ช่องโหว่ใน JavaScriptCore ของ Apple Safari ที่ทำให้สามารถโจมตีแบบ RCE ได้ กำลังถูกนำไปใช้ในการโจมตีจริง

    ช่องโหว่ระดับ Critical หมายเลข CVE-2024-44308 กำลังถูกนำไปใช้ในการโจมตีอย่างต่อเนื่อง โดยกระทบกับ Apple Safari หลายเวอร์ชันบนแพลตฟอร์ม iOS, visionOS และ macOS

    ช่องโหว่ดังกล่าวอยู่ภายในคอมไพเลอร์ DFG JIT ของ WebKit ทำให้เกิดการโจมตีในรูปแบบการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE)

ตารางสรุปซอฟต์แวร์ และเวอร์ชันที่ได้รับผลกระทบสำหรับช่องโหว่ CVE-2024-44308

    Apple ได้แก้ไขช่องโหว่นี้ไปแล้วในแพตซ์อัปเดตล่าสุด ได้แก่ iOS 17.7.2, 18.1.1, visionOS 2.1.1 และ macOS Sequoia 15.1.1

การค้นพบ และการวิเคราะห์

• ช่องโหว่นี้ได้รับการรายงานโดย Clément Lecigne และ Benoît Sevens จากกลุ่มวิเคราะห์ภัยคุกคามของ Google (Threat Analysis Group) และได้รับการวิเคราะห์เพิ่มเติมโดย Dohyun Lee จาก USELab, Korea University
• ช่องโหว่นี้เกิดจากปัญหา register corruption ใน JavaScriptCore เนื่องจากการ allocation timing ของ scratch2GPR register ที่ไม่ถูกต้องภายในกระบวนการคอมไพล์ Speculative JIT
• ช่องโหว่นี้ส่งผลกระทบต่อไฟล์ DFGSpeculativeJIT.cpp ใน WebKit โดยเฉพาะในวิธีการจัดการกับอาร์เรย์ที่มีชนิดข้อมูลเป็นจำนวนเต็ม (integer-typed arrays)
• ช่องโหว่นี้จะเกิดขึ้นเมื่อ scratch2GPR register ถูก allocated หลังจากการเรียกฟังก์ชัน getIntTypedArrayStoreOperand() ซึ่งอาจทำให้เกิดการ register allocation ที่ไม่จำเป็นหากมีการเลือก slow path

    การ allocated ที่ผิดพลาดนี้ สามารถสร้างสถานะ register ที่ไม่สอดคล้องกัน ซึ่งอาจก่อให้เกิดความเสี่ยงทางด้านความปลอดภัย

    แพตช์ที่ได้รับการแก้ไข มีการปรับลำดับของการทำงานให้ถูกต้อง เพื่อให้มั่นใจว่า scratch2GPR register ถูกจัดการอย่างเหมาะสม และรักษาความสมบูรณ์ของสถานะ register เมื่อมีการใช้ slow path

การทำงานของโค้ดที่ทำให้เกิดช่องโหว่นี้ สามารถสรุปได้ดังนี้

• เรียกใช้ฟังก์ชัน getIntTypedArrayStoreOperand(): ฟังก์ชันนี้ถูกเรียกใช้เพื่อจัดการ store operations ใน typed arrays
• เพิ่ม Slow Path: อาจมีการใช้ Slow Path ซึ่งต้องมีการจัดการ registers อย่างรอบคอบ
• การ Allocation ที่ไม่ถูกต้อง: scratch2GPR ถูก allocated อย่างไม่ถูกต้องหลัง Slow Path ซึ่งไม่ได้ถูกใช้ ทำให้เกิดความไม่สอดคล้องของสถานะที่อาจเกิดขึ้นได้

Proof-of-Concept (PoC)

    PoC แม้จะยังไม่สมบูรณ์ แต่ก็ให้ข้อมูลเชิงลึกเกี่ยวกับการทริกเกอร์ช่องโหว่ โดยเกี่ยวข้องกับการจัดการกับ JavaScript objects และ arrays เพื่อเข้าถึงฟังก์ชันที่มีช่องโหว่

