Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Vulnerability

Vulnerability

Kelemahan PHP Everywhere RCE mengancam ribuan situs WordPress

by

Para peneliti menemukan tiga kerentanan eksekusi kode jarak jauh (RCE) kritis di plugin ‘PHP Everywhere’ untuk WordPress, yang digunakan oleh lebih dari 30.000 situs web di seluruh dunia.

PHP Everywhere adalah plugin yang memungkinkan admin WordPress untuk memasukkan kode PHP di halaman, posting, bilah sisi, atau blok Gutenberg apa pun, dan menggunakannya untuk menampilkan konten dinamis berdasarkan ekspresi PHP yang dievaluasi.

Tiga kerentanan ditemukan oleh analis keamanan di Wordfence dan dapat dieksploitasi oleh kontributor atau pelanggan, memengaruhi semua versi WordPress dari 2.0.3 dan di bawahnya.

Berikut adalah deskripsi singkat tentang kekurangannya:

  • CVE-2022-24663 – Cacat eksekusi kode jarak jauh yang dapat dieksploitasi oleh pelanggan mana pun dengan mengizinkan mereka mengirim permintaan dengan parameter ‘kode pendek’ yang disetel ke PHP Everywhere, dan mengeksekusi kode PHP sewenang-wenang di situs. (Skor CVSS v3: 9,9)
  • CVE-2022-24664 – Kerentanan RCE yang dapat dieksploitasi oleh kontributor melalui metabox plugin. Penyerang akan membuat postingan, menambahkan metabox kode PHP, dan kemudian mempratinjaunya. (Skor CVSS v3: 9,9)
  • CVE-2022-24665 – Cacat RCE dapat dieksploitasi oleh kontributor yang memiliki kemampuan ‘edit_posts’ dan dapat menambahkan blok PHP Everywhere Gutenberg. Pengaturan keamanan default pada versi plugin yang rentan tidak pada ‘hanya admin’ sebagaimana mestinya. (Skor CVSS v3: 9,9)

Sementara dua kelemahan terakhir tidak mudah dieksploitasi karena memerlukan izin tingkat kontributor, kerentanan pertama jauh lebih terbuka untuk eksploitasi yang lebih luas karena dapat dieksploitasi hanya dengan menjadi pelanggan di situs.

Dalam semua kasus, mengeksekusi kode arbitrer di situs dapat menyebabkan pengambilalihan situs secara lengkap, yang merupakan skenario terburuk dalam keamanan situs web.

Vendor merilis pembaruan keamanan pada 10 Januari 2022, dengan versi 3.0.0, yang mengalami peningkatan nomor versi utama karena memerlukan penulisan ulang kode yang substansial.

Sementara pengembang memperbaiki pembaruan bulan lalu, tidak jarang admin tidak memperbarui situs dan plugin WordPress mereka secara teratur. Menurut statistik unduhan di WordPress.org, hanya 15.000 pemasangan dari 30.000 yang telah memperbarui plugin sejak bug diperbaiki.

Oleh karena itu, karena parahnya kerentanan ini, semua pengguna PHP Everywhere sangat disarankan untuk memastikan bahwa mereka telah mengupgrade ke PHP Everywhere versi 3.0.0 yang merupakan versi terbaru yang tersedia saat ini.

Sumber : Bleeping Computer

CISA Memerintahkan Agen Federal untuk Memperbaiki Bug Windows yang Dieksploitasi Secara Aktif

by

CISA menempatkan thumbscrews pada agen federal untuk membuat mereka menambal kerentanan Windows yang dieksploitasi secara aktif.

Pada hari Jumat, Badan Keamanan Cybersecurity dan Infrastruktur AS (CISA) mengumumkan bahwa mereka menambahkan kerentanan dilacak sebagai CVE-2022-21882 dan dengan peringkat kekritisan CVSS 7.0 – ke Katalog Kerentanan yang Diketahui yang Dieksploitasi.

