CISA ออกมาแจ้งเตือนการพบกลุ่ม Hacker ได้ใช้ช่องโหว่การเรียกใช้คำสั่งจากระยะไกล (RCE) ความรุนแรงระดับ Critical ที่ได้รับการแก้ไขไปแล้วในวันที่ 8 กุมภาพันธ์ 2024 จากทาง Fortinet

CVE-2024-21762 (คะแนน CVSS 9.6/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ out-of-bounds write ใน FortiOS ที่ช่วยให้ Hacker สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล โดยใช้ HTTP request ที่ออกแบบมาเพื่อการโจมตีโดยเฉพาะ

Fortinet แนะนำว่าหากผู้ดูแลระบบยังไม่สามารถทำการการอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ได้ในทันที สามารถป้องกันการโจมตีจากช่องโหว่ดังกล่าวชั่วคราวได้โดยการปิดใช้งาน SSL VPN บนอุปกรณ์ไปก่อน โดยขณะนี้ทาง Fortinet ยังไม่ได้เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับข้อมูลของช่องโหว่ดังกล่าว

การประกาศของ CISA เกิดขึ้นหนึ่งวันหลังจากที่ Fortinet เผยแพร่การอัปเดตช่องโหว่ดังกล่าว โดยระบุว่ามีความเป็นไปได้ที่ช่องโหว่ CVE-2024-21762 จะถูกนำไปใช้ในการโจมตีแล้ว รวมถึงได้เพิ่มช่องโหว่ดังกล่าวไปยังรายการ Known Exploited Vulnerabilities Catalog หรือช่องโหว่ที่พบว่าถูกใช้ในการโจมตีอยู่ในปัจจุบัน

รวมถึง CISA ได้แจ้งเตือนให้หน่วยงานรัฐบาลกลางของสหรัฐอเมริกาทำการอัปเดตอุปกรณ์ FortiOS ภายในเจ็ดวัน ให้เสร็จสิ้นภายในวันที่ 16 กุมภาพันธ์ 2024 โดยคำสั่งการปฏิบัติงานที่มีผลผูกพัน (BOD 22-01) ที่ออกมาในเดือนพฤศจิกายน 2021

การประกาศช่องโหว่อื่น ๆ ของ Fortinet

นอกจากนี้ทาง Fortinet ยังได้แก้ไขช่องโหว่ RCE ที่สำคัญอีก 2 รายการ (CVE-2024-23108 และ CVE-2024-23109) ในโซลูชัน FortiSIEM ในสัปดาห์เดียวกัน ซึ่งในตอนแรกทาง Fortinet ได้ปฏิเสธช่องโหว่ดังกล่า วและอ้างว่าเป็นช่องโหว่ที่ซ้ำกันกับ CVE-2023-34992 ซึ่งได้รับการแก้ไขไปแล้วในเดือนตุลาคม 2023 แต่ทาง Zach Hanley ผู้เชี่ยวชาญด้านช่องโหว่ Horizon3 ซึ่งเป็นผู้ที่ค้นพบ และรายงานช่องโหว่ดังกล่าวได้รายงานว่าช่องโหว่ CVE 2 รายการที่เพิ่งค้นพบนั้นแตกต่างจากช่องโหว่เดิมของ CVE-2023-34992 เนื่องจาก Hacker ที่ไม่จำเป็นผ่านการยืนยันตัวตนจากภายนอก สามารถใช้ช่องโหว่เหล่านี้เพื่อเรียกใช้คำสั่งบนอุปกรณ์ที่มีช่องโหว่ได้

ทั้งนี้แนะนำให้ผู้ดูแลระบบทำการอัปเดตอุปกรณ์ Fortinet ทั้งหมดโดยเร็วที่สุดในทันที เนื่องจากช่องโหว่ของ Fortinet ซึ่งส่วนใหญ่เป็น zero-day มักตกเป็นเป้าหมายการโจมตีของเหล่า Hacker เพื่อเข้าถึงเครือข่ายองค์กรเพื่อโจมตีด้วยแรนซัมแวร์ และขโมยข้อมูลออกไป