    ขอแนะนำให้ผู้ใช้งานอัปเดตอุปกรณ์ของตนเป็นซอฟต์แวร์เวอร์ชันล่าสุดเพื่อลดความเสี่ยงที่เกิดจากช่องโหว่นี้ เหตุการณ์นี้แสดงให้เห็นถึงความสำคัญของการอัปเดตซอฟต์แวร์อย่างทันท่วงที และการตรวจสอบช่องโหว่ด้านความปลอดภัยอย่างต่อเนื่อง

    การตอบสนองของ Apple ในการจัดการกับช่องโหว่นี้อย่างรวดเร็ว แสดงให้เห็นถึงความพยายามอย่างต่อเนื่องในการรักษาความปลอดภัยแพลตฟอร์มของตนจากภัยคุกคามที่เกิดขึ้นใหม่

Ref : gbhackers.com

Apple ได้แก้ไขช่องโหว่ iOS ที่เกิดขึ้นสองช่องโหว่

    Apple ได้ออกอัปเดตความปลอดภัยฉุกเฉินเพื่อแก้ไขช่องโหว่ zero-day iOS สองช่องโหว่ที่ถูกใช้ในการโจมตี iphone ในรายงานการให้คําปรึกษาที่ออกเมื่อวันอังคารที่ผ่านมาบริษัทกล่าวว่า"แอ็ปเปิ้ลรู้ว่ามีรายงานว่าปัญหานี้อาจถูกใช้ประโยชน์

   ช่องโหว่ทั้งสองนี้ถูกค้นพบใน Kernel iOS CVE-2024-23225 และRTK CVE-2024-23296  ซึ่งทั้งสองช่องโหว่ช่วยทำให้ผู้ไม่ประสงค์ดีมีความสามารถในสิทธิ์การอ่าน เขียน Kernel ภายในระบบ สามารถหลีกเลี่ยงการป้องกันหน่วยความจํา Kernel 

    Apple  ได้แก้ไขข้อบกพร่องด้านความปลอดภัยของอุปกรณ์ที่ใช้  iOS17.4,  iPadOS 17.4,  iOS 16.76,  iPad 16.7.6  และรายการอุปกรณ์ Apple รุ่นที่ได้รับผลกระทบ

            iPhone XS และรุ่นที่สูงกว่า, iPhone 8, iPhone 8 Plus, iPhone X, iPad 5th generation, iPad Pro 9.7-inch, and iPad Pro 12.9-inch 1st generation

            iPad Pro 12.9-inch 2nd generation  และรุ่นที่สูงกว่า  iPad Pro 10.5-inch,  iPad Pro 11-inch 1st generation และรุ่นที่สูงกว่า,  iPad Air 3rd generation และรุ่นที่สูงกว่า,  iPad 6th generation และรุ่นที่สูงกว่า, iPad mini 5th generation และรุ่นที่สูงกว่า

    Apple ไม่ได้เปิดเผยว่าข้อมูลผู้ค้นพบช่องโหว่ zero-day และไม่ได้เผยแพร่ข้อมูลเกี่ยวกับการใช้ประโยชน์จากช่องโหว่ iOS zero-day ในการโจมตีด้วย spy-ware ไปที่รัฐบาล และบุคคลทางการเมืองของประเทศ จากการโจมตีนี้ผู้ไม่ประสงค์ดีมีการกําหนดเป้าหมายที่เฉพาะเจาะจง แต่ว่าทาง Apple ประกาศให้อัปเดตความปลอดภัยโดยเร็วที่สุดเพื่อป้องกันการโจมตีที่อาจเกิดขึ้น

