Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Kerentanan RCE Wormable Zero-Click di Microsoft Teams

by

Bug zero-click remote code execution (RCE) di aplikasi desktop Microsoft Teams dapat memungkinkan seseorang untuk mengeksekusi kode arbitrary hanya dengan mengirim pesan obrolan yang dibuat khusus dan membahayakan sistem target.

Masalah ini dilaporkan ke pembuat Windows oleh Oskars Vegeris, seorang security engineer dari Evolution Gaming, pada 31 Agustus 2020, sebelum ditangani pada akhir Oktober.

“Tidak ada interaksi pengguna yang diperlukan, exploit dijalankan setelah melihat pesan chat,” Vegeris menjelaskan dalam laporan nya.

Hasilnya adalah “hilangnya kerahasiaan dan integritas total bagi pengguna akhir – akses ke obrolan pribadi, file, jaringan internal, kunci pribadi, dan data pribadi di luar MS Teams,” tambah peneliti.

Kabar buruknya lagi, RCE bersifat lintas platform – memengaruhi Microsoft Teams untuk Windows (v1.3.00.21759), Linux (v1.3.00.16851), macOS (v1.3.00.23764), dan web (teams.microsoft.com) – dan dapat dibuat worm-able, yang berarti dapat disebarkan dengan secara otomatis mengirim ulang muatan berbahaya ke saluran lain.

Sumber: The Hacker News

Ini bukan pertama kalinya kekurangan RCE diamati di Teams dan aplikasi perpesanan yang berfokus pada perusahaan.

Yang paling utama di antaranya adalah kerentanan RCE terpisah di Microsoft Teams (CVE-2020-17091) yang ditambal oleh perusahaan sebagai bagian dari Patch November 2020 pada Selasa bulan lalu.

Sumber: The Hacker News

Kerentanan keamanan perangkat lunak open-source ada selama lebih dari empat tahun sebelum terdeteksi

by

Diperlukan rata-rata lebih dari empat tahun untuk menemukan kerentanan dalam perangkat lunak open source, area dalam komunitas keamanan yang perlu ditangani, kata para peneliti.

Menurut laporan State of the Octoverse tahunan GitHub, yang diterbitkan pada hari Rabu, ketergantungan pada proyek open source, komponen, dan library lebih umum dari sebelumnya.

Selama tahun 2020, GitHub menghitung lebih dari 56 juta pengembang di platform, dengan lebih dari 60 juta repositori baru sedang dibuat – dan lebih dari 1,9 miliar kontribusi ditambahkan – sepanjang tahun.

Dibandingkan dengan 2019, GitHub menemukan bahwa 94% proyek sekarang mengandalkan komponen open source, dengan rata-rata hampir 700 dependensi.

Rata-rata, kerentanan bisa tidak terdeteksi selama lebih dari empat tahun dalam proyek open source sebelum pengungkapan. Perbaikan kemudian biasanya tersedia hanya dalam waktu sebulan, yang menurut GitHub “menunjukkan peluang yang jelas untuk meningkatkan deteksi kerentanan”.

Namun, mayoritas bug dalam perangkat lunak open source tidak berbahaya. Sebaliknya, 83% dari peringatan CVE yang dikeluarkan oleh GitHub disebabkan oleh kesalahan dan human error – meskipun pelaku ancaman masih dapat memanfaatkannya untuk tujuan jahat.

Secara total, 17% kerentanan dianggap berbahaya – seperti varian backdoor – tetapi ini hanya memicu 0,2% peringatan, karena paling sering ditemukan dalam paket yang ditinggalkan atau jarang digunakan.

Menurut GitHub, 59% repositori aktif di platform akan menerima peringatan keamanan di tahun mendatang. Selama tahun 2020, Ruby dan JavaScript adalah yang paling mungkin menerima peringatan.

