Microsoft Patch Tuesday เดือนกุมภาพันธ์ 2025 แก้ไขช่องโหว่ Zero-day จำนวน 4 รายการ และช่องโหว่รวม 55 รายการ

วันนี้เป็นวัน Microsoft Patch Tuesday ประจำเดือนกุมภาพันธ์ 2025 ซึ่งมีUpdate ความปลอดภัยสำหรับช่องโหว่ 55 รายการ รวมถึงช่องโหว่ Zero-day จำนวน 4 รายการ โดยมี 2 รายการที่ถูกใช้โจมตีแล้ว

Patch Tuesday ครั้งนี้ยังแก้ไขช่องโหว่ "Critical" จำนวน 3 รายการ ซึ่งทั้งหมดเป็นช่องโหว่แบบ Remote Code Execution

จำนวนช่องโหว่ที่พบในแต่ละประเภทมีดังนี้:

19 ช่องโหว่การยกระดับสิทธิ์ (Elevation of Privilege Vulnerabilities)

2 ช่องโหว่การข้ามฟีเจอร์ความปลอดภัย (Security Feature Bypass Vulnerabilities)

22 ช่องโหว่การเรียกใช้โค้ดจากระยะไกล (Remote Code Execution Vulnerabilities)

1 ช่องโหว่การเปิดเผยข้อมูล (Information Disclosure Vulnerabilities)

9 ช่องโหว่การปฏิเสธการให้บริการ (Denial of Service Vulnerabilities)

3 ช่องโหว่การปลอมแปลง (Spoofing Vulnerabilities)

ตัวเลขข้างต้นไม่รวมถึงช่องโหว่ระดับวิกฤติของ Microsoft Dynamics 365 Sales ที่เกี่ยวกับการยกระดับสิทธิ์ และช่องโหว่ 10 รายการของ Microsoft Edge ที่ได้รับการแก้ไขไปแล้วเมื่อวันที่ 6 กุมภาพันธ์

หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับUpdate ที่ไม่ใช่ด้านความปลอดภัยในวันนี้ คุณสามารถดูบทความเฉพาะเกี่ยวกับ Update สะสม KB5051987 และ KB5051989 สำหรับ Windows 11 รวมถึง Update KB5051974 สำหรับ Windows 10

ช่องโหว่ Zero-day ที่ถูกโจมตีสองรายการที่ได้รับการเปิดเผย

ใน Patch Tuesday ของเดือนนี้ Microsoft ได้แก้ไขช่องโหว่ Zero-day สองรายการที่ถูกโจมตีแล้ว และอีกสองรายการที่ได้รับการเปิดเผยสู่สาธารณะ

Microsoft จัดประเภทช่องโหว่ Zero-day ว่าเป็นช่องโหว่ที่ถูกเปิดเผยต่อสาธารณะหรือถูกโจมตีโดยที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

ช่องโหว่ Zero-day ที่ถูกโจมตีแล้ว

1. CVE-2025-21391 - Windows Storage Elevation of Privilege Vulnerability

• ช่องโหว่นี้เกี่ยวข้องกับการยกระดับสิทธิ์ที่สามารถใช้ลบไฟล์ได้
• Microsoft ระบุว่า “ผู้โจมตีจะสามารถลบไฟล์เป้าหมายบนระบบเท่านั้น”
• ช่องโหว่นี้ไม่ทำให้เกิดการรั่วไหลของข้อมูลลับ แต่สามารถลบข้อมูลที่อาจทำให้บริการไม่สามารถใช้งานได้
• ยังไม่มีข้อมูลเกี่ยวกับวิธีการโจมตีและผู้ที่เปิดเผยช่องโหว่นี้

2. CVE-2025-21418 - Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability

• ช่องโหว่นี้ช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็น SYSTEM บน Windows ได้
• ยังไม่มีข้อมูลว่าใช้ในการโจมตีอย่างไร และ Microsoft ระบุว่าช่องโหว่นี้ถูกเปิดเผยโดยไม่ระบุชื่อ

ช่องโหว่ Zero-day ที่เปิดเผยสู่สาธารณะ

1. CVE-2025-21194 - Microsoft Surface Security Feature Bypass Vulnerability

• ช่องโหว่นี้เกี่ยวข้องกับไฮเปอร์ไวเซอร์ (Hypervisor) ที่ช่วยให้สามารถข้าม UEFI และเข้าถึง secure kernel ได้
• Microsoft ระบุว่าเป็นช่องโหว่ที่กระทบต่อ Virtual Machines บนเครื่องที่ใช้ UEFI
• อาจเกี่ยวข้องกับช่องโหว่ PixieFail ซึ่งเป็นชุดช่องโหว่ 9 รายการที่ส่งผลกระทบต่อโปรโตคอล IPv6 ใน Tianocore’s EDK II ที่ใช้ใน Microsoft Surface และผลิตภัณฑ์ไฮเปอร์ไวเซอร์

2. CVE-2025-21377 - NTLM Hash Disclosure Spoofing Vulnerability

• ช่องโหว่นี้เปิดเผย NTLM hash ของผู้ใช้ Windows ทำให้ผู้โจมตีสามารถล็อกอินในฐานะผู้ใช้นั้นได้
• การเปิดช่องโหว่สามารถเกิดขึ้นจากการโต้ตอบเพียงเล็กน้อย เช่น การคลิกเลือกไฟล์หรือคลิกขวาเพื่อดูรายละเอียด
• ช่องโหว่นี้อาจคล้ายกับช่องโหว่ NTLM hash อื่น ๆ ที่เมื่อ Windows เชื่อมต่อกับเซิร์ฟเวอร์ระยะไกล NTLM hash ของผู้ใช้จะถูกส่งไป ทำให้ผู้โจมตีสามารถรวบรวมและนำไปใช้ใน Pass-the-Hash Attack ได้
• ช่องโหว่นี้ถูกค้นพบโดยทีมนักวิจัยจาก Cathay Pacific, Securify B.V., และ ACROS Security (0patch)

Patch Tuesday ครั้งนี้เป็น Update ที่สำคัญ เนื่องจากมีช่องโหว่ Zero-day ที่ถูกใช้งานแล้วถึงสองรายการ ทำให้ผู้ใช้ Windows ควรติดตั้ง Update โดยเร็วที่สุด

