ช่องโหว่หมายเลข CVE-2019-0859 ที่ส่งผลให้มีการเพิ่มระดับสิทธิ์ และมีการแอบฝัง PowerShell backdoor ไปยังระบบปฎิบัติการ Windows ได้ ปัจจุบันได้ถูกแก้ไขแพทช์ล่าสุดของ Microsoft และมีการอัพเดทแพทช์ ประจำเดือนเมษายน 2019 แล้ว

ทาง Kaspersky กล่าวว่าช่องโหว่นี้เกิดจากข้อผิดพลาดในการใช้งานฟรี จะถูกใช้โดยนักแสดงการคุกคามที่ไม่มีชื่อในการดำเนินการ PowerShell ซึ่งเป็นงานอัตโนมัติของ Microsoft และการจัดการการกำหนดค่าเพื่อพยายามดาวน์โหลดสคริปต์ขั้นที่สองจาก Pastebin สคริปต์ระยะที่สองนี้เรียกใช้สคริปต์อื่นที่คลายการใช้ shellcode และ shellcode สร้าง HTTP reverse shell ที่ทำให้ผู้โจมตีสามารถควบคุมอุปกรณ์เป้าหมายได้อย่างสมบูรณ์ ส่วนใหญ่จะถูกโจมตีสำหรับ Windows รุ่น 64 บิต (ตั้งแต่ Windows 7 ไปจนถึงรุ่นเก่ากว่าของ Windows 10) และใช้ประโยชน์จากช่องโหว่โดยใช้เทคนิค HMValidateHandle ที่รู้จักกันดีในการเลี่ยง ASLR

ส่วนช่องโหว่อื่นๆของ Windows เช่น (CVE-2019-0803) ที่คล้ายกับช่องโหว่ที่ระบุโดย Kaspersky นั้นได้รับการแก้ไขในเดือนนี้โดย Microsoft ข้อบกพร่องดังกล่าวซึ่งรายงานโดย บริษัท Donghai Zhu ของทีมรักษาความปลอดภัยข่าวกรอง Cloud ของ Alibaba ก็ถูกนำไปใช้เช่นกัน แต่ก็ไม่มีรายละเอียดใด ๆ เกี่ยวกับการโจมตี

ที่มา: www.

นักวิจัยด้านความปลอดภัยออกมาเปิดเผยรายละเอียดสำหรับช่องโหว่ CVE-2018-8476 บนWindows Server ช่องโหว่ดังกล่าวถูกแก้ไขในแพตช์ประจำเดือนพฤศจิกายน ปี 2561 ที่ผ่านมา ช่องโหว่นี้ส่งผลทำให้แฮกเกอร์สามารถโจมตีด้วยวิธีแทรกแซง Windows Server installation และใช้บริการ Windows Deployment Services (WDS) ในทางที่ผิดเพื่อยึดเครื่องและวาง backdoor ได้ โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อตั้งแต่ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุดและกระทบ Windows Deployment Services (WDS) ที่มาพร้อมกับระบบ
Omri Herscovici นักวิจัย Check Point ได้ทดสอบสร้างแพ็กเก็ตที่มีรูปแบบไม่ถูกต้องซึ่งจะทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายบน Windows Server ทำให้แฮกเกอร์สามารถเข้ายึด Windows Server ได้
ทั้งนี้หากแฮกเกอร์เข้าควบคุม Windows Server ได้เขาจะสามารถควบคุมเครือข่ายทั้งหมดได้อย่างสมบูรณ์และสามารถใช้บริการ WDS เดียวกันเพื่อลงโปรแกรมอันตราย เช่น backdoor ไปยังระบบภายในได้อย่างง่ายดาย
ทางด้าน Microsoft และ Herscovici ยังไม่พบการโจมตีใด ๆ จากช่องโหว่นี้ แต่หลังจากมีการเผยแพร่รายงานนี้อาจมีผู้ไม่หวังดีพยายามโจมตีช่องโหว่ได้
ข้อแนะนำ: ผู้ดูแลระบบควรอัพเดทแพทช์ประจำเดือนพฤศจิกายน 2561 ให้กับ Windows Server 2008 SP2 ไปจนถึงรุ่นล่าสุด

ที่มา: zdnet.

