ช่องโหว่ใน JavaScriptCore ของ Apple Safari ที่ทำให้สามารถโจมตีแบบ RCE ได้ กำลังถูกนำไปใช้ในการโจมตีจริง

    ช่องโหว่ระดับ Critical หมายเลข CVE-2024-44308 กำลังถูกนำไปใช้ในการโจมตีอย่างต่อเนื่อง โดยกระทบกับ Apple Safari หลายเวอร์ชันบนแพลตฟอร์ม iOS, visionOS และ macOS

    ช่องโหว่ดังกล่าวอยู่ภายในคอมไพเลอร์ DFG JIT ของ WebKit ทำให้เกิดการโจมตีในรูปแบบการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ (RCE)

ตารางสรุปซอฟต์แวร์ และเวอร์ชันที่ได้รับผลกระทบสำหรับช่องโหว่ CVE-2024-44308

    Apple ได้แก้ไขช่องโหว่นี้ไปแล้วในแพตซ์อัปเดตล่าสุด ได้แก่ iOS 17.7.2, 18.1.1, visionOS 2.1.1 และ macOS Sequoia 15.1.1

การค้นพบ และการวิเคราะห์

• ช่องโหว่นี้ได้รับการรายงานโดย Clément Lecigne และ Benoît Sevens จากกลุ่มวิเคราะห์ภัยคุกคามของ Google (Threat Analysis Group) และได้รับการวิเคราะห์เพิ่มเติมโดย Dohyun Lee จาก USELab, Korea University
• ช่องโหว่นี้เกิดจากปัญหา register corruption ใน JavaScriptCore เนื่องจากการ allocation timing ของ scratch2GPR register ที่ไม่ถูกต้องภายในกระบวนการคอมไพล์ Speculative JIT
• ช่องโหว่นี้ส่งผลกระทบต่อไฟล์ DFGSpeculativeJIT.cpp ใน WebKit โดยเฉพาะในวิธีการจัดการกับอาร์เรย์ที่มีชนิดข้อมูลเป็นจำนวนเต็ม (integer-typed arrays)
• ช่องโหว่นี้จะเกิดขึ้นเมื่อ scratch2GPR register ถูก allocated หลังจากการเรียกฟังก์ชัน getIntTypedArrayStoreOperand() ซึ่งอาจทำให้เกิดการ register allocation ที่ไม่จำเป็นหากมีการเลือก slow path

    การ allocated ที่ผิดพลาดนี้ สามารถสร้างสถานะ register ที่ไม่สอดคล้องกัน ซึ่งอาจก่อให้เกิดความเสี่ยงทางด้านความปลอดภัย

    แพตช์ที่ได้รับการแก้ไข มีการปรับลำดับของการทำงานให้ถูกต้อง เพื่อให้มั่นใจว่า scratch2GPR register ถูกจัดการอย่างเหมาะสม และรักษาความสมบูรณ์ของสถานะ register เมื่อมีการใช้ slow path

การทำงานของโค้ดที่ทำให้เกิดช่องโหว่นี้ สามารถสรุปได้ดังนี้

• เรียกใช้ฟังก์ชัน getIntTypedArrayStoreOperand(): ฟังก์ชันนี้ถูกเรียกใช้เพื่อจัดการ store operations ใน typed arrays
• เพิ่ม Slow Path: อาจมีการใช้ Slow Path ซึ่งต้องมีการจัดการ registers อย่างรอบคอบ
• การ Allocation ที่ไม่ถูกต้อง: scratch2GPR ถูก allocated อย่างไม่ถูกต้องหลัง Slow Path ซึ่งไม่ได้ถูกใช้ ทำให้เกิดความไม่สอดคล้องของสถานะที่อาจเกิดขึ้นได้

Proof-of-Concept (PoC)

    PoC แม้จะยังไม่สมบูรณ์ แต่ก็ให้ข้อมูลเชิงลึกเกี่ยวกับการทริกเกอร์ช่องโหว่ โดยเกี่ยวข้องกับการจัดการกับ JavaScript objects และ arrays เพื่อเข้าถึงฟังก์ชันที่มีช่องโหว่

