Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐ ออกมาเตือนถึงช่องโหว่ zero-day Zoho ManageEngine ADSelfService Plus ที่กำลังถูกนำมาใช้โจมตีอย่างแพร่หลาย

ช่องโหว่ดังกล่าวมีรหัสช่องโหว่ CVE-2021-40539 ซึ่งสามารถเลี่ยงการตรวจสอบยืนยันตัวตนในส่วน REST API และสามารถเรียกใช้งานโค้ดที่เป็นอันตรายได้จากระยะไกล (remote code execution) ส่งผลกระทบต่อผลิตภัณฑ์ของ Zoho ที่ใช้งาน ADSelfService Plus 6113 รายการ

ManageEngine ADSelfService Plus คือ ส่วนที่ใช้ในการจัดการรหัสผ่าน และทำ single sign-on สำหรับ Active Directory และ app บนระบบคลาวด์ ผู้ดูแลระบบสามารถบังคับใช้ 2FA ในการเข้าสู่ระบบแอปพลิเคชัน และรีเซ็ตรหัสผ่านของผู้ใช้งาน

CISA ได้ออกมาแจ้งเตือนให้บริษัทหรือองค์กร ดำเนินการตรวจสอบและ update patch ความปลอดภัยล่าสุดกับเซิร์ฟเวอร์ ManageEngine และ ตรวจสอบที่ ADSelfService Plus ไม่ให้สามารถเข้าถึงได้โดยตรงจากอินเทอร์เน็ต

ซึ่งช่องโหว่าที่เกิดขึ้น ADSelfService Plus ยังพบมีอีก 4 ช่องโหว่ด้วยกันคือ CVE-2021-37421 (CVSS score: 9.8), CVE-2021-37417 (CVSS score: 9.8), and CVE-2021-33055 (CVSS score: 9.8) ซึ่งได้รับการแก้ไขเป็นที่เรียบร้อยแล้ว

ช่องโหว่อีก 1 รายการ CVE-2021-28958 (CVSS score: 9.8) ได้รับการแก้ไขแล้วเช่นเดียวกัน

เหตุการณ์นี้เป็นครั้งที่สองที่พบการโจมตีช่องโหว่ในผลิตภัณฑ์ของ Zoho ซึ่งก่อนหน้านี้ในเดือนมีนาคม 2020 พบว่า APT41 ใช้ประโยชน์จากช่องโหว่ RCE ใน ManageEngine Desktop Central (CVE-2020-10189, คะแนน CVSS: 9.8) เพื่อดาวน์โหลดและติดตั้ง payload ที่เป็นอันตรายภายในเครือข่ายองค์กรที่มีการใช้งาน

ที่มา: thehackernews

Cisco ออกอัปเดตซอฟต์แวร์เร่งด่วนเพื่อแก้ไขช่องโหว่ที่สำคัญในการตรวจสอบสิทธิ์การเข้าถึง ส่งผลให้ผู้โจมตีสามารถโจมตีจากระยะไกลโดยไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์ และลงชื่อเข้าใช้อุปกรณ์ที่มีช่องโหว่ในฐานะผู้ดูแลระบบได้

ช่องโหว่ดังกล่าวถูกจัดให้เป็นช่องโหว่หมายเลข CVE-2021-34746 และได้รับคะแนน CVSS 9.8 ส่งผลกระทบกับ โปรโตคอลการรับรองความถูกต้อง TACACS+, การตรวจสอบสิทธิ์ (authorization) และกระบวนการเก็บบันทึกข้อมูล (accounting) ของซอฟต์แวร์ Cisco Enterprise NFV Infrastructure

ซึ่งช่องโหว่นี้เกิดจาก user-supplied input ตรวจสอบข้อมูลที่กรอกไม่สมบูรณ์ และทำการส่งผ่านไปยังสคริปต์การตรวจสอบความถูกต้อง ส่งผลให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้โดยใส่พารามิเตอร์ลงในคำขอตรวจสอบสิทธิ์ได้

ซอฟต์แวร์ Cisco Enterprise NFV Infrastructure ช่วยให้ลูกค้าสามารถปรับใช้งานฟังก์ชัน Virtual Network ให้ได้รับการจัดการโดยอิสระ นอกจากนี้ NFVIS ยังช่วยในการจำลองบริการเครือข่ายสาขาของ Cisco เช่น Integrated Services Virtual Router, virtual WAN optimization, Virtual ASA, virtual Wireless LAN Controller