สรุปย่อ
เมื่อวันที่ 19 ธันวาคม 2018 ตามเวลาประเทศไทย นักวิจัยด้านความปลอดภัยที่ใช้ชื่อบนทวิตเตอร์ว่า SandboxEscaper ได้เผยแพร่ Proof-of-Concept (PoC) ของช่องโหว่ Zero-day ในระบบปฏิบัติการวินโดวส์ เป็นช่องโหว่ที่ทำให้ผู้ใช้งานที่มีสิทธิ์ต่ำหรือโปรแกรมอันตรายสามารถอ่านไฟล์ใดๆ บนเครื่องได้แม้แต่ไฟล์ที่ให้สิทธิ์เฉพาะผู้ใช้งานระดับ Administrator ผลกระทบที่อาจเกิดจากช่องโหว่นี้คือ ผู้ใช้งานที่มีสิทธิ์ต่ำหรือโปรแกรมอันตรายสามารถอ่านและสามารถคัดลอกไฟล์ได้แม้ไม่มีสิทธิ์เข้าถึงไฟล์เหล่านั้น
รายละเอียดของช่องโหว่

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อบนทวิตเตอร์ว่า SandboxEscaper ได้เผยแพร่ Proof-of-Concept (PoC) ของช่องโหว่ Zero-day ในระบบปฏิบัติการวินโดวส์ นับเป็นช่องโหว่ที่สามแล้วที่มีการเผยแพร่ในปีนี้ โดยช่องโหว่ทั้งสามมีลักษณะคล้ายกันที่เป็นช่องโหว่ที่ทำให้สามารถยกระดับสิทธิ์ได้ (Elevation of Privilege) ซึ่งสามารถอ่านรายละเอียดของช่องโหว่ที่ผ่านมาได้จาก ทำความรู้จักช่องโหว่ zero-day ใหม่ ใน Task Scheduler บน Windows และ Microsoft Windows zero-day disclosed on Twitter, again, impacts Windows 10, Server 2016, and Server 2019 only.

Adobe ได้เปิดตัวการปรับปรุง Flash Player ช่องโหว่ที่มีระความความรุนแรงสูง CVE-2018-15981 ส่งผลให้มีการเรียกใช้โค้ดจากระยะไกลได้

ช่องโหว่ CVE-2018-15981 ถูกค้นพบและเปิดเผยต่อสาธารณโดยนักวิจัย Gil Dabah เมื่อสัปดาห์ที่ผ่านมา ทาง Adobe ได้แนะนำผู้ใช้งานให้ทำการอัพเดทแพทช์เร่งด่วน พรอมทั้งทำการอัพเดทเว็บเบราว์เซอร์ Google Chrome และ Microsoft Edge ด้วย เพราะทั้งสองมี Flash เป็นค่าเริ่มต้นและมีช่องโหว่อยู่ด้วย

จากข่าวรายงานว่า ทาง Adobe กำลังวางแผนหยุดสนับสนุน Flash Player ออกไปโดยสิ้นเชิงในปี 2020

Flash Player ที่ได้รับผลกระทบดังนี้ : Flash Player 31.0.0.148 และเวอร์ชันก่อนหน้านี้สำหรับ Windows, MacOS, Linux และ Chrome OS

ที่มา : helpnetsecurity

เกิด Bug ใน Windows 10 ที่ให้แอปพลิเคชั่น Universal Windows Platform (UWP) เข้าถึงไฟล์ทั้งหมดโดยไม่ได้รับความยินยอมจากผู้ใช้

Microsoft แก้ไขข้อบกพร่องในระบบปฏิบัติการ Windows 10 ด้วยแพตช์ประจำเดือนตุลาคมปี 2018 (เวอร์ชัน 1809) ซึ่งอนุญาตให้แอปใน Microsoft Store มีสิทธิ์ในระบบไฟล์ที่ครอบคุลมในการเข้าถึงไฟล์ทั้งหมดในคอมพิวเตอร์ของผู้ใช้โดยไม่ได้รับความยินยอม

Microsoft ได้เปิดตัวแพลตฟอร์มทั่วไปที่เรียกว่า Universal Windows Platform (UWP) เริ่มใช้งานใน Windows 10 ซึ่งช่วยให้แอปพลิเคชั่นสามารถทำงานได้บนอุปกรณ์ที่ใช้ Windows 10 ทั้งหมดได้แก่ PC, Xbox, IoT, Surface Hub และ Mixed-reality headset

แอปพลิเคชั่น UWP มีความสามารถในการเข้าถึง API บางไฟล์เช่นรูปภาพเพลงหรืออุปกรณ์ต่างๆ เช่นกล้องถ่ายรูปและไมโครโฟน UWP สามารถเข้าถึงไดเร็กทอรีที่มีการติดตั้งแอปในระบบของผู้ใช้และแอปสามารถจัดเก็บข้อมูลของผู้ใช้ (local, roaming และ temporary folders) ได้ และมีความสามารถ broadFileSystemAccess (Broad Files System Access) ช่วยให้แอปพลิเคชั่นสามารถเข้าถึงระบบไฟล์ได้ในระดับเดียวกับผู้ใช้ที่เปิดตัวแอปพลิเคชันนั้นๆ แต่ต้องได้รับการยินยอมจากผู้ใช้ก่อน