    ขอแนะนำให้ผู้ใช้งานอัปเดตอุปกรณ์ของตนเป็นซอฟต์แวร์เวอร์ชันล่าสุดเพื่อลดความเสี่ยงที่เกิดจากช่องโหว่นี้ เหตุการณ์นี้แสดงให้เห็นถึงความสำคัญของการอัปเดตซอฟต์แวร์อย่างทันท่วงที และการตรวจสอบช่องโหว่ด้านความปลอดภัยอย่างต่อเนื่อง

    การตอบสนองของ Apple ในการจัดการกับช่องโหว่นี้อย่างรวดเร็ว แสดงให้เห็นถึงความพยายามอย่างต่อเนื่องในการรักษาความปลอดภัยแพลตฟอร์มของตนจากภัยคุกคามที่เกิดขึ้นใหม่

Ref : gbhackers.com

มีการตรวจพบช่องโหว่ RCE ระดับ Critical ใน ServiceNow ถูกใช้เพื่อขโมยข้อมูล Credential

    พบกลุ่มผู้ไม่ประสงค์ดีกำลังใช้ช่องโหว่ RCE ความรุนแรงระดับ Critical ใน ServiceNow ในการโจมตีระบบของหน่วยงานรัฐ และบริษัทเอกชนเพื่อขโมยข้อมูล Credential

    รูปแบบการโจมตีดังกล่าวถูกเผยแพร่โดย Resecurity ซึ่งหลังจากเฝ้าติดตามเป็นเวลา 1 สัปดาห์ ก็สามารถระบุเป้าหมายได้จำนวนหนึ่ง รวมถึงหน่วยงานของรัฐ, Data center, ผู้ให้บริการพลังงาน และบริษัทพัฒนาซอฟต์แวร์ แม้ว่า ServiceNow จะทำการออกอัปเดตเพื่อแก้ไขช่องโหว่แล้วเมื่อวันที่ 10 กรกฎาคม 2024 แต่ยังพบว่ามี ServiceNow กว่าหมื่นรายการที่มีความเสี่ยงในการถูกโจมตีช่องโหว่

    ServiceNow เป็น cloud-based platform ที่ช่วยให้องค์กรจัดการ digital workflows สำหรับการดำเนินงานขององค์กร โดยถูกนำมาใช้อย่างแพร่หลายในอุตสาหกรรมต่าง ๆ รวมถึงองค์กรภาครัฐ, สาธารณสุข, สถาบันการเงิน และบริษัทขนาดใหญ่

การโจมตีช่องโหว่

    จากการสแกนของ FOFA พบว่ามี ServiceNow ที่อยู่บนอินเทอร์เน็ตเกือบ 300,000 รายการ แสดงให้เห็นถึงความนิยมของผลิตภัณฑ์

    เมื่อวันที่ 10 กรกฎาคม 2024 ServiceNow ได้เผยแพร่การอัปเดตเพื่อแก้ไขช่องโหว่สำหรับ CVE-2024-4879 ซึ่งเป็นช่องโหว่ใน input validation ความรุนแรงระดับ Critical (คะแนน CVSS: 9.3) ซึ่งทำให้ผู้ไม่ประสงค์ดีที่ไม่จำเป็นต้องผ่านการตรวจสอบความปลอดภัยและไม่ต้องยืนยันตัวตน สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ได้ โดยส่งผลกระทบกับ Now Platform หลายเวอร์ชัน

    เมื่อวันที่ 11 กรกฎาคม 2024 นักวิจัยของ Assetnote ผู้ค้นพบช่องโหว่ดังกล่าว ได้เผยแพร่บทความโดยละเอียดเกี่ยวกับ CVE-2024-4879 และช่องโหว่อีกสองรายการ (CVE-2024-5178 และ CVE-2024-5217) ใน ServiceNow ซึ่งสามารถเชื่อมโยงเข้าด้วยกันเพื่อการเข้าถึง database ได้อย่างเต็มรูปแบบ

