คลังเก็บป้ายกำกับ: VULNERABILITY

local.jpg

พบช่องโหว่ Cross-Site Scripting บน WooCommerce


Credit: ShutterStock.com

ผู้เชี่ยวชาญทางด้านความปลอดภัยจาก FortiGuard Labs ตรวจพบช่องโหว่ Cross-site Scripting (XSS) บน WooCommerce

WooCommerce เป็นปลั๊กอินสำหรับสร้างระบบ eCommerce บน WordPress ยอดนิยมที่สามารถใช้งานได้ฟรี โดยปัจจุบันมีร้านค้าออนไลน์กว่า 30% ใช้งานระบบตัวนี้อยู่ สำหรับช่องโหว่นี้พบใน WooCommerce 2.6.8 และเวอร์ชันก่อนหน้า โดยช่องโหว่มีอยู่ในกระบวนการตั้งค่า Tax Rates Setting เนื่องจากในแต่ละประเทศมีการตั้งค่าภาษีที่ไม่เหมือนกัน ผู้ดูแลระบบบางรายอาจทำการดาวน์โหลดไฟล์ Template นามสกุล .CSV ตามเว็บไซต์ทั่วไป ซึ่งผู้ไม่ประสงค์ดีอาจทำการฝังสคริปเอาไว้เรียบร้อยแล้ว และเมื่อ Import เข้าไปอาจมีผลทำให้ผู้ไม่ประสงค์ดีสามารถเข้าควบคุม Web Server นั้นได้ทันที

Fortinet ได้ทำการ PoC ช่องโหว่นี้ ด้วยการฝัง VB Script เข้าไป เมื่อเหยื่อทำการเลื่อน Mouse ไปในช่อง Zip/Postcode ก็สามารถสั่งรัน VB Scrtipt บนเครื่องของเหยื่อได้ทันที

ล่าสุด Fortinet ได้ทำการเพิ่ม Signature ในการตรวจจับปัญหาดังกล่าวบน IPS ของตนเองแล้ว นอกจากนี้ WooCommerce ได้ออกอัพเดตเพื่ออุดช่องโหว่นี้ไปแล้วในเวอร์ชัน 2.6.9 ผู้ที่ใช้งานเวอร์ชันต่ำกว่านี้ควรทำการอัพเดตโดยด่วน

ที่มา : http://blog.fortinet.com/2016/12/16/woocommerce-tax-rates-cross-site-scripting-vulnerability2?elq_source=socialmedia&linkId=33361257

from:https://www.techtalkthai.com/woocommerce-tax-rates-cross-site-scripting/

local.jpg

พบบั๊กบน Facebook Messenger เสี่ยงถูกแฮ็คเกอร์แอบอ่านข้อความแชท

Ysrael Gurt นักวิจัยด้านความมั่นคงปลอดภัยจาก BugSec และ Cynet ออกมาเปิดเผยถึงการโจมตีแบบ Cross-origin Bypass-attack บน Facebook Messenger ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าถึงข้อความส่วนตัวที่ส่งหากัน รูปภาพ และไฟล์แนบบน Facebook Chat ไม่ว่าจะทั้งบนเว็บเบราเซอร์หรือแอพพลิเคชันบนสมาร์ทโฟน

การโจมตีผ่านช่องโหว่นี้ทำได้ง่ายมาก เพียงแค่หลอกให้ผู้ใช้เข้าถึงเว็บไซต์อันตรายที่แฮ็คเกอร์เตรียมไว้ ก็จะทำให้แฮ็คเกอร์สามารถอ่านข้อความทั้งหมดบน Facebook Chat ได้ทันที ช่องโหว่นี้ถูกเรียกว่า “Originull” ซึ่งใช้ประโยชน์จากการที่ Facebook Chat ถูกบริหารจัดการจากเซิร์ฟเวอร์ {NUMBER}-edge-chat.facebook.com ซึ่งแยกออกมาจากโดเมนจริงๆ ของ Facebook (www.facebook.com)

“การติดต่อสื่อสารระหว่าง JavaScript และเซิร์ฟเวอร์จะทำโดยการส่ง XML HTTP Request (XHR) ซึ่ง Facebook จะต้องใส่ค่า Origin ของผู้เรียกลงบน “Access-Control-Allow-Origin” Header และค่า true ลงบน “Access-Control-Allow-Credentials” Header เพื่อที่จะเข้าถึงข้อมูลที่ได้รับมาจาก 5-edge-chat.facebook.com แม้ว่าจะมีการส่ง Cookie ไปก็ตาม” — Gurt อธิบาย