ที่มา : bleepingcomputer

Fortinet ออกมาแจ้งเตือนการพบช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ใน FortiOS SSL VPN ซึ่งอาจกำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

CVE-2024-21762 (คะแนน CVSS 9.6/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ out-of-bounds write ใน FortiOS ที่ช่วยให้ Hacker สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน ผ่านทาง request ที่ถูกสร้างขึ้น (more…)

Cyble Global Sensors ตรวจพบการโจมตีช่องโหว่ของ Ivanti Connect Secure อย่างต่อเนื่อง

 

 

 

 

 

 

 

 

 

 

 

Cyble Global Sensor Intelligence (CGSI) ตรวจพบการโจมตีอย่างต่อเนื่องของช่องโหว่ที่ถูกเปิดเผยออกมาเมื่อเร็ว ๆ นี้ใน Ivanti Connect Secure (ICS) ซึ่งก่อนหน้านี้รู้จักกันในชื่อ Pulse Connect Secure และ Ivanti Policy Secure gateways

Ivanti ได้ออกมาแจ้งเตือนช่องโหว่ด้านความปลอดภัยเมื่อวันที่ 10 มกราคม 2024 เกี่ยวกับช่องโหว่ที่พบใน Ivanti Connect Secure (ICS) ซึ่งแต่เดิมชื่อ Pulse Connect Secure และ Ivanti Policy Secure gateways โดยการแจ้งเตือนระบุถึงช่องโหว่สองรายการ คือ CVE-2023-46805 และ CVE-2024-21887 ซึ่งเมื่อรวมช่องโหว่ทั้งสองรายการเข้าด้วยกัน จะทำให้ผู้ไม่หวังดีที่ไม่ต้องผ่านการยืนยันตัวตน สามารถสร้าง requests ที่เป็นอันตราย ซึ่งนำไปสู่การดำเนินการคำสั่งต่าง ๆ บนระบบได้

โดยในคำแนะนำล่าสุดจาก Cybersecurity and Infrastructure Security Agency (CISA) ก็ออกมาแจ้งเตือนเกี่ยวกับช่องโหว่เหล่านี้

ในวันเดียวกัน Volexity ได้เปิดเผยกรณีที่มีการใช้ช่องโหว่ทั้งสองรายการในการโจมตี ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายได้จากระยะไกล (Remote code execution) บนอุปกรณ์ Ivanti Connect Secure VPN โดยผู้โจมตีใช้ exploits เหล่านี้เพื่อนำข้อมูลการกำหนดค่าออก, แก้ไขไฟล์ที่มีอยู่, ดึงข้อมูลจากระยะไกล, และสร้าง reverse tunnel จาก ICS VPN appliance

นอกจากนี้ยังพบฟอรัมเกี่ยวกับการโจมตีทางไซเบอร์ที่เสนอขาย exploit ระยะเวลา 1 วัน ซึ่งมีราคาการขายอยู่ที่ 30,000 ดอลลาร์สหรัฐ โดยวันที่โพสต์คือ 16 พฤศจิกายน 2023 ซึ่งชี้ให้เห็นถึงความเป็นไปได้ที่ผู้ไม่หวังดีสามารถโจมตีช่องโหว่ได้ก่อนที่ exploit จะถูกเปิดเผยออกสู่สาธารณะ

โดยข้อความล่าสุดบนฟอรัมระบุว่า "ถึงแม้จะมี Proof-of-Concept (PoC) ถูกปล่อยออกมาแล้ว แต่ก็ยังไม่ได้ถูกทดสอบว่าสามารถใช้งานได้จริง" อย่างไรก็ตามปัจจุบันเจ้าของโพสน์ดังกล่าวได้ยกเลิกการขาย exploit แล้ว โดยระบุว่าปัจจุบัน Ivanti ได้ดำเนินการแก้ไขเพื่อลดความเสี่ยงจากช่องโหว่นี้แล้ว