Sébastien Lachance นักพัฒนาของ Microsoft เรียนรู้เกี่ยวกับข้อผิดพลาดนี้บน Windows 10 รุ่นก่อนหน้าแพตช์ประจำเดือนตุลาคม 2018 ในแอปพลิเคชันที่เขาพัฒนาที่ใช้สิทธิ์ broadFileSystemAccess โดยไม่แสดงข้อความแจ้งเกี่ยวกับสิทธิ์ในการเข้าถึงระบบไฟล์ ทำให้ Windows 10 จนกระทั่งรุ่น 1809 แอปพลิเคชันสามารถเข้าถึงระบบไฟล์ทั้งหมดโดยไม่ต้องแจ้งให้ผู้ใช้อนุญาต

ทั้งนี้วิศวกรของ Microsoft ได้อธิบายกับ Lachance ได้แก้ปัญหาที่เกิดขึ้นโดยการปิดการตั้งค่า 'broadFileSystemAccess' เป็นค่าเริ่มต้น ซึ่งแอปพลิเคชั่น UWP ทั้งหมดอาจจำเป็นต้องได้รับการปรับปรุงเพื่อป้องกันการขัดข้อง

แต่เนื่องจากมีการหยุดให้อัปเดต Windows 10 บนแพตช์ประจำเดือนตุลาคมปี 2018 จึงแนะนำให้ตั้งค่าก่อนที่จะเปิดตัวแอปพลิเคชันแทนก่อน โดยให้เข้าไปปิดการอัพเดต ที่ Windows 10 Settings → Privacy → File system
ที่มา:thehackernews

นักวิจัยด้านความปลอดภัยชื่อ "SandboxEscaper" ได้เผยแพร่ช่องโหว่ Zero-day ใหม่ใน Windows บน Twitter ของตัวเองอีกครั้งเป็นครั้งที่สองในช่วงสองเดือนที่ผ่านมา และเปิดเผย proof-of-concept (POC) ของช่องโหว่ดังกล่าวบน GitHub

ช่องโหว่ดังกล่าวส่งผลกระทบกับ Microsoft Data Sharing (dssvc.

ช่องโหว่ zero-day ใน Task Scheduler บน Windows ถูกใช้โจมตีด้วยมัลแวร์แล้ว

หลังจากที่มีผู้เผยแพร่ช่องโหว่ zero-day ใน Task Scheduler บน Windows ในช่วงเช้าวันอังคารที่ 28 สิงหาคม ตามเวลาในประเทศไทย นักวิจัยจาก ESET ได้ค้นพบมัลแวร์ที่ใช้ประโยชน์จากช่องโหว่ดังกล่าวแล้วสร้างโดยกลุ่ม PowerPool ในสองวันต่อมา

กลุ่ม PowerPool ถูกตั้งชื่อตามวิธีในการโจมตี ซึ่งเป็นการโจมตีด้วยสคริปต์ PowerShell กลุ่ม PowerPool ทำการโจมตีไปทั่วโลกผ่านทาง spam อีเมลโดยพบเหยื่อจากหลายประเทศ ได้แก่ ชิลี เยอรมัน อินเดีย ยูเครน เป็นต้น อีเมลดังกล่าวประกอบด้วยไฟล์แนบอันตรายที่จะทำให้เครื่องของเหยื่อที่หลงเปิดติด backdoor หากกลุ่ม PowerPool คาดว่าเครื่องของเหยื่อมีข้อมูลสำคัญ จะทำการยกสิทธิ์ของ backdoor ด้วยช่องโหว่ zero-day ดังกล่าว

นักวิจัยจาก ESET กล่าวว่า ช่องโหว่นี้ถูกใช้โจมตีได้อย่างรวดเร็วเนื่องจากผู้เผยแพร่ช่องโหว่ได้เปิดเผย source code ที่ใช้ในการโจมตีด้วย ทำให้ง่ายต่อการนำไปใช้ต่อ ทั้งนี้มีการคาดการว่าไมโครซอฟต์จะทำการแพตช์ช่องโหว่ดังกล่าวในแพตช์ประจำเดือนกันยายน 2018

ที่มา : ZDNet

นักวิจัยด้านความปลอดภัย Dmitri Kaslov จาก Telspace Systems ได้ประกาศการค้นพบช่องโหว่ล่าสุดในส่วน Jscript ซึ่งอยู่ในระบบปฏิบัติการ Windows โดยอาจส่งผลให้เกิดการรันโค้ดที่เป็นอันตรายได้จากระยะไกล