Langkah ini berarti bahwa lembaga Federal Civilian Executive Branch (FCEB) memiliki waktu hingga 18 Februari 2022 untuk memulihkan kerentanan, yang memengaruhi semua versi Windows 10 yang belum ditambal.

CVE-2022-21882 adalah bug eskalasi hak istimewa di Windows 10 yang tidak memerlukan banyak hak istimewa untuk dieksploitasi: skenario buruk, terutama mengingat eksploitasi tidak memerlukan interaksi pengguna.

Microsoft mengatasi bug tersebut sebagai bagian dari pembaruan Patch Tuesday Januari 2022: serangkaian patch luas yang menangani 97 kerentanan keamanan, sembilan di antaranya adalah CVE kritis, termasuk self-propagator dengan skor 9,8 CVSS.

Sayangnya, terlepas dari kenyataan bahwa itu adalah Patch Tuesday yang gemuk yang diisi penuh dengan patch-patch kritis, itu juga Patch Tuesday yang gemuk yang kemungkinan besar mengembangkan reaksi alergi oleh banyak organisasi.

Itu karena, setidaknya untuk beberapa pelanggan, pembaruan segera meledak, merusak Windows, menyebabkan loop boot spontan pada server pengontrol domain Windows, merusak Hyper-V dan membuat sistem volume ReFS tidak tersedia.

Dalam dua hari setelah rilis 11 Januari, Microsoft telah mencabut pembaruan kumulatif Windows Server Januari, membuatnya tidak tersedia melalui Pembaruan Windows.

Eksploitasi proof-of-concept (PoC) untuk CVE-2022-21882, yang telah ditangani Microsoft sebagai bagian dari pembaruan Patch Tuesday Januari 2022, telah tersedia di alam liar selama beberapa minggu. PoC dirilis oleh Gil Dabah, pendiri dan CEO Privacy Piiano, yang menawarkan “PII by design.”

Seperti yang di-tweet Dabah pada 28 Januari, dia menemukan bug itu dua tahun lalu tetapi memutuskan untuk tidak melaporkannya pada saat itu, mengingat bahwa Microsoft masih berutang uang kepadanya untuk “hal-hal lain,” seperti yang dia klaim. Selain itu, dia tidak senang dengan penghargaan hadiah bug Microsoft yang menyusut, yang “mengurangi penghargaan menjadi hampir tidak ada,” kata Dabah.

Pada hari Jumat, CISA mengatakan bahwa mereka menambahkan bug ke database kerentanan yang diketahui dieksploitasi berdasarkan bukti bahwa aktor ancaman secara aktif mengeksploitasinya. Meskipun tenggat waktu perbaikan CISA hanya berlaku untuk agensi FCEB, CISA bergoyang, dan berharap dapat menggunakannya untuk meyakinkan pakaian non-federal untuk menambal.

Sumber : Threat Post

Mozilla memperbaiki bug Firefox yang memungkinkan Anda mendapatkan hak istimewa admin Windows

by

Mozilla merilis pembaruan keamanan untuk mengatasi kerentanan eskalasi hak istimewa tingkat keparahan tinggi yang ditemukan di Layanan Mozilla Maintenance.

Layanan Mozilla Maintenance adalah layanan Firefox dan Thunderbird opsional yang memungkinkan pembaruan aplikasi di latar belakang.

Ini memberi pengguna Firefox pengalaman pembaruan tanpa batas di mana mereka tidak lagi diharuskan mengklik ‘Ya’ di dialog Windows User Account Control (UAC) sebelum memperbarui web browser atau klien email mereka.

Mozilla memperbaiki kelemahan keamanan eskalasi hak istimewa yang dilacak sebagai CVE-2022-22753 hari ini, dengan merilis Firefox 97.

Eksploitasi yang berhasil pada sistem yang tidak ditambal dapat membuat penyerang meningkatkan hak istimewa mereka ke hak akun NT AUTHORITY\SYSTEM (tingkat hak istimewa tertinggi pada sistem Windows).

Mozilla juga mengatakan bahwa Firefox 97 mengatasi beberapa bug keamanan memori yang ditemukan oleh pengembang dan komunitas Mozilla di Firefox 96 dan Firefox ESR 91.5.

