คลังเก็บป้ายกำกับ: MEMORY_CORRUPTION

Intel แพตช์แก้ไขช่องโหว่บนไดร์ฟเวอร์แสดงผลกราฟฟิคสำหรับ Windows กว่า 20 รายการ

เมื่อไม่กี่วันที่ผ่านมาทาง Intel ได้ปล่อยแพตช์อุตช่องโหว่บนไดร์ฟเวอร์แสดงผลกราฟฟิคสำหรับ Windows จำนวน 20 รายการซึ่งผลกระทบอาจทำให้คนร้ายในระดับ Local สามารถทำการ ยกระดับสิทธิ์, DoS หรือเปิดเผยข้อมูลได้

Credit: Pavel Ignatov/ShutterStock

ช่องโหว่ที่ถูกจัดอยู่ในระดับความรุนแรงสูงซึ่งส่งผลให้เกิดการยกระดับสิทธิ์มี 2 รายการคือ CVE-2018-12214 (คะแนนความรุนแรงที่ 7.3) เป็นเหตุจากการเกิด Memory Corruption ของไดร์ฟเวอร์และ CVE-2018-12216 คือช่องโหว่ที่เกิดจากการตรวจสอบอินพุตน์ใน Kernel Mode driver ไม่ดีเพียงพอ อย่างไรก็ตามช่องโหว่ที่เหลืออีก 18 รายการถูกจัดระดับความรุนแรงอยู่ในระดับต่ำถึงกลางและต้องเป็น local user ซึ่ง 16 รายการสามารถถูกใช้ได้โดยปราศจากการตอบสนองจากผู้ใช้ มีเพียง 2 รายการเท่านั้นที่ผู้ใช้ต้องตอบสนองร่วมด้วย

ทั้งนี้ทาง Intel แนะนำให้ผู้ใช้งานอัปเดตไดร์ฟเวอร์สำหรับ Windows เป็นเวอร์ชัน 0.18.x.5059 (aka 15.33.x.5059), 10.18.x.5057 (aka 15.36.x.5057), 20.19.x.5063 (aka 15.40.x.5063) 21.20.x.5064 (aka 15.45.x.5064) and 24.20.100.6373 สามารถติดตามและดาวน์โหลดแพตช์ได้ที่นี่

ที่มา :  https://www.bleepingcomputer.com/news/security/intel-fixes-high-severity-vulnerabilities-in-graphics-driver-for-windows/

from:https://www.techtalkthai.com/intel-patches-20-vulnerabilities-in-graphic-driver-for-windows/

โฆษณา

Google เตือนช่องโหว่ร้ายแรงบน macOS จนถึงตอนนี้ยังไม่มีแพตช์

Jann Horn และ Ian Beer สองนักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับ High บนระบบปฏิบัติการ macOS ของ Apple พร้อมโค้ด PoC สำหรับ Exploit ซึ่งช่วยให้แฮ็กเกอร์สามารถบายพาสฟังก์ชัน Copy-on-write (COW) เพื่อทำการเปลี่ยนแปลงไม่พึงประสงค์บน Memory และก่อให้เกิด Memory Corruption ได้ จนถึงตอนนี้ยังไม่มีแพตช์อุดช่องโหว่แม้จะเกิน 90 วันไปแล้ว

ช่องโหว่นี้ค้นพบบน macOS XNU Kernel ซึ่งช่วยให้แฮ็กเกอร์สามารถยุ่งกับ Filesystem Images โดยไม่มีการแจ้งเตือนไปยังระบบปฏิบัติการ จนในที่สุด แฮ็กเกอร์หรือมัลแวร์จะสามารถบายพาสฟีเจอร์ Copy-on-write (COW) เพื่อทำการเปลี่ยนแปลงไม่พึงประสงค์บน Memory ที่แชร์ระหว่าง Process ก่อให้เกิดการโจมตีแบบ Memory Corruption ได้

นักวิจัยทั้งสองค้นพบว่า เมื่อ Filesystem Image ที่เมาท์อยู่ถูกเปลี่ยนรูปโดยตรง (เช่น โดยการเรียก pwrite() บน Filesystem Image) ข้อมูลนี้จะไม่ถูกถ่ายทอดไปใน Filesystem ที่เมาท์อยู่ ส่งผลให้มัลแวร์หรือแฮ็กเกอร์สามารถทำการเปลี่ยนแปลงบน Pages ที่ถูกขับออกมาจาก Page Cache บนดิสก์ได้โดยไม่มีการแจ้งไปยัง Vitual Management Subsystem และหลอก Process ปลายทางให้โหลด Content อันตรายเข้าสู่ Memory

