Drupal ออกแพตซ์ฉุกเฉินแก้ไขช่องโหว่ระดับ “Critical” โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ต้องรับอนุญาต

Drupal ได้ออกแพตซ์ฉุกเฉินเพื่อแก้ไขช่องโหว่ที่สำคัญระดับ “Critical” โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ด PHP ได้โดยไม่ต้องรับอนุญาต

ช่องโหว่สองรายการที่ได้รับการแก้ไขเกิดจากข้อบกพร่องในไลบรารี PEAR Archive_Tar ที่ถูกใช้บนระบบ Content Management System (CMS) ติดตามด้วยรหัส CVE-2020-28948 และ CVE-2020-28949 โดยช่องโหว่จะอนุญาตให้ผู้ประสงค์ร้ายสามารถอัปโหลดไฟล์ที่มีนามสกุล .tar, .tar.

พบช่องโหว่ใน cPanel ที่ทำให้ผู้ประสงค์ร้ายสามารถ Brute-Force การตรวจสอบแบบ 2FA ได้

Michael Clark และ Wes Wright นักวิจัยด้านความปลอดภัยจาก Digital Defense ได้เปิดเผยถึงช่องโหว่การ Bypass การตรวจสอบบัญชีด้วย Two-Factor Authentication (2FA) ผ่านการโจมตีแบบ Brute-force บนซอฟต์แวร์ cPanel และ WebHost Manager (WHM) ซึ่งเป็นซอฟต์แวร์การดูแลระบบที่จะช่วยให้ผู้ดูแลระบบและเจ้าของเว็บไซต์สามารถจัดการเซิร์ฟเวอร์และเว็บไซต์ได้โดยอัตโนมัติ โดยใช้กราฟิกยูสเซอร์อินเทอร์เฟซ

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2020-27641 โดยช่องโหว่จะเปิดโอกาศให้ผู้ประสงค์ร้ายสามารถทำการโจมตีแบบ Brute-force เพื่อทำการ Bypass การตรวจสอบการเข้าสู่บัญชีด้วย 2FA เนื่องจาก cPanel ไม่ได้บล็อกผู้ใช้หากผู้ใช้ทำการใส่รหัส 2FA ซ้ำๆ กันบ่อยๆ ซึ่งนักวิจัยได้กล่าวว่าการโจมตีลักษณะนี้สามารถทำให้ผู้ประสงค์ร้ายเข้าสู่ระบบได้ภายในเวลาไม่กี่ชั่วโมงหรือในบางกรณีอาจใช้เวลาไม่กี่นาทีก็สามารถเข้าสู่ระบบได้ อย่างไรก็ดีผู้ประสงค์ร้ายต้องมี Credential ของผู้ใช้ก่อนจึงจะสามารถทำการโจมตีได้

ทั้งนี้นักวิจัยได้ทำการแจ้งปัญหาเกี่ยวกับช่องโหว่ให้ทาง cPanel รับทราบแล้วและทางทีมงาน cPanel ได้ออกแพตซ์เพื่อแก้ไขช่องโหว่แล้วใน cPanel และ WHM เวอร์ชัน 11.92.0.2, 11.90.0.17 และ 11.86.0.32 ผู้ใช้และผู้ดูแลระบบควรทำการอัปเดตซ์แพตซ์ cPanel และ WHM ให้เป็นเวอร์ชันล่าสุดเพื่อเป็นการป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา:

bleepingcomputer.

นักวิจัยค้นพบช่องโหว่ Zero-day ใหม่ใน Windows 7 and Windows Server 2008

นักวิจัยด้านความปลอดภัยชาวฝรั่งเศส Clément Labro ได้เปิดเผยถึงการค้นพบช่องโหว่ Zero-day โดยบังเอิญซึ่งส่งผลกระทบต่อระบบปฏิบัติการ Windows 7 และ Windows Server 2008 R2

ช่องโหว่สองรายการที่ถูกค้นพบนี้อยู่ใน Registry key โดยช่องโหว่เกิดจากการกำหนดค่าไม่ถูกต้องในเซอร์วิส PC Endpoint Mapper และ DNSCache ตามพาทดังนี้

HKLM \ SYSTEM \ CurrentControlSet \ Services \ RpcEptMapper
HKLM \ SYSTEM \ CurrentControlSet \ Services \ Dnscache

