Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Vulnerability

Vulnerability

Microsoft: Kerentanan HTTP Windows kritis baru dapat di-worm

by

Microsoft telah menambal kelemahan kritis yang ditandai sebagai wormable dan ditemukan berdampak pada desktop dan server versi Windows terbaru, termasuk Windows 11 dan Windows Server 2022.

Bug, dilacak sebagai CVE-2022-21907 dan ditambal selama Patch Tuesday bulan ini, ditemukan di HTTP Protocol Stack (HTTP.sys) yang digunakan sebagai pendengar protokol untuk memproses permintaan HTTP oleh server web Windows Internet Information Services (IIS). .

Eksploitasi yang berhasil memerlukan pelaku ancaman untuk mengirim paket yang dibuat dengan jahat ke server Windows yang ditargetkan, yang menggunakan HTTP Protocol Stack yang rentan untuk memproses paket.

Microsoft merekomendasikan pengguna untuk memprioritaskan penambalan kelemahan ini pada semua server yang terpengaruh karena ini dapat memungkinkan penyerang yang tidak terautentikasi untuk mengeksekusi kode arbitrer dari jarak jauh dalam serangan dengan kompleksitas rendah dan “dalam kebanyakan situasi,” tanpa memerlukan interaksi pengguna.

Pada beberapa versi Windows (yaitu, Windows Server 2019 dan Windows 10 versi 1809), fitur Dukungan Trailer HTTP yang berisi bug tidak diaktifkan secara default.

Menurut Microsoft, kunci registri Windows berikut harus dikonfigurasi pada dua versi Windows ini untuk memperkenalkan kerentanan:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters\

“EnableTrailerSupport”=dword:00000001

Menonaktifkan fitur Dukungan Trailer HTTP akan melindungi sistem yang menjalankan dua versi, tetapi mitigasi ini tidak berlaku untuk rilis Windows lain yang terpengaruh.

Dalam dua tahun terakhir, Microsoft telah menambal beberapa bug wormable lainnya, berdampak pada Windows DNS Server (juga dikenal sebagai SIGRed), platform Remote Desktop Services (RDS) (alias BlueKeep), dan protokol Server Message Block v3 (alias SMBGhost) .

Redmond juga mengatasi kerentanan Windows HTTP RCE lainnya pada Mei 2021 (dilacak sebagai CVE-2021-31166 dan juga ditandai sebagai wormable), di mana peneliti keamanan merilis kode eksploitasi demo yang dapat memicu layar biru kematian.

Namun, pelaku ancaman belum mengeksploitasinya untuk membuat malware yang dapat menginfeksi yang mampu menyebar di antara sistem rentan yang menjalankan perangkat lunak Windows yang rentan.

Sumber : Bleeping Computer

Microsoft: bug powerdir memberikan akses ke data pengguna macOS yang dilindungi

by

Microsoft mengatakan pelaku ancaman dapat menggunakan kerentanan macOS untuk melewati teknologi Transparansi, Persetujuan, dan Kontrol (TCC) untuk mengakses data pengguna yang dilindungi.

Tim Riset Pembela Microsoft 365 telah melaporkan kerentanan yang dijuluki powerdir (dilacak sebagai CVE-2021-30970) ke Apple pada 15 Juli 2021, melalui Microsoft Security Vulnerability Research (MSVR).

TCC adalah teknologi keamanan yang dirancang untuk memblokir aplikasi agar tidak mengakses data pengguna yang sensitif dengan memungkinkan pengguna macOS mengonfigurasi pengaturan privasi untuk aplikasi yang diinstal pada sistem dan perangkat mereka yang terhubung ke Mac mereka, termasuk kamera dan mikrofon.

Sementara Apple telah membatasi akses TCC hanya untuk aplikasi dengan akses disk penuh dan mengatur fitur untuk secara otomatis memblokir eksekusi kode yang tidak sah, peneliti keamanan Microsoft menemukan bahwa penyerang dapat menanam database TCC kedua yang dibuat khusus yang memungkinkan mereka mengakses info pengguna yang dilindungi.

