Cisco ออกอัปเดทแก้ไขช่องโหว่ 30 ช่องโหว่ กว่าครึ่งเป็นช่องโหว่ร้ายแรงมากและช่องโหว่ร้ายแรง

Cisco ออกอัปเดทแก้ไขช่องโหว่ 30 ช่องโหว่โดยมี 3 ช่องโหว่เป็นช่องโหว่ร้ายแรงมาก (Critical) หนึ่งในนั้นคือช่องโหว่ที่ได้รับผลกระทบจากช่องโหว่ใน Apache Struts (CVE-2018-11776) Cisco อธิบายเพิ่มเติมว่าแม้ผลิตภัณฑ์ของ Cisco หลายตัวจะมีการใช้งาน Apache Struts แต่ได้รับผลกระทบจากช่องโหว่ดังกล่าวเพียงบางผลิตภัณฑ์เท่านั้นเนื่องจากวิธีการใช้งาน library ของแต่ละผลิตภัณฑ์แตกต่างกัน

อีก 2 ช่องโหว่ร้ายแรงที่ได้รับการแก้ไขเป็นช่องโหว่ใน Cisco Umbrella API (CVE-2018-0435) และใน Routers รุ่น RV110W, RV130W และ RV215W (CVE-2018-0423) และยังมีช่องโหว่ร้ายแรง (high) อีก 15 รายการ

ผู้ดูแลระบบสามารถตรวจสอบรายละเอียดเพิ่มเติมเกี่ยวกับการอัปเดทครั้งนี้ได้ที่ https://tools.

Chrome เปิดตัวเบราว์เซอร์เวอร์ชั่น 69 รวมถึงออกแพตช์อัพเดทช่องโหว่ความปลอดภัยด้านการออกแบบในเบราว์เซอร์ Chrome ที่ส่งผลให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวขโมยข้อมูลสำหรับการเข้าสู่ระบบ Wifi ทั้งแบบบ้านและระบบเครือข่ายขององค์กร โดยปัญหาดังกล่าวเกิดจากเบราว์เซอร์ Chrome เวอร์ชั่นเก่ามีกรอกค่า Username และ Passwords บนแบบฟอร์มการเข้าสู่ระบบผ่าน HTTP แบบอัตโนมัติ (auto-fill)