    ช่องโหว่ zero-day ที่เกิดขึ้นใหม่เกิดขึ้นในเดือนมกราคม 2024 และทาง Apple ได้มีดำเนินการแก้ไขทั้งหมด 20 ช่องโหว่ ที่เกิดขึ้นในปีที่ผ่านมาได้แก่

            twozero-days (CVE-2023-42916 and CVE-2023-42917)ในเดือนพฤศจิกายน

            twozero-days (CVE-2023-42824 and CVE-2023-5217) ในเดือนตุลาคม

      fivezero-days (CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992, and CVE-2023-41993)  ในเดือนกันยายน

            two zero-days (CVE-2023-37450 and CVE-2023-38606)ในเดือนกรกฎาคม

            threezero-days (CVE-2023-32434, CVE-2023-32435, and CVE-2023-32439) ในเดือนมิถุนายน

            threemore zero-days (CVE-2023-32409, CVE-2023-28204, and CVE-2023-32373) ในเดือนพฤษภาคม

            twozero-days (CVE-2023-28206 and CVE-2023-28205) ในเดือนเมษายน

            และ WebKit zero-day (CVE-2023-23529) ในเดือนกุมภาพันธ์

 

Ref : bleepingcomputer

Apple ออกแพตซ์อัปเดตเร่งด่วน หลังพบช่องโหว่ Zero-Days ใหม่ 3 รายการ กำลังถูกใช้ในการโจมตี

    Apple ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วน เพื่อแก้ไขช่องโหว่ Zero-day ใหม่ 3 รายการที่กำลังถูกใช้ในการโจมตี โดยมุ่งเป้าหมายการโจมตีไปยังผู้ใช้ iPhone และ Mac ซึ่งในปี 2023 ทาง Apple ได้ออกแพตซ์อัปเดตความปลอดภัยมาแล้ว 16 รายการ

ช่องโหว่ 2 รายการแรกเป็นช่องโหว่ใน

    WebKit browser engine (CVE-2023-41993) และ Security framework (CVE-2023-41991) ที่ทำให้ ผู้ไม่ประสงค์ดีสามารถหลบเลี่ยงการตรวจสอบสิทธิ์ โดยใช้แอปที่เป็นอันตราย หรือการเรียกใช้โค้ดผ่านหน้าเว็บที่ออกแบบมาเพื่อการโจมตี

ช่องโหว่รายการที่ 3 เป็นช่องโหว่ใน

    Kernel Framework (CVE-2023-41992) ซึ่งมี API และการสนับสนุน kernel extensions และ kernel-resident device drivers ที่ทำให้ ผู้ไม่ประสงค์ดีสามารถยกระดับสิทธิ์ได้

    ซึ่งช่องโหว่ทั้ง 3 รายการ ถูกค้นพบ และรายงานโดย Bill Marczak จาก Citizen Lab ที่ Munk School ของมหาวิทยาลัยโตรอนโต และ Maddie Stone จาก Threat Analysis Group ของ Google

    ขณะนี้ทาง Apple ยังไม่ได้ให้รายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีโดยใช้ช่องโหว่ดังกล่าว แต่นักวิจัยด้านความปลอดภัย Citizen Lab และ Google Threat Analysis Group มักจะเปิดเผยช่องช่องโหว่ Zero-day ที่ถูกใช้ในการโจมตีด้วยสปายแวร์แบบกำหนดเป้าหมาย ซึ่งมุ่งเป้าไปที่บุคคลระดับสูง รวมถึงนักข่าวนักการเมืองฝ่ายค้าน และผู้ต่อต้าน

    Apple ได้ออกอัพเดทความปลอดภัย โดยแก้ไขปัญหาการตรวจสอบสิทธิและปรับปรุงวิธีการตรวจสอบ เพื่อแก้ไขช่องโหว่ 3 รายการใน :

• macOS 7/13.6,
• iOS 7/17.0.1, iPadOS 16.7/17.0.1
• watchOS 6.3/10.0.1

รายการอุปกรณ์ที่ได้รับผลกระทบประกอบด้วย :

• iPhone 8 และใหม่กว่า
• iPad mini รุ่นที่ 5 ขึ้นไป
• Mac ที่ใช้ macOS Monterey และใหม่กว่า
• Apple Watch Series 4 และใหม่กว่า

    รวมถึง Citizen Lab ได้พบว่าช่องโหว่ zero-day 2 รายการ (CVE-2023-41061 และ CVE-2023-41064) ที่ได้รับการแก้ไขโดย Apple ในการอัปเดตแพตซ์ความปลอดภัยเร่งด่วนเมื่อต้นเดือนกันยายน 2023 ได้ถูกใช้ในการโจมตีโดยเป็นส่วนหนึ่งของการโจมตี (BLASTPASS) เพื่อโจมตีไปยัง iPhones ด้วยสปายแวร์ Pegasus ของ NSO Group