รายละเอียดของช่องโหว่

ช่องโหว่ Ivanti Connect Secure และ Policy Secure Authentication Bypass

- CVE-2023-46805 (CVSS : 8.2 ความรุนแรงระดับสูง) ช่องโหว่ในการ bypass การพิสูจน์ตัวตนใน web component ของ Ivanti ICS 9.x, 22.x, และ Ivanti Policy Secure ทำให้ผู้โจมตีจากภายนอกสามารถเข้าถึงระบบโดยสามารถหลีกเลี่ยงการตรวจจับได้

- เวอร์ชันที่มีช่องโหว่ : Ivanti ICS 9.x, 22.x

ช่องโหว่ Ivanti Connect Secure และ Policy Secure Command Injection

- CVE-2024-21887 (CVSS : 9.1 ระดับความรุนแรง Critical) ช่องโหว่ command injection ใน web component ของ Ivanti Connect Secure (9.x, 22.x) และ Ivanti Policy Secure (9.x, 22.x) ทำให้ผู้ที่ผ่านการพิสูจน์ตัวตนในสิทธิ์ administrator สามารถส่ง requests ที่ถูกสร้างขึ้นเป็นพิเศษ และดำเนินคำสั่งได้ตามที่ต้องการบนอุปกรณ์ได้

- เวอร์ชันที่มีช่องโหว่ : Ivanti ICS 9.x, 22.x

การเปิดเผยข้อมูลของระบบ Ivanti Pulse Secure ที่เกิดขึ้น

ตามรายงานจาก Cyble ODIN scanner พบว่ามี Pulse Secure มากกว่า 10,000 รายการที่เข้าถึงได้จากอินเทอร์เน็ต โดยส่วนใหญ่ตั้งอยู่ในสหรัฐอเมริกา และญี่ปุ่น

 

 

 

 

 

 

 

 

 

 

 

 

 

ข้อมูลทางเทคนิคที่เกี่ยวข้อง

Cyble Global Sensor Intelligence (CGSI) ได้บันทึกความพยายามในการสแกนจำนวนมากที่เกี่ยวข้องกับการใช้ช่องโหว่ที่เพิ่งถูกเปิดเผย และมีผลต่อ Ivanti Pulse Connect Secure โดยช่องโหว่ที่พบเหล่านี้คือ CVE-2023-46805 Authentication Bypass และ CVE-2024-21887 ที่ทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายได้จากระยะไกล (Remote Command Execution) ได้

CVE-2023-46805 – ช่องโหว่ Authentication Bypass

ตามเอกสารเกี่ยวกับการลดความเสี่ยงของ Ivanti ช่องโหว่มีผลกระทบต่อระบบอัตโนมัติที่มีการใช้ REST APIs สำหรับการกำหนดค่า และการตรวจสอบ นักวิจัยได้เริ่มต้นการสำรวจจากจุดนี้เพื่อทำความเข้าใจช่องโหว่บนระบบ

กระบวนการเริ่มต้นด้วยการค้นหาแพ็กเกจ "restservice" และค้นพบ API endpoints หลายแห่ง ต่อมานักวิจัยใช้ Burp Intruder เพื่อประเมินการเข้าถึงอุปกรณ์ endpoint โดยไม่ต้องมีการพิสูจน์ตัวตน อย่างไรก็ตามพวกเขาสามารถระบุได้เพียงสอง endpoint ที่สามารถเข้าถึงได้โดยไม่ต้องการการพิสูจน์ตัวตน

เพื่อยืนยันการค้นพบนี้ นักวิจัยได้พยายามเข้าถึงผ่าน "/api/v1/totp/user-backup-code" โดยใช้วิธี path traversal ซึ่งทำให้ผู้ไม่หวังดีสามารถไปยังโครงสร้างไดเรกทอรี และเข้าถึงไฟล์ หรือไดเรกทอรีที่ไม่ควรสามารถเข้าถึงได้