Elliot Thompson นักวิจัยด้านความปลอดภัยจาก SureCloud ได้ทำการรวบรวมเทคนิคการโจมตีจากการใช้ประโยชน์ของปัญหาในการออกแบบเบาร์เซอร์ซึ่งมีขั้นตอนที่หลากหลายและซับซ้อน โดยการโจมตีดังกล่าวชื่อว่า Wi-Jacking (WiFi Jacking) ซึ่งได้ผลกับ Chrome บน Windows ขั้นตอนสำหรับการโจมตี Wi-Jacking มีรายละเอียดดังนี้
ขั้นตอนที่1 ผู้โจมตีจำเป็นต้องอยู่บริเวณใกล้เคียงกับระบบเครือข่าย WiFi ของเครื่องเป้าหมายเพื่อให้สามารถเข้าถึงได้โดยการส่งคำขอ deauthentication ไปยังเราเตอร์เพื่อทำการตัดการเชื่อมต่อของผู้ใช้งานออกจากระบบ WiFi
ขั้นตอนที่2 ผู้โจมตีใช้เทคนิคการโจมตีแบบ classic Karma attack เพื่อหลอกให้เป้าหมายเชื่อมต่อกับระบบเครือข่ายอันตรายที่ผู้โจมตีสร้างไว้
ขั้นตอนที่3 ผู้โจมตีทำการสร้างเว็บไซต์โดยจำลองหน้าเว็บต่างๆให้มีความคล้ายกับเว็บไซต์หลักของเราเตอร์ และทำการซ่อนฟิลด์สำหรับรับค่าข้อมูลสำหรับ Login ไว้ และเนื่องจากเป้าหมายเชื่อมต่อกับเครือข่ายของผู้โจมตีทำให้ผู้โจมตีสามารถตั้งค่า URL ของหน้าเว็บปลอมไปยัง URL ที่ถูกต้องของเราเตอร์ที่เป้าหมายใช้งานได้ทำให้เป้าหมายเข้าใจว่าเข้าถึงเว็บไซต์หลักที่ถูกต้อง ซึ่งหากเป้าหมายอนุญาตให้เบราว์เซอร์ Chrome กรอกข้อมูลสำหรับ Login แบบอัตโนมัติ (auto-fill) ข้อมูลเหล่านั้นจะถูกป้อนไปยังฟิลด์ที่ซ่อนไว้ในหน้าเว็บที่ผู้โจมตีสร้างไว้โดยอัตโนมัติ
ขั้นตอนที่4 ผู้โจมตีหยุดเทคนิค Karma และช่วยให้เป้าหมายเชื่อมต่อกลับไปยังเครือข่าย WiFi เดิม
ขั้นตอนที่5 หากเป้าหมายคลิกส่วนใดๆ ในหน้าเว็บที่เป็นอันตรายหรือหน้าเว็บดังกล่าวยังคงทำงานอยู่ในเบราว์เซอร์ของเป้าหมาย จะส่งข้อมูลการ Login ที่ซ่อนอยู่ในฟิลด์การเข้าสู่ระบบไปยัง backend panel ของเราเตอร์จริง วิธีนี้จะทำให้ผู้โจมตีสามารถตรวจสอบการเข้าถึงของเป้าหมายและช่วยให้ผู้โจมตีสามารถตรวจจับ WPA / WPA2 PSK (pre-shared key) จากการตั้งค่า Wi-Fi ของเราเตอร์ของเป้าหมาย และสามารถใช้เข้าสู่ระบบได้

นอกเหนือจากเบราว์เซอร์ Chrome ยังมีเบราว์เซอร์ Opera ที่ได้รับผลกระทบจากการโจมตีด้วยวิธีการ Wi-Jacking แต่เบราว์เซอร์อื่นๆ เช่น Firefox, Edge, Internet Explorer และ Safari ไม่เสี่ยงต่อการถูกโจมตีเนื่องจากไม่มีการกรอกข้อมูลสำหรับการ Login แบบอัตโนมัติ (auto-fill)

ที่มา : Zdnet

นักวิจัยด้านความปลอดภัย Wolfgang Ettlinger จาก SEC Consult Vulnerability Lab ได้มีการเปิดเผยถึงการค้นพบช่องโหว่ล่าสุดรหัส CVE-2018-2879 ในซอฟต์แวร์ Oracle Access Manager (OAM) ซึ่งทำให้ผู้โจมตีสามารถข้ามผ่านระบบการตรวจสอบตัวตน รวมไปถึงยึดบัญชีของผู้ใช้งานอื่นๆ ได้

Oracle Access Manager (OAM) เป็นซอฟต์แวร์จากค่าย Oracle ซึ่งมีหน้าที่ในการช่วยจัดการกระบวนการพิสูจน์และยืนยันตัวตนในรูปแบบของ Single Sign-On ในหลายรูปแบบอุปกรณ์

สำหรับช่องโหว่ที่มีการค้นพบนั้น ที่มาที่แท้จริงของช่องโหว่มาจากปัญหาในการทำ Padding อย่างไม่เหมาะสมเมื่อมีการเข้ารหัสข้อมูลซึ่งนำไปสู่การโจมตีที่เรียกว่า Padding Oracle ได้ การทำ Padding Oracle จะทำให้กระบวกการเข้ารหัสที่มีอยู่นั้นอ่อนแอลง และนำไปสู่การเข้าถึงและแก้ไขข้อมูลที่ความอ่อนไหวสูงได้
Recommendation ช่องโหว่ดังกล่าวถูกค้นพบใน OAM รุ่น 11.1.2.3.0 และ 12.2.1.3.0 รวมไปถึงเวอร์ชันก่อนหน้าทั้งหมด ในขณะนี้ Oracle ได้มีการประกาศแพตช์สำหรับช่องโหว่นี้ออกมาแล้วในซอฟต์แวร์รุ่นล่าสุด แนะนำให้ผู้ดูแลระบบทำการอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดโดยด่วน