ในปี 2023 ทาง Apple ได้ออกการอัปเดตความปลอดภัยมาแล้วดังนี้ :

• ช่องโหว่ zero-day 2 รายการ (CVE-2023-37450 และ CVE-2023-38606) ในเดือนกรกฎาคม
• ช่องโหว่ zero-day 3 รายการ (CVE-2023-32434, CVE-2023-32435 และ CVE-2023-32439) ในเดือนมิถุนายน
• ช่องโหว่ zero-day 3 รายการ (CVE-2023-32409, CVE-2023-28204 และ CVE-2023-32373) ในเดือนพฤษภาคม
• ช่องโหว่ zero-day 2 รายการ (CVE-2023-28206 และ CVE-2023-28205) ในเดือนเมษายน
• ช่องโหว่ zero-day ของ WebKit 1 รายการ (CVE-2023-23529) ในเดือนกุมภาพันธ์

REF : bleepingcomputer

Apple ออกแพตซ์เร่งด่วนสำหรับช่องโหว่ Zero-Day ที่ส่งผล กระทบต่อ iPhone, iPad และ Mac

    Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS, tvOS, watchOS, และ Safari เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย ซึ่งรวมไปถึงช่องโหว่แบบ Zero-day ที่กำลังถูกนำมาใช้ในการโจมตีอยู่

    โดย Zero-Day ดังกล่าวมีหมายเลข CVE-2023-38606 ซึ่งจะเข้าไปจัดการในส่วนของ kernel และจะอนุญาติให้ Application ที่เป็นอันตรายสามารถแก้ไข kernel state ที่มีความสำคัญได้ โดยทาง Apple ระบุว่าได้ทำการแก้ไขด้วยการปรับปรุง state management

    โดย Apple ได้เร่งทำการอัปเดตแพตซ์แก้ไขช่องโหว่นี้ เนื่องจากได้รับรายงานว่าพบการโจมตีอย่างต่อเนื่องตั้งแต่เวอร์ชั่นก่อนหน้า iOS 15.7.1 CVE-2023-38606 เป็นช่องโหว่ด้านความปลอดภัยลำดับที่สี่ ที่ถูกพบว่าเกี่ยวข้องกับ Operation Triangulation ซึ่งเป็นแคมเปญจารกรรมทางไซเบอร์บนมือถือที่มีความซับซ้อน ซึ่งกำหนดเป้าหมายไปยังอุปกรณ์ iOS ตั้งแต่ปี 2019 โดยใช้การโจมตีแบบ Zero-click exploit chain ส่วนอีก 2 ช่องโหว่ Zero-Day ที่ได้รับการแก้ไขโดย Apple เมื่อเดือนที่แล้วคือ CVE-2023-32434 และ CVE-2023-32435 ส่วนช่องโหว่ที่สาม CVE-2022-46690 ได้รับการแก้ไขโดยเป็นส่วนหนึ่งของการอัปเดตด้านความปลอดภัยที่เผยแพร่ในเดือนธันวาคม 2022 หกเดือนก่อนหน้าที่จะมีการเปิดเผยรายละเอียดการโจมตีออกเตือนผู้ใช้งานทั่วโลก โดยนักวิจัยของ Kaspersky Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin, Leonid Bezvershenko และ Boris Larin ได้รับเครดิตในการค้นพบ และรายงานช่องโหว่ดังกล่าว

อัปเดตนี้สำหรับอุปกรณ์ และระบบปฏิบัติการต่อไปนี้

• iOS 16.6 และ iPadOS 16.6 - iPhone 8 และใหม่กว่า, iPad Pro (ทุกรุ่น), iPad Air รุ่นที่ 3 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า และ iPad mini รุ่นที่ 5 และใหม่กว่า
• iOS 15.7.8 และ iPadOS 15.7.8 - iPhone 6s (ทุกรุ่น), iPhone 7 (ทุกรุ่น), iPhone SE (รุ่นที่ 1), iPad Air 2, iPad mini (รุ่นที่ 4) และ iPod touch (รุ่นที่ 7)
• macOS Ventura 13.5, macOS Monterey 12.6.8 และ macOS Big Sur 11.7.9
• tvOS 16.6 - Apple TV 4K (ทุกรุ่น) และ Apple TV HD
• watchOS 9.6 - Apple Watch Series 4 และใหม่กว่า