นักวิจัยกล่าวว่าช่องโหว่ที่ถูกค้นพบสามารถทำให้ผู้ประสงค์ร้ายแก้ไข Registry key ได้ โดย Registry key ดังกล่าวจะถูกนำไปใช้ต่อเพื่อเปิดใช้งาน sub-key ในกลไกของ Windows Performance Monitoring ซึ่งโดยปกติแล้วจะเปิดให้นักพัฒนาสามารถโหลดไฟล์ DLL ของตนเองที่ทำการแก้ไขด้วย Custom tool เพื่อการติดตามประสิทธิภาพของแอปพลิเคชันได้ตามต้องการ ซึ่งด้วยวิธีการนี้ใน Windows เวอร์ชันใหม่ๆ จะมีการจำกัดสิทธิการทำงานนี้ไว้ แต่ด้วยกลไกลที่กล่าวมาของ Windows 7 และ Server 2008 ผู้ประสงค์ร้ายที่อยู่ในระบบสามารถใช้ช่องทางนี้ในการลอบรันโค้ดในระดับ SYSTEM ได้

Clément Labro พบช่องโหว่นี้โดยบังเอิญจากการทำ PrivescCheck เครื่องมือตรวจสอบการตั้งค่าว่า Windows มีการตั้งค่าที่ไม่ถูกต้องและอาจถูกใช้ในการยกระดับสิทธิได้หรือไม่ โดยเขาพบช่องโหว่ดังกล่าวเมื่อทดลอง PrivescCheck กับ Windows 7 ภายหลังจากที่อัปเดต PrivescCheck สู่สาธารณะไปแล้ว จึงเลือกที่จะเผยแพร่การค้นพบช่องโหว่ Zero-day นี้

ทั้งนี้ Windows 7 และ Windows Server 2008 R2 ได้สิ้นสุดอายุการซับพอต (End Of Life - EOL) และทาง Microsoft ได้หยุดให้บริการอัปเดตแพตซ์ความปลอดภัยให้แก่ผู้ใช้แล้ว อย่างไรก็ดีผู้ใช้สามารถทำการอัปเดตแพตซ์ความปลอดภัยได้โดยการชำระเงิน (Extended Support Updates - ESU) หรือการอัปเดตแพตช์จาก Third-party เช่น 0patch ของบริษัท ACROS Security ซึ่งได้ทำการอัปเดตแพตซ์ความปลอดภัยและเเก้ไขช่องโหว่ดังกล่าวแล้ว

ที่มา:

zdnet.

Hacker ปล่อยข้อมูล Credential ของ Fortinet VPN ที่มีเกือบ 50,000 รายการในฟอรั่ม Dark web

นักวิจัยด้านความปลอดภัยจาก Bank_Security ได้เปิดเผยถึงการค้นพบข้อมูล Credential ของ Fortinet VPN ที่มีเกือบ 50,000 รายการในฟอรั่ม Dark web

ข้อมูล Credential ที่ถูกปล่อยนั้นเป็นไฟล์ "sslvpn_websession" ของ Fortinet VPN ที่ถูกใช้ประโยชน์จากช่องโหว่ CVE-2018-13379 ซึ่งเป็นช่องโหว่ path traversal ที่ส่งผลกระทบต่ออุปกรณ์ Fortinet FortiOS SSL VPN จำนวนมากที่ไม่ได้รับการเเพตซ์ความปลอดภัย ด้วยการใช้ประโยชน์จากช่องโหว่นี้ผู้โจมตีระยะไกลที่ไม่ได้รับการพิสูจน์ตัวตนสามารถเข้าถึงไฟล์ของระบบผ่านการร้องขอ HTTP request ที่สร้างขึ้นเป็นพิเศษไปยังอุปกรณ์ ซึ่งผู้โจมตีจะสามารถเข้าถึงไฟล์ sslvpn_websession จาก Fortinet VPN ได้และจะสามารถขโมยข้อมูล Credential ของการเข้าสู่ระบบ โดยข้อมูล Credential ที่ถูกขโมยเหล่านี้สามารถใช้ในบุกรุกเครือข่ายได้

นักวิจัยได้ทำการวิเคราะห์ข้อมูลที่ถูกรั่วไหลออกมา พบว่า IP และโดเมนส่วนใหญ่เป็นของรัฐบาลจากทั่วโลกและเป็นของธนาคารและบริษัททางด้านการเงินทุนที่มีชื่อเสียง

ทั้งนี้ผู้ดูแลระบบของ Fortinet VPN ควรรีบทำการตรวจสอบและควรรีบทำการอัปเดตแพตซ์ความปลอดภัยเป็นการด่วนเพื่อเป็นการป้องกันการโจมตีจากผู้ประสงค์ร้าย

ที่มา:

https://www.