Sumber: ZDNet

Sophos memberi tahu pelanggan tentang eksposur data setelah database salah konfigurasi

by

Vendor keamanan dunia maya yang berbasis di Inggris, Sophos, saat ini memberi tahu pelanggan melalui email tentang pelanggaran keamanan yang diderita perusahaan awal pekan ini. Informasi yang terpapar termasuk detail seperti nama depan dan belakang pelanggan, alamat email, dan nomor telepon (jika tersedia). Seorang juru bicara Sophos mengkonfirmasi email sebelumnya hari ini dan mengatakan kepada ZDNet bahwa hanya “sebagian kecil” dari pelanggan perusahaan yang terpengaruh tetapi tidak memberikan perkiraan jumlah.

Sophos mengatakan telah mengetahui kesalahan konfigurasi dari peneliti keamanan dan segera memperbaiki masalah yang dilaporkan. “Di Sophos, privasi dan keamanan pelanggan selalu menjadi prioritas utama kami. Kami menghubungi semua pelanggan yang terpengaruh,” kata perusahaan itu. “Selain itu, kami menerapkan langkah-langkah tambahan untuk memastikan pengaturan izin akses selalu aman.”

Ini adalah insiden keamanan besar kedua yang ditangani Sophos tahun ini. Pada bulan April, grup kejahatan dunia maya menemukan dan menyalahgunakan zero-day di firewall Sophos XG untuk membobol perusahaan di seluruh dunia. Para penyerang menyebarkan trojan Asnarok, dan setelah zero-day diumumkan ke publik, mereka mencoba menyebarkan ransomware – tetapi akhirnya gagal.

sumber : ZDNET

Facebook didenda di Korea Selatan karena membagikan data pengguna tanpa persetujuan

by

Facebook telah didenda 6,7 ​​miliar won, sekitar $ 6 juta, di Korea Selatan karena membagikan data pengguna tanpa persetujuan mereka. Komisi Perlindungan Informasi Pribadi (PIPC) mengatakan perusahaan AS membagikan data setidaknya 3,3 juta dari 18 juta penggunanya di Korea ke perusahaan lain tanpa persetujuan mereka antara Mei 2012 hingga Juni 2018.

Komisi tersebut mengatakan akan mengajukan tuntutan pidana terhadap Facebook karena melanggar undang-undang informasi pribadi setempat. Informasi yang dibagikan oleh Facebook termasuk nama pengguna, riwayat akademis, riwayat pekerjaan, kota asal, dan status hubungan.

Ketika pengguna masuk ke aplikasi pihak ketiga lainnya menggunakan akun Facebook mereka, informasi mereka dan milik teman mereka dibagikan dengan layanan yang mereka gunakan, kata PIPC. Teman-teman ini tidak menyadari bahwa informasi mereka dibagikan dengan layanan tersebut tanpa izin mereka, katanya.

“Seorang pengguna setuju untuk membagikan informasi mereka dengan layanan tertentu ketika mereka masuk dengan akun Facebook mereka. Namun, teman-teman pengguna tersebut tidak, dan mereka tidak menyadari bahwa data mereka juga sedang dibagikan,” kata komisi tersebut.

Aplikasi pihak ketiga ini kemudian menggunakan data yang disediakan oleh Facebook tanpa izin pengguna untuk membuat iklan yang disesuaikan untuk ditampilkan di layanan media sosial. Facebook akhirnya menghasilkan keuntungan yang tidak adil dengan membagikan data pengguna tanpa persetujuan mereka, kata PIPC.

Facebook juga menyimpan data kata sandi pengguna tanpa enkripsi, dan tidak memberi tahu pengguna secara teratur ketika perusahaan mengakses data mereka, tambahnya.

sumber : ZDNET

Bypass 2FA ditemukan di perangkat lunak hosting web cPanel

by

Peneliti keamanan telah menemukan kelemahan keamanan utama di cPanel, rangkaian perangkat lunak populer yang digunakan oleh perusahaan hosting web untuk mengelola situs web bagi pelanggan mereka.