ต้นตอของช่องโหว่นี้เกิดจากการตั้งค่า Cross-origin Header ผิดพลาดบนโดเมนเซิร์ฟเวอร์ของ Facebook Chat ซึ่งช่วยให้แฮ็คเกอร์สามารถบายพาสการตรวจสอบ Origin และเข้าถึงข้อความบน Facebook Chat จากเว็บไซต์ภายนอกได้ ดูวิดีโอสาธิตการโจมตีได้ที่: http://www.cynet.com/blog-facebook-originull/

อย่างไรก็ตาม ช่องโหว่ Originull ไม่มีผลต่อฟีเจอร์ Secret Conversation ของ Facebook Chat ที่ทำการเข้ารหัสข้อความแบบ End-to-end แต่อย่างใด Gurt ได้แจ้งช่องโหว่ดังกล่าวผ่าน Bug Bounty Program ของ Facebook ซึ่งทีมรักษาความมั่นคงปลอดภัยก็ได้ตอบรับและทำการอุดช่องโหว่เป็นที่เรียบร้อย

อ่านรายละเอียดเชิงเทคนิคได้ที่: http://www.cynet.com/wp-content/uploads/2016/12/Blog-Post-BugSec-Cynet-Facebook-Originull.pdf

ที่มา: http://thehackernews.com/2016/12/hack-facebook-messenger-chats.html

from:https://www.techtalkthai.com/facebook-messenger-bug-originull/

local.jpg

พบช่องโหว่บน Joomla เสี่ยงถูกรีเซ็ตรหัสผ่านและเข้าควบคุมไซต์

Joomla Project ผู้ให้บริการระบบ CMS แบบ Open-source ชื่อดัง ประกาศอัปเดตแพทช์ Joomla CMS เป็นเวอร์ชัน 3.6.5 หลังพบช่องโหว่สำคัญ 3 รายการ ซึ่งหนึ่งในนั้นเป็นช่องโหว่ความรุนแรงระดับสูงที่ช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมเว็บไซต์ได้ทันที

ช่องโหว่ดังกล่าวมีรหัส CVE-2016-9838 ซึ่งมีสาเหตุมาจากการตรวจสอบอินพุทที่ได้รับมาจากผู้ใช้บน Form ไม่ดีเพียงพอ ส่งผลให้แฮ็คเกอร์สามารถอัปโหลดและรัน Malicious Code ที่ช่วยให้เขาสามารถแก้ไขข้อมูลบัญชีรายชื่อของ Joomla ได้ ไม่ว่าจะเป็นการแก้ไขชื่อผู้ใช้ รีเซ็ตรหัสผ่าน หรือเปลี่ยนแปลงกลุ่มผู้ใช้งาน นอกจากนี้ยังสามารถสร้างบัญชี Admin ใหม่โดยใช้ชื่อผู้ใช้และรหัสผ่านที่ตนเองต้องการได้อีกด้วย

2 ช่องโหว่ที่เหลือ คือ Shell Upload และ Information Disclosure ซึ่งมีความรุนแรงระดับต่ำ

ช่องโหว่ CVE-2016-9838 ส่งผลกระทบต่อ Joomla ทุกเวอร์ชันที่ใช้งานย้อนหลังไป 5 ปี คือ ตั้งแต่เวอร์ชัน 1.6.0 ถึง 3.6.4 ซึ่ง Joomla แนะนำให้ผู้ดูแลระบบรีบอัปเกรดไปเป็นเวอร์ชัน 3.6.5 เพื่ออุดช่องโหว่ทั้ง 3 รายการโดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/vulnerability-in-joomla-allows-attackers-to-reset-passwords-and-take-over-sites/

from:https://www.techtalkthai.com/joomla-vulns-lead-to-site-takeover/

local.jpg

พบช่องโหว่บน McAfee VirusScan Enterprise เสี่ยงถูกเข้าควบคุมอุปกรณ์

Andrew Fasano นักวิจัยด้านความมั่นคงปลอดภัย ออกมาเปิดเผยช่องโหว่หลายรายการบนผลิตภัณฑ์ VirusScan Enterprise ของ McAfee สำหรับระบบปฏิบัติการ Linux ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าถึงอุปกรณ์ที่รันซอฟต์แวร์ดังกล่าวอยู่โดยได้สิทธิ์เป็น Root พร้อมทั้งสามารถรันโค้ดแปลกปลอมตามต้องการได้

