Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Software / Application

Software / Application

Undang-Undang Perangkat Lunak Sumber Terbuka Pengamanan AS tahun 2022 adalah langkah ke arah yang benar

by

Pemerintah AS telah bekerja dengan industri teknologi dan organisasi open source seperti Linux Foundation dan Open Source Security Foundation untuk menghasilkan sejumlah inisiatif dalam beberapa tahun terakhir.

Perintah Eksekutif Gedung Putih tentang Meningkatkan Keamanan Siber Negara tanpa diragukan lagi memulai inisiatif berikutnya dan menetapkan persyaratan bagi lembaga pemerintah untuk mengambil tindakan terhadap keamanan perangkat lunak dan, khususnya, keamanan sumber terbuka.

Pertemuan Gedung Putih yang penting dengan para pemimpin industri teknologi menghasilkan kelompok kerja yang aktif, dan hanya beberapa minggu kemudian, mereka mengeluarkan Rencana Mobilisasi Keamanan Perangkat Lunak Sumber Terbuka.

Rencana ini mencakup 10 aliran kerja dan anggaran yang dirancang untuk menangani area keamanan berprioritas tinggi dalam perangkat lunak sumber terbuka, mulai dari pelatihan dan tanda tangan digital, hingga tinjauan kode untuk proyek sumber terbuka teratas dan penerbitan tagihan perangkat lunak (SBOM).

Undang-undang tersebut secara langsung membahas tiga bidang fokus teratas untuk meningkatkan keamanan sumber terbuka: deteksi dan pengungkapan kerentanan, SBOM, dan OSPO.

Salah satu inisiatif pemerintah baru-baru ini mengenai keamanan open source adalah Secureing Open Source Software Act, undang-undang bipartisan oleh Senator AS Gary Peters, seorang Demokrat dari Michigan, dan Rob Portman, seorang Republikan dari Ohio.

Senator Peters dan Portman masing-masing adalah ketua dan anggota peringkat Komite Keamanan Dalam Negeri dan Urusan Pemerintah Senat. Mereka menghadiri audiensi Senat Log4j, dan kemudian memperkenalkan undang-undang ini untuk meningkatkan keamanan open source dan praktik terbaik di pemerintahan dengan menetapkan tugas direktur Cybersecurity and Infrastructure Security Agency (CISA).

Selengkapnya: Tech Crunch

Cacat RCE Kritis Dilaporkan di Katalog Software Backstage dan Platform Developer Spotify

by

Backstage Spotify telah ditemukan rentan terhadap kelemahan keamanan parah yang dapat dieksploitasi untuk mendapatkan eksekusi kode jarak jauh dengan memanfaatkan bug yang baru-baru ini diungkapkan dalam modul pihak ketiga.

Kerentanan (skor CVSS: 9.8) memanfaatkan pelarian kotak pasir kritis di vm2, perpustakaan kotak pasir JavaScript populer (CVE-2022-36067 alias Sandbreak), yang terungkap bulan lalu.

“Aktor ancaman yang tidak diautentikasi dapat menjalankan perintah sistem sewenang-wenang pada aplikasi Backstage dengan mengeksploitasi vm2 sandbox escape di plugin inti Scaffolder,” kata perusahaan keamanan aplikasi Oxeye dalam sebuah laporan yang dibagikan kepada The Hacker News.

Backstage adalah developer portal open source dari Spotify yang memungkinkan pengguna membuat, mengelola, dan menjelajahi komponen perangkat lunak dari “pintu depan” terpadu. Ini digunakan oleh banyak perusahaan seperti Netflix, DoorDash, Roku, dan Expedia, antara lain.

Menurut Oxeye, cacat tersebut berakar pada alat yang disebut templat perangkat lunak yang dapat digunakan untuk membuat komponen di dalam Backstage.

Backstage attack flow diagram (Oxeye)

Sementara mesin templat menggunakan vm2 untuk memitigasi risiko yang terkait dengan menjalankan kode yang tidak dipercaya, cacat pelarian kotak pasir pada yang terakhir memungkinkan untuk menjalankan perintah sistem yang sewenang-wenang di luar perimeter keamanan.

Oxeye mengatakan dapat mengidentifikasi lebih dari 500 contoh Backstage yang terbuka untuk umum di internet, yang kemudian dapat dipersenjatai dari jarak jauh oleh musuh tanpa memerlukan otorisasi apa pun.

Setelah pengungkapan yang bertanggung jawab pada 18 Agustus, masalah tersebut telah diatasi oleh pengelola proyek dalam versi 1.5.1 yang dirilis pada 29 Agustus 2022.

“Akar dari setiap pelarian VM berbasis template adalah mendapatkan hak eksekusi JavaScript di dalam template,” catat perusahaan Israel itu. “Dengan menggunakan mesin template ‘tanpa logika’ seperti Mustache, Anda dapat menghindari pengenalan kerentanan injeksi template sisi server.”