Rilis hari ini juga hadir dengan fitur-fitur baru seperti dukungan untuk gaya baru scrollbar di Windows 11 dan perbaikan, termasuk peningkatan pemuatan font sistem macOS yang membuat pembukaan dan peralihan ke tab baru lebih cepat.

Selengkapnya: Bleeping Computer

Argo CD merilis patch untuk kerentanan zero-day

by

Argo CD merilis patch minggu ini untuk kerentanan zero-day yang memungkinkan penyerang mengakses informasi sensitif seperti kata sandi dan kunci API.

Kerentanan ditemukan oleh tim Riset Keamanan Apiiro dan dijelaskan dalam posting blog yang dirilis bersamaan dengan tambalan.

Argo CD adalah platform Pengiriman Berkelanjutan open source yang populer, dan kerentanan — ditandai sebagai CVE-2022-24348 dengan skor CVSS 7,7 — “memungkinkan aktor jahat memuat file Kubernetes Helm Chart YAML ke kerentanan dan ‘melompat’ dari ekosistem aplikasi mereka ke data aplikasi lain di luar cakupan pengguna.”

Para aktor kemudian dapat membaca dan mengekstrak data yang berada di aplikasi lain, menurut Apiiro.

Di GitHub, perusahaan tersebut mengatakan semua versi CD Argo rentan terhadap bug traversal jalur dan mencatat bahwa “mungkin untuk membuat paket bagan Helm khusus yang berisi file nilai yang sebenarnya merupakan tautan simbolik, menunjuk ke file arbitrer di luar direktori root repositori. ”

“Jika penyerang dengan izin untuk membuat atau memperbarui Aplikasi mengetahui atau dapat menebak jalur lengkap ke file yang berisi YAML yang valid, mereka dapat membuat bagan Helm berbahaya untuk menggunakan YAML itu sebagai file nilai, sehingga mendapatkan akses ke data yang seharusnya tidak mereka miliki. akses,” jelas Argo CD.

“Dampaknya terutama bisa menjadi kritis di lingkungan yang menggunakan file nilai terenkripsi (misalnya menggunakan plugin dengan git-crypt atau SOPS) yang berisi data sensitif atau rahasia, dan mendekripsi rahasia ini ke disk sebelum merender grafik Helm. Juga, karena kesalahan apa pun pesan dari templat helm diteruskan kembali ke pengguna, dan pesan kesalahan ini cukup bertele-tele, penghitungan file pada sistem file server repositori dimungkinkan.”

Selengkapnya: ZDNet

Kerentanan firmware UEFI yang memengaruhi Fujitsu, Intel, dan lainnya ditemukan

by

Para peneliti telah menemukan 23 “kerentanan berdampak tinggi” yang memengaruhi vendor mana pun yang mengadopsi kode Pengembang BIOS Independen (IBV) ke dalam firmware Unified Extensible Firmware Interface (UEFI) mereka.

Binarly menjelaskan kerentanan dalam posting blog minggu ini, membenarkan bahwa “semua kerentanan ini ditemukan di beberapa ekosistem vendor perusahaan besar” termasuk Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft, Intel dan Bull Atos.

CERT/CC mengkonfirmasi bahwa Fujitsu, Insyde, dan Intel terpengaruh tetapi membiarkan yang lain ditandai sebagai “tidak diketahui,” mendesak siapa pun yang terpengaruh untuk memperbarui ke versi firmware stabil terbaru.

Menurut blog, sebagian besar kerentanan yang diungkapkan mengarah pada eksekusi kode dengan hak istimewa SMM dan memiliki peringkat keparahan antara 7,5 – 8,2.

Mereka memuji Fujitsu, Intel, dan lainnya karena merespons dengan cepat dan memecahkan kerentanan. Penyedia UEFI, Insyde Software, mengatakan pihaknya bekerja dengan Binarly untuk mengatasi kerentanan dan telah merilis pembaruan firmware untuk semua masalah yang terdaftar.