Update ล่าสุดจากบริษัทอื่น ๆ

บริษัทอื่น ๆ ที่ออก Update หรือคำแนะนำด้านความปลอดภัยในเดือนกุมภาพันธ์ 2025 ได้แก่:

Adobe ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง Adobe Photoshop, Substance3D, Illustrator และ Animate

AMD ออกมาตรการลดความเสี่ยงและอัปเดตเฟิร์มแวร์เพื่อแก้ไขช่องโหว่ที่สามารถใช้โหลด microcode ของ CPU ที่เป็นอันตราย

Apple ออก Update ความปลอดภัยสำหรับช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีที่ มีความซับซ้อนสูงมาก

Cisco ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง Cisco IOS, ISE, NX-OS และ Identity Services

Google แก้ไขช่องโหว่ Zero-day ที่ถูกโจมตีแล้วใน USB Video Class driver ของ Android Kernel

Ivanti  ออก Update ความปลอดภัยสำหรับ Connect Secure, Neurons for MDM และ Cloud Service Application

Fortinet ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึง FortiManager, FortiOS, FortiAnalyzer และ FortiSwitchManager

Netgear แก้ไขช่องโหว่ระดับวิกฤติ 2 รายการที่มีผลกระทบต่อ เราเตอร์ WiFi หลายรุ่น

SAP ออก Update ความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ

Update ความปลอดภัย Patch Tuesday เดือนกุมภาพันธ์ 2025

ด้านล่างเป็นรายการช่องโหว่ที่ได้รับการแก้ไขทั้งหมดใน Update Patch Tuesday เดือนกุมภาพันธ์ 2025

หากต้องการดูรายละเอียดฉบับเต็มของแต่ละช่องโหว่และระบบที่ได้รับผลกระทบ คุณสามารถดูได้ที่ รายงาน

Tag	CVE ID	CVE Title	Severity
Active Directory Domain Services	CVE-2025-21351	Windows Active Directory Domain Services API Denial of Service Vulnerability	Important
Azure Network Watcher	CVE-2025-21188	Azure Network Watcher VM Extension Elevation of Privilege Vulnerability	Important
Microsoft AutoUpdate (MAU)	CVE-2025-24036	Microsoft AutoUpdate (MAU) Elevation of Privilege Vulnerability	Important
Microsoft Digest Authentication	CVE-2025-21368	Microsoft Digest Authentication Remote Code Execution Vulnerability	Important
Microsoft Digest Authentication	CVE-2025-21369	Microsoft Digest Authentication Remote Code Execution Vulnerability	Important
Microsoft Dynamics 365 Sales	CVE-2025-21177	Microsoft Dynamics 365 Sales Elevation of Privilege Vulnerability	Critical
Microsoft Edge (Chromium-based)	CVE-2025-21267	Microsoft Edge (Chromium-based) Spoofing Vulnerability	Low
Microsoft Edge (Chromium-based)	CVE-2025-21279	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-21342	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-0445	Chromium: CVE-2025-0445 Use after free in V8	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-0451	Chromium: CVE-2025-0451 Inappropriate implementation in Extensions API	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-0444	Chromium: CVE-2025-0444 Use after free in Skia	Unknown
Microsoft Edge (Chromium-based)	CVE-2025-21283	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge (Chromium-based)	CVE-2025-21404	Microsoft Edge (Chromium-based) Spoofing Vulnerability	Low
Microsoft Edge (Chromium-based)	CVE-2025-21408	Microsoft Edge (Chromium-based) Remote Code Execution Vulnerability	Important
Microsoft Edge for iOS and Android	CVE-2025-21253	Microsoft Edge for IOS and Android Spoofing Vulnerability	Moderate
Microsoft High Performance Compute Pack (HPC) Linux Node Agent	CVE-2025-21198	Microsoft High Performance Compute (HPC) Pack Remote Code Execution Vulnerability	Important
Microsoft Office	CVE-2025-21392	Microsoft Office Remote Code Execution Vulnerability	Important
Microsoft Office	CVE-2025-21397	Microsoft Office Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21381	Microsoft Excel Remote Code Execution Vulnerability	Critical
Microsoft Office Excel	CVE-2025-21394	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21383	Microsoft Excel Information Disclosure Vulnerability	Important
Microsoft Office Excel	CVE-2025-21390	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21386	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office Excel	CVE-2025-21387	Microsoft Excel Remote Code Execution Vulnerability	Important
Microsoft Office SharePoint	CVE-2025-21400	Microsoft SharePoint Server Remote Code Execution Vulnerability	Important
Microsoft PC Manager	CVE-2025-21322	Microsoft PC Manager Elevation of Privilege Vulnerability	Important
Microsoft Streaming Service	CVE-2025-21375	Kernel Streaming WOW Thunk Service Driver Elevation of Privilege Vulnerability	Important
Microsoft Surface	CVE-2025-21194	Microsoft Surface Security Feature Bypass Vulnerability	Important
Microsoft Windows	CVE-2025-21337	Windows NTFS Elevation of Privilege Vulnerability	Important
Open Source Software	CVE-2023-32002	HackerOne: CVE-2023-32002 Node.js `Module._load()` policy Remote Code Execution Vulnerability	Important
Outlook for Android	CVE-2025-21259	Microsoft Outlook Spoofing Vulnerability	Important
Visual Studio	CVE-2025-21206	Visual Studio Installer Elevation of Privilege Vulnerability	Important
Visual Studio Code	CVE-2025-24039	Visual Studio Code Elevation of Privilege Vulnerability	Important
Visual Studio Code	CVE-2025-24042	Visual Studio Code JS Debug Extension Elevation of Privilege Vulnerability	Important
Windows Ancillary Function Driver for WinSock	CVE-2025-21418	Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability	Important
Windows CoreMessaging	CVE-2025-21358	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows CoreMessaging	CVE-2025-21184	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows DHCP Client	CVE-2025-21179	DHCP Client Service Denial of Service Vulnerability	Important
Windows DHCP Server	CVE-2025-21379	DHCP Client Service Remote Code Execution Vulnerability	Critical
Windows Disk Cleanup Tool	CVE-2025-21420	Windows Disk Cleanup Tool Elevation of Privilege Vulnerability	Important
Windows DWM Core Library	CVE-2025-21414	Windows Core Messaging Elevation of Privileges Vulnerability	Important
Windows Installer	CVE-2025-21373	Windows Installer Elevation of Privilege Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21216	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21212	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21352	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Internet Connection Sharing (ICS)	CVE-2025-21254	Internet Connection Sharing (ICS) Denial of Service Vulnerability	Important
Windows Kerberos	CVE-2025-21350	Windows Kerberos Denial of Service Vulnerability	Important
Windows Kernel	CVE-2025-21359	Windows Kernel Security Feature Bypass Vulnerability	Important
Windows LDAP - Lightweight Directory Access Protocol	CVE-2025-21376	Windows Lightweight Directory Access Protocol (LDAP) Remote Code Execution Vulnerability	Critical
Windows Message Queuing	CVE-2025-21181	Microsoft Message Queuing (MSMQ) Denial of Service Vulnerability	Important
Windows NTLM	CVE-2025-21377	NTLM Hash Disclosure Spoofing Vulnerability	Important
Windows Remote Desktop Services	CVE-2025-21349	Windows Remote Desktop Configuration Service Tampering Vulnerability	Important
Windows Resilient File System (ReFS) Deduplication Service	CVE-2025-21183	Windows Resilient File System (ReFS) Deduplication Service Elevation of Privilege Vulnerability	Important
Windows Resilient File System (ReFS) Deduplication Service	CVE-2025-21182	Windows Resilient File System (ReFS) Deduplication Service Elevation of Privilege Vulnerability	Important
Windows Routing and Remote Access Service (RRAS)	CVE-2025-21410	Windows Routing and Remote Access Service (RRAS) Remote Code Execution Vulnerability	Important
Windows Routing and Remote Access Service (RRAS)	CVE-2025-21208	Windows Routing and Remote Access Service (RRAS) Remote Code Execution Vulnerability	Important
Windows Setup Files Cleanup	CVE-2025-21419	Windows Setup Files Cleanup Elevation of Privilege Vulnerability	Important
Windows Storage	CVE-2025-21391	Windows Storage Elevation of Privilege Vulnerability	Important
Windows Telephony Server	CVE-2025-21201	Windows Telephony Server Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21407	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21406	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21200	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21371	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Telephony Service	CVE-2025-21190	Windows Telephony Service Remote Code Execution Vulnerability	Important
Windows Update Stack	CVE-2025-21347	Windows Deployment Services Denial of Service Vulnerability	Important
Windows Win32 Kernel Subsystem	CVE-2025-21367	Windows Win32 Kernel Subsystem Elevation of Privilege Vulnerability	Important

