ช่องโหว่ทั้งหมดในส่วนของ GPU Display Driver ผู้ไม่หวังดีจำเป็นจะต้องเข้ามาถึงเครื่องได้ก่อน (local) จึงจะสามารถทำการโจมตีได้ ซึ่งประกอบด้วย

CVE-2021-1074 (คะแนน 7.5/10): ปัญหาอยู่ในตัว Installer ของ driver รุ่น R390 สำหรับ Windows ผู้ไม่หวังดีที่สามารถเข้ามาถึงเครื่องได้ (local) สามารถแทรกไฟล์อันตรายลงไปแทนที่ไฟล์ปกติ เพื่อใช้รันคำสั่งอันตราย, ยกระดับสิทธิ์, DoS หรือเปิดเผยข้อมูลสำคัญได้
CVE-2021-1075 (คะแนน 7.3/10): ปัญหาอยู่ในส่วน kernel (nvlddmkm.

ทีม Project Zero จาก Google ได้เปิดเผยถึงการค้นพบกลุ่มเเฮกเกอร์พยายามใช้ช่องโหว่ Zero-day จำนวน 11 รายการ ในการโจมตีที่กำหนดเป้าหมายไปที่ผู้ใช้ Windows, iOS และ Android

ตามรายงานการโจมตีพบแคมเปญการโจมตีจากกลุ่มแฮกเกอร์เกิดขึ้นในสองช่วงเวลาคือในเดือนกุมภาพันธ์และตุลาคม 2020 ที่ผ่านมา โดยช่องโหว่ Zero-day จำนวน 11 รายการ ที่ถูกใช้ในการโจมตีมีรายละเอียดดังนี้

ช่องโหว่ CVE-2020-6418 - เป็นช่องโหว่ในโมดูล TurboFan ของ Chrome (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-0938 - เป็นช่องโหว่ใน Font บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-1020 - เป็นช่องโหว่ใน Font บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-1027 - เป็นช่องโหว่ Client Server Run-Time Subsystem (CSRSS) บน Windows (ถูกแก้ไขช่องโหว่แล้วในกุมภาพันธ์ 2020)
ช่องโหว่ CVE-2020-15999 - เป็นช่องโหว่ Freetype Heap buffer overflow บน Chrome (ถูกแก้ไขช่องโหว่แล้วในตุลาคม 2020)
ช่องโหว่ CVE-2020-17087 - เป็นช่องโหว่ Heap buffer overflow ใน cng.

ช่องโหว่ดังกล่าวคือ CVE-2021-28133 โดยปกติผู้ใช้งานสามารถเลือกที่จะแชร์หน้าจอเฉพาะส่วนที่ต้องการ, แอพพลิเคชั่นที่ต้องการ หรือเลือกที่จะแชร์หน้าจอทั้งหมด แต่ช่องโหว่ดังกล่าวนี้จะแสดงข้อมูลของแอพพลิเคชั่นอื่นๆ ให้ผู้เข้าร่วมคนอื่นเห็นเป็นช่วงเวลาสั้นๆ หากแอพพลิเคชั่นดังกล่าวถูกเปิดซ้อนบนแอพพลิเคชั่นที่ถูกแชร์อยู่

ปัญหาดังกล่าวถูกทดสอบบนเวอร์ชั่น 5.4.3 และ 5.5.4 ทั้งบน Windows และ Linux มีการเปิดเผยว่าช่องโหว่ดังกล่าวได้รับการแจ้งไปตั้งแต่เมื่อวันที่ 2 ธันวาคม ปีที่แล้ว และปัจจุบันช่องโหว่ดังกล่าวก็ยังไม่มีการปล่อยแพทช์ออกมา โดย zoom แจ้งว่ารับทราบถึงปัญหาดังกล่าวแล้ว และกำลังอยู่ในขั้นตอนดำเนินการแก้ไข แม้ว่าข้อมูลดังกล่าวจะถูกแสดงเพียงแค่ระยะเวลาสั้นๆ แต่หากมีการอัดวิดีโอไว้ ก็จะสามารถเปิดย้อนกลับมาเพื่อดูได้

