CISA แจ้งเตือนการพบช่องโหว่ของ Microsoft .NET และ Apache OFBiz กำลังถูกใช้ในการโจมตี

    หน่วยงานความปลอดภัยโครงสร้างพื้นฐาน และความปลอดภัยไซเบอร์ของสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่ 4 รายการลงใน Known Exploited Vulnerabilities catalog โดยเรียกร้องให้หน่วยงานของรัฐบาลกลาง และองค์กรขนาดใหญ่ทำการอัปเดตด้านความปลอดภัยโดยเร็วที่สุด

    โดยในจำนวนนี้มีช่องโหว่ที่ส่งผลต่อ Microsoft .NET Framework และ Apache OFBiz (Open For Business) ซึ่งเป็นแอปพลิเคชันซอฟต์แวร์ที่ใช้กันอย่างแพร่หลาย

    แม้ว่าทาง CISA จะระบุว่าช่องโหว่เหล่านั้นกำลังถูกนำมาใช้ในการโจมตีจริง แต่ก็ไม่ได้ให้รายละเอียดที่เจาะจงเกี่ยวกับกิจกรรมที่เป็นอันตราย ใครเป็นผู้ดำเนินการ และกระทำกับใคร

• CVE-2024-29059 (คะแนน CVSS v3: 7.5 ความรุนแรงระดับ High) เป็นช่องโหว่ information disclosure ใน .NET Framework ซึ่งค้นพบโดย CODE WHITE และเปิดเผยต่อ Microsoft ในเดือนพฤศจิกายน 2023

    Microsoft ได้ปิดรายงานการเปิดเผยข้อมูลในเดือนธันวาคม 2023 โดยระบุว่า "หลังจากการสืบสวน พบว่ากรณีนี้ไม่เข้าข่ายมาตรฐานการแก้ไขช่องโหว่ในทันที" ต่อมาทาง Microsoft ได้แก้ไขช่องโหว่ในการอัปเดตความปลอดภัยในเดือนมกราคม 2024 แต่กลับไม่ได้ออกฒาระบุหมายเลข CVE

    ในเดือนกุมภาพันธ์ 2024 ทาง CODE WHITE ได้เปิดเผยรายละเอียดทางเทคนิค และการสาธิตการโจมตี (PoC) เพื่อใช้ object URIs ภายในที่รั่วไหลในการโจมตี .NET Remoting ทำให้ทาง Microsoft ได้เผยแพร่ CVE-2024-29059 ในเดือนมีนาคม 2024 และระบุการค้นพบนี้ว่าเป็นผลงานจากนักวิจัย

• CVE-2024-45195 (คะแนน CVSS v3: 9.8 ความรุนแรงระดับ Critical) เป็นช่องโหว่การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE)

    ช่องโหว่ดังกล่าวเกิดจาก forced browsing ซึ่งเปิดเผย restricted paths ต่อการโจมตีด้วย unauthenticated direct request attacks

    ช่องโหว่ถูกค้นพบโดย Rapid7 และได้เผยแพร่ชุดการสาธิตการโจมตี (PoC) ซึ่งทาง Microsoft ได้แก้ไขช่องโหว่ในเดือนกันยายน 2024 โดยแนะนำให้ผู้ใช้ทำการอัปเกรดเป็น Apache OFBiz เวอร์ชัน 18.12.16 หรือใหม่กว่า เพื่อป้องกันการโจมตีช่องโหว่

    ขณะนี้ CISA ได้เรียกร้องให้หน่วยงาน และองค์กรที่อาจได้รับผลกระทบจากช่องโหว่ ทำการอัปเกรดระบบที่มีอยู่ภายในวันที่ 25 กุมภาพันธ์ 2025 หรือหยุดใช้งานผลิตภัณฑ์ดังกล่าว

รวมถึงอีก 2 ช่องโหว่ที่เพิ่มเข้ามาใน KEV ในครั้งนี้คือ CVE-2018-9276 (ช่องโหว่ OS command injection) และ CVE-2018-19410 (ช่องโหว่ local file inclusion) ซึ่งส่งผลกระทบต่อ Paessler PRTG ซอฟต์แวร์ตรวจสอบเครือข่าย

    โดยช่องโหว่เหล่านี้ได้รับการแก้ไขช่องโหว่แล้วในเวอร์ชัน 18.2.41.1652 ซึ่งเปิดตัวในเดือนมิถุนายน 2018 ซึ่งทาง CISA ได้กำหนดเวลาในการแก้ไขช่องโหว่ดังกล่าวในวันที่ 25 กุมภาพันธ์ 2025 เช่นกัน