Ref : bleepingcomputer.com

Fortinet แจ้งเตือนการโจมตีช่องโหว่ Zero-Day ที่สามารถ Bypass การ Authentication เพื่อเข้าควบคุม Firewall

    Fortinet แจ้งเตือนการพบกลุ่มผู้ไม่ประสงค์ดีกำลังมุ่งเป้าโจมตีช่องโหว่ Zero-Day ใหม่ใน FortiOS และ FortiProxy เพื่อเข้าควบคุม FortiGate Firewall และเข้าถึงระบบเครือข่ายขององค์กร

• CVE-2024-55591 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ authentication bypass ที่ส่งผลกระทบต่อ FortiOS 7.0.0 ถึง 7.0.16, FortiProxy 7.0.0 ถึง 7.0.19 และ FortiProxy 7.2.0 ถึง 7.2.12 ซึ่งหากสามารถโจมตีได้สำเร็จ อาจทำให้ผู้โจมตีได้รับสิทธิ์ super-admin โดยการส่ง requests ที่เป็นอันตรายไปยังโมดูล Node.js websocket

    Fortinet พบว่ากลุ่มผู้ไม่ประสงค์ดีที่โจมตีช่องโหว่ดังกล่าวได้สร้าง admin user หรือ local users แบบสุ่มบนอุปกรณ์ที่ถูกโจมตีรวมถึงเพิ่มเข้าไปใน SSL VPN user group รวมถึงการเพิ่มหรือเปลี่ยน Firewall policy และการตั้งค่าอื่น ๆ รวมถึงการเข้าสู่ระบบ SSLVPN โดยใช้บัญชีปลอมที่สร้างไว้ก่อนหน้านี้เพื่อเข้าไปยังเครือข่ายภายในของเป้าหมาย

    แม้ว่า Fortinet จะยังไม่ได้ให้ข้อมูลรายละเอียดเพิ่มเติม แต่ทาง Arctic Wolf บริษัทด้านการรักษาความปลอดภัยทางไซเบอร์ได้เผยแพร่รายงาน และระบุ Indicators of Compromise (IOCs) ที่ตรงกันโดยระบุว่า FortiGate Firewall ที่เปิดให้เข้าถึง Management interfaces จากอินเทอร์เน็ต ได้ถูกโจมตีด้วยช่องโหว่ดังกล่าวมาตั้งแต่กลางเดือนพฤศจิกายน 2024 และคาดการณ์ว่ากลุ่ม ผู้ไม่ประสงค์ดีจะใช้ช่องโหว่ดังกล่าวในการโจมตีเป็นวงกว้าง

    Arctic Wolf ยังได้ระบุ Timeline สำหรับแคมเปญการโจมตีช่องโหว่ CVE-2024-55591 โดยระบุว่ามี 4 ระยะ ดังนี้:

• Vulnerability scanning (16 พฤศจิกายน 2024 ถึง 23 พฤศจิกายน 2024)
• Reconnaissance (22 พฤศจิกายน 2024 ถึง 27 พฤศจิกายน 2024)
• SSL VPN configuration (4 ธันวาคม 2024 ถึง 7 ธันวาคม 2024)
• Lateral Movement (16 ธันวาคม 2024 ถึง 27 ธันวาคม 2024)

