Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Company / Microsoft

Microsoft

Microsoft Patch Tuesday Bulan Mei 2022 memperbaiki 3 zero-day, 75 kelemahan

by

Microsoft telah merilis Patch Tuesday bulan Mei 2022, dan dengan itu datang perbaikan untuk tiga kerentanan zero-day, dengan satu kerentanan sedang dieksploitasi secara aktif, dan total 75 kelemahan.

Dari 75 kerentanan yang diperbaiki dalam pembaruan hari ini, delapan diklasifikasikan sebagai ‘Kritis’ karena memungkinkan eksekusi kode jarak jauh atau peningkatan hak istimewa.

Kerentanan zero-day yang dieksploitasi secara aktif yang diperbaiki hari ini adalah untuk NTLM Relay Attack baru menggunakan kelemahan LSARPC yang dilacak sebagai ‘CVE-2022-26925 – Windows LSA Spoofing Vulnerability.’

Dengan menggunakan serangan ini, pelaku ancaman dapat mencegat permintaan otentikasi yang sah dan menggunakannya untuk mendapatkan hak istimewa yang lebih tinggi.

Microsoft merekomendasikan admin untuk membaca nasihat PetitPotam NTLM Relay untuk informasi tentang cara memitigasi jenis serangan ini.

Dua zero-day yang diperbaiki adalah kerentanan penolakan layanan di Hyper-V dan kerentanan eksekusi kode jarak jauh baru di Azure Synapse dan Azure Data Factory.

  • CVE-2022-22713 – Windows Hyper-V Denial of Service Vulnerability
  • CVE-2022-29972 – Insight Software: CVE-2022-29972 Magnitude Simba Amazon Redshift ODBC Driver

Microsoft sangat menyarankan IT Admin untuk menginstal pembaruan keamanan hari ini sesegera mungkin.

Selengkapnya: Bleeping Computer

Microsoft Menyarankan Uninstal Update Opsional Windows 11

by

Microsoft menyarankan pengguna Windows 11 untuk menghapus pembaruan terbaru. Laporan menunjukkan pembaruan, yang bersifat opsional, menyebabkan berbagai aplikasi mogok. Masalah meliputi interaksi antara pembaruan dan .Net Framework yang merupakan bagian dari Windows. Saat ini tidak jelas aplikasi mana yang terpengaruh oleh masalah ini, uninstal adalah satu-satunya solusi yang layak.

Pembaruan yang dimaksud adalah KB5012643, yang dirilis pada 25 April. Ini adalah pembaruan kumulatif untuk sistem operasi dengan banyak perubahan kecil. Ada bagian berlabel “Masalah yang diketahui dengan pembaruan ini.” Di bagian itu mengatakan dapat menyebabkan beberapa aplikasi .Net Framework 3.5 berhenti bekerja. Microsoft mengatakan, “Aplikasi yang terpengaruh menggunakan komponen opsional tertentu di .NET Framework 3.5, seperti komponen Windows Communication Foundation (WCF) dan Windows Workflow (WWF).” .Net Framework ada di mana-mana di Windows, dan digunakan oleh berbagai pengembang aplikasi sebagai basis kode yang dapat digunakan. Beberapa dari aplikasi tersebut sekarang akan macet atau gagal dibuka dengan pembaruan ini diinstal. Catatan Windows terbaru, pembaruan ini hanya tersedia untuk pengguna dengan Windows 11 21H2.

Riwayat Pembaruan

Untuk menghapus pemutakhiran ini, ikuti langkah-langkah berikut:

  • Dari menu mulai temukan Windows Update Settings.
  • Dari jendela itu klik View Update History.
  • Klik Uninstall Update.
  • Temukan KB5012643 dan klik uninstall.

Jika gagal, Anda juga dapat mencoba Mengaktifkan .NET Framework 3.5 di Kontrol Panel. Jika Anda seorang admin TI atau pengguna tingkat lanjut, Anda juga dapat mengaktifkannya melalui prompt perintah. Berikut perintahnya:

dism /online /enable-feature /featurename:netfx3 /all
dism /online /enable-feature /featurename:WCF-HTTP-Activation
dism /online /enable-feature /featurename:WCF-NonHTTP-Activation

Sumber: Extreme Tech

Kerentanan Microsoft Azure Mengekspos Database PostgreSQL ke Pelanggan Lain

by

Microsoft pada hari Kamis mengungkapkan bahwa itu mengatasi sepasang masalah dengan Database Azure untuk Server Fleksibel PostgreSQL yang dapat mengakibatkan akses database lintas-akun yang tidak sah di suatu wilayah.

