พบ Exchange Server กว่า 28,500 ตัวเสี่ยงต่อการถูกโจมตี

 

        เซิร์ฟเวอร์ Microsoft Exchange มีช่องโหว่ที่ชื่อว่า CVE-2024-21410 ที่มีความเสี่ยงรุนแรง ที่จะถูกโจมตีด้วยวิธีการเพิ่มสิทธิเสริมเข้าถึงที่ถูกใช้โจมตีอย่างสร้างสถานการณ์ zero-day โดยการโจมตีเกิดขึ้นในระยะเวลาที่ Microsoft ยังไม่ได้ประกาศเกี่ยวกับช่องโหว่นี้ ทำให้มีจำนวนเซิร์ฟเวอร์ Exchange ประมาณ 97,000 เครื่องที่อาจมีความเสี่ยง

Microsoft ได้ประกาศแก้ไขปัญหาปิดกั้นการโจมตี zero-day เมื่อวันที่ 13 กุมภาพันธ์ โดยหลังจากแก้ไขมีจำนวนเซิร์ฟเวอร์ที่ยังมีช่องโหว่เหลือเพียง 28,500 เครื่อง จากเซิร์ฟเวอร์ทั้งหมด

        Exchange  Server  มีการใช้งานในการติดต่อสื่อสารในองค์กรธุรกิจและระหว่างองค์กรโดยบริการอีเมล  ปฏิทิน  รายชื่อติดต่อ และจัดการงานต่าง  ๆ

        ช่องโหว่ความปลอดภัยถูกโจมตีด้วยวิธีการ NTLM (NT LAN Manager) การทำ NTLM Relay ทำให้ผู้ไม่ประสงค์ดีที่โจมตีสามารถเข้าถึงสิทธิ์ระดับ SYSTEM ของเครื่องในระบบทำการโจมตีผ่านทาง NTLM Session เพื่อสร้าง LDAP Operation เช่นการแก้ไขข้อมูล Domain Object ได้

        ล่าสุดใน Shadowserver announced ทำการสแกนเซิร์ฟเวอร์พบว่าอาจมีเซิร์ฟเวอร์ที่มีความเสี่ยงประมาณ 97,000 เครื่อง

        จากทั้งหมด 97,000 เครื่องพบมีช่องโหว่โดยประมาณ 68,500 เครื่อง มีการป้องกันการโจมตีผ่านช่องโหว่ และอีก 28,500 เครื่องที่ยังไม่มีการป้องกันที่อาจเสี่ยงถูกโจมตีด้วยช่องโหว่ CVE-2024-21410

    ข้อมูลจำนวนเซิร์ฟเวอร์ในแต่ละประเทศที่มีจำนวนเซิร์ฟเวอร์ที่เสี่ยงต่อการถูกโจมตีด้วยช่องโหว่ได้แก่ เยอรมนี  (22,903 ราย)   สหรัฐอเมริกา  (19,434 ราย)  สหราชอาณาจักร  (3,665 ราย)  ฝรั่งเศส  (3,074 ราย)  ออสเตรีย  (2,987 ราย)  รัสเซีย  (2,771 ราย)  แคนาดา  (2,554 ราย)  และสวิตเซอร์แลนด์  (2,119 ราย)

        ในปัจจุบันยังไม่มีการเปิดเผยข้อมูล Proof-of-Concept (PoC) วิธีการโจมตีของช่องโหว่ CVE-2024-21410 จึงอาจจำกัดการโจมตีช่องโหว่ได้ในบางส่วน

        โดย Microsoft ได้ออกมาแนะนำให้ทำการอัปเดต Exchange Server 2019 Cumulative Update 14 (CU14) ที่ออกมาเพื่อแก้ไขช่องโหว่ CVE-2024-21410 ด้วยแพทช์ประจำเดือน February 2024 Patch Tuesday

      หน่วยงานด้านความมั่นคงและโครงสร้างพื้นฐานด้านความมั่นคงแห่งสหรัฐ  (CISA)  ได้เพิ่ม CVE-2024-21410  เข้าไปที่ Known  Exploited  Vulnerabilities  ของประเทศโดยประกาศให้หน่วยงานภาครัฐภายในประเทศ ทำการอัปเดตแก้ไขช่องโหว่นี้  และถ้าหากยังใช้งานที่ขาดการอัปเดตช่องโหว่เสี่ยงถูกโจมตีที่ทำความเสียหายให้กับองค์กรข้อมูล  ต่าง ๆ ในเซิร์ฟเวอร์

Ref : bleepingcomputer

Microsoft แก้ไขช่องโหว่ Zero-Days ใน Exchange ที่ทำให้สามารถโจมตีแบบ RCE เพื่อขโมยข้อมูลได้

    พบช่องโหว่ Zero-Days บน Microsoft Exchange จำนวน 4 รายการ ที่ทำให้ ผู้ไม่ประสงค์ดีสามารถโจมตีจากภายนอกเพื่อเรียกใช้ หรือเปิดเผยข้อมูลที่มีความสำคัญบน Microsoft Exchange ที่ได้รับผลกระทบ ซึ่งถูกรายงานโดย Zero Day Initiative (ZDI) ของ Trend Micro ซึ่งรายงานช่องโหว่เหล่านี้ไปยัง Microsoft ในวันที่ 7 และ 8 กันยายน 2023