ที่มา: thehackernews

Adobe เปิดตัวแพตช์การอัปเดตด้านความปลอดภัยที่แก้ไขช่องโหว่ใน Adobe Creative Cloud Desktop, Adobe Framemaker และ Adobe Connect

โดยรวมแล้วแพตช์อัปเดตด้านความปลอดภัยที่ได้รับการเเก้ไขช่องโหว่มีจำนวน 8 รายการ ซึ่งส่วนใหญ่เป็นช่องโหว่ที่มีความรุนแรงระดับ Critical และเป็นช่องโหว่การเรียกใช้โค้ดโดยไม่ได้รับอนุญาต โดยรายละเอียดของช่องโหว่ที่สำคัญมีดังนี้

ช่องโหว่ใน Adobe Framemaker จำนวน 1 รายการ ติดตามด้วยรหัส CVE-2021-21056 โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต ใน Adobe Framemaker เวอร์ชัน 2019.0.8 และต่ำกว่า สำหรับ Windows
ช่องโหว่ใน Adobe Creative Cloud Desktop จำนวน 3 รายการ ติดตามด้วยรหัส CVE-2021-21068, CVE-2021-21078 และ CVE-2021-21069 โดยช่องโหว่ 2 รายการแรกจะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต และช่องโหว่ที่สามเป็นช่องโหว่นำไปสู่การยกระดับสิทธิ์ของผู้ใช้ ซึ่งช่องโหว่ทั้ง 3 รายการจะส่งผลกระทบกับ Adobe Creative Cloud Desktop เวอร์ชัน 5.3 และเวอร์ชันก่อนหน้า สำหรับ Windows และ Mac OS
ช่องโหว่ใน Adobe Connect จำนวน 4 รายการ ติดตามด้วยรหัส CVE-2021-21085, CVE-2021-21079, CVE-2021-21079 และ CVE-2021-21081 โดยช่องโหว่แรกเป็นช่องโหว่การตรวจสอบอินพุตข้อมูลที่ไม่เหมาะสมและช่องโหว่อีก 3 รายการเป็นช่องโหว่ Cross-Site Scripting (XSS) ซึ่งช่องโหว่จะส่งผลกระทบกับ Adobe Connect เวอร์ชัน 11.0.5 และเวอร์ชันก่อนหน้า

ทั้งนี้ผู้ใช้ผลิตภัณฑ์ของ Adobe ควรทำการอัปเดตแพตช์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

นักวิจัยด้านความปลอดภัย Julien Voisin ประกาศการค้นพบโค้ดสำหรับโจมตีช่องโหว่ (Exploit) สำหรับช่องโหว่ Spectre ในเว็บไซต์ VirusTotal โดยการโจมตีช่องโหว่ Spectre นั้นสามารถทำให้ผู้โจมตีเข้าถึงข้อมูลที่อยู่ในหน่วยความจำได้อย่างอิสระ

ทีม Intelligent Response ได้เคยมีการพูดช่องโหว่ Spectre และ Meltdown เมื่อปี 2018 สามารถอ่านบทความของเราได้ที่นี่ i-secure

จากการตรวจสอบ Exploit ที่อยู่ใน VirusTotal นั้น Voision พบ Exploit สำหรับระบบ Linux และ Windows ซึ่งเมื่อทำการใช้งานแล้วโดยบัญชีผู้ใช้ที่มีสิทธิ์ต่ำ ผู้ใช้ที่มีสิทธิ์ต่ำดังกล่าวจะสามารถดึงค่าแฮช LM/NT และ Kerberos ticket ใน Windows และข้อมูลใน /etc/shadow สำหรับระบบ Linux ได้ทันที

การวิเคราะห์ยังบ่งชี้ถึงที่มาของทั้งสอง Exploit โดยทั้งสอง Exploit มีที่มาจากโปรแกรม Canvas ของ Immunity ซึ่งเป็นโปรแกรมรวม Exploit คล้ายกับ Metasploit แต่มี Private exploit ที่ทาง Immunity มีการพัฒนาขึ้นเองอยู่ด้วย ที่มาของ Exploit ทั้งสองนั้นมาจากการรั่วไหลของ Canvas 7.26 ซึ่งเกิดขึ้นในช่วงเดือนธันวามคมที่ผ่านมา ซึ่งก็สอดคล้องกับงานวิจัยของ Immunity ที่เคยสาธิตการใช้งาน Canvas เพื่อโจมตีช่องโหว่ Spectre และขโมยข้อมูล Kerberos ticket มาตามวีดิโอ vimeo