ที่มา : Theregister

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์เกาหลีใต้หรือ KR-CERT ออกประกาศแจ้งเตือนการโจมตีด้วยช่องโหว่ 0-day ของ Adobe Flash Player ที่ยังไม่มีการแพตช์ในตอนนี้เพื่อโจมตีผู้ใช้งานที่ใช้ Windows ในเกาหลีใต้ โดยการโจมตีครั้งนี้ KR-CERT กล่าวว่าเป็นการโจมตีจากเกาหลีเหนือ

อ้างอิงจากประกาศต่อมาจาก Adobe ช่องโหว่ที่ถูกโจมตีดังกล่าวในภายหลังถูกระบุด้วยรหัส CVE-2018-4878 ซึ่งมีที่มาจากปัญหา use-after-free ที่ทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้จากระยะไกล โดยช่องโหว่นี้ส่งผลกระทบตั้งแต่ Adobe Flash Player ตั้งแต่เวอร์ชัน 28.0.0.137 หรือเก่ากว่า

แนะนำให้ผู้ใช้งานทำการอัปเดตเวอร์ชันของ Adobe Flash Player โดยด่วน

ที่มา : thehackernews

Ubuntu ปล่อยอัพเดทเพื่ออุดช่องโหว่ใน PHP โดยมีรายละเอียดของช่องโหว่ดังนี้

CVE-2016-10397: ช่องโหว่ที่พบว่า PHP URL parser มีการทำงานที่ผิดปกติกับตัว URI ทำให้ผู้ที่โจมตีสามารถใช้ช่องโหว่นี้เพื่อหลบหลีกการตรวจสอบ hostname-specific URL ได้

CVE-2017-11143: ช่องโหว่ที่พบว่ามีการทำงานที่ผิดปกติของ PHP กับ Boolean Parameter บางตัว เมื่อเป็น unserialized data ทำให้ผู้ที่โจมตีสามารถใช้เพื่อทำให้ PHP เกิด crash และใช้การไม่ได้(Denial of Service)

CVE-2017-11144: ช่องโหว่นี้ถูกพบโดย Sebastian Li, Wei Lei, Xie Xiaofei, and Liu Yang พบว่า PHP มีการทำงานที่ผิดปกติในการจัดการ OpenSSL sealing function ซึ่งผู้ที่โจมตีสามารถใช้เพื่อทำให้ PHP ใช้การไม่ได้เช่นกัน (Dos)

CVE-2017-11145: Wei Lei และ Liu Yang พบอีกช่องโหว่ใน extension ที่เกี่ยวกับตัววันที่ของ PHP ในการจัดการหย่วยความจำ(Memory) ซึ่งส่งผลให้ผู้ที่โจมตีสามารถเข้าถึงข้อมูลสำคัญของเซิร์ฟเวอร์ได้

CVE-2017-11147: พบช่องโหว่ของการจัดเก็บไฟล์แบบ PHAR ใน PHP ซึ่งผู้โจมตีสามารถใช้เพื่อทำให้ PHP ใช้งานไม่ได้ หรือเข้าถึงข้อมูลสำคัญจากตัวเซิร์ฟเวอร์ได้ โดยช่องโหว่ตัวนี้จะมีผลกระทบกับแค่ Ubuntu 14.04 LTS

CVE-2017-11628: Wei Lei และ Liu Yang พบช่องโหว่ที่การทำ parsing ไฟล์สกุล .ini ซึ่งผู้โจมตีสามารถใช้เพื่อทำให้ PHP ใช้งานไม่ได้ (Dos)

