ช่องโหว่ใน Firewall ของ SonicWall กำลังถูกใช้ในการโจมตีหลังจากมีการเผยแพร่ PoC exploit ออกมา

ผู้ไม่ประสงค์ดีกำลังใช้ช่องโหว่ Authentication Bypass ที่ส่งผลกระทบต่อ Firewall ของ SonicWall หลังจากมีการปล่อย proof-of-concept (PoC) ออกมาในเวลาไม่นาน

ช่องโหว่ด้านความปลอดภัย (CVE-2024-53704) ความรุนแรงระดับ Critical ถูกพบในขั้นตอนการยืนยันตัวตนของ SSLVPN ซึ่งส่งผลกระทบต่อ SonicOS เวอร์ชัน 7.1.x (ถึงเวอร์ชัน 7.1.1-7058), 7.1.2-7019 และ 8.0.0-8035 ซึ่งใช้งานโดย Firewall  Gen 6 และ Gen 7 หลายรุ่น รวมถึงอุปกรณ์ในซีรีส์ SOHO

การโจมตีที่ประสบความสำเร็จช่วยให้ผู้ไม่ประสงค์ดีจากภายนอก สามารถยึดเซสชัน SSL VPN ที่กำลังใช้งานได้ โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งจะทำให้สามารถเข้าถึงเครือข่ายของเป้าหมายได้โดยไม่ได้รับอนุญาต

SonicWall ได้ส่งอีเมลแจ้งเตือนให้ลูกค้าดำเนินการอัปเกรดเฟิร์มแวร์ SonicOS ของ Firewall โดยทันที เพื่อป้องกันการถูกโจมตีก่อนที่จะแจ้งช่องโหว่ต่อสาธารณะ และปล่อยอัปเดตความปลอดภัยในวันที่ 7 มกราคม 2025

บริษัทยังได้แนะนำมาตรการลดผลกระทบสำหรับผู้ดูแลระบบที่ยังไม่สามารถอัปเดตแพตซ์ความปลอดภัยให้กับอุปกรณ์ได้ทันที เช่น การจำกัดการเข้าถึงเฉพาะต้นทางที่เชื่อถือได้ และการปิดกั้นการเข้าถึงจากอินเทอร์เน็ตทั้งหมดหากไม่มีความจำเป็น

เมื่อวันพฤหัสบดีที่ผ่านมา (13 กุมภาพันธ์ 2025) บริษัทด้านความปลอดภัยทางไซเบอร์ Arctic Wolf เปิดเผยว่า พวกเขาเริ่มตรวจพบความพยายามในการโจมตีช่องโหว่นี้ไม่นานหลังจากที่ PoC ถูกเผยแพร่ออกสู่สาธารณะ ซึ่งยืนยันถึงความกังวลของ SonicWall เกี่ยวกับความเป็นไปได้ที่ช่องโหว่นี้จะถูกโจมตีมากขึ้น

Arctic Wolf ระบุว่า "PoC exploit ที่ถูกเผยแพร่นั้นช่วยให้ผู้ไม่ประสงค์ดีที่ไม่ได้ผ่านการยืนยันตัวตนสามารถ bypass MFA, เปิดเผยข้อมูลส่วนตัว และเข้าถึงเซสชัน VPN ที่กำลังทำงานอยู่ได้"

"เนื่องจากความง่ายในการโจมตี และข้อมูลภัยคุกคามที่มีอยู่ Arctic Wolf จึงแนะนำให้ทำการอัปเกรดเป็นเฟิร์มแวร์เวอร์ชันที่ได้รับการแก้ไข เพื่อจัดการกับช่องโหว่นี้"

PoC exploit ถูกเผยแพร่ในหนึ่งเดือนหลังจากที่มีการปล่อยแพตช์อัปเดต

ผู้เชี่ยวชาญด้านความปลอดภัยด้านความปลอดภัยที่ Bishop Fox ได้เผยแพร่ PoC exploit เมื่อวันที่ 10 กุมภาพันธ์ 2025 ซึ่งเป็นเวลาประมาณหนึ่งเดือนหลังจากที่มีการปล่อยอัปเดตแพตช์

Bishop Fox ระบุเพิ่มเติมว่า จากการสแกนอินเทอร์เน็ตเมื่อวันที่ 7 กุมภาพันธ์ 2025 พบว่าเซิร์ฟเวอร์ SonicWall SSL VPN ที่ยังไม่ได้รับการแพตช์มีจำนวนกว่า 4,500 เครื่อง

SonicWall แจ้งเตือนภายหลังจากที่โค้ด exploit ถูกปล่อยออกมาว่า "Proof-of-Concept (PoC) สำหรับช่องโหว่ Authentication Bypass SSLVPN ของ SonicOS (CVE-2024-53704) ได้ถูกเผยแพร่สู่สาธารณะแล้ว"

"ขากเหตุการณ์นี้ทำให้ความเสี่ยงจากการถูกโจมตีเพิ่มขึ้นอย่างมาก ผุ้ใช้งานควรอัปเดต Firewall ที่ยังไม่ได้รับการแพตช์ทั้งหมด (7.1.x และ 8.0.0) ทันที หากไม่สามารถอัปเดตเฟิร์มแวร์ได้ ควรปิดการใช้งาน SSLVPN"

ในอดีต กลุ่มแรนซัมแวร์อย่างกลุ่ม Akira และ Fog เคยโจมตี Firewall ของ SonicWall ด้วยเช่นกัน Arctic Wolf เคยแจ้งเตือนเมื่อเดือนตุลาคมว่ามีการโจมตีอย่างน้อย 30 ครั้ง โดยการโจมตีเริ่มด้วยการเข้าถึงเครือข่ายจากระยะไกลผ่านบัญชี SonicWall VPN

