Microsoft ปล่อยการอัปเดตแบบ Stack หรือสะสมพร้อมการแก้ไขปัญหา 9 รายการใน Windows 10 (KB5037849)

    Microsoft ได้ทำการปล่อยแพทซ์อัปเดตแบบสะสม บนระบบปฏิบัติการ Windows 10 22H2 KB5037849 ในการแก้ไขปัญหา 9 รายการที่มีปัญหา

ปัญหา 9 รายการที่ได้รับแก้ไขแล้วมีดังนี้:

• แก้ไขปัญหาการแชร์หน้าจอ
• แก้ไขปัญหาปุ่มแชร์บนคอนโทรลเลอร์ USB
• แก้ไขปัญหาที่ทำให้ Windows Explorer อาจหยุดทำงานเมื่อใช้การค้นหา
• แก้ไขปัญหาที่ทำให้เมนูเริ่มอาจไม่ทำงาน
• แก้ไขปัญหาที่ทำให้แถบงานอาจกะพริบ
• แก้ไขปัญหาที่ทำให้ไอคอนแอปอาจหายไปจากแถบงาน
• แก้ไขปัญหาที่ทำให้การแจ้งเตือนอาจไม่ปรากฏ
• แก้ไขปัญหาที่ทำให้การตั้งค่าอาจไม่เปิด
• แก้ไขปัญหาที่ทำให้ Windows Update อาจล้มเหลว

อีก 2 รายการที่น่าสนใจ

    การอัปเดตนี้แก้ไขปัญหาที่หน้าต่างที่ซ่อนอยู่ปรากฏขึ้น แถบชื่อเรื่องไม่มีเนื้อหาและไม่มีพื้นที่แสดงผล ซึ่งเกิดขึ้นเมื่อคุณแชร์หน้าจอโดยใช้แอปบางแอป

    การอัปเดตนี้แก้ไขปัญหาที่ส่งผลต่อปุ่มแชร์บนคอนโทรลเลอร์ USB ซึ่งอาจใช้งานกับแถบเกมไม่ได้

Microsoftแจ้งว่าการอัปเดตนี้มีปัญหาที่ทราบ 4 ประการ รวมถึงสองปัญหาที่เกิดขึ้นมานาน ซึ่งได้แก่ Copilot ทำให้ไอคอนสลับไปมาระหว่างหลายจอภาพ และ Copilot ไม่รองรับหากแถบงานของคุณอยู่ด้านซ้ายหรือขวาของหน้าจอแบบตั้งตรง

• ปัญหาอื่นๆ อีกสองประการคือ การค้นหาโหนด Microsoft Connected Cache (MCC) ล้มเหลวเมื่อใช้ DHCP Option 235 
• ผู้ใช้ Windows ได้รับรหัสข้อผิดพลาด 0x80070520 ขณะพยายามเปลี่ยนรูปโปรไฟล์บัญชี

คุณสามารถดูวิธีแก้ไขปัญหานี้และรายการแก้ไขทั้งหมดได้ในเอกสารสนับสนุน KB5037849

Microsoft Update Catalog
ข้อมูลเพิ่มเติมเกี่ยวกับการอัปเดต Windows 10 22H2 โปรดไปที่เว็บไซต์

Ref : bleepingcomputer

Veeam แจ้งเตือนช่องโหว่ Authentication bypass ระดับ Critical บน Backup Enterprise Manager

    Veeam แจ้งเตือนผู้ใช้งานให้ทำการแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ซึ่งทำให้ผู้ไม่ประสงค์ดีไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถลงชื่อเข้าใช้บัญชีใด ๆ ผ่านทาง Veeam Backup Enterprise Manager (VBEM)

•     Veeam Backup Enterprise Manager (VBEM) เป็น web-based platform ที่ช่วยให้ผู้ดูแลระบบสามารถจัดการการติดตั้ง Veeam Backup & Replication ผ่านเว็บคอนโซลเดียว ทำให้สามารถควบคุมการสำรองข้อมูล และดำเนินการกู้คืนข้อมูลใน backup infrastructure และ large-scale deployment
•     ช่องโหว่ CVE-2024-29849 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ใน Veeam Backup Enterprise Manager ที่ทำให้ผู้ไม่ประสงค์ดีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถเข้าสู่ระบบเว็บอินเตอร์เฟสของ Veeam Backup Enterprise Manager ในฐานะผู้ใช้รายใดก็ได้