Sumber: The Hackernews

VPN Google One tidak hanya untuk ponsel atau tablet lagi

by

Google tampaknya mendorong semua silinder untuk membuat VPN layak digunakan. Dulu hanya untuk pelanggan Google Fi, pemegang penyimpanan cloud dengan Google One juga dapat beralih dan menjalankan bisnis online mereka dengan lebih aman.

Namun, itu hanya VPN yang layak digunakan jika Anda menggunakan ponsel atau tablet. Perusahaan telah mengeluarkan layanan tersebut untuk Windows dan Mac.

Pelanggan Google One di tingkat 2TB ($10 per bulan) atau lebih tinggi sudah memiliki akses ke VPN seluler. Mulai hari ini, mereka dapat mengunduh klien untuk mesin mereka di Windows 10 dan macOS 11 atau lebih baru. Ini akan tersedia di 22 pasar yang sama di mana VPN sudah tersedia di Android dan iOS.

Pengguna dapat mengharapkan pengalaman umum yang sama yang disediakan oleh aplikasi seluler dengan enkripsi lalu lintas standar industri dan sistem pemeriksaan dan keseimbangan backend yang seharusnya melindungi aktivitas mereka di web. Seperti paket Google One lainnya, pemegang akun dapat berbagi akses VPN hingga lima orang lainnya.

Anda juga dapat berkonsultasi dengan halaman Bantuan Google One untuk VPN untuk informasi lebih lanjut, juga diatur untuk diperbarui.

Google juga mengklarifikasi bahwa pemilik Pixel 7 yang mendapatkan akses VPN gratis selama lima tahun akan memerlukan paket Google One yang memenuhi syarat untuk memanfaatkan klien desktop juga.

Sumber: Android Police

Karena Twitter mengenakan biaya $8, email phishing menargetkan akun terverifikasi

by

Awal pekan ini, Elon Musk menunjuk dirinya sebagai CEO Twitter dan mengumumkan rencana untuk mengubah proses verifikasi Twitter. Sebagai bagian dari tinjauan ini, Twitter awalnya mengusulkan untuk mulai membebankan biaya bulanan $20 kepada pengguna yang diverifikasi. Kemudian, Musk menyatakan biayanya akan diturunkan menjadi $8.

Bersamaan dengan itu kampanye phishing baru yang muncul dengan aktor ancaman yang sekarang menargetkan akun terverifikasi.

Seperti banyak email phishing, email ini menyampaikan rasa urgensi yang salah, mendesak pengguna untuk masuk ke akun Twitter mereka atau berisiko “penangguhan”.

Email-email ini berasal dari server situs web dan blog yang diretas yang mungkin, misalnya, menghosting versi WordPress yang sudah ketinggalan zaman atau menjalankan plugin yang tidak ditambal dan rentan.

Mengklik tautan membawa pengguna ke halaman web phishing di mana aktor ancaman menyalahgunakan pengumuman biaya bulanan $8 dari tweet Musk:

Alur kerja phishing mengumpulkan nama pengguna, kata sandi Twitter pengguna, dan melanjutkan untuk mengirimi mereka kode autentikasi dua faktor melalui SMS.

Kampanye phishing lain yang mengacu pada struktur biaya baru Twitter (BleepingComputer)

Email ini menggabungkan kata-kata yang identik dengan halaman phishing itu sendiri dan memiliki tampilan dan nuansa keseluruhan yang lebih mirip dengan branding Twitter.

Lencana biru Twitter dengan tanda centang secara tradisional ditawarkan ke akun terverifikasi politisi, selebriti, bisnis, tokoh masyarakat, influencer, organisasi berita, dan jurnalis.

Kelangkaan akun lencana biru di platform, dibandingkan dengan sebagian besar akun Twitter yang tidak diverifikasi, telah menyebabkan “centang biru” dianggap oleh para tweeter sebagai simbol kesombongan dan status.

Pelaku ancaman juga berulang kali menargetkan pengguna terverifikasi melalui phishing, dan terkadang meretas akun lencana biru untuk mendorong penipuan kripto.

Dalam penipuan lain, pelaku ancaman telah meretas akun terverifikasi untuk menyamar sebagai orang lain untuk menyesatkan publik atau untuk mengirim DM palsu ‘penangguhan akun’ kepada pengguna Twitter.

Namun, selain sebagai persepsi “simbol status” yang dirasakan oleh beberapa orang, lencana biru terutama dimaksudkan untuk memisahkan akun asli dan otentik dari orang-orang terkenal dari akun peniru dan parodi yang dibuat oleh pihak ketiga—setidaknya secara teori.