    ในไม่ช้า GitHub ก็ถูกโจมตีด้วยช่องโหว่โดยอิงจาก write-up และ network scanner จำนวนมาก สำหรับ CVE-2024-4879 ซึ่ง ผู้ไม่ประสงค์ดี ได้ใช้ช่องโหว่ดังกล่าวเพื่อค้นหา instance ที่มีช่องโหว่ ตามรายงานของ Resecurity

    การโจมตีอย่างต่อเนื่องที่ Resecurity พบเห็น คือการใช้การใส่เพย์โหลดเพื่อตรวจสอบผลลัพธ์ที่เฉพาะเจาะจงในการตอบสนองของเซิร์ฟเวอร์ ตามด้วยเพย์โหลดขั้นที่สองที่ตรวจสอบ database content

หากโจมตีได้สำเร็จผู้ไม่ประสงค์ดีจะสามารถขโมยรายชื่อผู้ใช้ และข้อมูล credentials ได้ โดย Resecurity พบว่าส่วนใหญ่ ข้อมูลที่ถูกขโมยออกไปจะถูก Hash ไว้ แต่บางกรณีก็ถูกขโมยออกไปได้ในรูปแบบ plaintext

    Resecurity พบว่ามีการพูดถึงมากขึ้นเกี่ยวกับช่องโหว่ของ ServiceNow ในฟอรัมของผู้ไม่ประสงค์ดีโดยเฉพาะอย่างยิ่งจากผู้ที่ต้องการเข้าถึงแผนกบริการไอที และพอร์ทัลขององค์กร แสดงให้เห็นว่าช่องโหว่ของ ServiceNow กำลังได้รับความสนใจจากเหล่า ผู้ไม่ประสงค์ดี

    ServiceNow ได้เผยแพร่การแก้ไขสำหรับช่องโหว่ทั้ง 3 รายการ สำหรับช่องโหว่ CVE-2024-4879, CVE-2024-5178 และ CVE-2024-5217 และได้แนะนำให้ผู้ดูแลระบทำการอัปเดตช่องโหว่โดยด่วน ตามที่ระบุในคำแนะนำ

Ref: bleepingcomputer

Patch Tuesday ของ Microsoft ประจำเดือน มิถุนายน 2567

แพทช์วันอังคารประจำเดือนมิถุนายน 2567 ของ Microsoft ที่ได้ทำการอับเดตความปลอดภัยสำหรับช่องโหว่ถึง 51 รายการ ช่องโหว่การเรียกใช้โค้ดจากระยะไกล RCE จำนวน 18 รายการ และช่องโหว่แบบ Zero-day ที่ถูกเปิดเผยอีก 1 รายการ

รายละเอียดการอัปเดตความปลอดภัยของ Microsoft ของ RCE จำนวน 18 รายการแต่มีเพียง 1 รายการที่มีความเสี่ยงร้ายแรงรายการนั้นคือ

ช่องโหว่การเรียกใช้โค้ดจากระยะไกลใน Microsoft Message Queuing (MSMQ)

• รายการอื่น ๆ ตามหมวดต่าง ๆ ดังนี้:
• 25 Elevation of Privilege Vulnerabilities
• 18 Remote Code Execution Vulnerabilities
• 3 Information Disclosure Vulnerabilities
• 5 Denial of Service Vulnerabilities

หากต้องการศึกษารายละเอียดการอัปเดตในด้านอื่น ๆ ที่ไม่เกี่ยวข้องกับความปลอดภัยสามารถศึกษาได้ที่:

• Windows 11-KB5039212
• Windows 10-KB5039211

Zero-day ที่แก้ไขในรอบนี้

Keytrap (Link) ในโปรโตคอล DNS ที่ Microsoft ได้แก้ไขในรอบนี้แล้ว

ถูกระบุเป็นเลข CVE-2023-50868 MITRE: CVE-2023-50868 NSEC3 closest encloser proof can exhaust CPU หรือการใช้ DNSSEC เรียกใช้งานระบบมากเกินไปทำให้เกิดการปฏิเสธการให้บริการ

