QNAP ออกแพตช์แก้ไขช่องโหว่ zero-day ตัวที่ 2 ในปี 2567 ซึ่งถูกนำมาใช้ในการโจมตีในงาน Pwn2Own เพื่อยกระดับสิทธิ์เป็น root

    QNAP ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ zero-day ที่ 2 ซึ่งถูกนักวิจัยด้านความปลอดภัยนำไปใช้โจมตีในการแข่งขันแฮ็ก Pwn2Own เมื่อสัปดาห์ที่ผ่านมา

    ช่องโหว่ระดับ Critical นี้เป็นช่องโหว่ SQL injection (SQLi) ที่มีหมายเลข CVE-2024-50387 เป็นช่องโหว่ใน SMB service ของ QNAP และได้รับการแก้ไขแล้วในเวอร์ชัน 4.15.002 ขึ้นไป และ h4.15.002 ขึ้นไป

    ช่องโหว่ zero-day นี้ได้รับการแก้ไขไปแล้วหนึ่งสัปดาห์หลังจากที่ YingMuo (ซึ่งทำงานร่วมกับโครงการฝึกงาน DEVCORE) สามารถเข้าถึงสิทธิ์ root และควบคุมอุปกรณ์ QNAP TS-464 NAS ได้ในงาน Pwn2Own Ireland 2024

    เมื่อวันอังคารที่ 29 ตุลาคม 2024 บริษัท QNAP ได้แก้ไขช่องโหว่ zero-day อีกรายการใน HBS 3 Hybrid Backup Sync ซึ่งเป็นโซลูชันสำหรับการกู้คืน และสำรองข้อมูล โดยช่องโหว่นี้ถูกทีม Viettel Cyber Security นำไปใช้โจมตีในงาน Pwn2Own เพื่อเรียกใช้คำสั่งตามที่ต้องการ และโจมตีอุปกรณ์ QNAP TS-464 NAS

    ทีม Viettel ชนะการแข่งขัน Pwn2Own Ireland 2024 หลังจากการแข่ง 4 วัน โดยมีการมอบรางวัลมูลค่ารวมกว่า 1 ล้านดอลลาร์ให้กับผู้เข้าร่วมการแข่งขันที่สามารถโจมตีด้วยช่องโหว่ zero-day ได้มากกว่า 70 รายการ

    แม้ว่า QNAP จะออกแพตช์สำหรับช่องโหว่ทั้ง 2 รายการภายในหนึ่งสัปดาห์ แต่โดยทั่วไปแล้วผู้ให้บริการมักใช้เวลานานกว่านั้นในการปล่อยแพตช์ความปลอดภัยหลังงาน Pwn2Own เนื่องจากมีเวลา 90 วันก่อนที่ Zero Day Initiative ของ Trend Micro จะเปิดเผยรายละเอียดของช่องโหว่ที่ถูกเปิดเผยในการแข่งขัน

    หากต้องการอัปเดตซอฟต์แวร์บนอุปกรณ์ NAS ให้เข้าสู่ระบบ QuTS hero หรือ QTS ในฐานะผู้ดูแลระบบ และไปที่ App Center ค้นหา "SMB Service" แล้วคลิก "Update" โดยปุ่มนี้จะไม่สามารถใช้งานได้หากซอฟต์แวร์เป็นเวอร์ชันล่าสุดแล้ว

    แนะนำให้อัปเดตแพตช์โดยเร็วที่สุด เนื่องจากอุปกรณ์ QNAP เป็นเป้าหมายที่นิยมของผู้โจมตี เพราะมักถูกใช้ในการสำรอง และเก็บข้อมูลส่วนบุคคลที่สำคัญ ซึ่งทำให้อุปกรณ์เหล่านี้ตกเป็นเป้าหมายในการติดตั้งมัลแวร์ขโมยข้อมูล และยังเป็นช่องทางในการบังคับให้เหยื่อจ่ายค่าไถ่เพื่อกู้คืนข้อมูล

    ตัวอย่างเช่น ในเดือนมิถุนายน 2020 QNAP ได้แจ้งเตือนเกี่ยวกับการโจมตีของแรนซัมแวร์ eCh0raix ซึ่งใช้ช่องโหว่ของแอป Photo Station ในการโจมตี และเข้ารหัสอุปกรณ์ QNAP NAS

    ในเดือนกันยายน 2020 QNAP ได้แจ้งเตือนลูกค้าเกี่ยวกับการโจมตีของแรนซัมแวร์ AgeLocker ซึ่งมุ่งเป้าไปที่อุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต ที่มีการใช้งาน Photo Station เวอร์ชันเก่า และมีช่องโหว่ โดยในเดือนมิถุนายน 2021 eCh0raix (หรือ QNAPCrypt) ได้กลับมาโจมตีอีกครั้งโดยใช้ช่องโหว่ที่รู้จัก และใช้การเดารหัสผ่านของบัญชี NAS ที่ใช้รหัสผ่านที่คาดเดาได้ง่าย