    Fortinet และ Arctic Wolf มี IOCs ที่แทบจะเหมือนกัน โดยระบุว่าสามารถตรวจสอบ Log สำหรับรายการต่อไปนี้เพื่อระบุว่ามีอุปกรณ์ในองค์กรตกเป็นเป้าหมายการโจมตีช่องโหว่หรือไม่

    หลังจาก ผู้ไม่ประสงค์ดี เข้าสู่ระบบผ่านช่องโหว่ Log จะแสดง source IP address และ destination IP แบบสุ่ม :

type="event" subtype="system" level="information" vd="root" logdesc="Admin login successful" sn="1733486785" user="admin" ui="jsconsole" method="jsconsole" srcip=1.1.1.1 dstip=1.1.1.1 action="login" status="success" reason="none" profile="super_admin" msg="Administrator admin logged in successfully from jsconsole"

    ผู้ไม่ประสงค์ดี สร้าง admin user หรือ local users ข้อมูล Log จะถูกสร้างขึ้นโดยมีสิ่งที่ดูเหมือนชื่อ user และ source IP address ที่ถูกสร้างขึ้นแบบสุ่ม :

type="event" subtype="system" level="information" vd="root" logdesc="Object attribute configured" user="admin" ui="jsconsole(127.0.0.1)" action="Add" cfgtid=1411317760 cfgpath="system.admin" cfgobj="vOcep" cfgattr="password[*]accprofile[super_admin]vdom[root]" msg="Add system.admin vOcep"

    รวมถึง Arctic Wolf ยังเตือนอีกว่า ผู้ไม่ประสงค์ดี มักใช้ที่ IP address ต่อไปนี้ในการโจมตี :

• 1.1.1.1
• 127.0.0.1
• 2.2.2.2
• 8.8.8.8
• 8.8.4.4

    Arctic Wolf ระบุว่าได้แจ้งให้ Fortinet ทราบเกี่ยวกับการโจมตีช่องโหว่เมื่อวันที่ 12 ธันวาคม 2024 และได้รับการยืนยันจาก FortiGuard Labs PSIRT เมื่อวันที่ 17 ธันวาคม 2024 ว่ารับทราบถึงการดำเนินการดังกล่าวแล้ว และอยู่ระหว่างการสอบสวน

    Fortinet ได้ออกแจ้งเตือนให้ผู้ดูแลระบบปิดการใช้งาน Management interfaces จากอินเทอร์เน็ตโดยด่วน รวมถึงยังแนะนำให้ผู้ดูแลระบบปิดการใช้งาน HTTP/HTTPS administrative interface หรือจำกัด IP addresses ที่สามารถเข้าถึง IP addresses ได้ผ่าน local policy

    Fortinet ยังได้ออกแพตช์ความปลอดภัยสำหรับช่องโหว่ Hard-coded cryptographic key (CVE-2023-37936) ซึ่งช่องโหว่นี้ทำให้ ผู้ไม่ประสงค์ดี จากภายนอกที่ไม่ต้องผ่านการยืนยันตัวตน ซึ่งมี Key สามารถเรียกใช้คำสั่งที่ไม่ได้รับอนุญาตผ่าน cryptographic request ที่สร้างขึ้นได้

    ในช่วงเดือนธันวาคม 2024 Volexity เคยรายงานว่าพบ ผู้ไม่ประสงค์ดี ชาวจีนใช้ post-exploitation toolkit ที่เรียกว่า "DeepData" เพื่อโจมตีช่องโหว่ zero-day (โดยยังไม่มี CVE ID) ใน Fortinet's FortiClient Windows VPN client เพื่อขโมยข้อมูล credentials

    สองเดือนก่อนหน้านี้ Mandiant ได้เปิดเผยว่าช่องโหว่ใน Fortinet FortiManager ที่เรียกว่า "FortiJump" (CVE-2024-47575) ได้ถูกโจมตีในรูปแบบ zero-day เพื่อเจาะระบบเซิร์ฟเวอร์มากกว่า 50 เครื่องมาตั้งแต่เดือนมิถุนายน 2024

Ref : bleepingcomputer

CISA แจ้งเตือนช่องโหว่ RCE ระดับ critical ของ Fortinet ที่กำลังถูกนำมาใช้ในการโจมตี

    วันที่ 9 ตุลาคม 2024 CISA ได้แจ้งเตือนว่าพบผู้โจมตีที่กำลังใช้ประโยชน์จากช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ความรุนแรงระดับ critical ของ FortiOS ในการโจมตีจริงแล้ว

    ช่องโหว่ CVE-2024-23113 เกิดจากการที่ fgfmd daemon ยอมรับ format string ที่ควบคุมจากภายนอกเป็นรูปแบบ argument ซึ่งช่วยให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถเรียกใช้คำสั่ง หรือโค้ดที่กำหนดเองบนอุปกรณ์ที่ยังไม่ได้รับการแก้ไขได้ ด้วยวิธีการโจมตีที่มีความซับซ้อนต่ำ และไม่ต้องการการโต้ตอบจากผู้ใช้งาน

    ตามที่ Fortinet อธิบายไว้ fgfmd daemon ที่มีช่องโหว่นี้จะทำงานบน FortiGate และ FortiManager โดยทำหน้าที่จัดการ authentication requests ทั้งหมด และจัดการข้อความ keep-alive ระหว่างอุปกรณ์ทั้งสอง (รวมถึงการดำเนินการที่ตามมา เช่น การสั่งให้กระบวนการอื่น ๆ อัปเดตไฟล์ หรือฐานข้อมูล)

CVE-2024-23113 ส่งผลกระทบกับ FortiOS เวอร์ชัน 7.0 และใหม่กว่า, FortiPAM เวอร์ชัน 1.0 และสูงกว่า, FortiProxy เวอร์ชัน 7.0 และสูงกว่า และ FortiWeb เวอร์ชัน 7.4

    ทางบริษัทได้เปิดเผย และแก้ไขช่องโหว่ด้านความปลอดภัยนี้ในเดือนกุมภาพันธ์ 2024 โดยแนะนำให้ผู้ดูแลระบบลบการเข้าถึง fgfmd daemon จากทุกอินเทอร์เฟซ เพื่อเป็นมาตรการลดผลกระทบที่ออกแบบมาเพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