ช่องโหว่ดังกล่าวเกิดขึ้นจากปัญหาในลักษณะ dangling pointer ซึ่งในช่องโหว่นี้นั้นคือการที่ pointer ของโปรแกรมยังคงชี้ไปยังจุดใดจุดหนึ่งในหน่วยความจำเคยถูกใช้งานแต่ถูกคืนพื้นที่กลับไปแล้ว อาจส่งผลให้ pointer ชี้ไปยังหน่วยความจำที่มีการใช้งานอยู่แต่ไม่เกี่ยวข้องกับการทำงานและเกิดเป็นพฤติกรรมของโปรแกรมที่ไม่สามารถคาดเดาได้ (undefined behavior)

ในการโจมตีช่องโหว่นี้นั้น ผู้โจมตีจำเป็นต้องหลอกล่อให้ผู้ใช้งานทำการเปิดไฟล์หรือเปิดหน้าเว็บเพจเพื่อรันโค้ดสำหรับโจมตี ซึ่งถึงแม้จะโจมตีสำเร็จ โค้ดอันตรายที่ถูกรันก็ยังคงถูกรันอยู่สภาพแวดล้อมควบคุม (sandbox) ทำให้ความเสียหายที่จะเกิดขึ้นนั้นค่อนข้างน้อย

ไมโครซอฟต์รับทราบถึงการมีอยู่ของช่องโหว่แล้ว และจะดำเนินการแก้ไขพร้อมกับปล่อยแพตช์ออกมาในเร็วๆ นี้

ที่มา : bleepingcomputer

Nabeel Ahmed นักวิจัยด้านความปลอดภัยจาก Trend Micro Zero Day Initiative พบช่องโหว่ในฟีเจอร์ Windows Remote Assistance (Quick Assist) (CVE-2018-0878) บน Windows ที่มีผลกระทบต่อ Windows ทุกเวอร์ชันรวมถึง Windows 10, 8.1, RT 8.1 และ 7 ช่องโหว่ดังกล่าวช่วยให้ผู้โจมตีสามารถเข้าถึงเครื่องเป้าหมายจากระยะไกลเพื่อขโมยข้อมูลสำคัญได้

Windows Remote Assistance เป็นเครื่องมือที่ช่วยให้ผู้ใช้สามารถเข้าถึงเครื่องคอมพิวเตอร์ได้จากระยะไกล เพื่อให้ผู้ใช้สามารถแก้ไขปัญหาได้จากทั่วโลก
ฟีเจอร์ดังกล่าวใช้เซอร์วิช Remote Desktop Protocol (RDP) เพื่อสร้างการเชื่อมต่อที่ปลอดภัยระหว่างผู้ใช้

ช่องโหว่ดังกล่าวมีผลต่อ Microsoft Windows Server 2016, Windows Server 2012 และ R2, Windows Server 2008 SP2 และ R2 SP1, Windows 10 (ทั้ง 32 บิตและ 64 บิต), Windows 8.1 (ทั้ง 32 บิตและ 64 บิต) และ RT 8.1 และ Windows 7 (ทั้ง 32 บิตและ 64 บิต)

Recommendation
ทาง Windows ได้ทำการแก้ไขช่องโหว่ดังกล่าวในแพทช์ประจำเดือนมีนาคม แนะนำให้ผู้ใช้งานอัพเดทแพทช์เพื่อแก้ไขช่องโหว่ดังกล่าว

ที่มา : thehackernews

ไมโครซอฟต์ออกประกาศเตรียมเพิ่มระบบปฏิบัติการที่สามารถใช้งาน Windows Defender Advanced Threat Protection (ATP) ได้โดยการเพิ่ม Windows 7 SP1 และ Windows 8.1 เข้าไปหลังจากแต่เดิมนั้นใช้ได้เพียง Windows 10 โดยจะเริ่มดำเนินการเร็วนี้ๆ

Windows Defender Advacned Threat Protection (ATP) เป็นบริการแบบเสียตังค์จากไมโครซอฟต์โดยมีแกนหลักเป็นระบบตรวจจับภัยคุกคามที่อาศัยเอนจินบนคลาวด์ โดยอาศัยการตรวจสอบทั้งจากพฤติกรรมของไฟล์ การใช้งานเครือข่ายหรือลักษณะของไฟล์ต่างๆ ในระบบ ATP ยังมีการเพิ่มประสิทธิภาพการตรวจจับโดยใช้เทคโนโลยี machine learning ร่วมด้วย

ที่มา : bleepingcomputer