แจ้งเตือนช่องโหว่ Double Extension ใน Drupal ใช้ยึดระบบที่มีช่องโหว่ได้ทันที

ทีม Drupal ประกาศแพตช์สำหรับช่องโหว่ระดับวิกฤติ CVE-2020-13671 จากปัญหา Double extension ซึ่งส่งผลให้ผู้โจมตีสามารถอัปโหลดไฟล์ที่เป็นอันตรายขึ้นบนระบบได้โดยข้ามผ่านการตรวจสอบที่เหมาะสม

Double extension เป็นปัญหาและช่องโหว่ที่เกิดขึ้นเมื่อแอปพลิเคชันทำการตรวจสอบนามสกุลและประเภทของไฟล์ที่ไม่เหมาะสม ตัวอย่างหนึ่งของการโจมตีคือหากผู้ไม่ประสงค์ต้องการอัปโหลดไฟล์อันตรายชื่อ malware.

กลุ่มเเฮกเกอร์เพิ่มช่องโหว่ ZeroLogon ในเครื่องมือการโจมตีมุ่งเป้าโจมตีอุตสาหกรรมยานยนต์และธุรกิจต่างๆ

นักวิจัยด้านความปลอดภัยจาก Symantec ได้เปิดเผยถึงการค้นพบแคมเปญการโจมตีเป้าหมายทางด้านธุรกิจที่เกี่ยวข้องกับอุตสาหกรรมยานยนต์, เภสัชกรรม, วิศวกรรมและผู้ให้บริการแบบ Managed Service Provider (MSP) โดยใช้ช่องโหว่ CVE-2020-1472 (ZeroLogon) จากกลุ่มเเฮกเกอร์ที่มีชื่อว่า “Cicada” หรือที่รู้จักกันในชื่อ APT10, Stone Panda และ Cloud Hopper

กลุ่ม Cicada เป็นกลุ่มภัยคุกคามที่ถูกเปิดเผยครั้งแรกในปี 2009 และเป็นกลุ่มที่รัฐบาลสหรัฐฯ เชื่อว่าอาจได้รับการสนับสนุนจากรัฐบาลจีน โดยในกิจกรรมแคมเปญการโจมตีกลุ่มธุรกิจในครั้งนี้ กลุ่ม Cicada ได้ทำการเพิ่มการใช้ประโยชน์จากช่องโหว่ CVE-2020-1472 (ZeroLogon) เข้าไปในเครื่องมือของกลุ่มแฮกเกอร์ ซึ่งช่องโหว่ดังกล่าวเป็นช่องโหว่การเข้ารหัสใน Microsoft Windows Netlogon Remote Protocol (MS-NRPC หรือ NRPC) และเป็นช่องโหว่ที่สำคัญที่ทำให้ผู้โจมตีสามารถยกระดับสิทธิ์และสามารถปลอมเป็นเครื่องใดๆ ในโดเมนรวมถึงภายในโดเมนคอนโทรลเลอร์และจะสามารถส่งคำขอเพื่อเปลี่ยนรหัสผ่านเพื่อยึดโดเมนคอนโทรลเลอร์ได้

กลุ่ม Cicada ยังได้ทำการเปิดตัว Backdoor.

Google Chrome เตรียมปล่อยแพตช์ช่องโหว่เพิ่มอีก 2 หลังจากพบการใช้ช่องโหว่เพื่อโจมตี

Google เตรียมปล่อยแพตช์ช่องโหว่ Zero-day เพิ่มอีก 2 รายการหลังจากมีการติดต่อมาจากนักวิจัยด้านความปลอดภัยนิรนามเกี่ยวกับรายละเอียดของช่องโหว่และความเป็นไปได้ที่ทั้งสองช่องโหว่จะถูกใช้เพื่อโจมตีจริงแล้ว

ช่องโหว่แรกคือ CVE-2020-16013 เป็นช่องโหว่ซึ่งเกิดจากการอิมพลีเมนต์ที่ไม่ถูกต้องของ WebAssembly และเอนจินจาวาสคริปต์ ส่วนอีกช่องโหว่หนึ่งคือ CVE-2020-16017 ซึ่งเป็นช่องโหว่ use-after-free ในฟีเจอร์ Site isolation ซึ่งส่งผลให้เกิดการรันโค้ดที่เป็นอันตรายได้ ในขณะนี้รายละเอียดของช่องโหว่รวมไปถึงข้อมูลของผู้โจมตีซึ่งใช้ช่องโหว่นั้นยังคงถูกจำกัด คาดว่าจะมีการปล่อยข้อมูลออกมาหลังจากมีการแพตช์ออกซักระยะหนึ่งต่อไป