Fasano ระบุถึงขั้นตอนการเจาะระบบเพื่อให้ได้ Root Access ดังนี้

  • เจาะช่องโหว่ CVE-2016-8022 และ CVE-2016-8023 เพื่อทำการ Brute Force ให้ได้ Authentication Token
  • เริ่มรัน Malicious Update Server
  • ส่ง Request โดยใช้ Authentication Token ที่ได้ไปอัปเดต Update Server
  • บังคับเป้าหมายให้สร้าง Malicious Script บนระบบของตนโดยใช้ช่องโหว่ CVE-2016-8021
  • ส่ง Malformed Request โดยใช้ Authentication Token เพื่อเริ่มการแสกนไวรัส แต่สั่งให้รัน Malicious Script แทนโดยใช้ช่องโหว่ CVE-2016-8020 และ CVE-2016-8021
  • Malicious Script ถูกรันโดยสิทธิ์ Root บนเครื่องของเหยื่อ
  • หมายเหตุ การเจาะระบบของ McAfee ผ่านช่องโหว่เหล่านั้นจะทำได้สำเร็จขึ้นอยู่กับ Login Token ซึ่งถูกสร้างขึ้นเมื่อผู้ใช้ล็อกอินผ่านหน้าเว็บ Token ดังกล่าวจะคงอยู่ประมาณ 1 ชั่วโมงหลังล็อกอิน

“McAfee VirusScan Enterprise สำหรับ Linux ของ Intel Security มีคุณลักษณะเฉพาะตัวที่นักวิจัยด้านช่องโหว่ชื่นชอบ ไม่ว่าจะเป็นการรันโดยใช้สิทธิ์ Root การอ้างว่าเพื่อทำให้เครื่องของคุณมั่นคงปลอดภัยยิ่งขึ้น การไม่ได้เป็นที่นิยมแบบเจาะจง และเหมือนกับว่ามันไม่ได้มีการอัปเดตมานานมาก” — Fasano ระบุ

ช่องโหว่เหล่านี้ส่งผลกระทบบน VirusScan Enterprise สำหรับ Linux เวอร์ชัน 1.9.2 ถึง 2.0.2 ซึ่งคงไม่มีแพทช์อัปเดตเนื่องจากผลิตภัณฑ์ End of Support ไปแล้ว ทาง McAfee แนะนำให้ผู้ใช้ผลิตภัณฑ์เวอร์ชันดังกล่าวอัปเกรดเป็น Endpoint Security สำหรับ Linux (เวอร์ชัน 10.2 หรือหลังจากนั้น) ซึ่งได้ทำการแก้ไขช่องโหว่เป็นที่เรียบร้อย (ลูกค้าปัจจุบันอัปเกรดได้ฟรี)

ที่มา: https://www.helpnetsecurity.com/2016/12/13/mcafee-virus-scan-enterprise/

from:https://www.techtalkthai.com/mcafee-virusscan-enterprise-vulns-lead-to-root-access/

local.jpg

พบช่องโหว่ Zero-day บน IP Camera อุปกรณ์นับแสนตกอยู่ในความเสี่ยง

Amit Serper และ Yoav Orot นักวิจัยจาก CyberReason ออกมาเปิดเผยถึงช่องโหว่ Zero-day 2 รายการบนอุปกรณ์​ IP Camera ที่ใช้ทั่วไปตามบ้าน ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมอุปกรณ์ รวมไปถึงแอบดูสิ่งที่เกิดขึ้นภายในบ้านได้ ที่สำคัญคือ ช่องโหว่นี้ส่งผลกระทบต่อเฟิร์มแวร์ที่ใช้บนหลายผลิตภัณฑ์ และยังไม่มีแพทช์อุดช่องโหว่

ช่องโหว่ Zero-day เหล่านี้พบบน Web Server ที่รันอยู่บนเฟิร์มแวร์ของผลิตภัณฑ์หลายยี่ห้อ ซึ่ง Web Server ดังกล่าวถูกใช้งานตั้งแต่ปี 2012 ซึ่งช่องโหว่ทั้งสองรายการประกอบด้วย

  • Authentication Bypass และ Information Disclosure ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าถึงไฟล์สำคัญบน Web Server ซึ่งเก็บรหัสผ่านของอุปกรณ์
  • Command Injection ซึ่งช่วยให้แฮ็คเกอร์สามารถรันโค้ดบนอุปกรณ์โดยใช้สิทธิ์ Root ได้

ผลลัพธ์ของทั้งสองช่องโหว่ทำให้แฮ็คเกอร์สามารถเข้าควบคุมอุปกรณ์ IP Camera ตั้งค่าตามที่แฮ็คเกอร์ต้องการ รวมไปถึงแอบดูภาพที่บันทึกผ่านกล้องได้

