Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Peringatan keamanan Facebook: Ribuan kata sandi dicuri

by

Akun media sosial yang dicuri adalah komoditas panas di pasar Dark Web. Rata-rata akun Facebook dijual dengan harga sekitar $ 74,50, menjadikan jaringan sosial sebagai target prioritas untuk penipuan phishing dan penjahat dunia maya. Kampanye phishing memudahkan untuk mencuri kredensial login dalam jumlah besar sekaligus. Semua scammer perlu membuat halaman login palsu dan mengelabui korban untuk masuk. Ketuk atau klik di sini untuk melihat pemberitahuan hak cipta penipuan phishing menargetkan pengguna Facebook.

Peneliti keamanan dengan VPNmentor menemukan database tidak aman yang berisi ratusan ribu login Facebook yang dicuri. Kredensial dicuri sebagai bagian dari operasi phishing yang menargetkan pengguna Facebook dengan halaman arahan palsu. Para peneliti, yang membagikan temuan mereka dengan CNET, percaya para penipu menggunakan situs web yang menawarkan layanan penipuan kepada pengguna Facebook, seperti laporan tentang siapa yang baru-baru ini mengunjungi halaman pengguna.

Jumlah pengguna yang sangat besar dalam database cukup mengejutkan, tetapi para scammer membuat kesalahan fatal selama pencurian data: Mereka lupa menambahkan kata sandi ke harta karun berupa data yang dicuri. Siapa pun yang memiliki browser web dapat dengan mudah mengakses database yang dicuri, yang berisi jutaan catatan pengguna. Peneliti VPNMentor percaya bahwa akun tersebut digunakan untuk menipu lebih banyak korban agar bergabung dengan penipuan cryptocurrency.

sumber : Komando

Google menambal dua lagi zero day Chrome

by

Google hari ini telah merilis Chrome versi 86.0.4240.198 untuk menambal dua kerentanan zero-day yang dieksploitasi di alam liar.

Kedua bug ini menandai zero-day keempat dan kelima yang telah ditambal Google di Chrome selama tiga minggu terakhir. Sebelumnya Google menambal kerentanan CVE-2020-15999, CVE-2020-16009, CVE-2020-16010.

Perbedaannya kali ini adalah bahwa sementara tiga zero-day pertama ditemukan secara internal oleh peneliti keamanan Google, dua zero-day baru ini menjadi perhatian Google setelah mendapat tip dari sumber anonim.

Menurut changelog Chrome 86.0.4240.198, dua zero-day dilacak dan dijelaskan sebagai berikut:

  • CVE-2020-16013 – Dideskripsikan sebagai “penerapan yang tidak tepat di V8”, dimana V8 adalah komponen Chrome yang menangani kode JavaScript.
  • CVE-2020-16017 – Dijelaskan sebagai bug kerusakan memori “use after free” pada Site Isolation, komponen Chrome yang mengisolasi setiap data situs satu sama lain.

Meskipun tidak jelas tingkat bahayanya bagi pengguna biasa, pengguna Chrome masih disarankan untuk memperbarui ke versi 86.0.4240.198 melalui fungsi pembaruan bawaan browser sesegera mungkin.

Source: ZDNet

Ponsel Android lama tidak akan mendukung banyak situs web aman mulai awal September 2021

by

Menurut Android Police, Otoritas Sertifikat Let’s Encrypt memperingatkan bahwa ponsel yang menjalankan versi Android sebelum 7.1.1 Nougat tidak akan mempercayai sertifikat akarnya mulai tahun 2021, menguncinya dari banyak situs web aman.

Organisasi tersebut akan menghentikan penandatanganan silang default untuk sertifikat yang mengaktifkan fungsi ini pada 11 Januari 2021, dan akan menghentikan sepenuhnya kemitraan penandatanganan silang pada 1 September di tahun yang sama.

Solusi parsial tersedia dengan memasang Firefox (Mozilla adalah mitra di Let’s Encrypt) dan menggunakan penyimpanan sertifikatnya sendiri, tetapi itu tidak akan membantu dengan klien saingan atau fungsionalitas di luar browser.