ส่วนการอัปเดทอื่น ๆ จากทาง Microsoft ที่น่าสนใจคือ การเรียกใช้งานจากระยะไกลของ Microsoft Office และ Outlooks RCEs การแก้ไขการยกระดับสิทธิ์ใน Windows Kernel อีก 7 รายการ

การอัปเดทจากผู้ผลิตอื่น ๆ

- Apple แก้ไขข้อบกพร่องใน VisionOS 1.2

- Cisco แก้ไขความปลอดภัยของ Cisco Finesse และ Webex (Link)

- PHP แก้ไขข้อบกพร่องของ RCE (Link)

- VMware แก้ไขข้อบกพร่องแบบ Zero-Day 3 รายการ (Link)

Ref: bleepingcomputer

Fortinet แจ้งเตือนช่องโหว่ RCE ระดับ Critical บน Endpoint Management Software

    Fortinet ได้แก้ไขช่องโหว่ระดับ Critical ในซอฟต์แวร์ FortiClient Enterprise Management Server (EMS) ที่ทำให้ผู้ไม่ประสงค์ดี สามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บนเซิร์ฟเวอร์ที่มีช่องโหว่ได้

    FortiClient EMS ช่วยให้ผู้ดูแลระบบสามารถจัดการอุปกรณ์ที่เชื่อมต่อกับเครือข่ายองค์กร และยังช่วยให้สามารถ deploy ซอฟต์แวร์ FortiClient และกำหนดโปรไฟล์ด้านความปลอดภัยบน Windows

CVE-2023-48788 (คะแนนCVSS 9.8/10 ความรุนแรงระดับ Critical)

    เป็นช่องโหว่ SQL injection ใน DB2 Administration Server (DAS) component ซึ่งถูกค้นพบ และรายงานโดย National Cyber Security Center (NCSC) ของสหราชอาณาจักร และ Thiago Santana นักพัฒนาของ Fortinet

    โดยช่องโหว่ดังกล่าวทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) บนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยมีความซับซ้อนต่ำ และไม่ต้องมีการโต้ตอบจากผู้ใช้ ซึ่งส่งผลกระทบต่อ FortiClient EMS เวอร์ชัน

7.0 (7.0.1 ถึง 7.0.10)

7.2 (7.2.0 ถึง 7.2.2)

ทั้งนี้ทาง Fortinet ยังไม่ได้เปิดเผยว่ามีหลักฐานการโจมตีของช่องโหว่ CVE-2023-48788 เกิดขึ้นจริงแล้วหรือไม่

    ทีม Horizon3 ได้ออกมายืนยันถึงความรุนแรงของช่องโหว่ดังกล่าว พร้อมทั้งประกาศว่าจะเปิดเผยชุดสาธิตการโจมตี หรือ proof-of-concept exploit (PoC) ในสัปดาห์หน้า

    นอกจากนี้ทาง Fortinet ได้แก้ไขช่องโหว่ out-of-bounds write ระดับ Critical ( CVE-2023-42789 ) ใน FortiOS และ FortiProxy captive Portal ที่อาจทำให้ผู้ไม่ประสงค์ดีที่อยู่ภายในเครือข่าย ที่ไม่ต้องผ่านการตรวจสอบสิทธิ์สามารถรันโค้ด หรือคำสั่งที่ไม่ได้รับอนุญาตจากระยะไกลบนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยใช้ HTTP requests ที่เป็นอันตราย

    รวมถึงช่องโหว่ที่มีระดับความรุนแรงสูงอีก 2 รายการ ได้แก่ ช่องโหว่ improper access control (CVE-2023-36554) ใน FortiWLM MEA สำหรับ FortiManager และ CSV injection (CVE-2023-47534) ใน FortiClient EMS ที่ทำให้ผู้ไม่ประสงค์ดีสามารถเรียกใช้คำสั่ง หรือ code บนระบบที่มีช่องโหว่ได้