“Kami menemukan bahwa adalah mungkin untuk secara terprogram mengubah direktori home pengguna target dan menanam database TCC palsu, yang menyimpan riwayat persetujuan permintaan aplikasi,” kata Jonathan Bar Or, peneliti keamanan utama di Microsoft.

“Jika dieksploitasi pada sistem yang belum ditambal, kerentanan ini dapat memungkinkan aktor jahat untuk berpotensi mengatur serangan berdasarkan data pribadi pengguna yang dilindungi.

“Misalnya, penyerang dapat membajak aplikasi yang diinstal pada perangkat—atau menginstal aplikasi berbahaya mereka sendiri—dan mengakses mikrofon untuk merekam percakapan pribadi atau menangkap tangkapan layar dari informasi sensitif yang ditampilkan di layar pengguna.”

eksploitasi PoC powerdir (Microsoft)

Apple telah memperbaiki kerentanan dalam pembaruan keamanan yang dirilis bulan lalu, pada 13 Desember 2021. “Aplikasi berbahaya mungkin dapat melewati preferensi Privasi,” perusahaan menjelaskan dalam penasihat keamanan.

“Selama penelitian ini, kami harus memperbarui eksploitasi proof-of-concept (POC) kami karena versi awal tidak lagi berfungsi pada versi macOS terbaru, Monterey,” tambah Jonathan Bar Or.

“Ini menunjukkan bahwa bahkan ketika macOS atau sistem operasi dan aplikasi lain menjadi lebih keras dengan setiap rilis, vendor perangkat lunak seperti Apple, peneliti keamanan, dan komunitas keamanan yang lebih besar, perlu terus bekerja sama untuk mengidentifikasi dan memperbaiki kerentanan sebelum penyerang dapat memanfaatkannya. mereka.”

Microsoft sebelumnya telah melaporkan menemukan kelemahan keamanan yang dijuluki Shrootless yang akan memungkinkan penyerang untuk melewati Perlindungan Integritas Sistem (SIP) dan melakukan operasi sewenang-wenang, meningkatkan hak istimewa untuk melakukan root, dan menginstal rootkit pada perangkat yang rentan.

Peneliti perusahaan juga menemukan varian baru malware MacOS WizardUpdate (alias UpdateAgent atau Vigram), yang diperbarui dengan taktik penghindaran dan ketekunan baru.

Tahun lalu, pada bulan Juni, Redmond mengungkapkan bug firmware kritis di beberapa model router NETGEAR yang dapat digunakan peretas untuk menembus dan bergerak secara lateral dalam jaringan perusahaan.

Sumber : Bleeping Computer

Polisi China menjebak Walmart karena celah keamanan siber – media lokal

by

Polisi di kota Shenzhen, China selatan, menemukan 19 “kerentanan” dalam sistem jaringan Walmart (WMT.N) pada akhir November dan menuduhnya lambat untuk memperbaiki celah, China Quality News, yang didukung oleh regulator pasar negara itu, melaporkan pada Rabu.

Walmart diperintahkan untuk melakukan perbaikan, kata laporan itu, tanpa menyebutkan denda atau rincian kerentanan.

Ini menandai serangkaian masalah baru di China untuk Walmart, yang pada bulan lalu telah menghadapi kritik atas apa yang dikatakan media lokal sebagai penghapusan yang disengaja atas produk-produk yang bersumber dari Xinjiang dari aplikasi dan tokonya.

Xinjiang adalah titik konflik yang berkembang antara pemerintah Barat dan China, karena para ahli dan kelompok hak asasi PBB memperkirakan lebih dari satu juta orang, terutama Uyghur dan anggota minoritas Muslim lainnya, telah ditahan di kamp-kamp di sana.

China telah menolak tuduhan kerja paksa atau pelanggaran lainnya di wilayah barat jauh.

Walmart telah melihat gelombang pembatalan keanggotaan di lengannya Sam’s Club di China sejak masalah Xinjiang. Badan anti-korupsi China juga menuduh pengecer dan Klub Sam “kebodohan dan kepicikan”.