Let’s Encrypt mencatat bahwa sekitar 33,8 persen pengguna Android di Google Play masih menjalankan versi yang lebih lama dari 7.1, dan beberapa vendor perangkat keras menghentikan dukungan lebih awal. Tidak jarang vendor Android menawarkan pembaruan yang relatif sedikit di tahun-tahun sebelumnya, dan beberapa perangkat (biasanya ponsel hemat) bahkan akan terjebak dengan OS awal mereka. Anda mungkin telah membeli telepon pada tahun 2016 atau bahkan 2017 yang dapat tiba-tiba kehilangan akses ke beberapa situs web, setidaknya tanpa solusi.

Situasinya membaik. Samsung dan pembuat Android lainnya berkomitmen untuk tiga tahun pembaruan OS. Namun, hal itu tidak akan mengubah kenyataan bagi banyak orang dengan perangkat keras lama, dan mungkin hanya ada sedikit cara lain jika Anda tidak dapat atau tidak ingin menggunakan Firefox.

Meskipun banyak situs lain akan tetap berfungsi, dukungan yang tidak konsisten dapat menjadi gangguan paling kecil dan paling buruk menjadi kendala utama.

Sumber: Endgadget

Kerentanan Injeksi Objek di Welcart e-Commerce Plugin

by

Pada tanggal 6 Oktober 2020, tim Intelijen Ancaman Wordfence menemukan kerentanan Injeksi Objek Keparahan Tinggi di Welcart e-Commerce, plugin WordPress dengan lebih dari 20.000 penginstalan yang mengklaim pangsa pasar teratas di Jepang. Setelah tim Intelijen Ancaman Wordfence menyelesaikan penyelidikan, Wordfence menghubungi penerbit plugin, Collne Inc. pada tanggal 9 Oktober 2020. Pengungkapan penuh telah dikirim pada 12 Oktober 2020, dan plugin telah ditambal di versi 1.9.36 pada tanggal 20 Oktober 2020.

Pelanggan Wordfence Premium menerima aturan firewall yang melindungi dari kerentanan ini pada 9 Oktober 2020. Situs yang masih menggunakan versi gratis Wordfence akan menerima aturan ini setelah 30 hari pada 8 November 2020. Welcart e-Commerce adalah plugin WordPress yang dapat digunakan untuk membuat toko online dengan area akun pelanggan terpisah. Ini menggunakan cookie sendiri, terpisah dari yang digunakan oleh WordPress, untuk melacak sesi pengguna. Sayangnya, ini berarti bahwa penyerang dapat mengirim permintaan dengan parameter usces_cookie yang disetel ke string yang dibuat khusus yang dapat akan memasukkan objek PHP.

Kabar baiknya, kerentanan ini tidak dapat dieksploitasi dengan patch yang baru-baru ini ditambal (versi terbaru, 1.9.36).

sumber : Wordfence

Pembaruan Windows 10 menghapus Flash dan mencegahnya diinstal ulang

by

Microsoft telah merilis pembaruan Katalog opsional yang menghapus Adobe Flash dari Windows 10 dan mencegahnya diinstal ulang, membuka jalan pada akhirnya untuk Flash di tahun 2021.

Namun, seperti yang dicatat oleh Bleeping Computer, pembaruan (KB4577586) hanya menghapus versi Flash yang dibundel ke dalam Windows 10, dan bukan versi mandiri yang telah Anda instal sendiri. Itu tidak menghapus Flash dari Microsoft Edge atau browser lain, juga.

Dukungan Windows 10 Flash secara resmi akan berakhir pada akhir tahun ini, tanpa pembaruan lebih lanjut untuk Internet Explorer 11 dan versi lama (non-Chromium) dari Edge pada bulan Desember.

Versi terbaru Edge, yang menggunakan mesin Chrome Google, akan kehilangan dukungan Flash pada Januari 2021.

Bulan lalu, Microsoft merilis timeline untuk masa berakhir Flash, mengatakan Removal tool Flash akan menjadi pembaruan opsional di Pembaruan Windows pada awal 2021.