และช่องโหว่สุดท้ายคือตัว PHP mbstring ในการทำงานกับ Regular Expressions บางตัว ซึ่งทำให้ผู้โจมตีสามารถทำให้ PHP เกิดการ crash และใช้งานไม่ได้ หรือทำการรัน arbitrary code (CVE-2017-9224, CVE-2017-9226, CVE-2017-9227, CVE-2017-9228, CVE-2017-9229)

ข้อแนะนำคือให้ทำการอัพเดทเวอร์ชัน โดยขั้นตอนในการอัพเดทสามารถดูได้จากลิงค์ด้านล่างนี้ (https://wiki.

VMware ESXi, vCenter Server Appliance, Workstation and Fusion ปรับปรุงช่องโหว่ความปลอดภัยหลายรายการ(VMSA-2017-0021)

ช่องโหว่ที่ได้รับการแก้ไขรอบนี้ครอบคลุมทั้งหมด 4 ช่องโหว่ (CVE-2017-4933, CVE-2017-4940, CVE-2017-4941 และ CVE-2017-4943) มีผลต่อ VMware ESXi, VMware Workstation, VMware Fusion และ VMware vCenter Server Appliance, Workstation and Fusion

CVE-2017-4941 และ CVE-2017-4933 เป็นช่องโหว่เกี่ยวกับ stack overflow และ heap overflow หากโจมตีได้สำเร็จ สามารถทำการ remote code execution ผ่าน VNC ที่ได้รับการ Authenticate แล้ว
CVE-2017-4940 เป็นช่องโหว่ cross-site script มีผลต่อ ESXi Host Client ผู้บุกรุกสามารถใช้ช่องโหว่นี้ได้โดยการฝัง JavaScript ซึ่งสามารถทำงานได้เมื่อผู้ใช้รายอื่นเข้าถึง Host Client
CVE-2017-4943 เป็นช่องโหว่การเพิ่มสิทธิ์ผ่านปลั๊กอิน 'showlog' ใน vCenter Server Appliance (vCSA) หากโจมตีสำเร็จจะทำให้ผู้ใช้งานที่มีสิทธิ์ต่ำ สามารถเพิ่มสิทธิ์ของตนเองให้สูงขึ้นได้ ปัญหานี้มีผลกับ vCSA 6.5 เท่านั้น

ช่องโหว่เหล่านี่ถูกค้นพบ และรายงานโดย Alain Homewood จาก Insomnia Security, Lukasz Plonka, Lilith Wyatt และสมาชิกคนอื่นๆจาก Cisco Talos

ที่มา : vmware

Exim 4.88 และ 4.89 Conclusion แจ้งเตือนช่องโหว่อันตรายร้ายแรงบนซอฟต์แวร์จัดการอีเมลบนเซิร์ฟเวอร์ Exim

ผู้พัฒนาโครงการซอฟต์แวร์จัดการอีเมลบนเซิร์ฟเวอร์ Phil Pennock ได้ประกาศแจ้งเตือนช่องโหว่รหัส CVE-2017-16944 (โดยไม่มีใครได้ตั้งตัว) บนซอฟต์แวร์ EXIM วันนี้โดยช่องโหว่ดังกล่าวนั้นอาจส่งผลให้ผู้โจมตีสามารถถูกโจมตีเพื่อรันโค้ดที่เป็นอันตรายได้จากระยะไกลหรือขัดขวางการทำงานของระบบได้

ช่องโหว่บน Exim เกิดขึ้นจากพฤติกรรมการทำงานของซอฟต์แวร์เมื่อมีการตรวจสอบค่าในฟิลด์ BDAT ซอฟต์แวร์ Exim จะทำการสแกนค่าอักขระ . เพื่อระบุหาจุดสิ้นสุดของอีเมล อย่างไรก็ตามฟังก์ชันที่ทำหน้าที่ (receive_getc) นี้กลับทำงานอย่างไม่ถูกต้องทำให้เกิดการเขียนข้อมูลล้นหน่วยความจำที่ถูกจองไว้และส่งผลให้โปรแกรมแครช หรือในสถานการณ์ที่เลวร้ายที่สุดผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวในการควบคุมการทำงานของซอฟต์แวร์เพื่อรันโค้ดจากระยะไกลได้