ช่องโหว่ดังกล่าวถูกค้นพบโดย Cyrille Chatras นักวิจัยด้านความปลอดภัยจาก Orange Group ซึ่งส่งผลต่อ Cisco Enterprise NFVIS 4.5.1 หาก TACACS มีการกำหนดค่าวิธีการตรวจสอบสิทธิ์จากภายนอก
ซึ่งการระบุว่า TACACS มีการเปิดใช้งานคุณลักษณะการตรวจสอบสิทธิ์ภายนอกบนอุปกรณ์หรือไม่ ผู้ใช้จำเป็นต้องใช้คำสั่ง show running-config tacacs-server ในการตรวจสอบ หากผลลัพธ์ของคำสั่ง show running-config tacacs-server คือ No entries found หมายความว่าไม่ได้เปิดใช้งานคุณลักษณะการตรวจสอบสิทธิ์ภายนอกบนอุปกรณ์

หรือสามารถตรวจสอบผ่าน GUI โดยตรวจสอบการกำหนดค่าผ่าน GUI ดังนี้
Choose Configuration > Host > Security > User and Roles

หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกาได้ออกประกาศเร่งด่วนไปยังผู้ใช้และผู้ดูแลระบบเพื่อขอให้ตรวจสอบคำแนะนำของ Cisco และทำการอัปเดตที่จำเป็น

ที่มา: bankinfosecurity.

Microsoft ได้ออกมาแนะนำวิธีการรับมือเบื้องต้นสำหรับช่องโหว่ การรันคำสั่งที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ที่ถูกใช้งานในการโจมตี Office 365 และ Office 2019 บน Windows 10

ช่องโหว่นี้เกิดขึ้นที่ MSHTML ซึ่งเป็น Browser Rendering Engine ที่ถูกใช้โดยเอกสาร Microsoft Office

โดยการโจมตี Office 365 นี้ ถูกจัดให้เป็นช่องโหว่หมายเลข CVE-2021-40444 ซึ่งมีผลกระทบกับ Windows Server เวอร์ชัน 2008 จนถึง 2019 และ Windows 8.1 จนถึง Windows 10 โดยมีระดับความรุนแรงที่ 8.8 จากระดับสูงสุด 10

Microsoft พบว่าผู้ที่ใช้ช่องโหว่นี้จะทำการส่งไฟล์เอกสาร Microsoft Office ที่ถูกสร้างขึ้นเป็นพิเศษไปให้เหยื่อ

“ผู้โจมตีจะสร้าง ActiveX ที่มีโค้ดอันตราย ซึ่งจะถูกเรียกใช้ผ่านเอกสาร Microsoft Office ที่ใช้งาน Browser Rendering Engine อีกที โดยผู้โจมตีจะพยายามโน้มน้าวเหยื่อให้เปิดไฟล์เอกสารเพื่อให้โค้ดอันตรายที่ถูกฝังไว้ทำงาน” - Microsoft กล่าว

อย่างไรก็ตาม การโจมตีจะไม่สำเร็จหาก Microsoft Office ตั้งค่าที่เป็นค่าเริ่มต้น ซึ่งจะทำให้เอกสารที่เปิดจากเว็บนั้นถูกเปิดในโหมด Protected View หรือในผู้ใช้งานมีการใช้ Application Guard for Office 365 การโจมตีจะไม่สำเร็จเช่นกัน

Protected View เป็นโหมดอ่านอย่างเดียว (Read-Only) ที่จะทำให้ฟังก์ชันสำหรับการแก้ไขเอกสารถูกปิดไว้ ในขณะที่ Application Guard นั้นจะแยกไฟล์เอกสารที่ไม่น่าเชื่อถือไว้ ไม่ให้สามารถเข้าถึงระบบภายในขององค์กรได้

ระบบที่มีการเปิดใช้งาน Microsoft Defender Antivirus และ Defender for Endpoint (build 1.349.22.0 เป็นต้นไป) จะได้รับการป้องกันจากช่องโหว่ CVE-2021-40444 โดยแพลตฟอร์ม Microsoft's enterprise security จะแจ้งเตือนการโจมตีด้วยช่องโหว่นี้ด้วยชื่อ "Suspicious Cpl File Execution.