    โดยในเดือนกุมภาพันธ์ 2024 Fortinet ได้แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (CVE-2024-21762) ระดับ critical ในระบบปฏิบัติการ FortiOS และ FortiProxy secure web proxy ซึ่งทาง CISA ได้ยืนยันว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตี และได้สั่งให้หน่วยงานรัฐบาลกลางอัปเดตแพตซ์ช่องโหว่อุปกรณ์ FortiOS และ FortiProxy ภายในเจ็ดวัน

    ทั้งนี้ช่องโหว่ Fortinet มักถูกใช้เพื่อโจมตีเครือข่ายองค์กรในการโจมตีด้วย ransomware และ zero-day ตัวอย่างเช่น ในเดือนกุมภาพันธ์ 2024 Fortinet พบกลุ่ม Volt Typhoon ของจีน ได้ใช้ช่องโหว่ FortiOS SSL VPN 2 รายการ (CVE-2022-42475 และ CVE-2023-27997) เพื่อใช้มัลแวร์ Coathanger remote access trojan (RAT) ในการวาง backdoor บนเครือข่ายทหารของกระทรวงกลาโหมเนเธอร์แลนด์

Ref : bleepingcomputer

Firewall SonicWall มากกว่า 178,000 เครื่อง มีโอกาศเสี่ยงต่อการถูกโจมตีในรูปแบบ DoS และ RCE

    ผู้เชี่ยวชาญด้านความปลอดภัยพบ Firewall ของ SonicWall (Next-Generation Firewalls) มากกว่า 178,000 เครื่อง ที่เปิดให้เข้าถึง management interface ได้จากอินเทอร์เน็ต ซึ่งทำให้มีความเสี่ยงที่จะถูกโจมตีในรูปแบบ Denial-of-Service (DoS) และการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)

    อุปกรณ์เหล่านี้ได้รับผลกระทบจากช่องโหว่ด้านความปลอดภัยในรูปแบบ Denial-of-Service (DoS) สองรายการ ได้แก่

• ช่องโหว่ CVE-2022-22274 
• ช่องโหว่ CVE-2023-0656 

    ซึ่งช่องโหว่แรกมีความเสี่ยงที่ทำให้สามารถโจมตีด้วยการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ด้วย Jon Williams วิศวกรด้านความปลอดภัยจาก Bishop Fox เปิดเผยว่า"จากการใช้แหล่งข้อมูลของ BinaryEdge ผู้เชี่ยวชาญได้ทำการสแกนไฟร์วอลล์ SonicWall ที่เปิดให้เข้าถึง management interface ได้จากอินเทอร์เน็ต พบว่า 76% (178,637 จากทั้งหมด 233,984) มีความเสี่ยงไม่ช่องโหว่ใดก็ช่องโหว่หนึ่ง หรือทั้งสองช่องโหว่"

    Bishop Fox ระบุเพิ่มเติมว่า "ช่องโหว่ทั้งสองรายการจะมีลักษณะที่คล้ายกัน เนื่องจากมีการนำรูปแบบโค้ดที่มีช่องโหว่เดียวกันกลับมาใช้ใหม่ ซึ่งทำให้ผู้ไม่หวังดีสามารถนำมาใช้ในการโจมตี HTTP URI paths ที่แตกต่างกันได้"และยังเปิดเผยอีกว่า"จากการตรวจสอบในเบื้องต้นของเราตรงกับคำยืนยันของ SonicWall ว่ายังไม่มีการนำช่องโหว่มาใช้ในการโจมตี แต่เมื่อเราสามารถระบุโค้ดที่มีช่องโหว่ได้ ก็พบว่าเป็นปัญหาเดียวกันกับช่องโหว่ CVE-2023-0656 ที่ถูกเปิดเผยในอีกหนึ่งปีถัดมา"

    "เราพบว่าช่องโหว่ CVE-2022-22274 เกิดจากรูปแบบโค้ดที่มีช่องโหว่เดียวกันในตำแหน่งอื่น และการโจมตีโดยใช้ประโยชน์จากช่องโหว่นี้สามารถใช้งานได้กับสาม URI paths"

