Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Zero Day

Zero Day

Microsoft memperbaiki kerentanan Windows Print Spooler PrintNightmare

by

Microsoft telah memperbaiki kerentanan PrintNightmare di Windows Print Spooler dengan mengharuskan pengguna memiliki hak administratif saat menggunakan fitur Point and Print untuk menginstal driver printer.

Pada bulan Juni, seorang peneliti keamanan secara tidak sengaja mengungkapkan kerentanan spooler cetak Windows zero-day yang dijuluki PrintNightmare (CVE-2021-34527). Ketika dieksploitasi, kerentanan ini memungkinkan eksekusi kode jarak jauh dan kemampuan untuk mendapatkan hak istimewa SISTEM lokal.

Microsoft segera merilis pembaruan keamanan yang memperbaiki komponen eksekusi kode jarak jauh tetapi tidak meningkatkan porsi hak istimewa lokal.

Namun, para peneliti dengan cepat menemukan bahwa sangat mungkin untuk mengeksploitasi fitur Point and Print untuk menginstal driver printer berbahaya yang memungkinkan pengguna dengan hak istimewa rendah untuk mendapatkan hak istimewa SISTEM di Windows.

Point and Print adalah fitur Windows yang memungkinkan pengguna untuk terhubung ke server printer, bahkan yang terhubung ke Internet jarak jauh, dan secara otomatis mengunduh dan menginstal driver printer server.

Dengan menggunakan fitur ini, peneliti keamanan Benjamin Delpy membuat server printer jarak jauh yang menginstal driver printer yang memungkinkan pengguna dengan hak istimewa rendah untuk membuka prompt perintah dengan hak istimewa SISTEM, seperti yang ditunjukkan dalam video di bawah ini.

Sebagai bagian dari pembaruan keamanan Patch Tuesday Agustus 2021 hari ini, Microsoft mengatasi kerentanan “PrintNightmare” ini dengan mengharuskan pengguna memiliki hak administrator untuk menginstal driver printer melalui fitur Point and Print.

Microsoft memperingatkan bahwa perubahan ini dapat berdampak pada organisasi yang sebelumnya mengizinkan pengguna non-admin untuk menambahkan atau memperbarui driver printer, karena mereka tidak lagi dapat melakukannya.

Selengkapnya: BleepingComputer

Microsoft Patch Tuesday bulan Agustus 2021 memperbaiki 3 zero-days, 44 kelemahan

by

Hari ini adalah Patch Tuesday Microsoft Agustus 2021, dan dengan itu datang perbaikan untuk tiga kerentanan zero-day dan total 44 kelemahan.

Microsoft telah memperbaiki 44 kerentanan (51 termasuk Microsoft Edge) dengan pembaruan hari ini, dengan tujuh diklasifikasikan sebagai Kritis dan 37 sebagai Penting.

Dari 44 kerentanan, 13 adalah eksekusi kode jarak jauh, 8 pengungkapan informasi, 2 penolakan layanan, dan 4 kerentanan spoofing.

Microsoft juga merilis pembaruan keamanan untuk dua kerentanan zero-day yang dinanti-nantikan yang ditemukan selama sebulan terakhir.

Salah satu pembaruan keamanan memperbaiki kerentanan PrintNightmare yang memungkinkan pelaku ancaman untuk mendapatkan hak istimewa tingkat SISTEM hanya dengan menghubungkan ke server print jarak jauh di bawah kendali mereka.

Microsoft telah memperbaiki kerentanan ini dengan mengharuskan pengguna yang memiliki hak administrator untuk menginstal driver printer menggunakan fitur Point and Print Windows.

Microsoft juga memperbaiki vektor serangan relay PetitPotam NTLM yang menggunakan API MS-EFSRPC untuk memaksa perangkat bernegosiasi dengan server relay jarak jauh di bawah kendali penyerang.

Microsoft menghimbau untuk menerapkan pembaruan sesegera mungkin.

Selengkapnya: BleepingComputer

Apple memperbaiki zero-day yang memengaruhi iPhone dan Mac, yang sedang aktif dieksploitasi

by

Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan zero-day yang dieksploitasi di alam liar dan berdampak pada iPhone, iPad, dan Mac.

Kerentanan, dilacak sebagai CVE-2021-30807, adalah masalah kerusakan memori dalam ekstensi kernel IOMobileFramebuffer yang dilaporkan oleh peneliti anonim. Eksploitasi yang berhasil dapat memungkinkan aplikasi untuk mengeksekusi kode arbitrer dengan hak istimewa kernel

Apple telah memperbaiki bug dengan meningkatkan penanganan memori di iOS 14.7.1, iPadOS 14.7.1, dan macOS Big Sur 11.5.1.

Daftar perangkat yang terpengaruh termasuk Mac, iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7).

Sementara Apple mengungkapkan bahwa setidaknya satu laporan menyebutkan eksploitasi aktif CVE-2021-30807 di alam liar, perusahaan tidak merilis informasi tambahan mengenai serangan ini.