Setelah beberapa bulan, ini akan menjadi pembaruan yang disarankan dan pada musim panas 2021, Microsoft akan menghapus developer framework, kebijakan grup, dan antarmuka pengguna yang berhubungan dengan Flash dari Edge yang lama dan IE11. Itu akan dilakukan melalui pembaruan kumulatif di beberapa versi Windows, termasuk Windows 10 dan 8.1.

Google juga mengakhiri dukungan Flash untuk Chrome. Selain itu, Adobe sendiri mengakhiri pengembangan Flash pada tahun 2020, dan akan segera memberi tahu Anda cara mencopot pemasangannya.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Endgadget

Para Ahli Memperingatkan Risiko Privasi yang Disebabkan oleh Pratinjau Tautan di Aplikasi Perpesanan

by

Peneliti keamanan siber selama akhir pekan mengungkapkan risiko keamanan baru yang terkait dengan pratinjau tautan di aplikasi perpesanan populer yang menyebabkan layanan membocorkan alamat IP, mengekspos tautan yang dikirim melalui obrolan terenkripsi end-to-end, dan bahkan mengunduh gigabyte data secara diam-diam di latar belakang.

“Tautan yang dibagikan dalam obrolan mungkin berisi informasi pribadi yang ditujukan hanya untuk penerima,” kata peneliti Talal Haj Bakry dan Tommy Mysk.

“Ini bisa berupa tagihan, kontrak, catatan medis, atau apa pun yang mungkin dirahasiakan.”

“Aplikasi yang mengandalkan server untuk menghasilkan pratinjau tautan mungkin melanggar privasi penggunanya dengan mengirimkan tautan yang dibagikan dalam obrolan pribadi ke server mereka.”

Pratinjau tautan yang dihasilkan di sisi penerima membuka pintu ke risiko baru yang memungkinkan pelaku kejahatan untuk mengukur perkiraan lokasi mereka tanpa tindakan apa pun yang diambil oleh penerima hanya dengan mengirimkan tautan ke server di bawah kendali mereka.

Ini terjadi karena aplikasi perpesanan, setelah menerima pesan dengan tautan, membuka URL secara otomatis untuk membuat pratinjau dengan mengungkapkan alamat IP ponsel dalam permintaan yang dikirim ke server.

Reddit Chat dan aplikasi yang dirahasiakan, yang “dalam proses memperbaiki masalah ini”, ditemukan mengikuti pendekatan ini, menurut para peneliti.

Penggunaan server eksternal untuk menghasilkan pratinjau, sambil mencegah masalah kebocoran alamat IP, menciptakan masalah baru: Apakah server yang digunakan untuk membuat pratinjau menyimpan salinan, dan jika demikian, untuk berapa lama, dan untuk apa mereka menggunakannya?

Beberapa aplikasi, termasuk Discord, Facebook Messenger, Google Hangouts, Instagram, LINE, LinkedIn, Slack, Twitter, dan Zoom, termasuk dalam kategori ini, tanpa ada indikasi bagi pengguna bahwa “server mengunduh apa pun yang mereka temukan di tautan”.

Pengujian aplikasi ini mengungkapkan bahwa kecuali untuk Facebook Messenger dan Instagram, yang lain memberlakukan batas 15-50 MB untuk file yang diunduh oleh server masing-masing. Slack, misalnya, menyimpan pratinjau tautan dalam cache selama sekitar 30 menit.

Meski begitu, para peneliti memperingatkan, ini bisa menjadi “mimpi buruk privasi” jika server menyimpan salinannya dan “pernah ada pelanggaran data dari server ini.”

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Hacker News

Kerentanan Zero-day Pada Chrome Yang Baru Dalam Serangan Aktif – Perbarui Browser Anda Sekarang

by

Jika Anda menggunakan browser Google Chrome di komputer Windows, Mac, atau Linux, Anda perlu segera memperbarui perangkat lunak browser Anda ke versi terbaru yang dirilis Google hari ini.

Google merilis Chrome versi 86.0.4240.111 hari ini untuk menambal beberapa masalah keamanan dengan tingkat keparahan tinggi, termasuk kerentanan zero-day yang telah dieksploitasi di alam liar oleh penyerang untuk membajak komputer yang ditargetkan.

