (Remote Code Execution หรือ RCE) ช่องโหว่นี้กระทบ Microsoft SQL Server รุ่น 2012, 2014 และ 2016 โดยได้รับการแก้ไขไปในแพตช์ประจำเดือนกุมภาพันธ์ 2020 ที่ผ่านมา

ซึ่งในขณะนี้มีการเผยแพร่โค้ด Proof of Concept (POC) สำหรับใช้โจมตีช่องโหว่ดังกล่าวสู่สาธารณะแล้วรวมถึงพบการแสกนเพื่อหาเครื่อง Microsoft SQL Server ที่มีช่องโหว่ดังกล่าวแล้ว

ทั้งนี้ Kevin Beaumont (@GossiTheDog) นักวิจัยด้านความปลอดภัยให้ความเห็นว่าช่องโหว่ดังกล่าวอาจกระทบไปจนถึง Microsoft SQL Server 2008 ซึ่งหมดระยะการสนับสนุนจึงไม่ได้แพตช์อีกด้วย

ที่มา : mdsec

Researcher Discloses New Zero-Day Affecting All Versions of Windows

ทีมนักวิจัย security เปิดเผยช่องโหว่ zero-day ที่ยังไม่ได้รับการแพตช์ของระบบปฏิบัติการ windows หลังจากที่ Microsoft ไม่สามารถออกแพตช์เพื่อแก้ไขได้ทันภายใน 120 วันที่ทีมนักวิจัยตั้งเส้นตายไว้

จากการค้นพบของ Lucas Leong ทีมวิจัยของ Trend Micro ช่องโหว่ zero-day ดังกล่าวอยู่ภายใน Microsoft Jet Database Engine มันสามารถทำให้ผู้โจมตีสามารถโจมตีแบบ Remote execution ได้ Microsoft JET Database Engine หรือที่เรียกง่ายๆ ว่า simply JET (Joint Engine Technology) คือเครื่องมือที่คอยจัดการฐานข้อมูลที่มีความซับซ้อนอยู่ภายในหลายผลิตภัณฑ์ของ Microsoft รวมไปถึง Microsoft Access และ Visual Basic จากคำแนะนำของ Zero Day Initiative (ZDI) ช่องโหว่ดังกล่าวเป็นปัญหาเกี่ยวกับการจัดการ index ภายใน Jet database engine ถ้าสามารถ exploit สำเร็จจะทำให้สามารถเขียน out-of-bounds memory ได้ ทำให้เกิดการ remote code execution ทั้งนี้ผู้โจมตีจะต้องโน้มน้าวเหยื่อให้เปิดไฟล์ JET database ที่ถูกสร้างมาเพื่อใช้โจมตีช่องโหว่

นักวิจัย ZDI อ้างว่าช่องโหว่มีอยู๋ใน Windows ทุกเวอร์ชันที่ยังได้รับการ support อยู่ นั่นคือ Windows 10, Windows 8.1, Windows 7 และ Windows Server Edition 2008 ถึง 2016 ทั้งนี้มีการเผยแพร่ Proof of concept โค้ดแล้วบน GitHub อย่างไรก็ตาม Microsoft กำลังพัฒนาแพตช์ของช่องโหว่ แต่เนื่องจากไม่ได้อยู่ในแพตช์เดือนกันยายน จึงคาดวาช่องโหว่จะถูกแก้ไขในแพตช์เดือนตุลาคมแทน ซึ่ง Trend Micro แนะนำให้ผู้ที่ได้รับผลกระทบทุกคนใช้งานเฉพาะไฟล์ที่เชื่อถือได้เท่านั้นจนกว่า Microsoft จะทำการออกแพตช์

ที่มา : thehackernews

MediaServer Takes Another Hit with Latest Android Vulnerability

บั๊ก StageFright ของ Android ที่โด่งดังเป็นข่าวใหญ่ทั่วโลกเพราะส่งผลกระทบต่อฮาร์ดแวร์ Android เป็นจำนวนมาก
ล่าสุด Trend Micro ค้นพบช่องโหว่ใหม่ในโค้ดของ MediaServer ตัวเดียวกับที่เกิดปัญหา StageFright โดย Android ที่ได้รับผลกระทบมีตั้งแต่เวอร์ชัน 2.3-5.1.1
รายละเอียดของช่องโหว่เกิดจากคอมโพเนนต์ชื่อ “AudioEffect” ใน MediaServer รับค่าจากแอพแล้วไม่ตรวจสอบตัวแปรอีกรอบ ดังนั้นผู้ประสงค์ร้ายที่หลอกให้ผู้ใช้ติดตั้งแอพได้สำเร็จ สามารถเจาะผ่านช่องทางนี้ได้ ทีมงาน Trend Micro ลองสร้างมัลแวร์ต้นแบบ (proof of concept) และสามารถแครช MediaServer ได้
Trend Micro แจ้งปัญหานี้ให้กูเกิลตั้งแต่เดือน มิ.ย. และกูเกิลออกแพตช์แก้ไขในโค้ดของ AOSP เรียบร้อยแล้วตั้งแต่วันที่ 1 ส.ค. ที่เหลือก็รอบรรดาผู้ผลิตฮาร์ดแวร์อัพเดตแพตช์ให้ต่อไป

ที่มา : TRENDMICRO

Security Vulnerability in Android allows any app to make phone calls

นักวิจัยด้านความปลอดภัยจาก CureSec ค้นพบข้อบกพร่องด้านความปลอดภัยบนระบบปฏิบัติการ Android 4.1.1 Jelly bean และเวอร์ชั่น 4.4.2 Kitkat ทีอนุญาตให้โปรแกรมทีเป็นอันตรายสามารถโทรออกโดยไม่ได้รับอนุญาต โดยช่องโหว่ดังกล่าวจะอนุญาตให้แอพพลิเคชั่นที่เป็นอันตรายสามารถโทรออกไปยังหมายเลขราคาแพงๆ และยกเลิกการโทรออกต่างๆ ได้

นอกจากนี้ยังสามารถที่จะส่ง Unstructured Supplementary Service Data (USSD) ซึ่งเป็นรหัสที่ใช้ในการโอนสาย, การบล็อกซิมการ์ดและอื่นๆ

Curesec ยังปล่อยซอร์ตโค้ดและโปรแกรม proof-of-concept เพื่อแสดงให้เห็นว่าช่องโหว่ดังกล่าวมีอยู่จริง

ที่มา : ehackingnews

Security Vulnerability in Android allows any app to make phone calls

นักวิจัยด้านความปลอดภัยจาก CureSec ค้นพบข้อบกพร่องด้านความปลอดภัยบนระบบปฏิบัติการ Android 4.1.1 Jelly bean และเวอร์ชั่น 4.4.2 Kitkat ทีอนุญาตให้โปรแกรมทีเป็นอันตรายสามารถโทรออกโดยไม่ได้รับอนุญาต โดยช่องโหว่ดังกล่าวจะอนุญาตให้แอพพลิเคชั่นที่เป็นอันตรายสามารถโทรออกไปยังหมายเลขราคาแพงๆ และยกเลิกการโทรออกต่างๆ ได้

นอกจากนี้ยังสามารถที่จะส่ง Unstructured Supplementary Service Data (USSD) ซึ่งเป็นรหัสที่ใช้ในการโอนสาย, การบล็อกซิมการ์ดและอื่นๆ

Curesec ยังปล่อยซอร์ตโค้ดและโปรแกรม proof-of-concept เพื่อแสดงให้เห็นว่าช่องโหว่ดังกล่าวมีอยู่จริง

ที่มา : ehackingnews