Kerentanan dilacak sebagai CVE-2020-27339, CVE-2020-5953, CVE-2021-33625, CVE-2021-33626, CVE-2021-33627, CVE-2021-41837, CVE-2021-41838, CVE-2021 -41839, CVE-2021-41840, CVE-2021-41841, CVE-2021-42059, CVE-2021-42060, CVE-2021-42113, CVE-2021-42554, CVE-2021-43323, CVE-2021-43522 , CVE-2021-43615, CVE-2021-45969, CVE-2021-45970, CVE-2021-45971, CVE-2022-24030, CVE-2022-24031, CVE-2022-24069.

Selengkapnya: ZDNet

Jembatan token Wormhole kehilangan $321 juta dalam peretasan terbesar sejauh ini pada tahun 2022

by

Jembatan token Wormhole mengalami eksploitasi keamanan pada hari Rabu, mengakibatkan hilangnya 120.000 token Wrapped Ether (wETH) ($321 juta) dari platform.

Wormhole adalah jembatan token yang memungkinkan pengguna untuk mengirim dan menerima kripto antara Ethereum, Solana, Binance Smart Chain (BSC), Polygon, Longsor, Oasis dan Terra tanpa menggunakan pertukaran terpusat.

Ini adalah peretasan crypto terbesar tahun 2022 sejauh ini dan peretasan keuangan terdesentralisasi terbesar kedua hingga saat ini. Tim Wormhole telah menawarkan hadiah bug senilai $10 juta untuk pengembalian dana tersebut.

Peretasan terjadi di sisi jembatan Solana, dan ada kekhawatiran bahwa jembatan Wormhole ke Terra juga rentan.

Peretasan terjadi pada pukul 18:24 UTC pada hari Rabu. Penyerang mencetak 120.000 wETH di Solana, kemudian menukarkan 93.750 weTH dengan ETH senilai $254 juta ke jaringan Ethereum pada pukul 18:28 UTC. Peretas telah menggunakan sejumlah dana untuk membeli SportX (SX), Meta Capital (MCAP), Akhirnya Dapat Digunakan Crypto Karma (FUCK) dan Bored Ape Yacht Club Token (APE).

Sisanya ditukar dengan Solana (SOL) dan USD Coin (USDC) di Solana. Dompet Solana peretas saat ini memegang 432.662 SOL ($44 juta).

Tim Wormhole menghubungi peretas melalui alamat Ethereum mereka, menawarkan untuk membiarkan peretas menyimpan dana senilai $10 juta yang dicuri jika sisa dana dikembalikan.

Pada saat penulisan, token WETH yang dikirim melintasi jembatan belum dapat ditukarkan, sementara tim Wormhole mencoba untuk memperbaiki eksploitasi.

Frekuensi peretasan kontrak pintar pada jembatan token berfungsi untuk memvalidasi peringatan 7 Januari Vitalik Buterin bahwa ada “batas keamanan mendasar jembatan.” Peringatan salah satu pendiri Ethereum berada dalam konteks serangan 51% terhadap Ethereum, tetapi sarannya tepat waktu ketika ia menunjukkan kerentanan umum yang tampak pada jembatan yang mengirim token melintasi blockchain layer-1.

Sumber : Coin Telegraph

Microsoft Defender sekarang mendeteksi kerentanan Android dan iOS

by

Microsoft mengatakan dukungan manajemen ancaman dan kerentanan untuk Android dan iOS telah mencapai ketersediaan umum di Microsoft Defender for Endpoint, platform keamanan titik akhir perusahaan perusahaan.

“Dengan cakupan lintas platform baru ini, kemampuan manajemen ancaman dan kerentanan sekarang mendukung semua platform perangkat utama di seluruh organisasi mencakup workstation, server, dan perangkat seluler,” Microsoft menjelaskan.

Manajemen kerentanan Android dan iOS memungkinkan admin mengurangi area serangan permukaan titik akhir seluler dan, sebagai akibat langsung, meningkatkan ketahanan organisasi mereka terhadap serangan yang masuk.