Dilacak sebagai CVE-2020-15999, kerentanan yang dieksploitasi secara aktif adalah jenis cacat kerusakan memori yang disebut heap buffer overflow di Freetype, library pengembangan perangkat lunak sumber terbuka yang populer untuk merender font yang dikemas dengan Chrome.

Selain kerentanan zero-day FreeType, Google juga memperbaiki empat kelemahan lain dalam pembaruan Chrome terbaru, tiga di antaranya adalah kerentanan berisiko tinggi — bug implementasi yang tidak tepat di Blink, penggunaan setelah free bug di media Chrome, dan penggunaan setelah free bug dalam PDFium — dan satu penggunaan berisiko menengah setelah masalah free dalam fungsi pencetakan browser.

Untuk memperbarui Chrome Anda pada Windows dan Mac, Klik ⋮ pada bagian kanan atas di Chrome Anda > Help > About Chrome, lalu pembaruan akan otomatis berjalan jika sudah tersedia.

Untuk memperbarui Chrome pada mesin Linux, gunakan update manager di desktop Anda.

Berita selengkapnya:
Source: The Hacker News

Bug Pada Browser Seluler Membuat Pengguna Safari dan Opera Dapat Terinfeksi Malware

by

Serangkaian kerentanan spoofing address-bar yang memengaruhi sejumlah browser seluler membuka pintu bagi pengiriman malware, phishing, dan kampanye disinformasi.

Bug tersebut, dilaporkan oleh Rapid7 dan peneliti independen Rafay Baloch, memengaruhi enam browser, mulai dari yang umum (Apple Safari, Opera Touch/Mini, dan Yandex), hingga yang kurang umum (Bolt Browser, RITS Browser, dan UC Browser). Mereka memungkinkan penyerang menampilkan alamat palsu untuk halaman web – yang merupakan masalah di dunia seluler, di mana URL sering kali menjadi satu-satunya verifikasi keabsahan yang dimiliki pengguna sebelum menavigasi ke situs web.

“Browser seluler adalah jenis perangkat lunak yang cukup khusus yang akhirnya bertindak sebagai jalur ganda pengguna untuk semua jenis aplikasi penting dalam kehidupan sehari-hari mereka,” jelas direktur riset Rapid7 Tod Beardsley, dalam sebuah blog pada hari Selasa. Pada dasarnya, jika browser Anda memberi tahu Anda bahwa pemberitahuan pop-up atau halaman ‘dari’ bank Anda, atau beberapa layanan penting lainnya yang Anda andalkan, Anda benar-benar harus memiliki beberapa mekanisme untuk memvalidasi sumber itu. Di browser seluler, sumber itu dimulai dan diakhiri dengan URL seperti yang ditunjukkan di address bar.”

Karena kurangnya real estat untuk indikator keamanan di layar seluler, browser biasanya memblokir pengembang untuk mengubah apa pun di address bar. Apa yang ditampilkan di layar harus sesuai dengan tempat halaman sebenarnya dihosting, sehingga hampir tidak mungkin untuk memalsukan lokasi teks atau gambar secara meyakinkan. Namun, kelompok bug ini memungkinkan penyerang untuk menghindari perlindungan semacam itu.

“Bug ini memungkinkan penyerang untuk mengganggu waktu antara pemuatan halaman dan ketika browser mendapat kesempatan untuk menyegarkan address bar,” kata Baloch, dalam makalah teknis yang juga diposting pada hari Selasa.

“Mereka dapat menyebabkan pop-up tampak berasal dari situs web arbitrer atau dapat membuat konten di jendela browser yang secara keliru tampak berasal dari situs web arbitrer.”

Baloch merilis eksploitasi bukti konsep (PoC) yang mendemonstrasikan kerentanan spoofing berbasis browser di Safari untuk iOS dan Mac (CVE-2020-9987).

Berikut adalah daftar browser yang terpengaruh dan CVE yang ditetapkan:

Sumber: Threat Post

Berita selengkapnya:
Source: The Threat Post