โดยผู้ไม่หวังดีจะสามารถเข้าถึงทรัพยากรอื่น ๆ ที่ endpoint และสามารถเริ่มต้นการค้นหาช่องโหว่ command injection ที่เกี่ยวข้องได้ ซึ่งจะทำให้ผู้ไม่หวังดีสามารถเรียกใช้โค้ดที่เป็นอันตรายได้จากระยะไกล (Remote Code Execution) โดยไม่ต้องผ่านการพิสูจน์ตัวตนได้

CVE-2024-21887 ช่องโหว่ Command Injection

เมื่อสามารถเข้าถึงที่ endpoint ได้ ผู้ไม่หวังดีจะสามารถเริ่มต้นการค้นหาช่องโหว่ command injection ที่เกี่ยวข้องได้

ถัดมาคือการระบุฟังก์ชันซึ่งอนุญาตให้สร้าง child process ด้วย arguments ที่ต้องการ ฟังก์ชันที่มีการเรียกใช้แบบนี้มักจะเป็นที่มาของช่องโหว่ command injection

เพื่อทำให้บรรลุเป้าหมาย นักวิจัยระบุว่าใช้วิธี "get" ในไฟล์ "restservice/api/resources/license.

นักวิจัยด้านความปลอดภัยพบช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลระดับ Critical 3 รายการในผลิตภัณฑ์ SolarWinds Access Rights Manager (ARM) ที่ทำให้ Hacker สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM ได้

SolarWinds Access Rights Manager (ARM) เป็นเครื่องมือที่ช่วยให้องค์กรสามารถจัดการ และตรวจสอบสิทธิ์การเข้าถึงของผู้ใช้งานใน IT environment ของตน รวมถึงสามารถทำงานร่วมกับระบบอื่น ๆ ได้ เช่น Microsoft Active Directory, Role-based access control, Visual feedback และอื่น ๆ อีกมากมาย

นักวิจัยได้รายงานช่องโหว่ที่พบ 8 รายการในโซลูชัน SolarWinds เมื่อวันที่ 22 มิถุนายน 2023 ผ่าน Zero Day Initiative (ZDI) ของ Trend Micro โดยมีช่องโหว่ 3 รายการที่มีความรุนแรงระดับ Critical ซึ่งเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล remote code execution (RCE)

CVE-2023-3518 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM ผ่าน deserialization data ที่ไม่น่าเชื่อถือด้วย ‘createGlobalServerChannelInternal’ method

CVE-2023-35185 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM เนื่องจากความบกพร่องจากการตรวจสอบ user-supplied paths ใน ‘OpenFile’ method

CVE-2023-35187 (คะแนน CVSS 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คำสั่งด้วยสิทธิ์ SYSTEM เนื่องจากความบกพร่องจากการตรวจสอบ user-supplied paths ใน ‘OpenClientUpdateFile’ method

การเรียกใช้คำสั่งด้วย “SYSTEM” บน Windows computer หมายความว่าคำสั่งนั้นจะทำงานด้วยสิทธิ์สูงสุดบนเครื่อง โดย SYSTEM เป็นบัญชีภายในที่สงวนไว้สำหรับระบบปฏิบัติการ และบริการต่าง ๆ โดย Hacker ที่ได้รับสิทธิ์ในระดับ SYSTEM จะสามารถควบคุมไฟล์ทั้งหมดในเครื่องของเหยื่อได้อย่างสมบูรณ์

รวมไปถึงยังพบว่าช่องโหว่ที่เหลือที่ SolarWinds ที่ถูกระบุใน Access Right Manager นั้นมีระดับความรุนแรงสูง ซึ่ง Hacker สามารถโจมตีช่องโหว่เพื่อเพิ่ม permissions หรือเรียกใช้คำสั่งอันตรายบนโฮสต์ภายหลังจากการผ่านการตรวจสอบสิทธิ์

