เมื่อวันที่ 25 มีนาคม Sophos ได้เผยแพร่คำแนะนำด้านความปลอดภัยเกี่ยวกับช่องโหว่ CVE-2022-1040 ซึ่งเป็นช่องโหว่การ Bypass การตรวจสอบสิทธิ์ที่ส่งผลต่อ User Portal และ Webadmin ของ Sophos Firewall และอาจถูกโจมตีเพื่อรันโค้ดที่เป็นอันตรายจากระยะไกล สามวันต่อมา บริษัทเตือนว่าผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่เพื่อกำหนดเป้าหมายองค์กรหลายแห่งในภูมิภาคเอเชียใต้

ล่าสุดในสัปดาห์นี้ บริษัทรักษาความปลอดภัยทางไซเบอร์ Volexity ได้ให้รายละเอียดเกี่ยวกับกลุ่มผู้โจมตีจากประเทศจีนที่รู้จักในชื่อ DriftingCloud ซึ่งใช้ประโยชน์จากช่องโหว่ CVE-2022-1040 ตั้งแต่ต้นเดือนมีนาคม ราวๆสามสัปดาห์ก่อนที่ Sophos จะออกแพตช์ ผู้โจมตีได้ใช้ช่องโหว่ Zero-day ดังกล่าวในการเข้าควบคุม firewall เพื่อติดตั้ง Webshell backdoor และมัลแวร์ที่จะเปิดใช้งานการเข้าควบคุมจากภายนอกนอกเครือข่ายที่ได้รับการป้องกันโดย Sophos Firewall

นักวิจัยตั้งข้อสังเกตว่าผู้โจมตีพยายามซ่อนการเชื่อมต่อสำหรับการเข้าถึงของ webshell ด้วยการใช้ชื่อไฟล์ที่ดูเหมือนเป็นปกติอย่าง login.

Trend Micro บริษัท Cybersecurity สัญชาติญี่ปุ่น ออกแพตช์แก้ไขช่องโหว่ด้านความปลอดภัยที่มีระดับความรุนแรงสูงใน Apex Central management console ซึ่งทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายได้จากระยะไกล

Apex Central มีหน้า web-based management console ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการผลิตภัณฑ์ และบริการของ Trend Micro ต่างๆ (รวมถึงผลิตภัณฑ์ และบริการด้านการป้องกันไวรัส) และยังสามารถใช้เพื่อติดตั้ง ไฟล์ Antivirus pattern, Scan engines และ antispam rules ด้วยวิธีการ Manual หรือตั้ง scheduled โดยอัตโนมัติไว้ล่วงหน้า

ช่องโหว่ CVE-2022-26871 เป็นช่องโหว่ที่มีระดับความรุนแรงสูง เรื่องการอัปโหลดไฟล์ในโมดูลการจัดการไฟล์ ซึ่งทำให้ผู้โจมตีสามารถโจมตีได้โดยไม่ต้องมีการตรวจสอบสิทธิ์ ซึ่งหากโจมตีได้สำเร็จผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

"ซึ่งปัจจุบันทาง Trend Micro ได้พบการพยายามโจมตีอย่างต่อเนื่องด้วยช่องโหว่ดังกล่าว และเราได้แจ้งเตือนกับลูกค้าแล้ว" บริษัทกล่าว

CISA สั่งให้หน่วยงานของรัฐบาลอัปเดตแพตช์

Trend Micro ได้มีการแจ้งให้ลูกค้าที่ได้รับผลกระทบ อัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด ส่วนเวอร์ชัน Software as a service (SaaS) ถูกอัปเดตโดย Trend Micro แล้วโดยอัตโนมัติ ผู้ใช้งานไม่จำเป็นต้องดำเนินการใดๆ เพิ่มเติมเกี่ยวกับช่องโหว่นี้

เมื่อถูกถามถึงจำนวนลูกค้าที่ตกเป็นเป้าหมายในการโจมตี และระบบของพวกเขาที่อาจถูกเข้าถึงจากช่องโหว่นี้ Funda Cizgenakad ของ Trend Micro บอกกับ BleepingComputer ว่าบริษัท "ไม่สามารถให้ข้อมูลเกี่ยวกับลูกค้าได้ เนื่องจากเป็นความลับของทางบริษัท"

หลังจากการเปิดเผยข้อมูลของ Trend Micro ทาง Cybersecurity and Infrastructure Security Agency (CISA) ได้สั่งให้หน่วยงานของรัฐบาลแก้ไขช่องโหว่ใน Apex Central ที่อาจถูกโจมตีได้ ภายในสามสัปดาห์ จนถึงวันที่ 21 เมษายน 2022

CISA ได้เพิ่มช่องโหว่ของ Trend Micro ลงใน Known Exploited Vulnerabilities Catalog ซึ่งเป็นรายการช่องโหว่ด้านความปลอดภัย ร่วมกับอีก 7 รายการ รวมถึงช่องโหว่ที่มีระดับความรุนแรงสูงใน Sophos firewall

ที่มา: bleepingcomputer.

บริษัทด้านความปลอดภัยทางไซเบอร์ Sophos ประกาศแจ้งเตือนเมื่อวันจันทร์ที่ 28 มีนาคมที่ผ่านมาว่าตรวจพบช่องโหว่ด้านความปลอดภัยที่เพิ่งได้รับการแก้ไขในผลิตภัณฑ์ firewall ของตน กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน

ช่องโหว่ CVE-2022-1040 ที่ได้รับ CVSS 9.8 ส่งผลกระทบต่อ Sophos Firewall เวอร์ชัน 18.5 MR3 (18.5.3) และเวอร์ชันที่เก่ากว่า ผลกระทบจากช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถ bypass การตรวจสอบการ authentication บน User Portal และ Webadmin interfaces ได้ ซึ่งหากโจมตีสำเร็จจะทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายได้

"Sophos พบว่าช่องโหว่เริ่มมีการถูกใช้ในการโจมตีไปยังองค์กรจำนวนหนึ่งในภูมิภาคเอเชียใต้ ซึ่งทาง Sophos ได้มีการแจ้งเตือนไปยังองค์กรเหล่านั้นโดยตรงแล้ว"

Sophos ระบุว่าช่องโหว่นี้ได้รับการแก้ไขด้วย hotfix ซึ่งจะติดตั้งอัตโนมัติสำหรับลูกค้าที่เปิดใช้งาน "Allow automatic installation of hotfixes" และเพื่อเป็นการแก้ปัญหาชั่วคราวสำหรับผู้ที่ยังไม่สามารถอัพเดทได้ Sophos แนะนำให้ผู้ใช้งานปิดการเข้าหน้า User Portal และ Webadmin interfaces จากภายนอกไปก่อน

นอกจากนี้ Sophos ได้แจ้งเวอร์ชันที่ end-of-life แล้ว ซึ่งจะไม่มีการ support การอัพเดทแพตซ์ เช่น 17.5 MR12 , MR15, 18.0 MR3 และ MR4 และ 18.5 GA จึงแนะนำให้ผู้ใช้งานรีบอัพเกรดเป็นเวอร์ชันใหม่เพื่อป้องกันผลกระทบที่อาจจะเกิดขึ้น

ที่มา : thehackernews