 

ที่มา: bleepingcomputer

ในช่วงระหว่างปลายเดือนกุมพาพันธ์ที่ผ่านมา กรณีการโจมตี SolarWinds มีความเคลื่อนไหวหลายประกาศ ซึ่งทีม Intelligent Response ขอสรุปสถานการณ์ และความเคลื่อนไหวดังกล่าวให้รับทราบดังนี้

1.NASA และ FAA ร่วมวงผู้ได้รับผลกระทบ

องค์การบริการการบินและอวกาศแห่งชาติหรือ NASA และองค์การบริหารการบินแห่งสหรัฐอเมริกา (FAA) ออกมายืนยันว่าทางองค์กรได้รับผลกระทบจากการโจมตีซึ่งเกี่ยวข้องกับกรณีการโจมตี SolarWinds ในลักษณะ Supply-chain attack ไม่มีการเปิดเผยผลกระทบและความรุนแรง อย่างไรก็ตามทั้งสององค์กรได้ออกมายืนยันว่าได้มีการดำเนินการตามความเหมาะสมเพื่อจัดการกับสถานการณ์แล้ว

ที่มา: bleepingcomputer

 

2.ไมโครซอฟต์ปล่อยชุดคิวรี่ CodeQL ในการใช้ค้นหา IOC ในระดับโค้ด

ไมโครซอฟต์มีการเผยแพร่คิวรี่สำหรับเฟรมเวิร์ค CodeQL เพื่อใช้ในการหา IOC ที่เกี่ยวข้องกับมัลแวร์ SUNBURST ในระดับโค้ด ตัวอย่างเช่น โค้ดส่วนที่ใช้ในการฝังตัว (implant), โค้ดฟังก์ชันแฮชที่ใช้ในการเก็บข้อมูลโปรเซส รวมไปถึงส่วนโค้ดที่ใช้ในการติดต่อการ C&C โดยปัจจุบันโค้ดได้ถูก Merge เข้าไปในการ Repository กลางของ CodeQL แล้ว และสามารถเข้าดูได้ที่ github

ที่มา: microsoft

 

3.1อัปเดตข้อมูลจากการให้ข้อมูลกับคณะกรรมการข่าวกรอง โดย Microsoft, FireEye, CrowdStrike และ SolarWinds

ฝั่งไมโครซอฟต์มีการร้องขอให้ทางภาครัฐฯ สนับสนุนหรือบังคับให้ภาคเอกชนจำเป็นต้องมีการแบ่งปันข้อมูลที่ดีกว่านี้เมื่อมีการโจมตีเกิดขึ้น
FireEye ระบุความเกี่ยวข้องกับการโจมตีว่า วิธีการโจมตีที่ตรวจพบนั้นมีความสอดคล้องกับพฤติกรรมในปฏิบัติการทางไซเบอร์รัสเซียมากที่สุด ทางทำเนียบขาวตอบรับในข้อเท็จจริงและกำลังหาวิธีการที่เหมาะสมในการเรียกร้องความรับผิดชอบจากรัสเซีย
CrowdStrike เน้นไปที่ปัญหาในระบบของ Windows และวิธีการที่ล้าหลังในการพิสูจน์ตัวตนรวมไปถึงโซลูชันด้านความปลอดภัยที่ไม่มีประสิทธิภาพให้เป็นส่วนหนึ่งของปัญหาเช่นเดียวกัน
ที่มา: theregister

 

3.2อัปเดตข้อมูลจากการให้ข้อมูลกับวุฒิสภา โดย Microsoft, FireEye, CrowdStrike และ SolarWinds