ช่องโหว่นี้ถูกค้นพบในเวอร์ชัน 4.88 และ 4.89
Recommendation ในการป้องกันในเบื้องต้นนั้น Phil Pennock แนะนำให้มีการแก้ไขการตั้งค่าของซอฟต์แวร์โดยแก้ไขออปชั่น chunking_advertise_hosts= ให้เป็นค่าว่างจนกว่าจะมีแพตช์ของซอฟต์แวร์ออกมา

ที่มา : Theregister

CERT/CC ออกประกาศได้ความปลอดภัย VU#817544 เมื่ออาทิตย์ที่ผ่านมาหลังจากมีการค้นพบข้อผิดพลาดใน Windows 8 หรือใหม่กว่าซึ่งเป็นผลการทำงานของฟังก์ชันด้านความปลอดภัยหนึ่งไม่สมบูรณ์ และอาจส่งผลต่อความปลอดภัยของระบบในภาพรวมได้

ฟังก์ชันหรือฟีเจอร์ด้านความปลอดภัยนี้มีชื่อว่า ASLR ซึ่งเริ่มใช้งานตั้งแต่ Windows Vista เป็นต้นมา ฟังก์ชันนี้ช่วยป้องกันการโจมตีแบบ code-reuse หรือที่รู้จักกันในชื่อ Return-oriented programming (ROP) ได้โดยการทำให้โมดูลหรือไลบรารีที่ถูกโหลดขึ้นมานั้นอยู่ในตำแหน่งแบบสุ่มแทนที่จะอยู่ในตำแหน่งที่คาดเดาได้จากผู้โจมตี

ตั้งแต่ Windows 8 เป็นต้นมา โปรแกรม EMET (หรือ Windows Defender Exploit Guard) เข้ามามีส่วนสำคัญในการอิมพลีเมนต์ ASLR ให้กับแอปพลิเคชันอื่นๆ อย่างไรก็ตามมีการค้นพบการอิมพลีเมนต์ ASLR โดยโปรแกรม EMET หรือ Windows Defender Exploit Guard ไม่สมบูรณ์และอาจทำให้โปรแกรมไม่ได้ถูกปกป้องโดย ASLR อย่างที่ผู้ใช้งานคาดหวังได้

Recommendation สำหรับวิธีการแก้ปัญหาในเบื้องต้น (workaround) นั้น ผู้ใช้งานสามารถดำเนินแก้ไขข้อผิดพลาดนี้ได้โดยการแก้ไขค่ารีจิสทรีตามข้อมูลจากแหล่งที่มา อย่างไรก็ตามเราแนะนำให้ผู้ใช้งานและผู้ดูแลระบบคอยตรวจสอบวิธีการในการแก้ไขปัญหาอย่างเป็นทางการจากทางไมโครซอฟต์อีกครั้ง

ที่มา : KB.Cert

CouchDB เป็นตัวจัดการฐานข้อมูลที่มีลักษณะเป็น document-oriented ซึ่งถูกใช้ในฐานข้อมูลแบบ NoSQL และปัจจุบันเป็นที่นิยมมากจากการจัดลำดับโดย DB-Engines
นักวิจัย Max Justicz ค้นพบช่องโหว่ CouchDB ในระหว่างที่พยายามหา Bug บนเซิร์ฟเวอร์ที่มีหน้าที่ในการแจกจ่าย npm packages(registry.

พบช่องโหว่ใน RubyGems ซึ่งเป็นเครื่องมือที่ใช้ในการจัดการภาษา Ruby รายละเอียดช่องโหว่ที่พบมีดังนี้
• DNS request hijacking vulnerability.