Bug, yang ditemukan oleh peneliti keamanan dari Digital Defense, memungkinkan penyerang melewati otentikasi dua faktor (2FA) untuk akun cPanel.

Akun ini digunakan oleh pemilik situs web untuk mengakses dan mengelola situs web mereka dan pengaturan server yang mendasarinya. Akses ke akun ini sangat penting, karena setelah disusupi, mereka memberi pelaku ancaman kendali penuh atas situs korban.

Digital Defense mengatakan bahwa implementasi 2FA pada perangkat lunak cPanel & WebHost Manager (WHM) yang lebih lama rentan terhadap serangan brute force yang memungkinkan pelaku ancaman menebak parameter URL dan melewati 2FA – jika 2FA diaktifkan untuk sebuah akun.

Memanfaatkan bug ini juga mengharuskan penyerang memiliki kredensial yang valid untuk akun yang ditargetkan, tetapi ini dapat diperoleh dari serangan phishing ke pemilik situs web.

Kabar baiknya adalah Digital Defense telah melaporkan bug tersebut secara pribadi, dilacak sebagai SEC-575, ke tim cPanel, yang telah merilis patch minggu lalu. Sesuai saran keamanan cPanel, masalah bypass 2FA telah ditambal di perangkat lunak cPanel & WHM 11.92.0.2, 11.90.0.17, dan 11.86.0.32.

Sumber: ZDNet

Peretas memposting eksploit untuk lebih dari 49.000 VPN Fortinet yang rentan

by

Seorang peretas telah memposting daftar eksploit satu baris untuk mencuri kredensial VPN dari hampir 50.000 perangkat Fortinet VPN.

Yang ada dalam daftar target rentan adalah domain milik bank dan organisasi pemerintah dari seluruh dunia.

Kerentanan yang dirujuk di sini adalah CVE-2018-13379, kelemahan jalur traversal yang memengaruhi sejumlah besar perangkat VPN Fortinet FortiOS SSL yang belum ditambal.

Dengan memanfaatkan kerentanan ini, penyerang jarak jauh yang tidak diautentikasi dapat mengakses file sistem melalui permintaan HTTP yang dibuat secara khusus.

Eksploit yang diposting oleh peretas memungkinkan penyerang mengakses file sslvpn_websession dari Fortinet VPN untuk mencuri kredensial login. Kredensial yang dicuri ini kemudian dapat digunakan untuk menyusupi jaringan dan menyebarkan ransomware.

Minggu ini, analis intelijen ancaman Bank_Security menemukan utas forum peretas di mana aktor ancaman berbagi 49.577 daftar perangkat dari target yang dapat dieksploitasi.

Setelah menganalisis daftar tersebut, ditemukan bahwa target yang rentan termasuk domain pemerintah dari seluruh dunia, dan yang dimiliki oleh bank dan perusahaan pembiayaan ternama.

Fortinet telah mengeluarkan pernyataan sehubungan dengan kerentanan ini:

“Keamanan pelanggan kami adalah prioritas pertama kami. Pada Mei 2019 Fortinet mengeluarkan peringatan PSIRT mengenai kerentanan SSL yang telah diatasi, dan juga telah berkomunikasi langsung dengan pelanggan dan lagi melalui posting blog perusahaan pada Agustus 2019 dan Juli 2020 sangat merekomendasikan upgrade,” kata juru bicara Fortinet kepada BleepingComputer.

“Dalam seminggu terakhir, kami telah berkomunikasi dengan semua pelanggan dan memberi tahu mereka lagi tentang kerentanan dan langkah-langkah untuk memitigasi. Meskipun kami tidak dapat memastikan bahwa vektor serangan untuk grup ini terjadi melalui kerentanan ini, kami terus mendorong pelanggan untuk menerapkan upgrade dan mitigasi. Untuk mendapatkan informasi lebih lanjut, silakan kunjungi blog kami yang telah diperbarui dan segera merujuk ke penasihat [PSIRT] Mei 2019,” tutup Fortinet.