Ref : bleepingcomputer.com

ช่องโหว่ Apache Tomcat CVE-2024-56337 ทำให้เซิร์ฟเวอร์เสี่ยงต่อการถูกโจมตีแบบ RCE

    Apache Software Foundation (ASF) ออกแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับ Critical ในซอฟต์แวร์ Tomcat Server ที่อาจทำให้เกิดการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ภายใต้เงื่อนไขบางอย่าง

    ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-56337 ถูกระบุว่าเป็นการแก้ไขปัญหาที่ไม่สมบูรณ์ของช่องโหว่ CVE-2024-50379 (คะแนน CVSS: 9.8) ซึ่งเป็นช่องโหว่ด้านความปลอดภัยระดับ Critical อีกช่องโหว่หนึ่งในผลิตภัณฑ์เดียวกัน และเคยได้รับการแก้ไขไปแล้วเมื่อวันที่ 17 ธันวาคม 2024

    นักพัฒนาได้ระบุในคำแนะนำเมื่อสัปดาห์ที่แล้วว่า "ผู้ใช้ที่ใช้งาน Tomcat บนระบบไฟล์ที่ไม่คำนึงถึงตัวพิมพ์เล็ก-ใหญ่ (case insensitive) และเปิดใช้งานการเขียน default servlet (ตั้งค่าพารามิเตอร์ readonly เริ่มต้นเป็นค่า false ซึ่งไม่ใช่ค่าเริ่มต้น) อาจจำเป็นต้องตั้งค่าเพิ่มเติม เพื่อแก้ไขช่องโหว่ CVE-2024-50379 ให้สมบูรณ์ แต่ก็ขึ้นอยู่กับเวอร์ชั่นของ Java ที่ใช้งานร่วมกับ Tomcat ด้วย"

    ช่องโหว่ทั้งสองรายการเป็นช่องโหว่แบบ Time-of-check Time-of-use (TOCTOU) ที่อาจส่งผลให้เกิดการเรียกใช้โค้ดบนระบบไฟล์ที่ไม่แยกความแตกต่างระหว่างตัวอักษรพิมพ์เล็ก-พิมพ์ใหญ่ เมื่อมีการเปิดใช้งาน default servlet สำหรับการเขียน

    Apache ระบุไว้ในการแจ้งเตือนสำหรับ CVE-2024-50379 "การอ่าน และการอัปโหลดพร้อมกันภายใต้โหลดของไฟล์เดียวกัน สามารถหลีกเลี่ยงการตรวจสอบความแตกต่างของตัวอักษรพิมพ์เล็ก-พิมพ์ใหญ่ของ Tomcat และทำให้ไฟล์ที่อัปโหลดถูกมองว่าเป็น JSP ซึ่งจะนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้"

CVE-2024-56337 ส่งผลกระทบต่อ Apache Tomcat ตามเวอร์ชันต่อไปนี้

• Apache Tomcat 11.0.0-M1 ถึง 11.0.1 (แก้ไขแล้วในเวอร์ชั่น 11.0.2 หรือเวอร์ชันใหม่กว่า)
• Apache Tomcat 10.1.0-M1 ถึง 10.1.33 (แก้ไขแล้วในเวอร์ชั่น 10.1.34 หรือเวอร์ชันใหม่กว่า)
• Apache Tomcat 9.0.0.M1 ถึง 9.0.97 (แก้ไขแล้วในเวอร์ชั่น 9.0.98 หรือเวอร์ชันใหม่กว่า)

    นอกจากนี้ ผู้ใช้งานจำเป็นต้องดำเนินการเปลี่ยนแปลงการตั้งค่าต่อไปนี้ ขึ้นอยู่กับเวอร์ชันของ Java ที่กำลังใช้งาน

• Java 8 หรือ Java 11: กำหนดค่า system property sun.io.useCanonCaches เป็น false โดยเฉพาะ (ค่าเริ่มต้นคือ true)
• Java 17: ตั้งค่า system property sun.io.useCanonCaches เป็น false หากมีการตั้งค่าไว้แล้ว (ค่าเริ่มต้นคือ false)
• Java 21 และเวอร์ชันที่ใหม่กว่า: ไม่จำเป็นต้องดำเนินการใด ๆ เนื่องจาก system property นี้ถูกลบออกไปแล้ว