    แม้ว่าผู้ไม่ประสงค์ดีจะไม่สามารถรันโค้ดบนอุปกรณ์ของเหยื่อได้ แต่ผู้ไม่ประสงค์ดีสามารถใช้ช่องโหว่เพื่อบังคับให้อุปกรณ์เข้าสู่โหมด Maintenance ซึ่งจะต้องให้ผู้ดูแลระบบเข้ามาทำการแก้ไขเพื่อกู้คืนฟังก์ชันการทำงานมาตรฐานกลับมา

    ถึงแม้ว่า ยังไม่มีหลักฐานเกี่ยวกับการโจมตีในรูปแบบของ RCE ว่าสามารถโจมตีได้จริงหรือไม่ แต่ผู้ไม่หวังดีสามารถใช้ช่องโหว่เหล่านี้เพื่อปิดใช้งาน Firewall และการเข้าถึง VPN ที่ให้บริการกับเครือข่ายขององค์กรได้

    ปัจจุบันมี Firewall SonicWall มากกว่า 500,000 เครื่องที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต โดยมีมากกว่า 328,000 เครื่องในสหรัฐอเมริกา

    Product Security Incident Response Team (PSIRT) ของ SonicWall เปิดเผยว่าพวกเขาไม่มีข้อมูลเกี่ยวกับการโจมตีโดยใช้ประโยชน์จากช่องโหว่เหล่านี้ แต่พบว่ามี Proof-of-Concept (PoC) อย่างน้อยหนึ่งรายการที่ถูกเผยแพร่อยู่ในอินเทอร์เน็ต คือช่องโหว่ CVE-2022-22274

    Williams เปิดเผยว่า"SSD Labs ได้เผยแพร่บทความทางเทคนิคเกี่ยวกับช่องโหว่ พร้อมกับ POC และระบุเส้นทาง URI ที่สามารถทำให้เกิดการโจมตีได้"

คำแนะนำ

    ผู้ดูแลระบบควรตรวจสอบให้แน่ใจว่า management interface ของอุปกรณ์ SonicWall (NGFW) ไม่ได้เปิดให้เข้าถึงได้จากอินเทอร์เน็ต และควรอัปเดต firmware ให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

Ref : bleepingcomputer

VMware แจ้งเตือนช่องโหว่ระดับ Critical ใน vRealize ที่กำลังถูกใช้ในการโจมตี

    เมื่อสองสัปดาห์ก่อน VMware ออกคำแนะนำด้านความปลอดภัย เพื่อเตือนผู้ใช้งาน VMware ถึงช่องโหว่ Remote Code Execution (RCE) ระดับ Critical ที่มีหมายเลข CVE-2023-20887 ซึ่งได้รับการอัปเดตแพตซ์แก้ไขไปแล้วก่อนหน้านี้ เนื่องจากผู้ไม่ประสงค์ดีกำลังใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีอยู่ในปัจจุบัน

    ก่อนหน้านี้ GreyNoise บริษัทรักษาความปลอดภัยทางไซเบอร์ได้ออกคําเตือนหลายครั้ง โดยคําเตือนครั้งแรกเกิดขึ้นหนึ่งสัปดาห์หลังจาก VMware ออกแพตซ์แก้ไขช่องโหว่ด้านความปลอดภัยเมื่อ วันที่ 15 มิถุนายน และเพียงสองวันก่อนที่ Sina Kheirkah นักวิจัยด้านความปลอดภัยได้เปิดเผยรายงานเกียวกับรายละเอียดทางเทคนิค และ proof-of-concept ของช่องโหว่ โดยช่องโหว่นี้ส่งผลกระทบต่อ VMware Aria Operations for Networks (เดิมชื่อ vRealize Network Insight) ซึ่งเป็นเครื่องมือวิเคราะห์เครือข่าย

ที่ช่วยให้ผู้ดูแลระบบเพิ่มประสิทธิภาพการทำงานของเครือข่าย หรือจัดการการปรับใช้ VMware และ Kubernetes