นอกจากนี้ นักวิจัยยังค้นพบช่องโหว่บายพาส Copy-on-write คล้ายๆ กัน (CVE-2019-6208) โดยหลอกใช้อีกฟังก์ชันหนึ่งบนระบบปฏิบัติการ macOS อีกด้วย

Horn และ Beer ได้รายงานช่องโหว่เหล่านี้ไปยัง Apple ตั้งแต่เดือนพฤศจิกายน 2018 ซึ่งทางบริษัทฯ ก็ได้รับทราบปัญหาแล้ว แต่จนถึงตอนนี้ เลยกำหนดเวลา 90 วัน Apple ก็ยังไม่ออกแพตช์มาเพื่ออุดช่องโหว่ ทีมนักวิจัยเลยตัดสินใจเผยแพร่ช่องโหว่นี้สู่สาธารณะพร้อมระบุว่ามีอันตรายระดับ “High Severity” คาดว่า Apple คงรีบออกแพตช์ใหม่เร็วๆ นี้

รายละเอียดเชิงเทคนิค: https://bugs.chromium.org/p/project-zero/issues/detail?id=1726&q=

ที่มา: https://thehackernews.com/2019/03/cybersecurity-macos-hacking.html

from:https://www.techtalkthai.com/google-discloses-unpatched-high-severity-vulnerability-on-macos/

Microsoft ออกแพตช์ประจำเดือนกุมภาพันธ์ 2019 แก้ไขช่องโหว่กว่า 70 รายการ

ถึงรอบนัดชาวแอดมินทุกสัปดาห์ที่ 2 ของเดือนวันแห่งการแพตช์จาก Microsoft แล้วนะครับซึ่งครั้งนี้มีการแก้ไขช่องโหว่ถึง 70 รายการด้วยกัน โดยมีช่องโหว่ 18 รายการที่ถูกจัดอยู่ในระดับร้ายแรง ดังนั้นแนะนำให้ผู้ใช้งานเข้าไปอัปเดตกันครับ

Credit: alexmillos/ShutterStock

ช่องโหว่ที่น่าสนใจมีดังนี้

  • แก้ไขบั้กบน Exchange Server ซึ่งได้มีนักวิจัยใช้เป็นตัวแปรร่วมกับปัญหาอื่นเพื่อทำให้ผู้ใช้งานเมลกลายเป็นบุคคลอื่นเพื่อเข้าควบคุมเซิร์ฟเวอร์ โดยนาย Dustin Childs, ผู้จัดการฝ่ายติดต่อสื่อสารของ Trend Micro Zero Day Initiative กล่าวว่า “บั้กนี้ทำให้ผู้ใช้งานธรรมดายกระดับสิทธิ์เป็นผู้ใช้งานคนอื่นได้” นอกจากนี้ช่องโหว่ยังถูกนำไปใช้จริงแล้ว
  • ทีม Google Project Zero ได้แจ้งช่องโหว่หมายเลข CVE-2019-0676 เข้ามาซึ่งเกิดบน IE สาเหตุเพราะวิธีการจัดการ Object ในหน่วยความจำไม่ดีเพียงพอจึงทำให้หากเหยื่อเข้าชมไซต์ที่มีเพจอันตรายคนร้ายจะสามารถทดสอบการมีอยู่ของไฟล์บนฮาร์ดไดร์ฟของเครื่องเหยื่อได้
  • CVE-2019-0630 เป็นช่องโหว่ที่คนร้ายสามารถประดิษฐ์แพ็กเกจอันตรายไปยังเซิร์ฟเวอร์ของ SMBv2 เพื่อนำไปสู่การเกิด Remote Code Execution
  • CVE-2019-0626 เป็นช่องโหว่ Memory Corruption ในเซิร์ฟเวอร์ DHCP ซึ่งผู้โจมตีสามารถประดิษฐ์แพ็กเกจพิเศษขึ้นเพื่อส่งออกไปใช้งานช่องโหว่ทำให้เกิดการ Execute โค้ดต่อไป

ผู้สนใจสามารถติดตามรายละเอียดแพตช์ทั้งหมดได้จากที่นี่ ในรอบเดียวกันนี้ยังมีการอัปเดตแพตช์ Zero-day บนผลิตภัณฑ์ Adobe ด้วยดังนั้นก็อย่าลืมอัปเดตฝั่งนั้นด้วยนะครับ