“Dengan mengeksploitasi bug izin yang ditingkatkan dalam proses otentikasi Server Fleksibel untuk pengguna replikasi, pengguna jahat dapat memanfaatkan ekspresi reguler yang ditambatkan secara tidak benar untuk melewati otentikasi untuk mendapatkan akses ke basis data pelanggan lain,” kata Microsoft Security Response Center (MSRC).

Perusahaan keamanan cloud yang berbasis di New York City, Wiz, yang mengungkap kelemahan tersebut, menjuluki rantai eksploitasi itu “ExtraReplica.” Microsoft mengatakan telah mengurangi bug dalam waktu 48 jam setelah pengungkapan pada 13 Januari 2022.

Secara khusus, ini terkait dengan kasus eskalasi hak istimewa di mesin Azure PostgreSQL untuk mendapatkan eksekusi kode dan bypass otentikasi lintas-akun melalui sertifikat palsu, yang memungkinkan penyerang membuat database di wilayah Azure target dan mengekstrak informasi sensitif.

Dengan kata lain, keberhasilan eksploitasi kelemahan kritis dapat memungkinkan musuh untuk mendapatkan akses baca yang tidak sah ke database PostgreSQL pelanggan lain, secara efektif menghindari isolasi penyewa.

Wiz menelusuri eskalasi hak istimewa ke bug yang berasal dari modifikasi yang diperkenalkan di mesin PostgreSQL untuk memperkuat model hak istimewanya dan menambahkan fitur baru. Nama ExtraReplica berasal dari fakta bahwa exploit memanfaatkan fitur PostgreSQL yang memungkinkan penyalinan data database dari satu server ke server lain, yaitu, “mereplikasi” database.

Pembuat Windows menggambarkan kerentanan keamanan sebagai mempengaruhi contoh Server Fleksibel PostgreSQL yang digunakan menggunakan opsi jaringan akses publik, tetapi menekankan bahwa itu tidak menemukan bukti kelemahan yang dieksploitasi secara aktif dan bahwa tidak ada data pelanggan yang diakses.

Sumber: The Hacker News

Microsoft menambahkan VPN built-in gratis ke browser Edge-nya

by

Microsoft menambahkan layanan jaringan pribadi virtual (VPN) built-in gratis ke browser Edge-nya dalam upaya untuk meningkatkan keamanan dan privasi, sebuah halaman dukungan Microsoft mengungkapkan.

Disebut “Edge Secure Network,” Microsoft saat ini sedang menguji layanan VPN yang didukung Cloudflare dan mengatakan akan meluncurkannya ke publik sebagai bagian dari peningkatan keamanan.

Saat diaktifkan, Edge Secure Network harus mengenkripsi lalu lintas web pengguna sehingga penyedia layanan internet tidak dapat mengumpulkan informasi penelusuran yang Anda lebih suka merahasiakannya, seperti, katakanlah, penelusuran terkait kesehatan atau sekadar pertanyaan aneh.

Fitur baru ini juga memungkinkan pengguna menyembunyikan lokasi mereka dengan memungkinkan mereka menjelajahi web menggunakan alamat IP virtual. Itu juga berarti pengguna dapat mengakses konten yang diblokir di negara mereka seperti, misalnya, acara Netflix atau Hulu.

inilah tangkapan untuk layanan gratis ini. Penggunaan data dibatasi hingga 1GB per bulan, dan pengguna harus masuk ke akun Microsoft sehingga perusahaan dapat melacak penggunaan mereka secara ironis.

Microsoft menambahkan bahwa sementara Cloudflare akan mengumpulkan dukungan dan informasi diagnostik dari layanan, perusahaan akan secara permanen menghapus data itu setiap 25 jam.

Sementara fitur ini masih dalam pengembangan dan belum tersedia untuk pengujian awal, Microsoft merinci bagaimana pengguna dapat mencoba pratinjau.