    ASF ได้ให้เครดิตแก่ทีมนักวิจัยด้านความปลอดภัย Nacl, WHOAMI, Yemoli, และ Ruozhi สำหรับการค้นพบ และรายงานช่องโหว่ทั้งสองรายการ นอกจากนี้ยังขอบคุณทีม KnownSec 404 ที่รายงานช่องโหว่ CVE-2024-56337 พร้อมกับโค้ดตัวอย่าง (Proof-of-Concept: PoC)

    รายงานนี้เกิดขึ้นในขณะที่ Zero Day Initiative (ZDI) ได้เผยแพร่รายละเอียดของช่องโหว่ระดับ Critical ใน Webmin (CVE-2024-12828, คะแนน CVSS: 9.9) ซึ่งอนุญาตให้ผู้โจมตีที่ผ่านการยืนยันตัวตน จะสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

    ZDI ระบุว่า "ช่องโหว่นี้เกิดขึ้นในกระบวนการจัดการ CGI request และปัญหาเกิดจากการขาดการตรวจสอบค่าที่ผู้ใช้กรอก ก่อนที่จะใช้ค่าดังกล่าวเพื่อเรียกใช้ system call ผู้โจมตีจึงสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อเรียกใช้โค้ดด้วยสิทธิ์ของ root ได้"

Ref : thehackernews

วิธีติดตั้ง LAMP บน Ubuntu 20.04.1

1. ก่อนที่จะติดตั้ง LAMP  เราควรอัพเดตระบบก่อน โดยใช้คำสั่ง
   
   sudo apt update
   
   
   
   
2. ติดตั้งเว็บเซิร์ฟเวอร์ Apache2

พิมพ์คำสั่ง

sudo apt install apache2 

ระบบจะให้เรายืนยันในการติดตั้ง ให้พิมพ์ y แล้วกด Enter

เมื่อติดตั้งแล้ว Apache2 จะเริ่มโดยอัตโนมัติ เราสามารถตรวจสอบได้โดยพิมพ์คำสั่งต่อไปนี้

systemctl status apache2

สามารถตรวจสอบเวอร์ชั่นของ Apache2 ได้โดยใช้คำสั่ง

apache2 -V

วิธีทดสอบโดยพิมพ์ที่อยู่ IP ของเซิร์ฟเวอร์ Ubuntu หรือ localhost บนเบราว์เซอร์ จะเห็นหน้าเว็บเริ่มต้น ซึ่งหมายความว่าเว็บเซิร์ฟเวอร์ Apache ทำงานได้อย่างถูกต้องแล้ว

      3. ติดตั้ง MariaDB

พิมพ์คำสั่ง

sudo apt install mariadb-server mariadb-client 

เมื่อติดตั้งเสร็จแล้ว MariaDB จะทำงานอัตโนมัติ ให้เราตรวจสอบสถานะ โดยใช้คำสั่ง

systemctl status mariadb

ถ้ามันไม่ทำงาน ให้ใช้คำสั่ง

sudo systemctl start mariadb

อนุญาตให้ MariaDB เริ่มต้นโดยอัตโนมัติเปิดบูทเครื่อง โดยใช้คำสั่ง

sudo systemctl enable mariadb

ตรวจสอบเวอร์ชั่นของ MariaDB 

mariadb --version

หลังจากนั้น ให้พิมพ์คำสั่งนี้เพื่อตั้งค่าความปลอดภัยหลังการติดตั้ง

sudo mysql_secure_installation

ระบบจะถาม password ของ root และตั้งค่าตามรูป

   4. ติดตั้ง PHP 8.1

ติดตั้ง PHP8.1 และโมดูล PHP ทั่วไป โดยใช้คำสั่ง

sudo apt install php8.1-mysql php8.1-mbstring php8.1-xml php8.1-curl 

ตรวจสอบเวอร์ชั่นของ PHP

php --version

ในการทดสอบสคริปต์ PHP กับเซิร์ฟเวอร์ของ Apache เราต้องสร้างไฟล์ info.php ใน directory ขึ้นมาก่อน โดยใชคำสั่ง

sudo nano /var/www/html/info.php

และให้นำข้อมูลดังต่อไปนี้ไปวางไว้ในไฟล์ และ กด Save

<?php phpinfo(); ?>

จากนั้นลองทดสอบโดยการไปที่เบราว์เซอร์ และพิมพ์ IP ของ Server หรือ loclahost และตามด้วย /info/php เช่น 192.168.1.1/info.php จะขึ้นข้อมูลตามรูป เป็นอันเสร็จสิ้น