    ทั้งนี้ Veeam ระบุว่า VBEM ไม่ได้เปิดใช้งานเป็นค่าเริ่มต้น ผู้ใช้จำเป็นต้องเปิดใช้งานเอง จึงทำให้ช่องโหว่ดังกล่าวไม่ได้ส่งผลกระทบกับอุปกรณ์ทั้งหมด

    Veeam ระบุว่า หากผู้ดูแลระบบไม่สามารถอัปเกรดเป็น VBEM เวอร์ชัน 12.1.2.172 ได้ในทันที ให้ทำการปิดใช้งานบริการ VeeamEnterpriseManagerSvc (Veeam Backup Enterprise Manager) และ VeeamRESTSvc (Veeam RESTful API) รวมถึงหากไม่ได้ใช้งาน สามารถถอนการติดตั้ง Veeam Backup Enterprise Manager เพื่อลดความเสี่ยงจากการถูกโจมตี

    นอกจากนี้ Veeam ยังได้แก้ไขช่องโหว่ VBEM ที่มีระดับความรุนแรงสูง 2 รายการ ได้แก่ CVE-2024-29850 ช่องโหว่ account takeover ผ่าน NTLM relay และ CVE-2024-29851 ช่องโหว่ที่ช่วยให้ผู้ใช้งานที่มีสิทธิ์สูงสามารถขโมย NTLM hash ของบัญชีบริการ Veeam Backup Enterprise Manager

การโจมตีช่องโหว่ Veeam ด้วย Ransomware

    ในเดือนมีนาคม 2023 Veeam ได้แก้ไขช่องโหว่ที่มีระดับความรุนแรงสูง (CVE-2023-27532) ใน Backup & Replication software อาจนำไปใช้ในการโจมตี backup infrastructure host ซึ่งช่องโหว่ดังกล่าวถูกใช้ในการโจมตีของกลุ่ม FIN7 ที่เกี่ยวข้องกับกลุ่ม ransomware ต่าง ๆ เช่น Conti, REvil, Maze, Egregor และ BlackBasta รวมถึงพบกลุ่ม Cuba ransomware ได้ใช้ช่องโหว่ดังกล่าวในการกำหนดเป้าหมายการโจมตีไปที่โครงสร้างพื้นฐานที่สำคัญของสหรัฐฯ และบริษัทไอทีในละตินอเมริกา

    และในเดือนพฤศจิกายน 2023 Veeam ได้แก้ไขช่องโหว่ระดับ Critical 2 รายการ ใน ONE IT infrastructure monitoring and analytics platform ได้แก่ ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (CVE-2023-38547) และช่องโหว่ในการขโมย NTLM hash (CVE-2023-38548) จากเซิร์ฟเวอร์ที่มีช่องโหว่ (ด้วยคะแนน CVSS 9.8 และ 9.9/10)

Ref : bleepingcomputer

พบกลุ่ม Ransomware มุ่งเป้าการโจมตีไปยังผู้ดูแลระบบ Windows ผ่าน PuTTy และ WinSCP ปลอม

    Rapid7 ค้นพบรูปแบบการโจมตีของกลุ่ม Ransomware ที่มุ่งเป้าการโจมตีไปยังผู้ดูแลระบบ Windows เนื่องจากมีสิทธิ์การใช้งานที่สูงกว่าผู้ใช้งานทั่วไป โดยใช้โฆษณา (Ads) บน Google หลอกให้ผู้ถูกหลอกลวงทำการดาวน์โหลด Putty และ WinSCP ปลอม เมื่อทำการค้นหาบน Google หรือ Bing

    WinSCP และ Putty เป็น Windows utilities ยอดนิยม โดย WinSCP เป็น SFTP client และ FTP client ส่วน Putty เป็น SSH client โดยที่กลุ่ม Ransomware ได้ทำการสร้างหน้าเว็บไซต์ขึ้นมา คือ [https://www[.]chiark.greenend[.]org[.]uk/~sgtatham/putty/] เมื่อทำการคลิกเพื่อดาวน์โหลดไฟล์ ZIP ที่เป็นอันตรายแล้ว ก็จะทำการ redirect ไปยังหน้าเว็บปกติ เพื่อป้องกันการถูกตรวจจับได้