    การอัปเดตล่าสุดนี้ Apple ได้แก้ไขช่องโหว่ Zero-days ทั้งหมด 11 รายการ ที่ส่งผลกระทบต่อซอฟต์แวร์ตั้งแต่ต้นปี 2023 นอกจากนี้ยังเกิดขึ้นสองสัปดาห์หลังจากที่ Apple เผยแพร่การอัปเดตฉุกเฉินสำหรับช่องโหว่ที่กำลังถูกนำมาใช้โจมตีใน WebKit ซึ่งอาจนำไปสู่การสั่งรันโค้ดที่เป็นอันตราย (CVE-2023-37450)

Ref : thehackernews

CISA แจ้งให้หน่วยงานต่าง ๆ รีบทำการอัปเดตแพตซ์ช่องโหว่เพื่อป้องกันการโจมตีจาก spyware

    Cybersecurity and Infrastructure Security Agency (CISA) หน่วยงานด้านความมั่นคงทางไซเบอร์สหรัฐ สั่งให้หน่วยงานของรัฐบาลกลาง ทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตีเพื่อติดตั้งสปายแวร์บนอุปกรณ์มือถือ

    โดยช่องโหว่ที่ CISA แนะนำให้รีบทำการอัปเดต ถูกพบว่าเป็นส่วนหนึ่งของการโจมตีที่มุ่งเป้าหมายไปที่ผู้ใช้งาน Android และ iOS ที่ถูกค้นพบโดยทีมนักวิจัย Threat Analysis Group (TAG) ของ Google ต่อมาได้พบการมุ่งเป้าการโจมตีไปยังผู้ใช้งาน Android ของ Samsung ที่ใช้ Samsung Internet Browser รวมไปถึงแคมเปญการโจมตีไปยัง Android เพื่อถอดรหัส และขโมยข้อมูลจากแอปแชท และเบราว์เซอร์

    โดยทาง CISA ได้เพิ่มช่องโหว่ห้าในสิบรายการที่ถูกใช้ในแคมเปญการโจมตีด้วยสปายแวร์สองรายการในแคตตาล็อก Known Exploited Vulnerabilities (KEV):

• CVE-2021-30900 ช่องโหว่ใน Apple iOS, iPadOS และ macOS
• CVE-2022-38181 ช่องโหว่ใน Arm Mali GPU Kernel Driver Use-After-Free
• CVE-2023-0266 ช่องโหว่ใน Linux Kernel Use-After-Free
• CVE-2022-3038 ช่องโหว่ใน Google Chrome Use-After-Free
• CVE-2022-22706 ช่องโหว่ในArm Mali GPU Kernel Driver

    ทั้งนี้ CISA ได้แนะนำให้ทำการอัปเดตเพื่อแก้ไขช่องโหว่ 5 รายการที่ได้เพิ่มไปใน KEV ตามคำสั่งการปฏิบัติงานที่ต้องรักษาความปลอดภัยเครือข่ายของตนจากช่องโหว่ทั้งหมดที่เพิ่มเข้าไปในรายการช่องโหว่ของ CISA ซึ่งเป็นช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี รวมไปถึงประกาศขอความร่วมมือให้หน่วยงาน องค์กร และบริษัทต่าง ๆ รีบทำการอัปเดตช่องโหว่เพื่อป้องกันการถูกโจมตีด้วยเช่นกัน

Ref : bleepingcomputer

พบ MacStealer malware ตัวใหม่ใน macOS ที่สามารถขโมยรหัสผ่านจาก iCloud Keychain

    ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ของ Uptycs พบ MacStealer malware ใหม่ที่กำหนดเป้าหมายการโจมตีไปยัง macOS เพื่อขโมยข้อมูลส่วนบุคคล ที่จัดเก็บไว้ใน iCloud KeyChain และเว็บเบราว์เซอร์ cryptocurrency wallet และไฟล์ข้อมูลที่มีความสำคัญ