Selengkapnya: The Verge

Microsoft menemukan kelemahan desktop Linux yang memberikan root kepada pengguna yang tidak tepercaya

by

Microsoft menemukan kerentanan yang memudahkan orang-orang yang memiliki akses di banyak sistem desktop Linux untuk mendapatkan hak sistem root, peningkatan terbaru dari kelemahan hak istimewa yang terungkap di OS open source.

Karena sistem operasi telah dikeraskan untuk menahan kompromi dalam beberapa tahun terakhir, kerentanan elevasi hak istimewa (EoP) telah menjadi unsur penting bagi sebagian besar peretasan yang sukses.

Mereka dapat dieksploitasi bersama dengan kerentanan lain yang sering dianggap kurang parah, mereka memberikan akses lokal dan yang pertama meningkatkan akses root. Dari sana, musuh dengan akses fisik atau hak sistem terbatas dapat menyebarkan pintu belakang atau mengeksekusi kode pilihan mereka.

Nimbuspwn, seperti yang disebut Microsoft sebagai ancaman EoP, adalah dua kerentanan yang berada di networkd-dispatcher, komponen di banyak distribusi Linux yang mengirimkan perubahan status jaringan dan dapat menjalankan berbagai skrip untuk merespons status baru.

Cacat, dilacak sebagai CVE-2022-29799 dan CVE-2022-29800, menggabungkan ancaman termasuk traversal direktori, balapan symlink, dan kondisi balapan time-of-check time-of-use (TOCTOU). Setelah meninjau kode sumber Networkd -dispatcher, peneliti Microsoft Jonathan Bar Or memperhatikan bahwa komponen yang dikenal sebagai “_run_hooks_for_state” mengimplementasikan logika berikut:

Daftar daftar skrip yang tersedia dengan menjalankan metode “get_script_list”, yang memanggil metode “scripts_in_path” terpisah yang dimaksudkan untuk mengembalikan semua file yang disimpan di direktori “/etc/networkd-dispatcher/.d”.

Run_hooks_for_state membiarkan sistem Linux terbuka untuk kerentanan direktori-traversal, yang ditetapkan sebagai CVE-2022-29799, karena tidak ada fungsi yang digunakannya secara memadai membersihkan status yang digunakan untuk membangun jalur skrip yang tepat dari input berbahaya. Peretas dapat mengeksploitasi kelemahan untuk keluar dari direktori dasar “/etc/networkd-dispatcher”.

Run-hooks_for_state berisi cacat terpisah, CVE-2022-29800, yang membuat sistem rentan terhadap kondisi balapan TOCTOU karena ada waktu tertentu antara skrip ditemukan dan skrip dijalankan.

Musuh dapat mengeksploitasi kerentanan yang terakhir ini untuk mengganti skrip yang diyakini networkd-dispatcher dimiliki oleh root dengan skrip jahat pilihan musuh. Untuk memastikan Linux mengeksekusi skrip berbahaya yang disediakan peretas daripada skrip yang sah, peretas menanam beberapa skrip hingga akhirnya berhasil.

Seorang peretas dengan akses minimal ke desktop yang rentan dapat menyatukan eksploitasi untuk kerentanan ini yang memberikan akses root penuh.

Untuk mendapatkan akses root yang persisten, peneliti menggunakan alur eksploit untuk membuat pintu belakang. Proses untuk ini adalah:

Salin /bin/sh ke /tmp/sh.
Mengubah /tmp/sh baru menjadi biner Set-UID (SUID)
Jalankan /tmp/sh -p. Bendera “-p” diperlukan karena cangkang modern menjatuhkan hak istimewa berdasarkan desain.

Eksploitasi proof-of-concept hanya berfungsi jika dapat menggunakan nama bus “org.freedesktop.network1”. Peneliti menemukan beberapa lingkungan di mana ini terjadi, termasuk Linux Mint, di mana systemd-networkd secara default tidak memiliki nama bus org.freedodesktop.network1 saat boot.