    Fortinet ระบุว่า “โปรดทราบว่าการดำเนินการนี้จะป้องกันการ discovery FortiGate จาก FortiManager แต่ยังสามารถเชื่อมต่อจาก FortiGate ได้”

    โปรดทราบเพิ่มเติมว่านโยบาย local-in ที่อนุญาตการเชื่อมต่อ FGFM จาก IP ที่กำหนดเท่านั้น จะช่วยลดความเสี่ยงต่อการโจมตีได้ แต่จะไม่สามารถป้องกันการใช้ประโยชน์จากช่องโหว่นี้ผ่าน IP นั้นได้ ดังนั้นจึงควรใช้เป็นมาตรการสำหรับลดผลกระทบ และไม่ใช่วิธีการแก้ไขปัญหาอย่างสมบูรณ์

หน่วยงานรัฐบาลกลางถูกสั่งให้ทำการแก้ไขช่องโหว่ภายในสามสัปดาห์

    ในขณะที่ Fortinet ยังไม่ได้อัปเดตคำแนะนำในเดือนกุมภาพันธ์ เพื่อยืนยันการพบการโจมตีจาก CVE-2024-23113 แต่ CISA ได้เพิ่มช่องโหว่นี้ลงในแคตตาล็อกช่องโหว่ที่กำลังถูกใช้ในการโจมตี (Known Exploited Vulnerabilities Catalog) ในวันพุธที่ผ่านมา

    หน่วยงานรัฐบาลกลางของสหรัฐฯ ยังถูกกำหนดให้ต้องปกป้องอุปกรณ์ FortiOS บนเครือข่ายของตนจากการโจมตีที่กำลังดำเนินการอยู่ภายในสามสัปดาห์ โดยจะต้องดำเนินการให้เสร็จสิ้นภายในวันที่ 30 ตุลาคม 2024 ตามที่กำหนดในคำสั่ง Binding operational directive (BOD 22-01) ที่ออกในเดือนพฤศจิกายน 2021

    หน่วยข่าวกรอง และความมั่นคงทางทหารของเนเธอร์แลนด์ (MIVD) แจ้งเตือนในเดือนมิถุนายน 2024 ว่าผู้ไม่หวังดีจากจีนได้ใช้ช่องโหว่ RCE ความรุนแรงระดับ Critical ของ FortiOS อีกช่องโหว่หนึ่ง (CVE-2022-42475) ระหว่างปี 2022 ถึง 2023 เพื่อโจมตี และแพร่กระจายมัลแวร์ในอุปกรณ์รักษาความปลอดภัยเครือข่าย Fortigate อย่างน้อย 20,000 เครื่อง

Ref : bleepingcomputer

Fortinet ออกมายืนยันว่าถูก ขอโมยข้อมูล หลังจากมีการแอบอ้างจากผู้ไม่ประสงค์ดีได้ทำการขโมยไฟล์ขนาด 440GB ไป

    Fortinet บริษัทใหญ่ด้านความปลอดภัยทางไซเบอร์ได้ยืนยันว่ามีการละเมิดข้อมูลเกิดขึ้น หลังจากมีผู้ไม่ประสงค์ดีอ้างว่าได้ขโมยไฟล์ขนาด 440GB จากเซิร์ฟเวอร์ Microsoft SharePoint ของบริษัท

    เหตุเกิดขึ้นเมื่อ ผู้ไม่ประสงค์ดีรายหนึ่งได้โพสต์ในฟอรัมแฮกเกอร์ว่าได้ขโมยข้อมูล 440GB จากระบบ Azure SharePoint ของ Fortinet จากนั้นได้แชร์ข้อมูลการเข้าถึงไปยัง S3 bucket ที่เชื่อว่ามีการเก็บข้อมูลที่ถูกขโมยไว้ เพื่อให้เหล่าผู้ไม่ประสงค์ดีรายอื่น ๆ สามารถดาวน์โหลดได้

    ผู้ไม่ประสงค์ดีที่รู้จักกันในชื่อ "Fortibitch" อ้างว่าได้พยายามเรียกค่าไถ่จาก Fortinet โดยคาดว่าจะเป็นการป้องกันไม่ให้ข้อมูลถูกเผยแพร่ แต่ทางบริษัทปฏิเสธที่จะจ่ายเงิน

    ในคำตอบต่อคำถามของ BleepingComputer เกี่ยวกับเหตุการณ์นี้ Fortinet ยืนยันว่ามีข้อมูลลูกค้าถูกขโมยจาก "ไดรฟ์แชร์บนคลาวด์ของบุคคลที่สาม"

    "บุคคลหนึ่งได้เข้าถึงไฟล์จำนวนจำกัดที่จัดเก็บอยู่ในระบบคลาวด์ไดรฟ์ที่ใช้ร่วมกันของบุคคลที่สามของ Fortinet โดยไม่ได้รับอนุญาต ซึ่งรวมถึงข้อมูลจำกัดที่เกี่ยวข้องกับลูกค้า Fortinet จำนวนไม่มาก" บริษัทกล่าวกับ BleepingComputer

    Fortinet ไม่ได้เปิดเผยจำนวนลูกค้าที่ได้รับผลกระทบหรือประเภทของข้อมูลที่ถูกละเมิด แต่ได้กล่าวว่า "ได้สื่อสารกับลูกค้าโดยตรงตามความเหมาะสม"

BleepingComputer ได้ติดต่อ Fortinet เพื่อขอข้อมูลเพิ่มเติมเกี่ยวกับการละเมิดนี้ แต่ยังไม่ได้รับคำตอบในขณะนี้

    ในเดือนพฤษภาคม 2023 ผู้ไม่ประสงค์ดีอ้างว่าบุกเข้าไปในที่เก็บ GitHub ของบริษัท Panopta ซึ่งถูกซื้อโดย Fortinet ในปี 2020 และได้ปล่อยข้อมูลที่ขโมยมาในฟอรัมแฮกเกอร์ที่ใช้ภาษารัสเซีย