    ไฟล์ ZIP ที่เป็นอันตรายที่เป้าหมายทำการดาวน์โหลดมาจะประกอบไปด้วยไฟล์ Setup.exe ซึ่งเป็นไฟล์ปฏิบัติการที่ถูกเปลี่ยนชื่อเป็นไฟล์ Python สำหรับ Windows (pythonw.exe) และไฟล์ python311.dll ที่เป็นไฟล์อันตราย โดยเมื่อทำการเรียกใช้งาน pythonw.exe ก็จะเปิดไฟล์ python311.dll ขึ้นมาแทน ซึ่งเป็นวิธีการโจมตีแบบ DLL Sideloading

    เมื่อเป้าหมายทำการเรียกใช้ Setup.exe ซึ่งเป้าหมายจะเข้าใจว่ากำลังติดตั้ง PuTTY หรือ WinSCP ระบบจะดาวน์โหลด DLL ที่เป็นอันตราย ซึ่งจะแยกและเรียกใช้สคริปต์ Python ที่เข้ารหัส เพื่อติดตั้ง post-exploitation toolkit ในชื่อ Sliver ซึ่งเป็นเครื่องมือยอดนิยมที่ใช้สำหรับการเข้าถึงเครือข่ายองค์กรในเบื้องต้น หลังจากนั้นก็จะเรียกเพยโหลดเพิ่มเติม เช่น Cobalt Strike beacons เพื่อขโมยข้อมูล และเรียกใช้ Ransomware เพื่อเข้ารหัสข้อมูลในเครื่อข่ายของเป้าหมาย

    ทั้งนี้รูปแบบการโจมตีดังกล่าวคล้ายคลึงกับที่ Malwarebytes และ Trend Micro พบจากกลุ่ม BlackCat/ALPHV ransomware

    Google Ad และโฆษณาผ่านเครื่องมือค้นหาอื่น ๆ ได้กลายเป็นหนึ่งในวิธีการโจมตีของกลุ่มผู้ไม่ประสงค์ดีที่ใช้เพื่อแพร่กระจาย malware และ phishing โดยปลอมเป็นโปรแกรมยอดนิยม ได้แก่ Keepass, CPU-Z, Notepad++, Grammarly, MSI Afterburner, Slack, Dashlane, 7-Zip, CCleaner, VLC, Malwarebytes, Audacity, μTorrent, OBS, Ring, AnyDesk, Libre Office, Teamviewer, Thunderbird และ Brave

    รวมถึงยังพบว่ากลุ่มผู้ไม่ประสงค์ดีได้ใช้ Google Ad ของแพลตฟอร์มการซื้อขาย crypto Whales Market ที่ได้รับการรับรอง เพื่อโจมตีแบบ phishing เพื่อขโมยเงินดิจิทัลของผู้เข้าชมเว็บไซต์

Ref: bleepingcomputer

VMware ออกแพตซ์แก้ไขช่องโหว่ด้านความปลอดภัยที่ความรุนแรงอยู่ในระดับ Critical ในผลิตภัณฑ์ Workstation และ Fusion

    มีการเผยช่องโหว่ด้านความปลอดภัยจำนวนมากใน VMware Workstation และ Fusion ที่ผู้โจมตีสามารถนำไปใช้ในการเข้าถึงข้อมูลที่มีความสำคัญได้, ทำให้เกิด Denial-of-Service (DoS) และการเรียกใช้โค้ดภายใต้สถานการณ์บางอย่าง

    VMware ระบุว่า ช่องโหว่ทั้ง 4 รายการส่งผลกระทบต่อ Workstation เวอร์ชัน 17.x และ Fusion เวอร์ชัน 13.x โดยมีการแก้ไขในเวอร์ชัน 17.5.2 และ 13.5.2 ตามลำดับดังนี:

• CVE-2024-22267 (CVSS score: 9.3) ช่องโหว่ use-after-free ในอุปกรณ์ Bluetooth ที่อาจถูกโจมตีโดยผู้โจมตีที่เข้าถึงสิทธิ์ local admin บนเครื่อง Virtual machine เพื่อทำการเรียกใช้โค้ดในขณะที่ Virtual VMX กำลังทำงานอยู่บน Host
• CVE-2024-22268 (CVSS score: 7.1) ช่องโหว่ heap buffer-overflow ในฟังก์ชั่นการทำงานของ Shader ที่อาจถูกโจมตีโดยผู้โจมตีที่ไม่จำเป็นต้องเข้าถึงสิทธิ์ admin พร้อมการเปิดใช้งาน 3D graphics เพื่อสร้างเงื่อนไขให้เกิด DoS
• CVE-2024-22269 (CVSS score: 7.1) ช่องโหว่ information disclosure ของอุปกรณ์ Bluetooth ที่อาจถูกโจมตีโดยผู้โจมตีที่เข้าถึงสิทธิ์ local admin บนเครื่อง Virtual machine เพื่ออ่านข้อมูลสำคัญที่อยู่ในหน่วยความจำ hypervisor จากเครื่อง Virtual machine
• CVE-2024-22270 (CVSS score: 7.1) ช่องโหว่ information disclosure ในฟังก์ชันการทำงานของ Host Guest File Sharing (HGFS) ที่อาจถูกโจมตีโดยผู้โจมตีที่เข้าถึงสิทธิ์ local admin บนเครื่อง Virtual machine เพื่ออ่านข้อมูลสำคัญที่อยู่ในหน่วยความจำ hypervisor จากเครื่อง Virtual machine

    สำหรับวิธีแก้ไขปัญหาชั่วคราวจนกว่าที่จะสามารถอัปเดตแพตซ์ได้ ผู้ใช้ควรปิดการใช้งาน Bluetooth บนเครื่อง Virtual machine และปิดการใช้งานคุณสมบัติของ 3D acceleration ส่วน CVE-2024-22270 ยังไม่มีวิธีแก้ไขปัญหาชั่วคราว นอกจากการอัปเดตให้เป็นเวอร์ชั่นล่าสุด

    น่าสังเกตว่า CVE-2024-22267, CVE-2024-22269, และ CVE-2024-22270 เดิมทีได้มีการสาธิตโดย STAR Labs SG และ Theori ในการแข่งขัน Hacking Pwn2Own ที่ถูกจัดขึ้นที่ Vancouver เมื่อต้นเดือนมีนาคมที่ผ่านมา

    คำแนะนำเกี่ยวกับช่องโหว่ล่าสุด ออกมาภายหลังจากที่เมื่อสองเดือนก่อน VMware ได้ออกแพตซ์แก้ไขช่องโหว่ด้านความปลอดภัย 4 รายการที่ส่งผลกระทบต่อ ESXi, Workstation, และ Fusion รวมถึงช่องโหว่ระดับ Critical 2 รายการ (CVE-2024-22252 และ CVE-2024-22253, CVSS scores: 9.3/8.4) ที่อาจนำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายได้.

Ref : thehackernews

QNAP Zero-day ในฟังก์ชั่นการ Share ถูกใช้เป็นช่องทางการโจมตีด้วย RCE

    ทางทีมความปลอดภัยของ QNAP ตรวจพบความผิดปกติบนระบบปฏิบัติการ QNAP QTS ขอผลิตภัณฑ์ NAS ที่ผลิตโดยบริษัท

  ได้ออกมาเปิดเผยช่องโหว่ที่พบจำนวน 15 รายการที่มีความรุนแรงต่าง ๆ กันไปและได้รับการแก้ไขไปแล้ว 4 รายการเหลืออีก 11 รายการที่ยังไม่ได้รับการแก้ไข โดยที่หนึ่งในรายการที่ยังไม่ได้รับการแก้ไขนั้นคือช่องโหว่ CVE-2024-27130 ซึ่งเป็นช่องโหว่ unpatched  stack buffer overflow vulnerability in the No_Support_ACL' function of 'share.cgi,'

    ซึ่งอาจทำให้ผู้ไม่ประสงค์ดีโจมตีจากระยะไกลได้ และอีกรายการช่องโหว่ที่ต้องระวังอย่างมากช่องโหว่ CVE-2024-27130 ซึ่งเป็นช่องโหว่ Proof of Concept (PoC) ที่ถูกค้นพบเมื่อวันที่ 17/5/67 