SolarWinds ให้ข้อมูลรหัสผ่าน solarwinds123 ที่เกี่ยวข้องกับระบบ File server ของ SolarWinds นั้นเกิดจากเด็กฝึกงานเป็นผู้กำหนดขึ้นมา ทั้งนี้ปัญหาก็ได้รับการจัดการทันทีที่รับทราบ
ไมโครซอฟต์ระบุว่าไม่พบหลักฐานว่ากระทรวงกลาโหมถูกโจมตี
FireEye ระบุว่าผลกระทบที่แท้จริงจากการโจมตีนั้นยังคงถูกประเมินได้ยาก และในขณะเดียวกันการระบุข้อมูลใดที่ถูกขโมยออกไปบ้างก็เป็นไปได้ยากที่จะระบุได้เช่นเดียวกัน
ที่มา: cnn

Yaron Zinar นักวิจัยด้านความปลอดภัยจากบริษัท Preempt ได้เปิดเผยถึงรายละเอียดของช่องโหว่ใน Windows NT LAN Manager (NTLM) ที่ Microsoft ได้ทำการแก้ไขช่องโหว่ดังกล่าวแล้วในการอัปเดตความปลอดภัยประจำเดือนหรือ Patch Tuesday เมื่อต้นเดือนที่ผ่านมา

ช่องโหว่ถูกติดตามด้วยรหัส CVE-2021-1678 (CVSSv3: 4.3/10) ซึ่งช่องโหว่ดังกล่าวได้รับการอธิบายจาก Microsoft ว่าเป็นช่องโหว่ที่สามารถ Bypass ฟีเจอร์ความปลอดภัยของ Windows NT LAN Manager (NTLM) โดยช่องโหว่ดังกล่าวอยู่ใน IRemoteWinSpool MSRPC interface ซึ่งเป็นอินเทอร์เฟซสำหรับ Printer Remote Procedure Call (RPC) ที่ออกแบบมาสำหรับการจัดการตัวจัดคิวของเครื่องพิมพ์เอกสารจากระยะไกล ซึ่งช่องโหว่จะทำให้ผู้โจมตีสามารถรีเลย์เซสชันการตรวจสอบสิทธิ์ NTLM ไปยังเครื่องที่ถูกโจมตีและใช้ MSRPC interface ของ Printer spooler เพื่อเรียกใช้โค้ดจากระยะไกลบนเครื่องที่ถูกโจมตี

ช่องโหว่จะส่งผลกระทบกับ Windows ทุกรุ่น ได้แก่ Windows Server, Windows Server 2012 R2, Windows Server 2008, Windows Server 2016, Windows Server 2019, RT 8.1, 8.1, 7 และ 10

ทั้งนี้นักวิจัยด้านความปลอดภัยได้กล่าวว่าพวกเขามีโค้ด Proof-of-Concept (POC) สำหรับช่องโหว่และสามารถใช้งานได้ แต่จะยังไม่ทำการเผยเเพร่สู่สาธารณะ อย่างไรก็ดีผู้ใช้และผู้ดูแลระบบควรทำการอัปเดตแพตช์ความปลอดภัยให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: securityweek | thehackernews

โครงการ VideoLAN ได้เปิดตัว VLC Media Player เวอร์ชัน 3.0.12 สำหรับ Windows, Mac และ Linux ในสัปดาห์ที่ผ่านมา โดยใน VLC Media Player เวอร์ชันล่าสุดนี้ได้ทำการปรับปรุงคุณสมบัติและแก้ไขความปลอดภัยมากมายอีกทั้งยังเป็นการอัปเกรดที่สำคัญสำหรับผู้ใช้ Mac เนื่องจากในเวอร์ชันนี้มีการรองรับ Apple Silicon และแก้ไขความผิดเพี้ยนของเสียงใน macOS