ช่องโหว่ Zero-day นี้ส่งผลกระทบกับ IP Camera ประเภท White Label หลายยี่ห้อที่ขายบนร้านค้าออนไลน์ เช่น Amazon แลบะ Ebay ซึ่งจากการตรวจสอบพบว่ามีผลิตภัณฑ์ไม่น้อยกว่า 30 รุ่นที่มีช่องโหว่ดังกล่าว เนื่องจากถึงแม้ว่าจะมีฮาร์ดแวร์แตกต่างกัน แต่ภายในอุปกรณ์เหล่านั้นใช้เฟิร์มแวร์เดียวกัน ที่น่าเป็นห่วงคือ ผลิตภัณฑ์ส่วนใหญ่ไม่ทราบว่าใครเป็นเจ้าของ ทำให้ไม่สามารถอัปเดตแพทช์ได้

“กล้องหลายตัวที่ผมสั่งมา ส่งมาในรูปของกล่องสีขาวที่ไม่ระบุผู้ผลิตหรือติดโลโก้ใดๆ ทำให้ไม่สามารถทราบได้ว่าจะต้องติดต่อใครกลับไป และตัวกล้องเองก็ไม่ได้ช่วยให้สามารถระบุได้ว่าใครเป็นบริษัทผู้ผลิต” — Serper กล่าว

นักวิจัยทั้งสองคนปฏิเสธที่จะระบุยี่ห้อของ IP Camera ที่พวกเขาทราบว่ามีช่องโหว่ เนื่องจากอาจเสี่ยงถูกแฮ็คเกอร์นำไปใช้เป็นข้อมูลในการสร้างกองทัพ Botnet ได้ อย่างไรก็ตาม พวกเขาได้สร้างเว็บไซต์สำหรับให้เจ้าของ IP Camera สามารถตรวจสอบได้ว่ากล้องที่ตนใช้อยู่มีช่องโหว่หรือไม่

เท่าที่ทราบตอนนี้ IP Camera ที่มีแนวโน้มว่ามีช่องโหว่ประกอบด้วยผลิตภัณฑ์ที่มีรหัสผ่านดั้งเดิมจากโรงงานเป็น “888888” และมี Serial Number เริ่มต้นด้วย MEYE, MCI, VST*, XC, 005*, J MTE, WEV, PIPCAM, SURE, NIP, EST, VIEW, PSD

สำหรับผู้ที่ทราบว่า IP Camera ของตนมีช่องโหว่ Serper แนะนำว่าวิธีที่ดีที่สุดในการป้องกันแฮ็คเกอร์เจาะช่องโหว่คือ “โยนมันทิ้งไปซะ … จริงจัง”

ที่มา: https://www.bleepingcomputer.com/news/security/hundreds-of-thousands-of-unpatchable-ip-cameras-affected-by-two-zero-days/

from:https://www.techtalkthai.com/ip-cameras-zero-day-vulnerabilties/

local.jpg

พบช่องโหว่บน Linux! กด Enter ค้างไว้ 70 วินาทีก็ได้ Root Shell! กระทบ Debian และ Fedora

Hector Marco อาจารย์จาก University West of Scotland และ Ismael Ripoll ผู้ช่วยศาสตราจารย์จาก Polytechnic University of Valencia ได้ออกมาเปิดเผยถึงช่องโหว่ที่โจมตี Linux ได้หลากหลายตระกูลด้วยการกด Enter ค้างไว้ 70 วินาทีเท่านั้น

Credit: Andrey Popov/ShutterStock
Credit: Andrey Popov/ShutterStock

ช่องโหว่นี้เกิดขึ้นจากบั๊กบนระบบ Linux Unified Key Setup (LUKS) ที่ทำให้ผู้ที่กด Enter ค้างไว้ 70 วินาทีสามารถเข้าถึง Root ของ initramfs Shell ได้ทันทีโดยที่ไม่ขึ้นกับระบบที่ใช้งานหรือการตั้งค่าใดๆ เลย และทำให้ผู้โจมตีสามารถทำการถอดรหัส, คัดลอก, ปรับแต่ง หรือทำลาย Hard Disk ของระบบหรือปรับแก้ไขการตั้งค่าของระบบเครือข่ายเพื่อเจาะระบบต่อไปได้ ซึ่งจะอันตรายกับระบบที่ต้องการปกป้อง Boot Process เป็นอย่างมาก

ช่องโหว่นี้ส่งผลกระทบกับทั้ง Linux ที่ติดตั้งแบบ On-premises และ Linux บน Cloud โดย Debian และ Fedora ได้ออกมายืนยันถึงผลกระทบที่เกิดจากช่องโหว่นี้แล้ว