Reuters melaporkan bahwa seorang eksekutif Sam’s Club mengatakan kepada analis melalui telepon bahwa masalah tersebut adalah “kesalahpahaman” dan bahwa tidak ada penghapusan produk-produk yang berasal dari Xinjiang secara sengaja.

Pada bulan Desember, Klub Sam didenda 10.000 yuan ($ 1.568) di Shanghai oleh regulator pasar kota karena melanggar undang-undang keamanan pangan setelah mereka menemukan bahwa produk sayuran beku tidak memiliki tanggal produksi atau kadaluwarsa, menurut laporan media lokal yang terpisah.

Sumber : Reuters

QNAP: Jauhkan Perangkat NAS Dari Internet Sekarang

by

Pabrikan Taiwan QNAP memperingatkan: Ransomware dan serangan brute force secara luas menargetkan semua perangkat jaringan.

“Korban yang paling rentan adalah perangkat yang terpapar ke Internet tanpa perlindungan apa pun,” kata QNAP pada hari Jumat, mendesak semua pengguna QNAP NAS untuk mengikuti instruksi pengaturan keamanan yang disertakan oleh pembuat NAS Taiwan dalam peringatannya.

Pertama, untuk memeriksa apakah NAS Anda terpapar ke internet, QNAP menginstruksikan pemilik perangkat untuk membuka Penasihat Keamanan perangkat: portal keamanan internal yang mengintegrasikan perangkat lunak anti-virus dan anti-malware.

“NAS Anda terpapar ke Internet dan berisiko tinggi jika ada yang menunjukkan ‘Layanan Administrasi Sistem dapat langsung diakses dari alamat IP eksternal melalui protokol berikut: HTTP’ di dasbor.” —QNAP

Jika perangkat NAS Anda ternyata terbuka ke internet, QNAP merekomendasikan untuk nonaktifkan fungsi Port Forwarding pada router dan fungsi UPnP dari QNAP NAS.

QNAP juga memberikan instruksi terperinci tentang cara mencegah infeksi malware, termasuk melalui kebersihan kata sandi, mengaktifkan IP dan perlindungan akses akun untuk mencegah serangan brute force, menonaktifkan koneksi SSH dan Telnet jika Anda tidak menggunakan layanan ini, dan menghindari penggunaan port default angka seperti 22, 443, 80, 8080 dan 8081.

Selengkapnya: Threat Post

Bug VMware yang Belum Ditambal Sebagian Membuka Pintu untuk Pengambilalihan Hypervisor

by

Kerentanan keamanan di platform Cloud Foundation, ESXi, Fusion, dan Workstation VMware dapat membuka jalan bagi pengambilalihan hypervisor di lingkungan virtual – dan tambalan masih tertunda untuk beberapa pengguna.

Bug (CVE-2021-22045) adalah kerentanan heap-overflow dengan tingkat keparahan tinggi yang membawa peringkat CVSS 7,7 dari 10.

Heap overflows adalah masalah memori yang dapat mengakibatkan kerusakan data atau perilaku tak terduga oleh proses apa pun yang mengakses memori yang terpengaruh area – dalam beberapa kasus mengakibatkan eksekusi kode jarak jauh (RCE).

Dalam hal ini, masalah secara khusus ada dalam fungsi emulasi perangkat CD-ROM dari produk yang terpengaruh.

“Aktor jahat dengan akses ke mesin virtual dengan emulasi perangkat CD-ROM mungkin dapat mengeksploitasi kerentanan ini bersama dengan masalah lain, untuk mengeksekusi kode pada hypervisor dari mesin virtual,” vendor mencatat dalam penasihatnya. “Eksploitasi yang berhasil membutuhkan gambar CD untuk dilampirkan ke mesin virtual.”

Reno Robert, peneliti kerentanan senior untuk Zero Day Initiative dari Trend Micro, mengatakan kepada Threatpost bahwa masalah tersebut disebabkan oleh “kurangnya validasi yang tepat dari panjang data yang disediakan pengguna sebelum menyalinnya ke buffer berbasis heap dengan panjang tetap.”