    การโจมตีอื่น ๆ ที่มีเป้าหมายการโจมตีไปยังอุปกรณ์ QNAP เช่น DeadBolt, Checkmate และ eCh0raix   ransomware ซึ่งจะใช้ประโยชน์จากช่องโหว่เพื่อเข้ารหัสข้อมูลในอุปกรณ์ NAS ที่เข้าถึงได้จากอินเทอร์เน็ต

Ref : bleepingcomputer.com

Google ได้แก้ไขช่องโหว่ zero-day เพิ่มเติมใน Chrome

 

    Google ได้แก้ไขช่องโหว่ Zero-day บนเบราว์เซอร์ Chrome ซึ่งถูกพบภายในรแข่งขันการแฮ็ก Pwn2Own Vancouver 2024 เมื่อเดือนกุมภาพันธ์ ที่ผ่านมา ช่องโหว่ CVE-2024-3159 นี้อยู่ใน V8 JavaScript engine ของ Chrome และถูกจัดประเภทเป็น out-of-bounds read vulnerability และ Google ได้อุดช่องโหว่ 7 รายการบนเบราว์เซอร์ Chrome เวอร์ชันที่ได้รับการอัปเดตสำหรับ Windows และ Mac คือ  123.0.6321.86/.87 ส่วนของ Linux คือเวอร์ชัน 123.0.6312.86 ซึ่งจะอัปเดตพร้อมกันทั่วโลกในอีกไม่กี่วันนี้

    ช่องโหว่ที่ถูกแก้ไขในครั้งนี้มี 2 ช่องโหว่ที่ถูกพบระหว่างทำการแข่งขันการแฮ็ก Pwn2Own Vancouver 2024

    ช่องโหว่ที่ 1 คือ CVE-2024-2887 เป็นช่องโหว่ที่มีความรุนแรงสูง จัดอยู่ในประเภท typeconfusion โดย Manfred Paul ได้เปิดเผยช่องโหว่นี้ในวันแรกของงาน ซึ่งช่องโหว่นี้จะช่วยให้ ไม่ประสงดีทำการโจมตีจากระยะไกล (RCE) ผ่านการสร้างหน้า HTML เป้าหมายการโจมตีอยู่ที่ Chrome และ Edge

    ช่องโหว่ที่ 2 คือ CVE-2024-2886 ถูกนำไปใช้โดย Seunghyun Lee จาก KAIST Hacking Lab’s ในวันที่ 2 ของการแข่งขัน CanSecWest Pwn2Own contest ช่องโหว่นี้จะช่วยให้ผู้ไม่ประสงดีสามารถอ่าน/เขียนผ่านหน้า HTML ได้ เป้าหมายการโจมตีอยู่ที่ Chrome และ Edge

Ref: bleepingcomputer

VMware ออกแพตช์แก้ไขช่องโหว่ของ vRealize ที่ทำให้ผู้โจมตีรันคำสั่งด้วยสิทธิ root ได้

    VMware ออกแพตช์แก้ไขช่องโหว่ของ vRealize Log Insight ซึ่งทำให้ผู้โจมตีเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ไปยังเครื่องเป้าหมายที่ยังไม่ได้ทำการแพตช์ได้ vRealize Log Insight หรือปัจจุบันรู้จักกันในชื่อ VMware Aria Operations for Logs เป็นเครื่องมือ log analysis ที่ช่วยวิเคราะห์ application และ infrastructure log environment

รายละเอียดช่องโหว่

• CVE-2023-20864 (คะแนน CVSS: 9.8/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ deserialization ที่สามารถเรียกใช้งานคำสั่งที่เป็นอันตรายจากระยะไกล Remote Code Execution (RCE) ด้วยสิทธิระดับสูง (Root) ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์
• CVE-2023-20865 (คะแนน CVSS: 7.2/10 ระดับความรุนแรงสูง) เป็นช่องโหว่ที่แทรกคำสั่งของระบบปฏิบัติการ (OS) ใน VMware Aria Operations for Logs ด้วยสิทธิระดับสูง (Root) ได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์
• VMware ระบุว่า ยังไม่มีรายงานการโจมตีจากทั้งสองช่องโหว่นี้แต่อย่างใด โดยช่องโหว่ CVE-2023-20864 นั้นจะมีผลกับ VMware Aria Operations for Logs 8.10.2 เท่านั้น

คำแนะนำ

    ปัจจุบันทาง VMware ได้มีการปล่อย Patch อัปเดตสำหรับ VMware Aria Operations for Logs 8.12 ออกมาแล้ว แนะนำให้ผู้ใช้งานทำการ Update โดยเร็วที่สุด

Ref : bleepingcomputer