    โดยผู้ไม่ประสงค์ดีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถใช้ประโยชน์จากช่องโหว่ในการทำ command injection ในการโจมตีได้โดยไม่ต้องมีการตอบโต้ จากผู้ใช้งาน

Kheirkhah อธิบายในการวิเคราะห์สาเหตุของช่องโหว่ด้านความปลอดภัยว่า VMWare Aria Operations for Networks (vRealize Network Insight) มีความเสี่ยงที่จะถูกแทรกคำสั่ง เมื่อรับอินพุตของผู้ใช้งานผ่านอินเทอร์เฟซ Apache Thrift RPC โดยช่องโหว่นี้ช่วยให้ผู้ไม่ประสงค์ดีจากภายนอกที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถเรียกใช้คําสั่งต่าง ๆ บนระบบด้วยสิทธิ์ Root ได้

ยังไม่มีวิธีการแก้ไขปัญหาชั่วคราวสำหรับช่องโหว่ CVE-2023-20887 ดังนั้นผู้ดูแลระบบจะต้องอัปเดตแพตซ์ VMware Aria Operations Networks 6.x ทั้งหมด เพื่อให้แน่ใจว่าจะไม่ถูกโจมตีจากช่องโหว่ดังกล่าว รายการแพตช์ความปลอดภัยทั้งหมด สำหรับเวอร์ชัน Aria Operations for Networks ที่พบช่องโหว่ทั้งหมดอยู่ในเว็บไซต์ VMware's Customer Connect website

Ref : bleepingcomputer

Researchers Detail Critical RCE Flaw Reported in Popular vm2 JavaScript Sandbox

 

ช่องโหว่ RCE ใน vm2 JavaScript Sandbox

    ช่องโหว่ด้านความปลอดภัยที่ปัจจุบันได้รับการแก้ไขไปแล้วใน vm2 JavaScript (sandbox module) ทำให้ผู้โจมตีสามารถ bypass การป้องกันจาก sandbox และสั่งรันโค้ดที่เป็นอันตรายบนเครื่องที่กำลังรัน sandbox ได้

ช่องโหว่มีหมายเลข CVE-2022-36067 ชื่อว่า Sandbreak โดยมีระดับความรุนแรงสูงสุดที่ 10 โดยปัจจุบันได้รับการแก้ไขไปแล้วในเวอร์ชัน 3.9.11 ที่เผยแพร่เมื่อวันที่ 28 สิงหาคม 2022 ทั้งนี้ VM2 เป็น Node library

ที่ค่อนข้างได้รับความนิยม เพื่อใช้ในการเรียกใช้งาน untrusted code ด้วย allowlisted built-in modules นอกจากนี้ยังเป็นหนึ่งในซอฟต์แวร์ที่มีการดาวน์โหลดจำนวนมากที่สุดอีกด้วย โดยมีการดาวน์โหลดเกือบ 3.5 ล้านครั้งต่อสัปดาห์

    Oxeye ผู้ค้นพบช่องโหว่นี้ระบุว่า ช่องโหว่นี้เกิดจากกลไลของ Node.js ที่มีการนำมาใช้เพื่อ bypass ระบบ Sand box ซึ่งหมายความว่าหากสามารถโจมตีช่องโหว่ CVE-2022-36067 ได้สำเร็จ

    อาจทำให้ผู้โจมตี bypass vm2 sandbox และเรียกใช้คำสั่งตามที่ต้องการบนระบบที่โฮสต์ sandbox ได้โดย Sand box system นั้นเป็นระบบที่ออกแบบมาเพื่อเพิ่มความปลอดภัยของระบบ อย่างเช่น ตรวจสอบไฟล์ที่แนบมาผ่าน Email, ตรวจสอบเว็บเบราว์เซอร์ และตรวจสอบการทำงานของ Application ที่ทำงานอยู่ในบางระบบ ซึ่งจะทำให้เป็นอันตรายอย่างมากถ้าผู้ใช้งาน VM2 ที่มี่ช่องโหว่ดังกล่าว และยังไม่ได้อัปเดตแพทช์เป็นปัจจุบัน