Peneliti juga menemukan beberapa proses yang berjalan sebagai pengguna jaringan systemd, yang diizinkan untuk menggunakan nama bus yang diperlukan untuk menjalankan kode arbitrer dari lokasi yang dapat ditulis di dunia. Proses yang rentan mencakup beberapa plugin gpgv, yang diluncurkan saat apt-get menginstal atau meningkatkan, dan Erlang Port Mapper Daemon, yang memungkinkan menjalankan kode arbitrer dalam beberapa skenario.

Kerentanan telah ditambal di networkd-dispatcher, meskipun tidak segera jelas kapan atau dalam versi apa, dan upaya untuk menjangkau pengembang tidak segera berhasil. Orang yang menggunakan versi Linux yang rentan harus menambal sistem mereka sesegera mungkin.

Sumber : Arstechnica

Microsoft Defender menandai pembaruan Google Chrome sebagai mencurigakan

by

Microsoft Defender for Endpoint telah menandai pembaruan Google Chrome yang dikirimkan melalui Google Update sebagai aktivitas mencurigakan karena masalah positif palsu.

Menurut laporan admin sistem Windows [1, 2, 3, 4], solusi keamanan (sebelumnya dikenal sebagai Microsoft Defender ATP) mulai menandai pembaruan Chrome sebagai mencurigakan mulai tadi malam.

Mereka yang mengalami masalah ini melaporkan melihat peringatan “Insiden multi-tahap yang melibatkan penghindaran Eksekusi & Pertahanan” pada titik akhir Windows yang terpengaruh yang dipantau menggunakan Defender untuk Titik Akhir.

Dalam penasihat layanan Microsoft 365 Defender yang dikeluarkan setelah laporan peringatan yang mengkhawatirkan ini mulai muncul secara online, Microsoft mengungkapkan bahwa peringatan tersebut salah dipicu oleh positif palsu dan bukan karena aktivitas jahat.

Kira-kira satu setengah jam kemudian, saran diperbarui, dengan Redmond mengatakan masalah positif palsu telah diatasi dan layanan dipulihkan.

Pembela untuk peringatan positif palsu Endpoint (Kevin Gray)

Admin Windows harus berurusan dengan beberapa masalah positif palsu Defender for Endpoint lainnya selama dua tahun terakhir.

Misalnya, mereka terkena gelombang peringatan Defender for Endpoint di mana pembaruan Office ditandai sebagai berbahaya dalam peringatan yang menunjukkan perilaku ransomware yang terdeteksi di titik akhir Windows.

Pada bulan November, Defender ATP memblokir dokumen Office dan beberapa executable Office agar tidak dibuka atau diluncurkan karena tag positif palsu lainnya pada file muatan malware Emotet.

Satu bulan kemudian, itu secara keliru menampilkan peringatan “gangguan sensor” yang ditautkan ke pemindai Microsoft 365 Defender untuk proses Log4j.

Masalah Defender for Endpoint serupa lainnya termasuk peringatan perangkat jaringan yang terinfeksi Cobalt Strike dan pembaruan Chrome sebagai backdoor PHP, keduanya disebabkan oleh deteksi positif palsu.

Sumber :Bleeping Computer

Microsoft menonaktifkan SMB1 secara default untuk Windows 11 Home Insiders

by

Microsoft hari ini mengumumkan bahwa protokol berbagi file SMBv1 yang berusia 30 tahun sekarang dinonaktifkan secara default pada sistem Windows yang menjalankan build saluran Windows 11 Home Dev terbaru, edisi terakhir Windows atau Windows Server yang masih datang dengan SMBv1 diaktifkan.

Redmond pertama kali mengumumkan rencana untuk menonaktifkan SMBv1 di sebagian besar versi sistem operasi Windows pada Juni 2017 setelah terlebih dahulu menonaktifkannya untuk build internal Windows 10 Enterprise dan Windows Server 2016.

SMBv1 tidak lagi diinstal di OS Microsoft secara default sejak Windows 10 versi 1709 dan Windows Server versi 1709, dengan versi Windows yang lebih baru menggunakan SMBv3.

SMBv1 dinonaktifkan di Windows 11 Home edition Dev build
“Saya memiliki pengumuman yang cukup besar: kami telah memulai fase terakhir penonaktifan SMB1 di Windows,” kata Ned Pyle, Manajer Program Utama di grup Ketersediaan dan Penyimpanan Tinggi Microsoft Windows Server.