Oleh karena itu verifikasi dimaksudkan untuk membatasi informasi yang salah dalam arti bahwa pengguna dapat melihat tweet yang berasal dari akun terverifikasi adalah asli dan tidak berasal dari seseorang yang menyamar sebagai figur publik.

Namun, dalam praktiknya, hasil dapat bervariasi karena akun ‘terverifikasi’ yang diretas dapat terus mempertahankan lencana biru meskipun peretas mengubah nama, bio, dan gambar profil di dalamnya, sehingga membuat keberadaan lencana menjadi sia-sia sejak awal.

Salah satu cara untuk mencapainya adalah penggunaan label khusus di akun Twitter politisi dan entitas afiliasi negara, yang kemudian menciptakan beberapa perbedaan antara akun otentik tokoh masyarakat dan akun berlencana biru berbayar.

Sumber: Bleeping Computer

Kekacauan verifikasi Twitter sekarang menjadi masalah keamanan siber

by

Penjahat dunia maya sudah memanfaatkan kekacauan verifikasi Twitter yang sedang berlangsung dengan mengirimkan email phishing yang dirancang untuk mencuri kata sandi pengguna tanpa disadari.

Kampanye email phishing mencoba untuk memikat pengguna Twitter agar memposting nama pengguna dan kata sandi mereka di situs web penyerang yang disamarkan sebagai formulir bantuan Twitter.

Email dikirim dari akun Gmail, dan tautan ke Google Documents dengan tautan lain ke Situs Google, yang memungkinkan pengguna meng-host konten web. Ini kemungkinan akan menciptakan beberapa lapisan kebingungan untuk mempersulit Google mendeteksi penyalahgunaan menggunakan alat pemindaian otomatisnya.

Tetapi halaman itu sendiri berisi bingkai yang disematkan dari situs lain, yang dihosting di host web Rusia Beget, yang meminta pegangan Twitter, kata sandi, dan nomor telepon pengguna cukup untuk mengkompromikan akun yang tidak menggunakan otentikasi dua faktor yang lebih kuat.

Google menghapus situs phishing beberapa saat setelah TechCrunch memberi tahu perusahaan.

Tangkapan layar email phishing yang dirancang untuk mencuri kredensial pengguna Twitter. Kredit Gambar: TechCrunch.

Kampanye ini tampak kasar, kemungkinan karena dengan cepat disatukan untuk memanfaatkan berita terbaru bahwa Twitter akan segera membebankan biaya bulanan kepada pengguna untuk fitur premium, termasuk verifikasi, serta kemungkinan yang dilaporkan untuk menghilangkan lencana terverifikasi dari pengguna Twitter yang tidak membayar.

Twitter belum membuat keputusan publik tentang masa depan program verifikasi, yang diluncurkan pada tahun 2009 untuk mengkonfirmasi keaslian akun Twitter tertentu, seperti tokoh masyarakat, selebriti dan pemerintah. Tapi itu jelas tidak menghentikan penjahat dunia maya bahkan di ujung yang berketerampilan lebih rendah dari mengambil keuntungan dari kurangnya informasi yang jelas dari Twitter sejak menjadi pribadi minggu ini setelah penutupan pengambilalihan $ 44 miliar Elon Musk.

Sumber: TechCrunch

Jerman memberikan Telegram denda sebesar $ 5 juta

by

Jerman mengumumkan bahwa mereka mengeluarkan denda 5,125 juta euro ($ 5 juta) terhadap operator aplikasi perpesanan Telegram karena gagal mematuhi hukum Jerman.

Kantor Kehakiman Federal mengatakan Telegram FZ-LLC belum menetapkan cara yang sah untuk melaporkan konten ilegal atau menyebut entitas di Jerman untuk menerima komunikasi resmi. Keduanya diwajibkan berdasarkan undang-undang Jerman yang mengatur platform online besar.

Pejabat Jerman mengatakan mereka telah berulang kali gagal dalam upaya mereka untuk mengirimkan surat ke Telegram yang berbasis di Dubai, meskipun ada dukungan dari pihak berwenang di Uni Emirat Arab.

Sebuah firma hukum yang berbasis di Jerman telah menyatakan bahwa itu mewakili Telegram, tetapi ini tidak cukup untuk mencegah denda dikeluarkan, kata Kantor Kehakiman Federal.

Polisi federal Jerman memperingatkan awal tahun ini bahwa aplikasi tersebut menjadi “media radikalisasi”, yang digunakan oleh beberapa orang untuk menargetkan politisi, ilmuwan, dan dokter atas peran mereka dalam menangani pandemi virus corona.

“Operator layanan pesan dan jejaring sosial memikul tanggung jawab khusus untuk bertindak melawan hasutan kebencian dan kekerasan di platform mereka,” kata Menteri Kehakiman Marco Buschmann dalam sebuah pernyataan. “Persyaratan hukum dan tanggung jawab ini tidak dapat dihindari dengan mencoba untuk tidak terjangkau.”