จากสถิติที่ผ่านมา Google ออกแพตช์ Zero-day ไปทั้งหมดกว่า 5 ช่องโหว่ในช่วงเวลาหนึ่งเดือน ลักษณะดังกล่าวส่อเค้าให้เห็นถึงความเป็นไปได้ว่าอาจมีกลุ่มของผู้โจมตีที่กำลังเคลื่อนไหวและมีการใช้ช่องโหว่ใน Google Chrome ในการโจมตีจริงอยู่ ขอให้ผู้ใช้งานติดตามการอัปเดตแพตช์และติดตั้งแพตช์เพื่อลดความเสี่ยงที่จะถูกโจมตีอย่างใกล้ชิด

ที่มา: bleepingcomputer.

Gitpaste-12 บ็อตเน็ตชนิดใหม่ที่ใช้ GitHub และ Pastebin เป็นฐานในการเเพร่กระจาย

นักวิจัยด้านความปลอดภัยจาก Juniper Threat Labs ได้ทำการตรวจพบเวิร์มและบ็อตเน็ตชนิดใหม่ที่อาศัย GitHub และ Pastebin ในการสร้างโค้ดคอมโพเนนต์ที่เป็นอันตรายและมีโมดูลในการโจมตีที่แตกต่างกันอย่างน้อย 12 โมดูลและมัลแวร์ยังมีความสามารถในการแพร่กระจายในรูปแบบอัตโนมัติ โดยมัลแวร์อาจนำไปสู่การแพร่กระจายภายในเครือข่ายองค์กรหรือไปยังโฮสต์ของผู้ใช้ที่ทำการเชื่อมต่อ ซึ่งนักวิจัยได้มัลแวร์ชนิดนี้ว่า “Gitpaste-12”

มัลแวร์“Gitpaste-12” ถูกตรวจพบครั้งแรกประมาณวันที่ 15 ตุลาคม ที่ผ่านมา โดยมัลแวร์จะมีโมดูลที่ใช้ในการโจมตีซึ่งประกอบไปด้วยช่องโหว่จำนวน 11 ช่องโหว่คือ CVE-2017-14135 (Webadmin plugin for opendreambox), CVE-2020-24217 (HiSilicon video encoders), CVE-2017-5638 (Apache Struts), CVE-2020-10987 (Tenda router), CVE-2014-8361 (Realtek SDK), CVE-2020-15893 (Dlink routers), CVE-2013-5948 (Asus routers), EDB-ID: 48225 (Netlink GPON Router), EDB-ID: 40500 (AVTECH IP Camera), CVE-2019-10758 (CVE-2019-10758) และ CVE-2017-17215 (Huawei router)

นักวิจัยกล่าวว่าขึ้นตอนการโจมตีของ Gitpaste-12 จะเริ่มต้นโดยการดาวน์โหลดสคริปต์จาก Pastebin URL ซึ่งจะสั่งให้โฮสต์ที่ติดเชื้อเรียกใช้สคริปต์นี้ต่อไปทุกๆ นาที จากนี้มัลแวร์จะดาวน์โหลด Shell script หลักจาก GitHub ซึ่งก็คือ https: //raw.

กลุ่ม REvil ransomware อ้างว่าจำนวนเงินค่าไถ่ในหนึ่งปีที่ผ่านมามีมูลค่ามากกว่า 100 ล้านดอลลาร์

กลุ่ม REvil ransomware ได้อ้างว่าในช่วงหนึ่งปีที่ผ่านมาทางกลุ่มได้ทำเงินมากกว่า 100 ล้านดอลลาร์ ซึ่งเป็นเงินจากการเรียกค่าไถ่กับบริษัทที่มีธุรกิจขนาดใหญ่ทั่วโลกและจากภาคส่วนต่างๆ

อ้างอิงจากตัวเเทนของกลุ่ม REvil ที่ใช้นามเเฝงว่า “UNKN” และ “Unknown” ซึ่งได้กล่าวว่าเป้าหมายหลักของ REVil คือการโจมตีบริษัทที่มีธุรกิจขนาดใหญ่เช่น Travelex, Grubman Shire Meiselas & Sacks (GSMLaw) และ GEDIA Automotive Group โดยในการโจมตีบริษัทดังกล่าวพวกเขาได้ใช้เทคนิคการโจมตีแบบ Brute-force กับโพรโทคอล Remote Desktop Protocol (RDP) รวมถึงใช้ช่องโหว่ใหม่ๆ ได้เเก่ CVE-2020-0609 และ CVE-2020-0610 และช่องโหว่ใน Pulse Secure VPN ในการโจมตี