Ini juga akan menjadi perilaku default di rilis utama Windows 11 berikutnya setelah Windows Insiders dapat menguji dan memberikan umpan balik tentang perubahan baru,

Namun, seperti yang dijelaskan lebih lanjut oleh pakar Microsoft, perubahan ini tidak akan memengaruhi perangkat yang menggunakan SMBv1 setelah pemutakhiran di tempat, dengan admin masih diizinkan untuk menginstalnya kembali.

Pyle juga membagikan daftar vendor dan produk yang memerlukan SMBv1 sehingga pengguna dapat menghindarinya dan tidak terhalang untuk beralih ke versi protokol SMB yang lebih baru dan lebih aman.

Mereka yang tertarik untuk menonaktifkan SMBv1 di server mereka dapat memeriksa halaman dukungan Microsoft ini untuk instruksi terperinci.

Microsoft telah merekomendasikan admin untuk menghapus dukungan untuk SMBv1 di jaringan mereka sejak 2016 karena tidak menampilkan peningkatan keamanan tambahan yang ditambahkan ke versi protokol SMB yang lebih baru.

Penyempurnaan ini mencakup pemeriksaan integritas pra-otentikasi untuk mencegah serangan man-in-the-middle (MiTM), enkripsi, pemblokiran otentikasi tamu yang tidak aman, perlindungan terhadap serangan penurunan versi keamanan, dan banyak lagi.

Dua tahun lalu, Tim Microsoft Exchange juga mendesak admin untuk menonaktifkan SMBv1 untuk melindungi server dari serangan malware.

Peringatan ini muncul setelah kebocoran beberapa eksploitasi NSA tahun 2017 yang dirancang untuk mengeksploitasi kelemahan dalam protokol SMBv1 untuk menjalankan perintah pada server yang rentan dengan hak administratif.

Beberapa dari eksploitasi ini, seperti EternalBlue dan EternalRomance, kemudian disebarkan secara liar oleh malware TrickBot, Emotet, WannaCry, Retefe, NotPetya, dan Olympic Destroyer untuk menginfeksi lebih banyak perangkat dan meluncurkan serangan yang merusak atau mencuri kredensial pengguna.

Sumber : Bleeping Computer

Cacat Windows RPC CVE-2022-26809 yang kritis menimbulkan kekhawatiran — Perbarui sekarang

by

Microsoft telah memperbaiki kerentanan Windows RPC CVE-2022-26809 baru yang menimbulkan kekhawatiran di antara peneliti keamanan karena potensinya untuk serangan siber yang luas dan signifikan setelah eksploitasi dikembangkan. Oleh karena itu, semua organisasi perlu menerapkan pembaruan keamanan Windows sesegera mungkin.

Microsoft memperbaiki kerentanan ini sebagai bagian dari pembaruan Patch Tuesday April 2022 dan menilainya sebagai ‘Kritis,’ karena memungkinkan eksekusi kode jarak jauh yang tidak sah melalui bug dalam protokol komunikasi Microsoft Remote Procedure Call (RPC).

Jika dieksploitasi, perintah apa pun akan dieksekusi pada tingkat hak istimewa yang sama dengan server RPC, yang dalam banyak kasus memiliki izin tingkat SISTEM yang ditingkatkan atau, yang menyediakan akses administratif penuh ke perangkat yang dieksploitasi.

Protokol Microsoft Remote Procedure Call (RPC) adalah protokol komunikasi yang memungkinkan proses untuk berkomunikasi satu sama lain, bahkan jika program tersebut berjalan di perangkat lain.

RPC memungkinkan proses pada perangkat yang berbeda untuk berkomunikasi satu sama lain, dengan host RPC mendengarkan koneksi jarak jauh melalui port TCP, paling sering port 445 dan 135.

Para peneliti telah mulai menganalisis dan menerbitkan detail teknis tentang kerentanan, yang akan digunakan oleh peneliti lain dan aktor ancaman untuk disatukan menjadi eksploitasi yang bisa diterapkan.

Kecuali pembaruan keamanan diinstal, perangkat akan tetap rentan secara internal terhadap pelaku ancaman yang membahayakan jaringan.

Selengkapnya: Bleeping Computer