ที่มา : https://www.bleepingcomputer.com/news/microsoft/microsoft-february-2019-patch-tuesday-includes-fixes-for-70-vulnerabilities/ และ https://www.darkreading.com/endpoint/microsoft-adobe-both-close-more-than-70-security-issues/d/d-id/1333858 และ https://www.securityweek.com/microsoft-patches-internet-explorer-zero-day-reported-google

from:https://www.techtalkthai.com/microsoft-released-february-2019-patch/

นักวิจัยเผย 3 ช่องโหว่บน ‘Systemd’ ของ Linux ชี้ยังไม่มีแพตช์

นักวิจัยด้านความมั่นคงปลอดภัยจาก Qualys ได้เผยถึง 3 ช่องโหว่บน ‘Journald’ ที่เป็นส่วนประกอบหนึ่งของ Systemd บนระบบปฏิบัติการ linux โดยผลกระทบคือนำไปสู่การเกิด Memory Corruption และ Out-of-bounds Error

credit : Wikipedia

Systemd คือตัวบริหารจัดการโปรเซสของระบบหลังจากการบูตเครื่องซึ่งนักวิจัยได้ค้นพบช่องโหว่บน Journald (ดูรุปด้านบน) หรือบริการหนึ่งภายใต้ Systemd ที่ทำหน้าที่รับและเก็บข้อมูล log โดยบั๊กสามารถทำให้คนร้ายสามารถได้รับสิทธิ์ระดับ Root หรือนำไปสู่การเปิดเผยข้อมูลได้

ช่องโหว่ Memory Corruption มี 2 รายการ ประกอบด้วย CVE-2018-16864 และ CVE-2018-16865 สำหรับช่องโหว่ Out-of-bounds Error มีหมายเลขอ้างอิง CVE-2018-16866 อย่างไรก็ตามเมื่อใช้ช่องโหว่ CVE-2018-16865 และ CVE-2018-16866 ควบคู่กันจะทำให้คนร้ายสามารถได้รับ Shell ระดับ Root ของเครื่องได้ทั้งบน x86 (ใช้เวลาราว 10 นาที) และ x64 (ใช้เวลาประมาณ 70 นาที) นอกจากนี้ช่องโหว่ทั้งหมดยังสามารถใช้งานได้โดยไม่ต้องอาศัยผู้ใช้งานมาข้องแวะเลย

Qualys วางแผนที่จะเปิดเผยโค้ด PoC ในเร็วๆ นี้แต่ก็เผยรายละเอียดการใช้งานไว้บ้างแล้วที่นี่ โดยนักวิจัยได้วิเคราะห์ผลกระทบปัจจุบันว่า “ทุก Linux Distro ที่ใช้ Systemd นั้นล้วนได้รับผลกระทบ ยกเว้น SUSE Enterprise 15, OpenSUSE Leap 15.0 และ Fedora 28-29 สาเหตุเพราะส่วน User Space ถูกคอมไพล์โดย GCC -fstack-clash-protection” สำหรับ Redhat Enterprise Linux 7 และ Redhat virtualize 4 จะได้รับผลกระทบจากทุกช่องโหว่ และตอนนี้ยังไม่มีแพตช์แก้ไขใดอย่างเป็นทางการออกมา

ที่มา : https://www.bleepingcomputer.com/news/security/linux-systemd-affected-by-memory-corruption-vulnerabilities-no-patches-yet/

from:https://www.techtalkthai.com/3-vulnerabilities-in-linux-systemd-component/

Microsoft ออกแพตช์เดือนมกราคม 2019 จำนวน 50 รายการแนะผู้ใช้รีบอัปเดต

Microsoft ออกแพตช์อุดช่องโหว่ถึง 50 รายการท่ามกลางหลายผลิตภัณฑ์ เช่น Hyper-V, Edge และ DHCP ซึ่งครั้งนี้มีช่องโหว่ขั้นรุนแรง 7 รายการรวมอยู่ด้วย ดังนั้นแนะนำผู้ใช้สามารถไปหาอัปเดตกันได้