Kemampuan baru ini memungkinkan organisasi untuk menemukan, memprioritaskan, dan memulihkan kerentanan perangkat lunak dan sistem operasi dengan lebih mudah di perangkat Android.

Pembela untuk inventaris perangkat Endpoint (Microsoft)

Defender for Endpoint sekarang melindungi semua platform utama
Ini adalah bagian dari upaya untuk memperluas kemampuan platform keamanan di semua platform utama untuk membantu tim keamanan mempertahankan pengguna titik akhir mereka melalui solusi keamanan terpadu.

Misalnya, pada Juni 2020, Defender for Endpoint menambahkan dukungan untuk lebih banyak platform non-Windows (umumnya tersedia untuk pelanggan Linux dan dalam pratinjau publik untuk Android). Satu tahun kemudian, Redmond juga menyertakan dukungan untuk macOS sebagai bagian dari pratinjau terbatas.

Satu bulan kemudian, pada Juli 2020, solusi keamanan titik akhir diperbarui dengan fitur Skor Aman Microsoft untuk Perangkat untuk mengevaluasi status konfigurasi keamanan kolektif perangkat di jaringan perusahaan. Ini dapat meningkatkan keamanan titik akhir organisasi melalui tindakan yang direkomendasikan.

Mulai Oktober 2020, platform keamanan titik akhir perusahaan Microsoft juga memberikan laporan kepada admin yang membantu mereka melacak perangkat Windows dan macOS yang rentan, termasuk tingkat keparahan kerentanan, ketersediaan eksploitasi, usia kerentanan, dan perangkat yang rentan menurut sistem operasi.

Sumber : Bleeping Computer

File teks CSV berbahaya yang digunakan untuk menginstal malware BazarBackdoor

by

Kampanye phishing baru menggunakan file teks CSV yang dibuat khusus untuk menginfeksi perangkat pengguna dengan malware BazarBackdoor.

File comma-separated values (CSV) adalah file teks yang berisi baris teks dengan kolom data yang dipisahkan oleh koma. Dalam banyak kasus, baris pertama teks adalah header, atau deskripsi, untuk setiap kolom.

Menggunakan CSV adalah metode populer untuk mengekspor data dari aplikasi yang kemudian dapat diimpor ke program lain sebagai sumber data, baik itu Excel, database, pengelola kata sandi, atau perangkat lunak penagihan.

Microsoft Excel memiliki fitur yang disebut Dynamic Data Exchange (DDE), yang dapat digunakan untuk menjalankan perintah yang outputnya dimasukkan ke dalam spreadsheet yang terbuka, termasuk file CSV.

Sayangnya, pelaku ancaman juga dapat menyalahgunakan fitur ini untuk menjalankan perintah yang dapat mengunduh dan menginstal malware pada korban yang tidak menaruh curiga.

Kampanye phishing baru yang ditemukan oleh peneliti keamanan Chris Campbell menginstal trojan BazarLoader/BazarBackdoor melalui file CSV berbahaya.

Email phishing berpura-pura menjadi “Saran Pengiriman Uang” dengan tautan ke situs jarak jauh yang mengunduh file CSV dengan nama yang mirip dengan ‘document-21966.csv.’

Untungnya, ketika file CSV ini dibuka di Excel, program akan melihat panggilan DDE dan meminta pengguna untuk “mengaktifkan pembaruan tautan otomatis”, yang ditandai sebagai masalah keamanan.

Sumber: Bleeping Computer

Bahkan jika mereka mengaktifkan fitur tersebut, Excel akan menunjukkan kepada mereka prompt lain yang mengonfirmasi apakah WMIC harus diizinkan untuk mulai mengakses data jarak jauh.

Sumber: Bleeping Computer

Jika pengguna mengonfirmasi kedua perintah tersebut, Microsoft Excel akan meluncurkan skrip PowerShell, DLL akan diunduh dan dijalankan, dan BazarBackdoor akan diinstal pada perangkat.

Selengkapnya: Bleeping Computer