ช่องโหว่ QTS

• WatchTowr Labs ออกมาเผยถึงช่องโหว่ QTS ส่วนใหญ่เกี่ยวข้องกับการเรียกใช้โค้ดระยะไกล, Buffer Overflows, memory corruption, authentication bypass และ
• ปัญหาการใช้งาน XSS บนอุปกรณ์ NAS โดยที่ทาง WatchTowr ได้สรุปช่องโหว่ทั้ง 15 รายการที่พบดังนี้:
• CVE-2023-50361: การใช้ sprintf ที่ไม่ปลอดภัยใน getQpkgDir ที่ถูกเรียกใช้จาก userConfig.cgi
• CVE-2023-50362: การใช้ฟังก์ชัน SQLite ที่ไม่ปลอดภัยซึ่งสามารถเข้าถึงได้ผ่านพารามิเตอร์ addPersonalSmtp ไปยัง userConfig.cgi
• CVE-2023-50363: การตรวจสอบสิทธิ์ที่ขาดหายไปทำให้สามารถปิดใช้งานการตรวจสอบสิทธิ์แบบสองปัจจัยสำหรับผู้ใช้ที่กำหนดเองได้
• CVE-2023-50364: ฮีปโอเวอร์โฟลว์ผ่านชื่อไดเร็กทอรีแบบยาวเมื่อดูรายการไฟล์โดยฟังก์ชัน get_dirs ของ privWizard.cgi
• CVE-2024-21902: การตรวจสอบสิทธิ์ที่ขาดหายไปทำให้ผู้ใช้ทุกคนสามารถดูหรือล้างบันทึกของระบบและดำเนินการเพิ่มเติมได้
• CVE-2024-27127: Double-Free ใน utilRequest.cgi ผ่านฟังก์ชัน Delete_share
• CVE-2024-27128: Stack overflow ในฟังก์ชัน check_email ซึ่งสามารถเข้าถึงได้ผ่านการดำเนินการ share_file และ send_share_mail ของ utilRequest.cgi
• CVE-2024-27129: การใช้ strcpy อย่างไม่ปลอดภัยในฟังก์ชัน get_tree ของ utilRequest.cgi
• CVE-2024-27130: การใช้ strcpy อย่างไม่ปลอดภัยใน No_Support_ACL เข้าถึงได้โดยฟังก์ชัน get_file_size ของ share.cgi
• CVE-2024-27131: การปลอมแปลงบันทึกผ่าน x-forwarded-for อนุญาตให้ผู้ใช้ทำให้การดาวน์โหลดได้รับการบันทึกตามที่ร้องขอจากแหล่งที่มาที่กำหนดเอง
• WT-2023-0050: ภายใต้มาตรการคว่ำบาตรที่ขยายเวลาออกไปเนื่องจากปัญหาที่ซับซ้อนอย่างไม่คาดคิด
• WT-2024-0004: XSS ที่จัดเก็บผ่านข้อความ syslog ระยะไกล
• WT-2024-0005: XSS ที่จัดเก็บไว้ผ่านการค้นหาอุปกรณ์ระยะไกล
• WT-2024-0006: ไม่มีการจำกัดอัตราใน API การรับรองความถูกต้อง
• WT-2024-00XX: อยู่ภายใต้การคว่ำบาตร 90 วันตาม VDP

    ช่องโหว่ทั้งหมดที่ WatchTowr พบนั้นส่งผลต่อระบบปฏิบัติการ QTS และ QNAP, QuTScloud, QTS สำหรับ VM และทาง QNAP ได้ทำการแก้ไขช่องโหว่ที่ CVE-2023-50361 ไปจนถึง CVE-2023-50364 เมื่อการอัปเดตความปลอดภัยรอบเดือน เมษายน 2567

ใน Version: QTS 5.1.6.2722 build 20240402, QuTS hero h5.1.6.2734 build 20240414 และที่ใหม่กว่า

PoC ซีโร่เดย์

    ช่องโหว่ที่ CVE-2024-27130 เกิดจากการใช้ฟังก์ชั่น  'strcpy' ในฟังก์ชัน No Support ACL จะใช้งานได้ต่อเมื่อมีการส่งคำขอ Get-file-size ใน Scrpit share.cgi ซึ่งใช้เมื่อแชร์กับผู้ใช้วานภายนอกด้วยผู้โจมตีสามารถสร้างคำขอที่ไม่ถูกต้องด้วย Parameter 'Name' ที่สร้างขึ้นเพื่อกรณีนี้เท่านั้น ทำให้เกิด Buffer Overflows แต่เพื่อจะใช้ประโยชน์จาก CVE-2024-27130 ผู้ใช้จำเป็นต้องมีพารามิเตอร์ของ SSID ที่ถูกต้องซึ่งจะถูกสร้างขึ้นเมื่อผู้ใช้งาน NAS ทำการแชร์ไฟล์จาก QNAP

REF : bleepingcomputer