Credit: alexmillos/ShutterStock

ช่องโหว่ที่น่าสนใจของแพตช์มีดังนี้

  • ทีมงานของ Microsoft ได้ค้นพบช่องโหว่หมายเลข CVE-2019-0547 ที่คนร้ายสามารถสร้าง DHCP Respond แบบพิเศษขึ้นส่งไปหาเหยื่อที่ทำให้เกิดการลอบรันโค้ดได้โดยถูกจัดเป็นช่องโหว่ระดับร้ายแรง
  • CVE-2019-0550 และ CVE-2019-0551 เกิดขึ้นบน Hyper-V ซึ่งทำให้มัลแวร์บนเครื่อง Guest สามารถรันโค้ดบนระบบปฏิบัติการจริงได้ โดยถูกจัดเป็นช่องโหว่ระดับร้ายแรง
  • ช่องโหว่หมายเลข CVE-2019-0622 เกิดขึ้นบน Skype ของแอนดรอยด์ทำให้คนร้ายสามารถลัดผ่านการล็อกหน้าจอของอุปกรณ์เพื่อเข้าถึงข้อมูลส่วนตัวของเหยื่อ
  • CVE-2019-0579 ถูกค้นพบบน Jet Database Engine ซึ่งนำไปสู่การลักลอบรันโค้ดผ่านทางไกลได้ โดยเครดิตถูกมอบให้แก่ ACROS’s Opatch, Palo Alto Networks และ Flexera อย่างไรก็ตามทาง ACROS เชื่อว่าแพตช์ใหม่น่าจะมีความเชื่อมโยงกับแพตช์เก่าหมายเลข CVE-2018-8423 ที่ตนได้เคยทำแพตช์ชั่วคราวไปก่อนหน้านี้ถึง 2 ครั้งโดยครั้งที่สองทำเพราะพบว่า Microsoft ทำแพตช์มาไม่สมบูรณ์
  • ช่องโหว่ระดับระดับร้ายแรงที่เหลือ 4 รายการเกิดขึ้นบน Edge ในกลไกของ Chakra Scripting ที่ทำให้เกิด Memory Corruption และเป็นช่องทางนำไปสู่การลอบรันโค้ดด้วยสิทธิ์ของเหยื่อรายนั้นได้

ผู้สนใจสามารถเข้าไปดูรายละเอียดของช่องโหว่ทุกรายการได้ที่นี่

from:https://www.techtalkthai.com/january-2019-patch-from-microsoft/

Microsoft แพตช์ประจำเดือนอุตช่องโหว่ Zero-day และอื่นๆร่วม 60 รายการ แนะผู้ใช้ควรอัปเดต

Microsoft ได้ออกแพตช์อุตช่องโหว่ด้านความมั่นคงปลอดภัยปลอดภัยกว่า 60 รายการ ซึ่งในแพตช์มีการแก้ไขช่องโหว่ Zero-day ที่ส่งผลให้เกิดการยกระดับสิทธิ์และพบการใช้งานแล้วในกลุ่มแฮ็กเกอร์ นอกจากนี้ยังมีช่องโหว่ร้ายแรงอื่นๆ กว่า 10 รายการ ในหลายผลิตภัณฑ์ ดังนั้นแนะนำผู้ใช้งานควรทำการอัปเดต

Credit: alexmillos/ShutterStock

ช่องโหว่ Zero-day หมายเลขอ้างอิง CVE-2018-8589 เกิดขึ้นกับการเรียก Win32k.sys ของ Windows 7 และ Server 2008 ซึ่งถูกรายงานพบจาก Kaspersky Lab ว่านำไปสู่การยกระดับสิทธิ์ นอกจากนี้ Trend Micro ยังรายงานว่าช่องโหว่ดังกล่าวถูกใช้งานแล้วในกลุ่มแฮ็กเกอร์ผ่านทางมัลแวร์เพื่อยกระดับสิทธิ์เข้าควบคุมเครื่อง  อีกช่องโหว่หนึ่งคือ CVE-2018-8584 เกิดกับ Windows 10 และ Window Server 2016 ในส่วนของ Advanced Local Procedure Call (ALPC) ซึ่งนำไปสู่การยกระดับสิทธิ์ โดยก่อนหน้านี้มีผู้เชี่ยวชาญจาก SandboxEscaper ได้ปล่อยโค้ด PoC ต่อสาธารณะแล้วที่สาธิตการลบไฟล์จากระบบสามารถอ่านเพิ่มเติมได้ที่นี่ รวมถึงช่องโหว่นี้ก็มีการใช้งานจากกลุ่มแฮ็กเกอร์แล้วเช่นกัน

โดย Microsoft ยังได้แก้ไขช่องโหว่หมายเลข CVE-2018-8566 ที่ทำให้สามารถลัดผ่านฟีเจอร์ด้านความมั่นคงปลอดภัยของ BitLocker ได้ ในส่วนของช่องโหว่ร้ายแรงอื่นๆ ประกอบด้วย Memory Corruption ใน IE และ Edge, ช่องโหว่ Remote Code Execution ในบริการ TFTP Server, ส่วนประกอบด้านกราฟฟิคและกลไกของ VBScript เป็นต้น สามารถดูรายละเอียดแพตช์เพิ่มเติมได้ที่นี่