Ref : bleepingcomputer

Fortinet แจ้งเตือนช่องโหว่ RCE ระดับ Critical บน Endpoint Management Software

    Fortinet ได้แก้ไขช่องโหว่ระดับ Critical ในซอฟต์แวร์ FortiClient Enterprise Management Server (EMS) ที่ทำให้ผู้ไม่ประสงค์ดี สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บนเซิร์ฟเวอร์ที่มีช่องโหว่ได้

    FortiClient EMS ช่วยให้ผู้ดูแลระบบสามารถจัดการอุปกรณ์ที่เชื่อมต่อกับเครือข่ายองค์กร และยังช่วยให้สามารถ deploy ซอฟต์แวร์ FortiClient และกำหนดโปรไฟล์ด้านความปลอดภัยบน Windows

CVE-2023-48788 (คะแนนCVSS 9.8/10 ความรุนแรงระดับ Critical)

    เป็นช่องโหว่ SQL injection ใน DB2 Administration Server (DAS) component ซึ่งถูกค้นพบ และรายงานโดย National Cyber Security Center (NCSC) ของสหราชอาณาจักร และ Thiago Santana นักพัฒนาของ Fortinet

    โดยช่องโหว่ดังกล่าวทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยมีความซับซ้อนต่ำ และไม่ต้องมีการโต้ตอบจากผู้ใช้ ซึ่งส่งผลกระทบต่อ FortiClient EMS เวอร์ชัน

7.0 (7.0.1 ถึง 7.0.10)

7.2 (7.2.0 ถึง 7.2.2)

ทั้งนี้ทาง Fortinet ยังไม่ได้เปิดเผยว่ามีหลักฐานการโจมตีของช่องโหว่ CVE-2023-48788 เกิดขึ้นจริงแล้วหรือไม่

    ทีม Horizon3 ได้ออกมายืนยันถึงความรุนแรงของช่องโหว่ดังกล่าว พร้อมทั้งประกาศว่าจะเปิดเผยชุดสาธิตการโจมตี หรือ proof-of-concept exploit (PoC) ในสัปดาห์หน้า

    นอกจากนี้ทาง Fortinet ได้แก้ไขช่องโหว่ out-of-bounds write ระดับ Critical ( CVE-2023-42789 ) ใน FortiOS และ FortiProxy captive Portal ที่อาจทำให้ผู้ไม่ประสงค์ดีที่อยู่ภายในเครือข่าย ที่ไม่ต้องผ่านการตรวจสอบสิทธิ์สามารถรันโค้ด หรือคำสั่งที่ไม่ได้รับอนุญาตจากระยะไกลบนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยใช้ HTTP requests ที่เป็นอันตราย

    รวมถึงช่องโหว่ที่มีระดับความรุนแรงสูงอีก 2 รายการ ได้แก่ ช่องโหว่ improper access control (CVE-2023-36554) ใน FortiWLM MEA สำหรับ FortiManager และ CSV injection (CVE-2023-47534) ใน FortiClient EMS ที่ทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่ง หรือ code บนระบบที่มีช่องโหว่ได้

    โดยในเดือนกุมภาพันธ์ 2024 Fortinet ได้แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (CVE-2024-21762) ระดับ critical ในระบบปฏิบัติการ FortiOS และ FortiProxy secure web proxy ซึ่งทาง CISA ได้ยืนยันว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตี และได้สั่งให้หน่วยงานรัฐบาลกลางอัปเดตแพตซ์ช่องโหว่อุปกรณ์ FortiOS และ FortiProxy ภายในเจ็ดวัน

    ทั้งนี้ช่องโหว่ Fortinet มักถูกใช้เพื่อโจมตีเครือข่ายองค์กรในการโจมตีด้วย ransomware และ zero-day ตัวอย่างเช่น ในเดือนกุมภาพันธ์ 2024 Fortinet พบกลุ่ม Volt Typhoon ของจีน ได้ใช้ช่องโหว่ FortiOS SSL VPN 2 รายการ (CVE-2022-42475 และ CVE-2023-27997) เพื่อใช้มัลแวร์ Coathanger remote access trojan (RAT) ในการวาง backdoor บนเครือข่ายทหารของกระทรวงกลาโหมเนเธอร์แลนด์

Ref : bleepingcomputer

FBI แจ้งเตือนการพบ Androxgh0st botnet ขโมยข้อมูล AWS และ Microsoft credential

    CISA และ FBI แจ้งเตือนการพบกลุ่มผู้ไม่ประสงค์ดีใช้ Androxgh0st botnet ในการโจมตี เพื่อขโมยข้อมูล credential บน Cloud และใช้ข้อมูลที่ขโมยมาในการส่ง Payload ที่เป็นอันตรายไปยังเป้าหมาย

Androxgh0st botnet ถูกพบครั้งแรกโดย Lacework Labs ในปี 2022 และเข้าควบคุมอุปกรณ์ไปกว่า 40,000 เครื่อง ตามข้อมูลของ Fortiguard Labs โดยมันจะทำการสแกนหาเว็บไซต์ และเซิร์ฟเวอร์ที่มีช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) CVE-2017-9841 (ช่องโหว่ PHPUnit unit testing framework), CVE-2021-41773 (ช่องโหว่ Apache HTTP Server) และ CVE-2018-15133 (ช่องโหว่ Laravel PHP web framework)

    Androxgh0st เป็น Python-scripted malware ซึ่งกำหนดเป้าหมายการโจมตีไปยังไฟล์ .env ที่มีข้อมูลที่เป็นความลับ เช่น ข้อมูล confidential สำหรับแอปพลิเคชันที่มีความสำคัญต่าง ๆ (เช่น Amazon Web Services [AWS], Microsoft Office 365, SendGrid และ Twilio จาก Laravel web application framework) รวมถึงยังสนับสนุนฟีเจอร์การโจมตีมากมายที่สามารถใช้ Simple Mail Transfer Protocol (SMTP) ในการโจมตี เช่น การสแกน และการใช้ประโยชน์จากข้อมูล credentials ที่ถูกเปิดเผย, Application Programming Interfaces (API) และการใช้ Web Shell