นอกจากการแก้ไขข้อบกพร่องและการปรับปรุงแล้ว VLC Media Player 3.0.12 ยังแก้ไขช่องโหว่ด้านความปลอดภัยจำนวนมากที่ถูกรายงานโดย Zhen Zhou จากทีมรักษาความปลอดภัยของบริษัท NSFOCUS ซึ่งค้นพบช่องโหว่ Buffer overflow ที่อาจทำให้ซอฟต์แวร์เกิดข้อขัดข้องหรืออาจนำไปสู่การเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาตด้วยสิทธิ์ของผู้ใช้ที่ตกเป็นเป้าหมาย ซึ่งผู้โจมตีจากระยะไกลสามารถใช้ช่องโหว่นี้ได้โดยการสร้างไฟล์สื่อที่ออกแบบมาเป็นพิเศษและหลอกให้ผู้ใช้เปิดไฟล์ด้วย VLC

ทั้งนี้ผู้ใช้ VLC Media Player ควรทำการอัปเดตเวอร์ชันให้เป็น VLC 3.0.12 เพื่อป้องกันการตกเป็นเหยื่อของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

Jonas Lykkegaard นักวิจัยด้านความปลอดภัยด้านระบบปฏิบัติการ Windows ได้เปิดเผยถึงการค้นพบพาธที่จะทำให้ Windows 10 เกิดขัดข้องและจะแสดง Blue Screen of Death (BSOD) ทันทีเพียงแค่เปิดพาทในแถบ Address bar ของเบราว์เซอร์หรือใช้คำสั่งอื่นๆ

Lykkegaard กล่าวว่าเขาได้ค้นพบพาธสำหรับ Win32 device namespace สำหรับอุปกรณ์ในกลุ่ม "console multiplexer driver" ที่สามารถอ้างถึงได้ผ่านพาธ \\.\globalroot\device\condrv\kernelconnect โดยหากมีการพยายามเข้าถึงพาธนี้ไม่ว่าจะในลักษณะใดก็ตาม ระบบจะเกิดการแครชและแสดงหน้า Blue Screen of Death ทันที การวิเคราะห์เบื้องต้นพบว่าพาธดังกล่าวนั้นจำเป็นจะต้องมีการระบุพารามิเตอร์อย่างน้อยหนึ่งรายการ ทั้งนี้หากเรียกพาธดังกล่าวโดยไม่ระบุค่าใดๆ ไป ระบบจะเกิดข้อผิดพลาดจากการตรวจสอบเงื่อนไขนี้ไม่สมบูรณ์ และทำให้เกิดสถานการณ์ดังกล่าว

หลังจากพบข้อบกพร่องนักวิจัยได้ทำการแจ้งต่อ Microsoft แล้วเมื่อสัปดาห์ที่ผ่านเพื่อให้ Microsoft ทำการตรวจสอบปัญหาด้านความปลอดภัยที่ได้รับรายงานและจัดเตรียมการอัปเดตสำหรับอุปกรณ์ที่ได้รับผลกระทบโดยเร็วที่สุด

ที่มา: bleepingcomputer

 

IObit ผู้พัฒนาซอฟต์แวร์ยูทิลิตี้ที่รู้จักกันดีในเรื่องการเพิ่มประสิทธิภาพของระบบ Windows และโปรแกรมป้องกันมัลแวร์เช่น Advanced SystemCare ถูกแฮกในช่วงสุดสัปดาห์ที่ผ่านมา ผู้ประสงค์ร้ายได้ใช้ประโยชน์จากการบุกรุกนี้เพื่อทำการโจมตีผู้ใช้อย่างกว้างขวางโดยการแจกจ่ายซอฟต์แวร์ที่แฝง DeroHE ransomware ไว้ให้กับสมาชิกฟอรัมทำการดาวน์โหลด

การแจกจ่ายซอฟต์แวร์ที่แฝง DeroHE ransomware ไว้ให้กับสมาชิกฟอรัมทำการดาวน์โหลดนั้นเกิดขึ้นในช่วงสุดสัปดาห์ที่ผ่านมา ซึ่งสมาชิกฟอรัม IObit จะได้รับอีเมลที่อ้างว่ามาจาก IObit โดยระบุว่าสมาชิกฟอรัม IObit มีสิทธิ์ได้รับการใช้งานซอฟต์แวร์ฟรี 1 ปี ซึ่งเป็นสิทธิพิเศษในการเป็นสมาชิกฟอรัมเท่านั้น โดยภายในอีเมลจะมีลิงก์คือ hxxps://forums.