ที่มา : https://www.securityweek.com/microsoft-patches-actively-exploited-windows-vulnerability และ https://www.darkreading.com/risk/microsoft-patch-tuesday-recap-12-critical-bugs-fixed/d/d-id/1333263

from:https://www.techtalkthai.com/microsoft-november-2018-patch-zero-day-others-over-60-vulnerabilities/

พบแคมเปญมัลแวร์ใหม่ดัดแปลงการโจมตีเพื่อเลี่ยงการตรวจจับจาก Antivirus

Cisco Talos ได้พบกับแคมเปญของมัลแวร์ใหม่ที่ได้ดัดแปลงขั้นตอนการใช้งานช่องโหว่บน Word เพื่อหลีกเลี่ยงการตรวจจับจาก Antivirus โดยช่องโหว่ที่ถูกใช้คือ CVE-2017-0199 และ CVE-2017-11882 ซึ่งเมื่อทำสำเร็จจะติดตั้งมัลแวร์ 3 ตัวที่มุ่งเน้นขโมยข้อมูลคือ Agent Tesla, Loki และ Gamarue

credit : BleepingComputer

ไอเดียคือการโจมตีจะเริ่มด้วยอีเมลที่แนบไฟล์ Word (DOCX) เพื่อให้เหยื่อดาวน์โหลดตามปกติแต่จะมีการเปิดไฟล์ RTF (Rich Text Format หรือรูปแบบไฟล์เอกสารเดิมของ Microsoft ถูกพัฒนาระหว่างปี 1987-2008) ซึ่งตรงนี้เองคือกุญแจในการนำส่ง Payload อันตรายเพื่อเรียกมัลแวร์เข้ามาโดยไม่ถูกจับได้ โดยข้อความเนื้อหาอันตรายจะแอบอยู่ภายในไฟล์ RTF ตามภาพด้านบนที่รองรับการฝัง Object ผ่าน OLE (Object Linking and Embedding) ประเด็นคือตัว Parser RTF มักจะละเลยข้อความที่ตัวเองไม่รู้จัก ดังนั้นจึงถูกใช้แฝงโค้ดเจาะระบบได้ อย่างไรก็ตามในเหตุการณ์นี้ผู้ใช้งานไม่ต้องเข้าไปตั้งค่า Word หรือคลิกอะไรเพิ่มเติมเพื่อทำให้กระบวนการสำเร็จเลย

นอกจากนี้เมื่อ Cisco Talos วิเคราะห์เข้าไปถึงภายในพบว่าแฮ็กเกอร์ยังได้แก้ไข Header ของ OLE (ตามรูปด้านล่าง) เพื่อให้ดูเหมือนเป็น Tag ของฟอนต์แต่อันที่จริงแล้วคือการใช้ช่องโหว่ CVE-2017-11882 ที่ทำให้เกิด Memory Corruption ใน Office อีกด้วย มัลแวร์ที่ถูกนำเข้ามาทั้ง 3 ตัวคือ Agent Tesla หรือ Trojan ที่มีฟีเจอร์แอบขโมยข้อมูลรหัสผ่านของแอปต่างๆ เช่น Browser Email หรือ FTP, Loki คอยดูรหัสผ่านและสนใจพวก Wallet ของ Cyptocurrency และสุดท้าย Gamarue เป็น Worm ที่สามารถกระจายตัวเองออกไปได้ผ่านทางช่องโหว่อย่างรวดเร็วซึ่งมีเพียง Loki เท่านั้นที่ไม่มีฟีเจอร์ให้ควบคุมจากภายนอกเข้ามาได้ อย่างไรก็ดีมี Antivirus เพียง 2 เจ้าจาก 58 รายใน VirusTotal เท่านั้นที่สามารถตรวจจับการโจมตีได้คือ AhnLab-V3 ที่พบว่าเป็นมัลแวร์ ส่วนอีกเจ้าคือ  Zoner ที่แจ้งเพียงว่าเป็น RTF เวอร์ชันไม่ปกติ ผู้สนใจสามารถดูรายงานแบบละเอียดจาก Cisco Talos ได้ที่นี่

credit : BleepingComputer

ที่มา : https://www.bleepingcomputer.com/news/security/new-technique-recycles-exploit-chain-to-keep-antivirus-silent/

from:https://www.techtalkthai.com/new-campaign-for-spread-malware-evasion-to-trigger-antivirus/