    เมื่อ Androxgh0st สามารถขโมยข้อมูล credentials ได้แล้วก็จะดำเนินการในขั้นต่อไป โดยหนึ่งในสองฟังก์ชันหลักที่ใช้กับข้อมูล credentials ที่ขโมยมาที่พบบ่อยที่สุดคือการตรวจสอบขีดจำกัดการส่งอีเมลสำหรับบัญชี เพื่อประเมินว่าสามารถใช้ประโยชน์จากการสแปมได้หรือไม่ รวมถึงยังพบว่าผู้ไม่ประสงค์ดีจะสร้างเพจปลอมบนเว็บไซต์ที่ถูกโจมตี โดยใช้ backdoor เพื่อเข้าถึงฐานข้อมูลที่มีข้อมูลที่มีความสำคัญ และติดตั้งเครื่องมือที่เป็นอันตราย รวมถึงเมื่อสามารถขโมยข้อมูล credentials ของ AWS บนเว็บไซต์ที่มีช่องโหว่ได้สำเร็จแล้ว ก็จะลองสร้างผู้ใช้ และ Policy ของผู้ใช้งานใหม่อีกด้วย นอกจากนี้ Andoxgh0st ยังใช้ข้อมูล credentials ที่ขโมยมาเพื่อค้นหา AWS instance ใหม่สำหรับการสแกนเป้าหมายที่มีช่องโหว่เพิ่มเติมผ่านอินเทอร์เน็ต

    FBI และ CISA ได้แนะนำให้ผู้ดูแลระบบทำการปกป้องเครือข่ายด้วยมาตรการเหล่านี้ เพื่อจำกัดผลกระทบของการโจมตีจาก Androxgh0st และลดความเสี่ยงในการถูกควบคุมระบบ:

• อัปเดตระบบปฏิบัติการ ซอฟต์แวร์ และเฟิร์มแวร์ทั้งหมดให้ทันสมัยอยู่เสมอ ตรวจสอบให้แน่ใจว่าเซิร์ฟเวอร์ Apache ไม่ได้ใช้เวอร์ชัน 2.4.49 หรือ 2.4.50
• ตรวจสอบว่าการกำหนดค่าเริ่มต้นสำหรับ all URIs คือ deny all requests ทั้งหมด เว้นแต่จะมีความจำเป็นเฉพาะที่สามารถเข้าถึงได้
• ตรวจสอบให้แน่ใจว่า Laravel application ที่ใช้งาน ไม่อยู่ใน “debug” หรือโหมดการทดสอบ หากมี ให้ทำการลบข้อมูล credentials ระบบคลาวด์ทั้งหมดออกจากไฟล์ .env และยกเลิกการใช้งานทั้งหมด
• ใช้ one-time basis สำหรับข้อมูล credentials ระบบคลาวด์ที่เก็บไว้ก่อนหน้านี้ และข้อมูล credentials ประเภทอื่น ๆ ที่ไม่สามารถลบออกได้อย่างต่อเนื่อง ให้ตรวจสอบแพลตฟอร์ม หรือบริการใด ๆ ที่มีข้อมูล credentials อยู่ในไฟล์ .env สำหรับการเข้าถึง หรือใช้งานโดยไม่ได้รับอนุญาต
• สแกนระบบไฟล์ของเซิร์ฟเวอร์เพื่อหาไฟล์ PHP ที่ไม่รู้จัก โดยเฉพาะใน root directory หรือโฟลเดอร์ /vendor/phpunit/phpunit/src/Util/PHP
• ตรวจสอบ GET requests (via cURL command) ขาออก ไปยังเว็บไซต์โฮสต์ไฟล์ เช่น GitHub, Pastebin ฯลฯ โดยเฉพาะอย่างยิ่งเมื่อมี request เพื่อเข้าถึงไฟล์ .php
• รวมถึง FBI ยังได้ขอข้อมูลเกี่ยวกับมัลแวร์ Androxgh0st จากองค์กรที่ตรวจจับพฤติกรรมที่น่าสงสัย หรืออาชญากรรมที่เชื่อมโยงกับการโจมตีดังกล่าว

    ทั้งนี้ทาง CISA ได้เพิ่ม CVE-2018-15133 (Laravel deserialization of untrusted data vulnerability) ไปใน Known Exploited Vulnerabilities Catalog หรือช่องโหว่ที่ถูกใช้ในการโจมตีแล้ว อิงตามหลักฐานของการโจมตีที่พบในปัจจุบัน และได้สั่งให้หน่วยงานรัฐบาลกลางทำการแก้ไขช่องโหว่ดังกล่าวภายในวันที่ 6 กุมภาพันธ์ 2024

    รวมถึงช่องโหว่ CVE-2021-41773 (Apache HTTP Server path traversal) และ CVE-2017-9841 (PHPUnit command injection) ได้ถูกเพิ่มลง KEV แล้วเช่นกันตั้งแต่เดือนพฤศจิกายน 2021 และกุมภาพันธ์ 2022 ตามลำดับ

Ref : bleepingcomputer

SonicWall และ Fortinet Network Security เปิดเผยช่องโหว่ระดับ Critical ในอุปกรณ์

    เมื่อวันที่ 12 กรกฎาคม 2023 ที่ผ่านมา มีรานงานการเปิดเผยช่องโหว่ และออกแพตซ์อัปเดตเพื่อแก้ไขช่องโหว่ใน SonicWall และ Fortinet Network Security

ช่องโหว่ใน SonicWall

    SonicWall ได้เปิดเผยช่องโหว่ 15 รายการ (CVE-2023-34123 จนถึง CVE-2023-34137) โดยมีช่องโหว่ระดับ Critical ถึง 4 รายการได้แก่

• CVE-2023-34124 (CVSS score: 9.4) - Web Service Authentication Bypass
• CVE-2023-34133 (CVSS score: 9.8) - Multiple Unauthenticated SQL Injection Issues and Security Filter Bypass
• CVE-2023-34134 (CVSS score: 9.8) - Password Hash Read via Web Service
• CVE-2023-34137 (CVSS score: 9.4) - Cloud App Security (CAS) Authentication Bypass

    โดยช่องโหว่ดังกล่าวทำให้ ผู้ไม่ประสงค์ดีสามารถเข้าถึงข้อมูลของเป้าหมายรายอื่น หรือข้อมูลอื่น ๆ ที่แอปพลิเคชันสามารถเข้าถึงได้ รวมถึงสามารถลบ หรือแก้ไขข้อมูลได้