Sumber: Bleeping Computer

Botnet secara diam-diam telah memindai internet secara massal untuk mencari file ENV yang tidak aman

by

Beberapa pelaku ancaman telah menghabiskan dua-tiga tahun terakhir memindai internet secara massal untuk mencari file ENV yang tidak sengaja diunggah dan dibiarkan terbuka di server web.

File ENV, atau file lingkungan, adalah jenis file konfigurasi yang biasanya digunakan oleh alat pengembangan. Kerangka kerja seperti Docker, Node.js, Symfony, dan Django menggunakan file ENV untuk menyimpan variabel lingkungan, seperti token API, kata sandi, dan login database. Karena sifat data yang disimpannya, file ENV harus selalu disimpan di folder yang dilindungi.

“Saya membayangkan botnet sedang memindai file-file ini untuk menemukan kredensial tersimpan yang memungkinkan penyerang berinteraksi dengan database seperti Firebase, atau instance AWS, dll.,” Daniel Bunce, Principal Security Analyst for SecurityJoes, mengatakan kepada ZDNet. “Jika penyerang bisa mendapatkan akses ke kunci API pribadi, mereka dapat menyalahgunakan perangkat lunak,” tambah Bunce.

Pelaku ancaman yang mengidentifikasi file ENV pada akhirnya akan mengunduh file tersebut, mengekstrak kredensial sensitif apa pun, dan kemudian membobol infrastruktur backend perusahaan. Tujuan akhir dari serangan selanjutnya ini bisa apa saja mulai dari pencurian kekayaan intelektual dan rahasia bisnis, hingga serangan ransomware, atau pemasangan malware penambangan kripto yang tersembunyi.

sumber : ZDNET

Aplikasi Pesan Go SMS Pro Mengekspos File Media Pribadi Pengguna

by

Aplikasi Android yang populer menggunakan alamat Web yang mudah ditebak saat pengguna mengirim foto pribadi, video, dan pesan suara. Kerentanan keamanan di Go SMS Pro, aplikasi perpesanan Android populer, mengekspos foto pribadi, video, dan pesan suara dari jutaan pengguna, lapor peneliti. Peneliti dengan Trustwave SpiderLabs menemukan kelemahan Go SMS Pro versi 7.91, yang memiliki lebih dari 100 juta pengguna. Meskipun tidak jelas versi lain mana yang terpengaruh, diyakini versi sebelumnya dan versi yang akan datang rentan terhadap masalah yang sama, kata mereka.

Go SMS Pro, seperti banyak aplikasi messenger lainnya, memungkinkan orang mengirim media pribadi ke pengguna lain. Jika penerima memiliki aplikasi, media akan muncul di dalam aplikasi. Jika penerima tidak memiliki Go SMS Pro, file media dikirim sebagai alamat Web melalui SMS dan kemudian dibuka di dalam browser. Peneliti menemukan tautan ini dapat diakses tanpa otentikasi atau otorisasi apa pun, sehingga siapa pun yang memiliki tautan dapat melihat kontennya. Mereka juga mempelajari bahwa tautan URL berurutan (heksadesimal) dan dapat diprediksi, yang berarti penyerang dapat menaikkan nilai dalam URL tertentu untuk melihat atau mendengarkan pesan media pengguna lain tanpa otentikasi.

Trustwave menemukan kerentanan pada bulan Agustus dan berusaha menghubungi vendor aplikasi beberapa kali. Perusahaan tidak menanggapi, artinya kerentanan ini masih menimbulkan risiko bagi pengguna. Peneliti menyarankan agar tidak mengirim file media yang mungkin berisi data sensitif sampai Bug diperbaiki.

sumber : DarkReading