Sumber: AP News

Lebih dari 45.000 server VMware ESXi baru saja mencapai akhir masa pakainya

by

Lebih dari 45.000 server VMware ESXi yang diinventarisasi oleh Lansweeper baru saja mencapai akhir masa pakai (EOL), dengan VMware tidak lagi menyediakan pembaruan perangkat lunak dan keamanan kecuali perusahaan membeli kontrak dukungan yang diperpanjang.

Lansweeper mengembangkan manajemen aset dan perangkat lunak penemuan yang memungkinkan pelanggan melacak perangkat keras dan perangkat lunak apa yang mereka jalankan di jaringan mereka.

Mulai 15 Oktober 2022, VMware ESXi 6.5 dan VMware ESXi 6.7 mencapai akhir masa pakainya dan hanya akan menerima dukungan teknis tetapi tidak ada pembaruan keamanan, yang menempatkan perangkat lunak pada risiko kerentanan.

Perusahaan menganalisis data dari 6.000 pelanggan dan menemukan 79.000 server VMware ESXi yang diinstal.

Dari server tersebut, 36,5% (28.835) menjalankan versi 6.7.0, dirilis pada April 2018, dan 21,3% (16.830) berada di versi 6.5.0, dirilis pada November 2016. Secara total, ada 45.654 server VMware ESXi mencapai End of Hidup mulai hari ini

Temuan Lansweeper mengkhawatirkan karena selain 57% yang memasuki periode risiko tinggi, ada juga 15,8% instalasi lain yang menjalankan versi yang lebih lama, mulai dari 3.5.0 hingga 5.5.0, yang mencapai EOL beberapa waktu lalu. .

Singkatnya, saat ini, hanya sekitar satu dari empat server ESXi (26,4%) yang diinventarisasi oleh Lansweeper yang masih didukung dan akan terus menerima pembaruan keamanan reguler hingga 02 April 2025.

Namun, pada kenyataannya, jumlah server VMware yang mencapai EOL hari ini, kemungkinan jauh lebih besar, karena laporan ini hanya didasarkan pada pelanggan Lansweeper.

Selengkapnya: Bleeping Computer

Signal akan menghapus dukungan untuk SMS dan MMS di Android

by

Aplikasi pesan pihak ketiga Signal diatur untuk menghapus kemampuan mengirim pesan SMS dan MMS dari aplikasi Android untuk meningkatkan privasi dan keamanan.

Dalam sebuah posting blog, perusahaan perpesanan telah mengkonfirmasi bahwa Signal akan segera menghapus kemampuan untuk mengirim pesan SMS dan MMS dari aplikasi Android. Pernyataan itu menunjukkan bahwa “dukungan SMS tidak lagi masuk akal,” tetapi alasan keputusan ini telah sepenuhnya dirinci di seluruh posting ekstensif.

Untuk mengaktifkan pengalaman Signal yang lebih efisien, kami mulai menghentikan dukungan SMS dari aplikasi Android. Anda akan memiliki beberapa bulan untuk beralih dari SMS di Signal, mengekspor pesan SMS Anda ke aplikasi lain, dan memberi tahu orang yang Anda ajak bicara bahwa mereka mungkin ingin beralih ke Signal, atau mencari saluran lain jika tidak.

Alasan utama penghapusan dukungan SMS adalah sifat protokol yang tidak aman. Signal menyatakan bahwa SMS “tidak konsisten” dengan “nilai” dan apa yang diharapkan pengguna dari platform. Pelanggaran data telekomunikasi juga disebut sebagai alasan lain bahwa perubahan ini akan datang, meskipun ada kemungkinan komplikasi bagi pengguna.

Komplikasi penyatuan SMS dan pesan Sinyal asli tampaknya menjadi alasan lain untuk penghapusan tersebut. Di wilayah tertentu, pengguna kebingungan dalam mengirim pesan dan mengakibatkan salah mengirim pesan SMS berbiaya tinggi daripada komunikasi asli ke kontak.

Dengan menghapus dukungan tersebut, pengguna tidak lagi bingung ketika mengirim pesan. Ini berlaku untuk banyak sistem perpesanan lain seperti Telegram dan WhatsApp, yang tidak memiliki fungsi SMS atau MMS, sebaliknya, konten multimedia dan teks dikirim menggunakan protokol aplikasi asli.

Jika Anda ingin menonaktifkan fungsi itu sekarang, Anda dapat memeriksanya dengan menuju ke Sinyal > Akun > Pilih Obrolan > SMS/MMS. Jika SMS diaktifkan, Anda mungkin perlu mengekspor ke aplikasi lain.

Untungnya, Signal akan mulai mengirim pemberitahuan dan petunjuk untuk beralih bagi siapa saja yang menggunakan messenger selama beberapa minggu mendatang.

Sumber: 9to5google