    แม้ว่า Microsoft จะรับทราบรายงานดังกล่าวแล้ว แต่วิศวกรด้านความปลอดภัยก็ตัดสินใจว่าช่องโหว่ดังกล่าวไม่ได้รุนแรงพอที่ออกแพตซ์เพื่อแก้ไขในทันที โดยเลื่อนการแก้ไขออกไปในภายหลัง ZDI ไม่เห็นด้วยกับการตอบรับดังกล่าว และตัดสินใจเผยแพร่ช่องโหว่ภายใต้รหัสของตนเองเพื่อแจ้งเตือนผู้ดูแลระบบ Exchange เกี่ยวกับความเสี่ยงด้านความปลอดภัย

ช่องโหว่ Zero-Days ที่พบ :

• ZDI-23-1578 – ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ใน 'ChainedSerializationBinder' class ซึ่งเกิดจากการที่ข้อมูลของผู้ใช้งานไม่ได้รับการตรวจสอบอย่างเพียงพอ ทำให้ผู้โจมตีสามารถ deserialize untrusted data ได้ โดยหากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีสามารถรันโค้ดได้ตามที่ต้องการด้วยสิทธิ์ 'SYSTEM' ซึ่งเป็นสิทธิ์ระดับสูงสุดบน Windows
• ZDI-23-1579 – ช่องโหว่นี้อยู่ใน 'DownloadDataFromUri' method ซึ่งเกิดจากการตรวจสอบ URI ไม่เพียงพอก่อนการเข้าถึงทรัพยากร อาจทำให้ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อเข้าถึงข้อมูลที่มีความสำคัญบนเซิร์ฟเวอร์ Exchange ได้
• ZDI-23-1580 – ช่องโหว่นี้อยู่ใน 'DownloadDataFromOfficeMarketPlace' method ซึ่งเกิดจากการตรวจสอบ URI ที่ไม่เหมาะสม ซึ่งอาจนำไปสู่การเปิดเผยข้อมูลโดยไม่ได้รับอนุญาต
• ZDI-23-1581 – ช่องโหว่นี้อยู่ใน CreateAttachmentFromUri method โดยช่องโหว่คล้ายกับช่องโหว่ก่อนหน้านี้ที่มีการตรวจสอบ URI ที่ไม่เหมาะสม ซึ่งเสี่ยงต่อการเปิดเผยข้อมูลที่มีความสำคัญ

    ช่องโหว่ทั้งหมดนี้จำเป็นต้องผ่านการ authentication ก่อน สำหรับการโจมตี ซึ่งทำให้ระดับความรุนแรง CVSS ลดลงเหลือระหว่าง 7.1 ถึง 7.5 ทั้งนี้การต้องมี authentication ก่อน อาจเป็นสาเหตุว่าทำไม Microsoft จึงไม่เร่งรีบในการแก้ไขช่องโหว่ดังกล่าว

    อย่างไรก็ตาม ผู้ไม่ประสงค์ดีมีหลายวิธีในการเข้าถึง Exchange credentials เช่น การ brute-forcing ไปยังรหัสผ่านที่คาดเดาได้ง่าย, การโจมตีแบบ phishing, การซื้อรหัสผ่านจาก ตลาดมืด(DarkWeb) และการใช้รหัสผ่านที่ขโมยมาจาก log ของระบบ

    ทั้งนี้ทางนักวิจัย Zero Day Initiative (ZDI) ของ Trend Micro ได้แนะนำให้เปิดใช้งาน multi-factor authentication เพื่อไม่ให้ ผู้ไม่ประสงค์ดีสามารถเข้าถึง Exchange instance ได้ ถึงแม้ว่าข้อมูล credentials จะถูกเข้าถึงได้แล้วก็ตาม

แต่เมื่อ วันที่ 4 พฤษศจิกายน 2023 - โฆษกของ Microsoft ได้ให้ข้อมูลกับ BleepingComputer เพิ่มเติมแล้วดังนี้

Microsoft ได้ตรวจสอบรายงานช่องโหว่เหล่านี้แล้ว และพบว่าบางส่วนได้มีการแก้ไขแล้ว หรือไม่ตรงตามเกณฑ์สำหรับการออกแพตซ์อัปเดตทันที ภายใต้แนวทางการจัดประเภทความรุนแรงของช่องโหว่จาก Microsoft จะตรวจสอบจัดการกับช่องโหว่เหล่านี้ในเวอร์ชันผลิตภัณฑ์ และการอัปเดตในอนาคตตามความเหมาะสม

Microsoft ยังให้ข้อมูลเพิ่มเติมด้านล่างเกี่ยวกับช่องโหว่ที่ถูกพบดังนี้:

• ZDI-23-1578: ลูกค้าที่ได้อัปเดตความปลอดภัยในเดือนสิงหาคมได้รับการแก้ไขช่องโหว่เรียบร้อยแล้ว
• ZDI-23-1581: เทคนิคที่อธิบายไว้กำหนดให้ ผู้ไม่ประสงค์ดีต้องมีสิทธิ์เข้าถึง email credentials ก่อน และไม่มีหลักฐานใดที่แสดงให้เห็นว่าสามารถใช้ประโยชน์จากการยกระดับสิทธิ์ได้
• ZDI-23-1579: เทคนิคที่อธิบายไว้กำหนดให้ ผู้ไม่ประสงค์ดีต้องมีสิทธิ์เข้าถึง email credentials ก่อน
• ZDI-23-1580: เทคนิคที่อธิบายไว้กำหนดให้ ผู้ไม่ประสงค์ดีต้องมีสิทธิ์เข้าถึง email credentials ก่อน และไม่มีหลักฐานใดที่แสดงให้เห็นว่าสามารถใช้เพื่อเข้าถึงข้อมูลลูกค้าที่มีความสำคัญได้

Ref : bleepingcomputer

Microsoft confirms new Exchange zero-days are used in attacks

Microsoft ยืนยันพบ Exchange Zero-days ชนิดใหม่ออกอาละวาด

มีการออกมายืนยันจากทาง Microsoft แล้วว่า ตรวจพบ Zero-Days ที่เป้าหมายการโจมตีเป็น 

Microsoft Exchange Server 2013, 2016 และ 2019 ถึง 2 ช่องโหว่

• ช่องโหว่ที่ 1 ถูกระบุให้เป็น CVE-2022-41040 เป็นช่องโหว่บน Server-Side Request Forgery (SSRF)
• ช่องโหว่ที่ 2 ถูกระบุให้เป็น CVE-2022-41082 เป็นช่องโหว่ที่อนุญาตให้มีการเรียกรันคำสั่งจากระยะไกล เมื่อ PowerShell จากผู้ไม่ประสงค์ดีทาง

    Microsoft ยังกล่าวเสริมอีกว่าช่องโหว่ CVE-2022-41040 สามารถโจมตีได้ก็ต่อเมื่อมีการยืนยันสิทธิ์ในการเข้าถึงจากผู้ดูแลระบบเท่านั้นถึงจะเข้าใช้งานได้และในช่วงเวลานี้ขอยืนยันว่าทางผู้ใช้งานไม่ต้องทำการอันใดกับ Server เนื่องจากทาง Microsoft เองได้ดำเนินการหาทางแก้ไขและค่อยตรวจสอบตลอดเวลาและจะดำเนินการช่วยเหลือในกรณีที่เกิดเหตุขึ้นให้ได้มากที่สุด

  ตามรายงานที่พบของ GTSC หน่วยงานรักษาความปลอดภัยทางไซเบอร์ของประเทศเวียดนามตกเป็นเป้าหมายรายแรกของการโจมตีดังกล่าวโดยที่ Zero-Days นั้นแฝงใว้กับเว็บเชลล์ของจีน Chopper เพื่อการตรวจสอบเฝ้าสังเกตุพฤติกรรมของผู้ใช้จากผู้ไม่ประสงค์ดีโดยที่ GTSC ยังสันนิฐานว่าการโจมตีครั้งนี้มาจากประเทศจีนเพราะด้วยการเข้าระบบล็อกอินของ WebShell เป็นการใช้งานด้วย รูปแบบชุดอักษรจากทาง Microsoft ภาษาจีนโดยที่กลุ่มผู้ไม่ประสงค์ดีกลุ่มนี้ใช้งาน Open Source Antsword Chinese

   ทาง GTSC ได้รายงานข้อบกพร่องทั้งสองช่องให้ทาง Microsoft ผ่านทาง Zero Day Initiative โดยที่ผู้ใช้งาน Microsoft Exchangeในองค์กรของผู้ใช้ควรตรวจสอบและป้องกันการใช้งานตามคำแนะนำของทาง Microsoft ดังนี้

• 1. Open the IIS Manager.
• 2. Expand the Default Web Site.
• 3. Select Autodiscover.
• 4. In the Feature View, click URL Rewrite.
• 5.In the Actions pane on the right-hand side, click Add Rules.
• 6.Select Request Blocking and click OK.
• 7. Add String “.*autodiscover\.json.*\@.*Powershell.*” (excluding quotes) and click OK.
• 8. Expand the rule and select the rule with the Pattern ".*autodiscover\.json.*\@.*Powershell.*" and click Edit under Conditions.
• 9. Change the condition input from {URL} to {REQUEST_URI}

และยังแนะนำให้ดำเนินการ ปิด Port ที่ใช้งาน Remote PowerShell ระยะไกลเพื่อป้องกันการโจมตีที่

• HTTP: 5985
• HTPPS: 5986

และให้ดำเนินการตรวจสอบ Exchange Server ของผู้ใช้งานตรวจสอบ Server ของตนเองโดยใช้คำสั่ง

Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern 'powershell.*autodiscover\.json.*\@.*200'

Ref: bleepingcomputer