Selengkapnya: Threat Post

Netgear Meninggalkan Kerentanan yang Tidak Ditambal di Router Nighthawk

by

Para peneliti telah menemukan setengah lusin kerentanan berisiko tinggi dalam versi firmware terbaru untuk router Netgear Nighthawk R6700v3. Pada saat penerbitan kekurangan tetap tidak ditampat.

Nighthawk R6700 adalah router WiFi dual-bank populer yang diiklankan dengan fitur yang berfokus pada game, kontrol orang tua yang cerdas, dan perangkat keras internal yang cukup kuat untuk mengakomodasi kebutuhan pengguna daya rumah.

Enam kekurangan ditemukan oleh para peneliti di perusahaan cybersecurity Tenable dan dapat memungkinkan penyerang di jaringan untuk mengambil kendali penuh atas perangkat:

  • CVE-2021-20173: Cacat injeksi perintah pasca-otentikasi dalam fungsi pembaruan perangkat, membuatnya rentan terhadap injeksi perintah.
  • CVE-2021-20174: HTTP digunakan secara default pada semua komunikasi antarmuka web perangkat, mempertaruhkan intersepsi nama pengguna dan kata sandi dalam bentuk cleartext.
  • CVE-2021-20175: SOAP Interface (port 5000) menggunakan HTTP untuk berkomunikasi secara default, mempertaruhkan intersepsi nama pengguna dan kata sandi dalam bentuk cleartext.
  • CVE-2021-23147: Eksekusi perintah sebagai root tanpa otentikasi melalui koneksi port UART. Mengeksploitasi cacat ini membutuhkan akses fisik ke perangkat.
  • CVE-2021-45732: Manipulasi konfigurasi melalui rutinitas enkripsi hardcoded, memungkinkan perubahan pengaturan yang terkunci karena alasan keamanan.
  • CVE-2021-45077: Semua nama pengguna dan kata sandi untuk layanan perangkat disimpan dalam bentuk plaintext dalam file konfigurasi.

Kekurangan yang baru-baru ini diungkapkan mempengaruhi firmware versi 1.0.4.120, yang merupakan rilis terbaru untuk perangkat.

Pengguna disarankan untuk mengubah kredensial default menjadi sesuatu yang unik dan kuat dan mengikuti praktik keamanan yang direkomendasikan untuk pertahanan yang lebih kuat terhadap infeksi malware.

Juga, periksa portal unduhan firmware Netgear secara teratur dan instal versi baru segera setelah tersedia. Mengaktifkan pembaruan otomatis pada router Anda juga disarankan.

Laporan keamanan saat ini mengacu pada Netgear R6700 v3, yang masih di bawah dukungan, bukan Netgear R6700 v1 dan R6700 v2, yang telah mencapai akhir kehidupan. Jika Anda masih menggunakan model yang lebih lama, disarankan untuk menggantinya.

Tenable mengungkapkan masalah di atas kepada vendor pada tanggal 30 September 2021, dan meskipun beberapa pertukaran informasi dalam bentuk klarifikasi dan saran terjadi sesudahnya, masalah tetap tidak terselesaikan.

Kami telah menghubungi Netgear untuk meminta komentar tentang hal di atas, dan kami akan menambahkan pembaruan ke cerita ini segera setelah kami mendengar kembali dari mereka.

Sumber: Bleepingcomputer

Empat tahun layanan Aplikasi Azure memiliki bug kebocoran kode sumber

by

Microsoft telah mengungkapkan kerentanan dalam Layanan Aplikasi Azure untuk Linux yang memungkinkan pengunduhan file yang hampir pasti tidak ingin dipublikasikan oleh pengguna.

Microsoft menagih Layanan Aplikasi Azure sebagai hal yang tepat jika Anda ingin “Membuat aplikasi web dan seluler yang siap untuk perusahaan dengan cepat dan mudah untuk platform atau perangkat apa pun, dan menerapkannya pada infrastruktur cloud yang dapat diskalakan dan andal.”

