แจ้งเตือนช่องโหว่ร้ายแรงบน Samba กระทบ SMB บนลินุกซ์หลายดิสโทร

ลินุกซ์หลายดิสโทร อาทิ Red Hat, Ubuntu, Debian และอื่นๆ ได้มีการปล่อยแพตช์ช่องโหว่ use-after-free ซึ่งมีผลกระทบซอฟต์แวร์ SAMBA ตั้งแต่เวอร์ชัน 4.0 เป็นต้นมา (และมีอีกช่องโหว่ที่กระทบตั้งแต่ 3.6.0) โดยอาจส่งผลให้เกิดการรั่วไหลของข้อมูลที่อยู่ในหน่วยความจำได้

ในการโจมตีผู้โจมตีจะต้องอาศัยเพียงการส่งแพ็คเกตบนโปรโตคอล SMBv1 ไปที่ซอฟต์แวร์ที่มีช่องโหว่ แม้ว่าการปิดการใช้งาน SMBv1 อาจช่วยได้ส่วนหนึ่ง แต่ก็มีผลิตภัณฑ์อีกหลายรายการที่ซัพพอร์ตเพียงแค่ SMBv1

ผู้ใช้งานและผู้ดูแลระบบสามารถตรวจสอบและดาวโหลดแพตช์ได้จากลิงค์ต่อไปนี้
http://www.

Samba Team ประกาศแพตช์ให้กับ 3 ช่องโหว่บน Samba วันนี้ โดยช่องโหว่ที่ร้ายแรงที่สุดอาจส่งผลให้เกิดการเขียนข้อมูลทับหน่วยความจำส่วนอื่นได้

แพตช์แรกปิดช่องโหว่ CVE-2017-12150 กระทบ Samba 3.0.25 ถึง 4.6.7 โดยเกิดขึ้นจากการไม่ signing การเชื่อมต่อเมื่อมีการรับส่งขอมูลแม้ว่าจะมีการบังคับให้ทำ signing ซึ่งอาจส่งผลให้ผู้โจมตีทำการโจมตีแบบ MitM เพื่อดักข้อมูลได้

https://www.

Impact Level : Critical

Affected Platform : SMBv1, Windows

Conclusion : "SMBLoris" ช่องโหว่ใหม่บน SMBv1 มาแล้ว ปราศจากแพตช์จากไมโครซอฟต์
ในงานสัมมนาด้านความปลอดภัย DEF CON 25 ซึ่งเป็นครั้งล่าสุดนั้น นักวิจัยด้านความปลอดภัย Sean Dillon (zerosum0x0) และ Zach Harding (Aleph-Naught-) จากบริษัท RiskSense ได้มีการเปิดเผยช่องโหว่ใหม่บน SMBv1 ชื่อ "SMBLoris" ซึ่งอาจส่งผลให้เกิดการโจมตีแบบ DoS ได้
ช่องโหว่ SMBLoris นั้นได้เคยถูกแจ้งให้กับทางไมโครซอฟต์แล้วเมื่อเดือนมิถุนายนที่ผ่านมา (ก่อนงาน Black Hat และ DEF CON) อย่างไรก็ตามทางไมโครซอฟต์มีการแจ้งว่าช่องโหว่นี้จะไม่มีแพตช์เพื่อแก้ไขช่องโหว่ออกมาอันเนื่องมาจากผลกระทบที่อยู่ในระดับปานกลาง (บางรายงานข่าวแจ้งว่าไมโครซอฟต์จะไม่มีการปล่อยแพตช์ในทันที) ซึ่งส่งผลให้ช่องโหว่นี้สามารถถูกเรียกได้ว่าเป็น n-day
ช่องโหว่ SMBLoris เกิดขึ้นในส่วนของ NBSS หรือโปรโตคอล NetBIOS Session Service ในทุกครั้งที่มีการเชื่อมต่อผ่านโปรโตคอล SMB นั้น NBSS จะมีการจองพื้นที่ในหน่วยความจำเอาไว้จำนวน 128 KB ซึ่งจะถูกคืนให้กลับระบบในกรณีที่การเชื่อมต่อเสร็จสิ้น ผู้โจมตีสามารถใช้กลไกนี้ในการสร้างการเชื่อมต่อเพื่อใช้งานหน่วยความจำได้เรื่อยๆ จนหมด โดยจากการสาธิตในงาน DEF CON การโจมตีนี้สามารถดึงหน่วยความจำมาใช้ได้ถึง 32 GB จนจำเป็นต้องมีการรีบูต