Ref : bleepingcomputer.com

CISA แจ้งเตือนช่องโหว่บนผลิตภัณฑ์ Microsoft Streaming เป็นช่องทางในการโจมตีเป้าหมาย

    หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ของสหรัฐอเมริกา หรือ CISA สั่งให้หน่วยงาน US Federal Civilian Executive Branch (FCEB) ทำการป้องกันระบบเครือข่ายจากช่องโหว่ที่มีระดับความรุนแรงสูงใน Microsoft Streaming Service (MSKSSRV.SYS) ที่กำลังตกเป็นเป้าหมายในการโจมตี

    CVE-2023-29360 (คะแนน CVSS 8.4/10 ความรุนแรงระดับ High) เป็นช่องโหว่ Untrusted Pointer Dereference ซึ่งทำให้ผู้ไม่ประสงค์ดีที่เข้าถึงระบบได้ในระดับทั่วไปและได้รับสิทธิ์ผู้ดูแลบนระบบซึ่งการโจมตีไม่ค่อยมีความซับซ้อนเท่าไหร่นัก และไม่จำเป็นต้องมีการป้งกันใด ๆ จากเป้าหมาย

    ถูกค้นพบโดย Thomas Imbert ซึ่งพบช่องโหว่จาก Synactiv ใน Microsoft Streaming Service Proxy (MSKSSRV.SYS) และรายงานไปยัง Microsoft ผ่านทาง Zero Day Initiative ของ Trend Micro

    ทาง Microsoft ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่ดังกล่าวแล้วใน Patch Tuesday เดือนมิถุนายน 2023 รวมถึงได้มีการเปิดเผยชุดสาธิตการโจมตีหรือ proof-of-concept (PoC) บน GitHub ใน ในวันที่ 24 กันยายน 2023

    ทั้งนี้ทาง CISA ไม่ได้ให้รายละเอียดเกี่ยวกับการโจมตีที่กำลังดำเนินการอยู่ แต่ยืนยันว่าไม่พบหลักฐานว่าช่องโหว่นี้ถูกใช้ในการโจมตีจาก ransomware โดยทาง CISA ได้เพิ่มช่องโหว่ดังกล่าวไปยัง Known Exploited Vulnerabilities Catalog (KEV) หรือรายการช่องโหว่ที่พบว่ากำลังถูกใช้ในการโจมตี และแจ้งเตือนว่า “ช่องโหว่ดังกล่าวเป็นช่องทางที่พบว่าถูกผู้ไม่ประสงค์ดีใช้โจมตีบ่อยครั้ง และก่อให้เกิดความเสี่ยงที่สำคัญต่อองค์กรของรัฐบาลกลาง”

    โดยองค์กรของรัฐบาลกลางต้องทำตามคำสั่งของ CISA ตามที่ได้รับคำสั่งจากคำสั่งการปฏิบัติงานที่มีผลผูกพัน (BOD 22-01) ที่ออกในเดือนพฤศจิกายน 2021 ซึ่งต้องเร่งทำการอัปเดตระบบ Windows เพื่อป้องกันช่องโหว่ดังกล่าวภายในวันที่ 21 มีนาคม 2024

    รวมถึงแม้ว่า KEV Catalog จะมุ่งเน้นไปที่การแจ้งเตือนหน่วยงานรัฐบาลกลางเกี่ยวกับช่องโหว่ที่ควรได้รับการแก้ไขโดยเร็วที่สุด แต่องค์กรเอกชนทั่วโลกก็ควรแก้ไขตามเช่นกัน เพื่อป้องกันการโจมตีจากช่องโหว่ดังกล่าว

การโจมตีด้วย malware ตั้งแต่เดือนสิงหาคม 2023

    Check Point บริษัทรักษาความปลอดภัยทางไซเบอร์สัญชาติอเมริกัน-อิสราเอล ได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ CVE-2023-29360 ว่าพบการโจมตีของมัลแวร์ในชื่อ Raspberry Robin ได้ใช้ช่องโหว่ดังกล่าวในการโจมตีมาตั้งแต่เดือนสิงหาคม 2023

    Raspberry Robin เป็นมัลแวร์ที่มีความสามารถของเวิร์ม ซึ่งถูกพบในเดือนกันยายน 2021 และแพร่กระจายผ่าน USB drives เป็นหลัก แม้ว่าจะไม่สามารถระบุได้ว่าผู้ไม่ประสงค์ดีกลุ่มใดเป็นผู้สร้างมัลแวร์ แต่ก็มีการเชื่อมโยงกับกลุ่มผู้ไม่ประสงค์ดีหลายกลุ่มรวมถึง EvilCorp และกลุ่ม Clop ransomware โดยทาง Microsoft ได้รายงานไว้ในเดือนกรกฎาคม 2022 ว่าตรวจพบมัลแวร์ Raspberry Robin บนเครือข่ายขององค์กรหลายร้อยแห่งจากภาคอุตสาหกรรมต่าง ๆ

    Raspberry Robin มีการพัฒนาอย่างต่อเนื่อง โดยนำกลยุทธ์ delivery ใหม่มาใช้ และเพิ่มฟีเจอร์ใหม่ ๆ รวมถึงการหลีกเลี่ยงการตรวจจับ โดยการทิ้งเพย์โหลดปลอมเพื่อทำให้นักวิจัยเข้าใจผิด

Ref : bleepingcomputer