SolarWinds ออกแพตซ์อัปเดตเพื่อแก้ช่องโหว่ดังกล่าวแล้ว ในวันที่ 18 ตุลาคม 2023 ในเวอร์ชัน 2023.2.1 ของ Access Rights Manager จึงแจ้งเตือนไปยังผู้ดูแลระบบให้ทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่โดยด่วน

ที่มา : bleepingcomputer

Microsoft ได้ถอดการอัปเดตด้านความปลอดภัยในเดือนสิงหาคมของ Microsoft Exchange Server ออกจาก Windows Update หลังจากพบว่าตัวอัปเดต Microsoft Exchange ในตัวติดตั้งที่ไม่ใช่ภาษาอังกฤษ มีข้อผิดพลาด

การอัปเดตความปลอดภัยเหล่านี้ ได้แก้ไขช่องโหว่ 6 รายการ ได้แก่ ช่องโหว่ในการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 4 รายการ ช่องโหว่ด้านการยกระดับสิทธิ์ (Privilege Escalation) 1 รายการ และช่องโหว่การปลอมแปลง (Spoofing) 1 รายการที่สามารถใช้เพื่อโจมตีแบบ NTLM Relay Attack

โดยผู้ใช้งานที่ทำการอัปเดตแพตซ์ Microsoft Exchange ในตัวติดตั้งที่ไม่ใช่ภาษาอังกฤษ พบว่าหลังจากทำการอัปเดต Exchange Windows ไม่สามารถใช้งานได้ ซึ่งพบ Error Code 1603 ในขณะที่ทำการอัปเดต (more…)

VMware ประกาศแจ้งเตือนผู้ใช้งาน เนื่องจากปัจจุบัน Exploit Code ของช่องโหว่ RCE ระดับ Critical ใน VMware Aria Operations for Logs analysis tool ถูกปล่อยออกมาแล้ว

ช่องโหว่ (CVE-2023-20864) เป็นช่องโหว่ deserialization ที่ได้รับการอัปเดตแพตช์ไปแล้วในเดือนเมษายน ซึ่งทำให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์สามารถเรียกใช้งานโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ได้

โดยหากสามารถโจมตีได้สำเร็จ ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายด้วยสิทธิ์ Root ได้ โดยไม่จำเป็นต้องมีการโต้ตอบจากผู้ใช้งาน โดยปัจจุบัน VMware ยืนยันว่ามีการเผยแพร่โค้ดการโจมตี (Exploit Code) สำหรับช่องโหว่ CVE-2023-20864 ออกมาแล้ว

ในเดือนเมษายนที่ผ่านมา VMware ยังได้ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ Command Injection ที่มีระดับความรุนแรงน้อยกว่า (CVE-2023-20865) ซึ่งทำให้ผู้โจมตีที่มีสิทธิ์ของผู้ดูแลระบบ สามารถเรียกใช้งานโค้ดที่เป็นอันตรายด้วยสิทธิ์ Root บนอุปกรณ์ที่มีช่องโหว่เช่นเดียวกัน

ช่องโหว่ทั้งสองได้รับการแก้ไขไปแล้วด้วยการอัปเดตแพตซ์ VMware Aria Operations for Logs เวอร์ชัน 8.12 ซึ่งปัจจุบันยังไม่มีหลักฐานที่แสดงให้เห็นว่ามีการโจมตีโดยใช้ช่องโหว่ดังกล่าว

ช่องโหว่ของ VMware Aria Operations ที่กำลังถูกใช้ในการโจมตี

เมื่อเร็ว ๆ นี้ VMware ได้ออกการแจ้งเตือนอีกครั้งเกี่ยวกับช่องโหว่ระดับ Critical หมายเลข CVE-2023-20887 ที่ได้รับการแพตช์แล้วใน VMware Aria Operations for Networks (เดิมคือ vRealize Network Insight) ซึ่งเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเรียกใช้งานโค้ดที่เป็นอันตรายด้วยสิทธิ์ Root ที่กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