MacStealer มุ่งเป้าหมายการโจมตีไปยัง macOS

  ผู้เชี่ยวชาญพบ MacStealer ในเว็บไซต์ hacking forum แห่งหนึ่งในเดือนมีนาคม 2023 โดยมีผู้นำมาโปรโมต และวางแผนที่จะนำมาขายในราคา $100 พร้อมทั้งโฆษณาว่า MacStealer เป็น Malware-as-a-Srvice (MaaS) ที่สามารถนำไปใช้ร่วมกับแคมเปญการโจมตีของกลุ่ม Hacker ต่าง ๆ ได้อย่างสะดวก โดย malware นี้รองรับการโจมตีบน macOS ตั้งแต่ macOS Catalina (10.15) จนถึงเวอร์ชันล่าสุด Ventura (13.2) ซึ่งขณะนี้ MacStealer ยังอยู่ในขั้นตอนการพัฒนา และปรับปรุง แต่จะนำเพย์โหลด DMG ที่สร้างไว้แล้วมาขายก่อนล่วงหน้า

โดย MacStealer จะมาพร้อมกับความสามารถในการขโมยข้อมูลต่าง ๆ ดังนี้

• ข้อมูลรหัสผ่านบัญชี คุกกี้ และรายละเอียดบัตรเครดิตจาก Firefox, Chrome และ Brave
• ข้อมูลไฟล์ TXT, DOC, DOCX, PDF, XLS, XLSX, PPT, PPTX, JPG, PNG, CSV, BMP, MP3, ZIP, RAR, PY และ DB
• ข้อมูล Keychain database (login.keychain-db) ในรูปแบบเข้ารหัส base64
• การรวบรวมข้อมูลระบบ
• การรวบรวมข้อมูลรหัส Keychain
• ข้อมูล Coinomi, Exodus, MetaMask, Phantom, Tron, Martian Wallet, Trust wallet, Keplr Wallet และ Binance cryptocurrency wallet

    Keychain database เป็นระบบจัดเก็บข้อมูลที่ปลอดภัยใน macOS ซึ่งเก็บรหัสผ่าน คีย์ส่วนตัว และใบรับรองของผู้ใช้งาน โดยเข้ารหัสด้วยรหัสผ่านของผู้ใช้ ทำให้สามารถป้อนข้อมูลใบรับรองการเข้าสู่ระบบบนหน้าเว็บ และแอปได้โดยอัตโนมัติ

ขั้นตอนการโจมตีของ MacStealer

    โดย Hacker จะทำการหลอกล่อให้เป้าหมายทำการติดตั้ง MacStealer ที่เป็นไฟล์ DMG ไปยังเครื่อง macOS หลังจากนั้นระบบจะแสดงรหัสผ่านปลอมให้เป้าหมายทำการเรียกใช้คำสั่งอันตรายที่จะอนุญาตให้malwareทำการรวบรวมข้อมูลรหัสผ่านจากเครื่องเป้าหมายเก็บไว้ในไฟล์ ZIP และส่งข้อมูลที่ขโมยมาไปยัง Command and Control (C2) Server ของ Hacker ในภายหลัง

    นอกจากนี้ MacStealer จะส่งข้อมูลพื้นฐานบางอย่างไปยัง Telegram ที่มีการตั้งค่าไว้ล่วงหน้า ทำให้ Hacker ได้รับการแจ้งทันที เมื่อมีข้อมูลใหม่ที่ถูกขโมย และดาวน์โหลดไฟล์ ZIP

    แม้ว่าการโจมตีส่วนใหญ่ของบริการ MaaS จะมุ่งเป้าการโจมตีไปยัง Windows แต่ก็เริ่มมีการตั้งเป้าหมายไปที่ macOS ด้วยเช่นกัน ดังนั้นผู้ใช้งานควรระมัดระวัง และหลีกเลี่ยงการดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่น่าเชื่อถือ

Ref : bleepingcomputer