อาจารย์ทั้งสองได้ออกมายืนยันว่าปัจจุบันเหล่าผู้พัฒนา Linux ได้เริ่ม Patch ช่องโหว่นี้กันไปแล้ว และได้มีการพัฒนาส่วนเสริมต่างๆ สำหรับเพิ่มความปลอดภัยให้ Linux เพิ่มเติมจากช่องโหว่นี้ด้วย แต่ระหว่างนี้ที่ Patch ยังไม่ได้ถูกปล่อยออกมาให้อัปเดตอย่างเป็นทางการ ผู้ใช้งานก็ควรจะต้องระมัดระวังตัวกันไปก่อน

ที่มา: http://www.theregister.co.uk/2016/11/16/want_to_pop_linux_shell_hole_enter_for_a_minute/

from:https://www.techtalkthai.com/linux-vulnerability-was-found-by-holding-enter-for-70-seconds/

local.jpg

พบช่องโหว่ Buffer Overflow บน Memcached เสี่ยงถูกโจมตีแบบ RCE

cisco_logo_2

เว็บไซต์ชื่อดังอย่าง Facebook, Twitter, Youtube และ Reddit ตกอยู่ในความเสี่ยง !!

Aleksandar Nikolich นักวิจัยจาก Cisco Talos ออกมาเปิดเผยถึงช่องโหว่ Remote Code Execution 3 รายการบน Memcached ระบบ Caching ชื่อดังที่ช่วยเพิ่มความเร็วให้แก่ Web Application ซึ่งหลายเว็บไซต์ชั้นนำทั่วโลกใช้ ไม่ว่าจะเป็น Facebook, Twitter, Youtube, Reddit และอื่นๆ

cisco_talos_banner

Nikolich พบว่าบั๊ก Integer Overflow หลายที่บน Memcached ซึ่งช่วยให้แฮ็คเกอร์ลอบส่งโค้ดแปลกปลอมเข้ามารันบน Memcached Server จากระยะไกลได้ ส่งผลให้หลายเว็บไซต์ที่สามารถเข้าถึง Memcached Server ผ่านอินเทอร์เน็ตได้กำลังตกอยู่ในความเสี่ยง อาจถูกโจมตีแบบ Remote Code Execution ได้

Memcached เวอร์ชันที่ได้รับผลกระทบ คือ 1.4.31 และก่อนหน้านั้น โดยช่องโหว่ที่ค้นพบปรากฏบนฟังก์ชันที่ใช้สำหรับ Insert, Append, Prepend และ Modify ค่า Key-value Data Pairs โดยมีรายละเอียด ดังนี้

  • CVE-2016-8704: Memcached Server Append/Prepend Remote Code Execution Vulnerability
  • CVE-2016-8705: Memcached Server Update Remote Code Execution Vulnerability
  • CVE-2016-8706: Memcached Server SASL Authentication Remote Code Execution Vulnerability

ส่งผลให้แฮ็คเกอร์สามารถส่งคำสั่ง Memcached ที่เขียนขึ้นเป็นพิเศษ เพื่อสั่งการ Memcached Server รวมไปถึงขโมยข้อมูล Process ที่สำคัญ ซึ่งช่วยให้แฮ็คเกอร์สามารถใช้บายพาสระบบรักษาความมั่นคงปลอดภัย เช่น ASLR (Address Space Layout Randomisation) เพื่อทำอันตรายระบบได้ ที่แย่ที่สุดคือ ช่องโหว่นี้ยังช่วยให้แฮ็คเกอร์สามารถเขียน Content แปลกปลอมทับบนระบบ Cache เพื่อเปลี่ยนแปลงหน้าเว็บไซต์, ทำ Phishing Page หรือแนบลิงค์มัลแวร์เพื่อเข้าควบคุมเครื่องของเหยื่อได้

โดยปกติแล้ว Memcached Service ที่ถูกติดตั้งลงบน Server สามารถเข้าถึงได้ผ่านทาง TCP พอร์ท 11211 Cisco Talos แนะนำว่า ให้จำกัดการเข้าถึงเฉพาะเครื่องที่ Trust เท่านั้น รวมไปถึงอัปเดตเป็น Memcached เวอร์ชันล่าสุดให้เรียบร้อยเพื่อจัดการกับช่องโหว่ดังกล่าว

ที่มา: http://thehackernews.com/2016/11/memcached-hacking.html

from:https://www.techtalkthai.com/buffer-overflow-in-memcached-leads-to-remote-code-execution/