นอกจากนี้ CISA ยังเพิ่มช่องโหว่ดังกล่าวเข้าไปในรายการช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี และสั่งให้หน่วยงานของรัฐบาลกลางสหรัฐฯ รีบอัปเดตแพตซ์ภายในวันที่ 13 กรกฎาคม ถึงแม้ว่าจำนวนอินสแตนซ์ VMware vRealize ที่เข้าถึงได้จากอินเทอร์เน็ตจะค่อนข้างต่ำก็ตาม แต่ผู้โจมตีก็มักใช้ประโยชน์จากช่องโหว่ที่มีอยู่ในอุปกรณ์ภายในเครือข่าย เพื่อโจมตีต่อไปยังระบบต่าง ๆ ของเหยื่อ

คำแนะนำ

แนะนำให้อัปเดตแพตช์ VMware Aria Operations ให้เป็นเวอร์ชันล่าสุดทันที เพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

ที่มา : bleepingcomputer

FortiGate firewalls หลายแสนเครื่องมีความเสี่ยงจากการถูกโจมตีจากช่องโหว่ระดับ Critical ที่มีหมายเลข CVE-2023-27997 ภายหลังจากที่ Fortinet ปล่อยแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวเมื่อเดือนที่ผ่านมา

ช่องโหว่ดังกล่าวเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote code execution) โดยมีคะแนน CVSS 9.8 เต็ม 10 ซึ่งเป็นผลมาจากช่องโหว่ heap-based buffer overflow ใน FortiOS ซึ่งเป็นระบบปฏิบัติการที่เชื่อมต่อส่วนประกอบเครือข่ายทั้งหมดของ Fortinet เพื่อรวมเข้ากับแพลตฟอร์ม Security Fabric

หากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ผ่านทาง SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต

Fortinet ได้แก้ไขช่องโหว่ดังกล่าวไปแล้วเมื่อวันที่ 11 มิถุนายนที่ผ่านมา ด้วยเฟิร์มแวร์ FortiOS เวอร์ชัน 6.0.17, 6.2.15, 6.4.13, 7.0.12 และ 7.2.5

Bishop Fox บริษัทโซลูชันด้านความปลอดภัยเชิงรุกรายงานเมื่อวันศุกร์ที่ผ่านมาว่า แม้จะมีการแนะนำให้ผู้ใช้งานรีบอัปเดตแพตช์ แต่ก็พบว่ามีอุปกรณ์ FortiGate firewalls มากกว่า 300,000 เครื่องที่ยังเสี่ยงต่อการถูกโจมตี และสามารถเข้าถึงได้จากอินเทอร์เน็ต

นักวิจัย Bishop Fox ใช้เครื่องมือค้นหา Shodan เพื่อค้นหาอุปกรณ์ที่มี SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต โดยสังเกตจาก specific HTTP response header โดยนับเฉพาะผลลัพธ์ที่มีการเปลี่ยนเส้นทางไปยัง '/remote/login' ซึ่งแสดงให้เห็นว่าเป็น SSL VPN interface ที่เข้าถึงได้จากอินเทอร์เน็ต

จากข้อมูลที่พบทั้งหมด 489,337 เครื่อง นักวิจัยพบว่าไม่ใช่ทุกเครื่องที่มีความเสี่ยงจากช่องโหว่ CVE-2023-27997 เนื่องจากมีอุปกรณ์กว่า 153,414 รายการที่ได้รับการอัปเดตเป็น FortiOS เวอร์ชันที่ปลอดภัยแล้ว

ซึ่งหมายความว่า FortiGate firewalls ประมาณ 335,900 เครื่อง มีความเสี่ยงที่จะถูกโจมตีได้สำเร็จ ซึ่งเป็นตัวเลขที่สูงกว่าการประมาณการครั้งล่าสุดที่ 250,000 รายการจากการค้นหาอื่น ๆ ที่มีความแม่นยำน้อยกว่า