กลุ่ม REvil ทำกำไรจากเหยื่อที่จ่ายค่าไถ่เพื่อปลดล็อกไฟล์ที่ถูกเข้ารหัสและข่มขู่ว่าจะปล่อยข้อมูลที่มีความละเอียดอ่อนของบริษัทที่ถูกโจมตีหรือขายข้อมูลให้กับผู้ที่สนใจ ซึ่งข้อมูลเหล่านี้อาจมีทำให้เกิดการสูญเสียความข้อได้เปรียบในการแข่งขันทางธุรกิจและอาจก่อให้เกิดความเสียหายต่อชื่อเสียงของบริษัทและองค์กร ซึ่งวิธีนี้ทำให้กลุ่ม REvil สามารถทำเงินได้อย่างมากมายจากการไม่เผยแพร่ข้อมูลที่ถูกขโมยไปจากบริษัทที่ถูกบุกรุก

ปัจจุบันกลุ่ม REvil ใช้การดำเนินการ ransomware-as-a-service (RaaS) หรือบริการให้เช่าแรนซัมเเวร์ โดยกลุ่มที่ทำการเช่าบริการจะได้เงินส่วนเเบ่งค่าไถ่จำนวน 70% ถึง 80 % กลุ่มที่ทำการเช่าบริการจะทำหน้าที่โจมตีเป้าหมายและกลุ่ม REvil จะทำหน้าที่ในการเจรจาเรียกค่าไถ่, การพัฒนาซอฟต์แวร์, การอัปเดตการรับการชำระเงินและการส่งมอบตัวถอดรหัส ซึ่งด้วยวิธีการนี้ก็ทำให้กลุ่ม REvil สามารถทำเงินจากการเรียกค่าไถ่ได้เป็นจำนวนมาก นอกจากนี้กลุ่ม REvil ยังได้คิดจะใช้กลยุทธ์อื่นๆ ที่ออกแบบมาเพื่อเพิ่มโอกาสในการเรียกรับเงินค่าไถ่ ซึ่งก็คือการโจมตีเหยื่อด้วยการโจมตีแบบปฏิเสธการให้บริการ (distributed denial-of-service - DDoS) เพื่อบังคับให้เหยื่อทำการเจรจาการจ่ายเงินค่าไถ่

ที่มา:

bleepingcomputer.

Google ประกาศรายละเอียดช่องโหว่ Zero-day ใน Windows เร่งด่วน พบการโจมตีแล้ว ยังไม่มีการแพตช์ในขณะนี้

Google Project Zero ออกประกาศให้รายละเอียดเร่งด่วนเกี่ยวกับช่องโหว่ Zero-day ใน Windows รหัส CVE-2020-17087 ซึ่งช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์ในระบบได้ หลังจากมีการตรวจพบการใช้ช่องโหว่นี้ร่วมกับช่องโหว่ Zero-day ใน Google Chrome รหัส CVE-2020-15999 ในการโจมตีจริง

ประกาศของ Google Project Zero มีการให้รายละเอียดถึงที่มาของช่องโหว่เอาไว้รวมไปถึง PoC ของช่องโหว่ซึ่งกระทบ Windows 7 และ Windows 10 การประกาศสร้างการวิพากวิจารณ์ขึ้นมาอีกครั้งในเรื่องของการเปิดเผยช่องโหว่ เนื่องจากในบางมุมนั้นการเปิดเผยรายละเอียดของช่องโหว่โดยยังไม่มีแพตช์ออกมาอาจเป็นการสร้างผลกระทบที่มากยิ่งขึ้น อย่างไรก็ตามด้วยจุดยืน Google Project Zero การประกาศรายละเอียดอาจช่วยให้การตรวจจับและการพัฒนาทางเลือกในการป้องกันเกิดขึ้นได้ไวกว่าเดิมเช่นเดียวกัน

เนื่องจากเป็นการประกาศนอกรอบแพตช์และผลกระทบที่มีต่อช่องโหว่ อาจมีความเป็นไปได้สูงที่แพตช์ของช่องโหว่นี้จะออกในวันที่ 10 พฤศจิกายนในช่วง Patch Tuesday ประจำเดือนเลยทีเดียว ขอให้มีการติดตามและอัปเดตแพตช์กันต่อไป

ที่มา:

zdnet.