Perhatikan bahwa deskripsi tidak menyebutkan keamanan.

Kelalaian itu anehnya terlihat, karena pakaian keamanan cloud Wiz menyelidiki layanan dan menemukan apa yang digambarkan sebagai “perilaku default tidak aman di Layanan Aplikasi Azure yang mengekspos kode sumber aplikasi pelanggan yang ditulis dalam PHP, Python, Ruby, atau Node, yang dikerahkan menggunakan ‘Local Git’.”

Wiz telah menamai cacat itu “NotLegit” dan menegaskan itu sudah ada sejak September 2017 dan “mungkin telah dieksploitasi di alam liar.”

Inti dari kelemahannya adalah ketika pengguna Layanan Aplikasi Azure mengunggah repositori git mereka ke layanan, repositori tersebut mendarat di direktori /home/site/wwwroot direktori yang dapat diakses publik. Di antara unggahan itu adalah folder .git, yang berisi kode sumber dan info rahasia lainnya. Semuanya tergantung di web untuk dilihat semua orang.

Orang-orang sedang mencari. Postingan Wiz menyatakan bahwa ia membuat aplikasi Layanan Aplikasi Azure yang rentan dan dalam empat hari mendeteksi beberapa upaya untuk mencapai folder .gitnya.

Wiz telah menemukan bug Azure yang buruk, ia juga menemukan kelemahan ChaosDB yang memungkinkan akses baca dan tulis yang tidak sah ke Microsoft Azure Cosmos DB, dan keluarga kelemahan “OMIGOD” yang memungkinkan eksekusi kode tidak sah di server Azure.

Microsoft membayar hadiah $7.500 kepada Wiz untuk menemukan kelemahannya, yang diungkapkan secara bertanggung jawab pada bulan September, dan melihat Microsoft memberi tahu pelanggan tentang masalah tersebut sebelum mengungkapkannya dalam posting blog tertanggal 22 Desember.

Sumber : The Register

Serangan firmware dapat menyusupkan malware persisten di area tersembunyi pada SSD

by

Satu serangan yang dimodelkan oleh para peneliti di Universitas Korea di Seoul menargetkan area data yang tidak valid dengan informasi yang tidak terhapus yang berada di antara ruang SSD yang dapat digunakan dan area over-provisioning (OP), dan yang ukurannya bergantung pada keduanya.

Makalah penelitian menjelaskan bahwa seorang peretas dapat mengubah ukuran area OP dengan menggunakan manajer firmware, sehingga menghasilkan ruang data tidak valid yang dapat dieksploitasi.

Masalahnya di sini adalah banyak produsen SSD memilih untuk tidak menghapus area data yang tidak valid untuk menghemat sumber daya.

Ruang ini tetap diisi dengan data untuk waktu yang lama, dengan asumsi bahwa pemutusan tautan tabel pemetaan sudah cukup untuk mencegah akses yang tidak sah.

Dengan demikian, aktor ancaman yang memanfaatkan kelemahan ini dapat memperoleh akses ke informasi yang berpotensi sensitif.

Para peneliti mencatat bahwa aktivitas forensik pada memori flash NAND dapat mengungkapkan data yang belum dihapus selama lebih dari enam bulan.

Dalam model serangan kedua, area OP digunakan sebagai tempat rahasia yang tidak dapat dipantau atau dihapus oleh pengguna, tempat aktor ancaman dapat menyembunyikan malware.

Sebagai pertahanan terhadap jenis serangan pertama, para peneliti mengusulkan pembuat SSD menghapus area OP dengan algoritma penghapusan semu yang tidak akan memengaruhi kinerja waktu nyata.

Untuk jenis serangan kedua, tindakan keamanan yang berpotensi efektif terhadap penyuntikan malware di area OP adalah dengan menerapkan sistem pemantauan laju data valid-tidak valid yang mengamati rasio di dalam SSD secara real-time.

Selengkapnya: Bleeping Computer