การค้นพบอีกอย่างที่นักวิจัยของ Bishop Fox ทำคืออุปกรณ์ FortiGate ที่เข้าถึงได้จากอินเทอร์เน็ตจำนวนมากไม่ได้รับการอัปเดตเลยในช่วง 8 ปีที่ผ่านมา ซึ่งบางอุปกรณ์ยังใช้ FortiOS 6 ซึ่ง {}end of support ไปแล้วตั้งแต่ 29 กันยายนปีก่อน ทำให้อุปกรณ์เหล่านี้มีความเสี่ยงต่อช่องโหว่ระดับ Critical หลายรายการ ซึ่งได้มีการเปิดเผยรายละเอียดการโจมตีออกสู่สาธารณะแล้ว

เพื่อแสดงให้เห็นว่า CVE-2023-27997 สามารถใช้เพื่อสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ที่มีช่องโหว่ได้ Bishop Fox ได้ทดสอบการโจมตีช่องโหว่ที่แสดงให้เห็นการเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี ดาวน์โหลดไบนารี BusyBox และเปิด interactive shell

 

ที่มา : bleepingcomputer

Fortinet ออกแพตซ์อัปเดตด้านความปลอดภัยใหม่ที่แก้ไขช่องโหว่ในการเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล RCE (Remote Code Execution) ซึ่งส่งผลกระทบต่ออุปกรณ์ Fortigate SSL-VPN

โดยแพตซ์อัปเดตด้านความปลอดภัยได้รับการเผยแพร่เมื่อวันที่ 9 มิถุนายน 2023 ที่ผ่านมา ใน FortiOS firmware versions 6.0.17, 6.2.15, 6.4.13, 7.0.12 และ 7.2.5 แม้ว่าจะไม่ได้มีการประกาศโดยตรงว่าการอัปเดตครั้งนี้เป็นการแก้ไขช่องโหว่ของ SSL-VPN แต่นักวิจัยด้านความปลอดภัยยืนยันว่าแพตซ์ดังกล่าวออกมาเพื่อแก้ไขช่องโหว่ RCE ใน SSL-VPN ซึ่งจะมีการเปิดเผยรายละเอียดของช่องโหว่ดังกล่าวในวันที่ 13 มิถุนายน 2023 (more…)

Cisco แจ้งเตือนช่องโหว่ด้านความปลอดภัยระดับ Critical 4 รายการ ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE) ที่ส่งผลกระทบต่อ Small Business Series Switch หลายรุ่น และปัจจุบันมีโค้ดการโจมตีเผยแพร่ออกสู่สาธารณะแล้ว

โดยช่องโหว่มีหมายเลข CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 และ CVE-2023-20189 มีคะแนน CVSS 8.6/10 ความรุนแรงระดับสูง เป็นช่องโหว่ improper validation ที่ทำให้ผู้โจมตีที่ไม่ต้องผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้โค้ดได้ตามที่ต้องการด้วยสิทธิ์ระดับสูง (Root) บนอุปกรณ์ที่ถูกโจมตี ด้วยการส่ง requests ไปยัง web interface ของ Switch เป้าหมาย (more…)

Cisco แจ้งเตือนช่องโหว่ด้านความปลอดภัยระดับ Critical 4 รายการ ที่ทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE) ที่ส่งผลกระทบต่อ Small Business Series Switch หลายรุ่น และปัจจุบันมีโค้ดการโจมตีเผยแพร่ออกสู่สาธารณะแล้ว

โดยช่องโหว่มีหมายเลข CVE-2023-20159, CVE-2023-20160, CVE-2023-20161 และ CVE-2023-20189 มีคะแนน CVSS 8.6/10 ความรุนแรงระดับสูง เป็นช่องโหว่ improper validation ที่ทำให้ผู้โจมตีที่ไม่ต้องผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้โค้ดได้ตามที่ต้องการด้วยสิทธิ์ระดับสูง (Root) บนอุปกรณ์ที่ถูกโจมตี ด้วยการส่ง requests ไปยัง web interface ของ Switch เป้าหมาย (more…)