    นอกจากยังมีช่องโหว่ระดับความรุนแรงสูง 4 รายการ และความรุนแรงระดับกลาง 7 รายการ โดยช่องโหว่ทั้งหมดนี้ส่งผลกระทบต่อเวอร์ชัน GMS 9.3.2-SP1 และเก่ากว่า รวมถึงเวอร์ชัน Analytics 2.5.0.4-R7 และเก่ากว่า

    โดยทาง SonicWall แนะนำให้ผู้ดูแลระบบทำการอัปเดตให้เป็นเวอร์ชัน GMS 9.3.3 และ Analytics 2.5.2 เพื่อแก้ไขช่องโหว่ดังกล่าว

ช่องโหว่ใน Fortinet

    Fortinet ได้เปิดเผยช่องโหว่ CVE-2023-33308 (CVSS score: 9.8) โดยเป็นช่องโหว่ stack-based overflow [CWE-124] ใน FortiOS และ FortiProxy ที่ทำให้สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล ผ่าน packet ที่สร้างขึ้นเพื่อเข้าถึง proxy policies หรือ firewall policies ด้วย proxy mode และ SSL deep packet inspection โดยช่องโหว่นี้ส่งผลกระทบต่อ

• FortiOS เวอร์ชัน 7.2.0 ถึง 7.2.3
• FortiOS เวอร์ชัน 7.0.0 ถึง 7.0.10
• FortiProxy เวอร์ชัน 7.2.0 ถึง 7.2.2
• FortiProxy เวอร์ชัน 7.0.0 ถึง 7.0.9

    ทั้งนี้ช่องโหว่ดังกล่าวไม่ส่งผลกระทบต่อ FortiOS 0, FortiOS 6.2 และ FortiOS 6.4 ทุกเวอร์ชัน รวมถึง FortiProxy 1.x และ FortiProxy 2.x

โดยทาง Fortinet แนะนำให้ผู้ดูแลระบบทำการอัปเดตให้เป็นเวอร์ชันที่ใหม่กว่าเพื่อแก้ไขช่องโหว่ดังกล่าวดังนี้

• FortiOS เวอร์ชัน 7.4.0 ขึ้นไป
• FortiOS เวอร์ชัน 7.2.4 ขึ้นไป
• FortiOS เวอร์ชัน 7.0.11 ขึ้นไป
• FortiProxy เวอร์ชัน 7.2.3 ขึ้นไป
• FortiProxy เวอร์ชัน 7.0.10 ขึ้นไป

    หากยังไม่สามารถอัปเดตได้ในทันที Fortinet แนะนำให้ปิดใช้งาน HTTP/2 support on SSL inspection profiles ที่ใช้โดย proxy policies หรือ firewall policies ในโหมด proxy mode เพื่อเป็นการแก้ไขปัญหาชั่วคราว

Ref : bleepingcomputer.com/Sonicwall
Ref : bleepingcomputer.com/Fortinet
Ref : thehackernews

Firewall ของ Fortinet กว่า 300,000 ตัวเสี่ยงต่อช่องโหว่ที่มีความรุนแรงแบบ Critical และส่งผลกระทบกับ FortiOS RCE ได้

    จากเมื่อประมาณหนึ่งเดือนที่แล้วที่ทาง Fortinet ได้ออกมาเปิดเผยถึงช่องโหว่ระดับบ Criticall ที่เลข CVE-2023-27997 ข่าว > Ref : itfinities.com

    ทาง Fortigate ได้ทำการตรวจสอบไปยังผู้ใช้งานผลิตภัณฑ์ Fortigate Firewall พบว่ามีเครื่องของผู้ใช้งานที่ยังไม่ทำการแก้ไข Update ช่องโหว่นั้นถึง 300,000 เครื่อง

    ช่องโหว่ดังกล่าวเป็นการเรียกใช้โค้ดจากระยะไกลโดยมีคะแนนความรุนแรง 9.8 เต็ม 10 ซึ่งเป็นผลมาจากปัญหาบัฟเฟอร์ล้นใน FortiOS ซึ่งเป็นระบบปฏิบัติการที่เชื่อมต่อ ส่วนประกอบเครือข่ายทั้งหมดของ Fortinet เพื่อรวมเข้ากับแพลตฟอร์ม Security Fabric

    Fortinet ได้แก้ไขช่องโหว่ดังกล่าวเมื่อวันที่ 11 มิถุนายนก่อนที่จะเปิดเผยต่อสาธารณะ โดย ปล่อยเฟิร์มแวร์ FortiOSเวอร์ชัน 6.0.17, 6.2.15, 6.4.13, 7.0.12 และ 7.2.5

    Bishop Fox ได้ใช้ Shodan ในการค้นหาช่องโหว่ดังกล่าว และรายงานไปยัง Fortinet ว่ามียังคงมีการที่ผู้ใช้งานยังไม่รีบแก้ไขช่องโหว่อีกมาก ด้วยการใช้ Shodan เพื่อค้นหาอุปกรณ์ที่ตอบสนองต่อลักษณะที่ Interface SSL VPN

    จากภาพจะเห็นว่า มีการพบว่ามีอุปกรณ์ 489,337 เครื่อง ที่เข้าข่ายลักษณะของช่องโหว่ดังกล่าวแต่ทุกเครื่องไม่ได้เป็นความเสี่ยงทั้งหมด มีการตรวจพบว่าอุปกรณ์จำนวน 153,414 ได้ทำการอัพเดท FortiOS ที่ปลอดภัยแล้ว

    ซึ่งหมายความว่าจะมีอุปกรณ์อีก 335,900 เครื่อง ที่มีความเสี่ยงสูงต่อการถูกโจมตี และเพื่แสดงให้เห็นว่า CVE-2023-27997 ทำงานแบบ ไหนทาง Bishop Fox ได้ลองทดสอบและบันทึกการทดลอง

ข้อแนะนำ

ให้ผู้ใช้งานที่เข้าค่ายลักษณะความเสี่ยงให้ทำการ Update Firmware ทันที