Recommendation : ในกระบวนการลดผลกระทบจากช่องโหว่นี้นั้น ข้อปฏิบัติที่ดีที่สุดคือการจำกัดการเชื่อมต่อในลักษณะที่มาจากแหล่งที่มาเดียวกันจากอินเตอร์เน็ตที่มีจำนวนมากๆ เอาไว้และทำการปิดการเชื่อมต่อทิ้งเมื่อถึงจุดอันตราย

ที่มา : The Register

มีรายงานจาก NHS ซึ่งเป็นหน่วยงานให้บริการการรักษาของอังกฤษถูกโจมตีด้วย Ransomware ที่ชื่อว่า WannaCryptor ในหลายๆหน่วยงานทั่วประเทศไม่ว่าจะเป็น คลีนิค, โรงพยาบาล ต่างก็ได้รับผลกระทบไปด้วย โดย ransomware ดังกล่าวจะทำการ lock user ออกจากเครื่องและทำ popup ขึ้นมาให้จ่ายเงินเพื่อให้สามารถเข้าถึงเครื่องได้ และบางเครื่องสามารถเข้าใช้งานได้แต่ไฟล์ที่สำคัญต่างๆก็จะถูกเข้ารหัสไว้

โดยข้อมูลที่ถูกเข้ารหัสมีด้วยกันหลายประเภทด้วยกันไม่ว่าจะเป็น ข้อมูลคนไข้, ตารางนัดหมาย, ข้อมูลโทรศัพท์ภายใน, email โดยไฟล์ที่ถูกเข้ารหัสโดย ransomware ดังกล่าวจะมีนามสกุลเป็น (.WCRY) ทั้งนี้ทางหน่วยงาน NHS Digital กล่าวว่ามีหน่วยงานหลากหลายประเภทมากที่โดน ransomware เล่นงาน ทางทีมงาน NHS Digital จึงได้ร่วมมือกับ National Crime Agency ซึ่งถือว่าเป็นหน่วยงานเทียบเท่า FBI ในอังกฤษได้เริ่มทำการสอบสวนเหตุการณ์ที่เกิดขึ้นแล้ว โดยตอนนี้ยังไม่มีหลักฐานใดๆบ่งบอกถึงการที่ข้อมูลคนป่วยถูกเข้าถึงแต่อย่างใด อีกทั้งทางทีมงาน NHS Digital ได้ร่วมมือกับ National Cyber Security Center เพื่อจัดการและหาวิธีแก้ไขอย่างถูกวิธีแล้วอีกด้วย

จาก report ของคนทำงาน IT ของ NHS กล่าวว่าระบบเมล์เริ่มใช้งานไม่ได้ตั้งแต่วันที่ 11 12:30pm จากนั้นก็ตามมาด้วยระบบที่เกี่ยวกับคลีนิคมากมากที่ใช้งานไม่ได้ จากนั้นก็เป็นระบบคนไข้ และจาก report เครื่องส่วนใหญ่จะถูกขู่ให้จ่ายเงินประมาณ 300$ การถูกโจมตีครั้งนี้ถือเป็นครั้งที่ร้ายแรงที่สุดในรอบ 6 ปีเลยทีเดียว

รายงานล่าสุดพบ ransomware ตัวนี้ในไทยแล้วนะครับระวังกันให้ดี ซึ่งเป็นการโจมตีโดยใช้การโจมตีของเครื่องมือ NSA ที่หลุดมาช่วงเดือนก่อน นั่นคือ MS17-010 หรือ EternalBlue นั่นเอง ทั้งนี้แนะนำให้ทำการปิด port 445 หรือยกเลิกการใช้งาน SMBv1 เพื่อลดความเสี่ยงที่เกิดขึ้นจาก WannaCryptor

วิธีการป้องกัน
1. Update patched Windows ให้เป็น version ล่าสุด.
2. ปิด port remote การเข้าถึงอย่าง RDP และ SMB จาก internet
3. Disable SMBv1 และ protocol ใดๆที่เก่า
4. นำเครื่องใดๆที่ไม่สามารถ patch ได้ให้ไปอยู่ในส่วนที่มี security control

วิธีการแก้ไขเมื่อติด WannaCryptor
1. เข้า Windows ในลักษณะ Safe Mode
2. เข้าไปที่ msconfig.