Menahan info ini kemungkinan merupakan tindakan yang dirancang untuk memungkinkan pembaruan keamanan yang dirilis hari ini untuk menjangkau iPhone, iPad, dan Mac sebanyak mungkin sebelum pelaku ancaman lain mengetahui detailnya dan mulai secara aktif menyalahgunakan zero-day yang sekarang telah ditambal.

Selengkapnya: Bleeping Computer

Microsoft membagikan workaround untuk kerentanan SeriousSAM Windows 10

by

Microsoft telah membagikan solusi untuk kerentanan zero-day Windows 10 yang dijuluki SeriousSAM yang dapat memungkinkan penyerang mendapatkan hak admin pada sistem yang rentan dan mengeksekusi kode dengan hak istimewa SISTEM.

Seperti yang dilaporkan oleh BleepingComputer sebelumnya, peningkatan lokal dari bug hak istimewa (dijuluki SeriousSAM) yang ditemukan di versi Windows yang baru dirilis memungkinkan pengguna dengan hak istimewa rendah untuk mengakses file database Registry yang sensitif.

Kerentanan, yang diungkapkan secara publik oleh peneliti keamanan Jonas Lykkegaard di Twitter dan belum menerima patch resmi, sekarang dilacak oleh Microsoft sebagai CVE-2021-36934.

Seperti yang diungkapkan Microsoft lebih lanjut, kerentanan zero-day ini berdampak pada rilis Windows sejak Oktober 2018, dimulai dengan Windows 10, versi 1809. Lykkegaard juga menemukan bahwa Windows 11 (OS Microsoft yang belum dirilis secara resmi) juga terpengaruh.

Berikut adalah langkah-langkah yang diperlukan untuk memblokir eksploitasi kerentanan ini untuk sementara:

Batasi akses ke konten %windir%\system32\config:

  1. Buka Command Prompt atau Windows PowerShell sebagai administrator.
  2. Jalankan perintah ini: icacls %windir%\system32\config\*.* /inheritance:e

Hapus shadow copies dari Volume Shadow Copy Service (VSS):

  1. Hapus semua titik System Restore dan Shadow volumes yang ada sebelum membatasi akses ke %windir%\system32\config.
  2. Buat titik System Restore baru (jika diinginkan).

Microsoft masih menyelidiki kerentanan ini dan sedang mengerjakan tambalan yang kemungkinan besar akan dirilis sebagai pembaruan keamanan out-of-band akhir pekan ini.

Selengkapnya: Bleeping Computer

Microsoft menemukan zero-day SolarWinds kritis di bawah serangan aktif

by

SolarWinds, perusahaan yang menjadi pusat serangan rantai pasokan yang membahayakan sembilan agensi AS dan 100 perusahaan swasta, berusaha keras untuk mengatasi ancaman keamanan baru: kerentanan zero-day kritis dalam lini produk Serv-U-nya.

Microsoft menemukan eksploitasi dan secara pribadi melaporkannya ke SolarWinds, kata perusahaan dalam sebuah nasihat yang diterbitkan pada hari Jumat. SolarWinds mengatakan serangan itu sama sekali tidak terkait dengan serangan rantai pasokan yang ditemukan pada bulan Desember.

Hanya SolarWinds Serv-U Managed File Transfer dan Serv-U Secure FTP—dan dengan ekstensi, Serv-U Gateway, komponen dari kedua produk tersebut—yang terpengaruh oleh kerentanan ini, yang memungkinkan penyerang mengeksekusi kode berbahaya dari jarak jauh pada sistem yang rentan.

Penyerang dapat memperoleh akses istimewa ke mesin yang dieksploitasi yang menghosting produk Serv-U dan kemudian dapat menginstal program; melihat, mengubah, atau menghapus data; atau menjalankan program pada sistem yang terpengaruh. Kerentanan ada di Serv-U versi 15.2.3 HF1 terbaru, dirilis pada 5 Mei, dan semua versi sebelumnya.

SolarWinds telah mengeluarkan perbaikan terbaru untuk mengurangi serangan sementara perusahaan bekerja pada solusi permanen. Orang yang menjalankan Serv-U versi 15.2.3 HF1 harus menerapkan hotfix (HF) 2; mereka yang menggunakan Serv-U 15.2.3 harus menerapkan Serv-U 15.2.3 HF1 dan kemudian menerapkan Serv-U 15.2.3 HF2; dan yang menjalankan versi Serv-U sebelum 15.2.3 harus meningkatkan ke Serv-U 15.2.3, menerapkan Serv-U 15.2.3 HF1, dan kemudian menerapkan Serv-U 15.2.3 HF2.

Perusahaan mengatakan pelanggan harus segera menginstal perbaikan.

Selengkapnya: Ars Technica

Microsoft merilis pembaruan darurat untuk Windows PrintNightmare zero-day

by

Microsoft telah merilis pembaruan keamanan darurat KB5004945 untuk mengatasi kerentanan zero-day PrintNightmare yang dieksploitasi secara aktif di layanan Windows Print Spooler yang berdampak pada semua versi Windows. Namun, tambalan tidak lengkap dan kerentanan masih dapat dieksploitasi secara lokal untuk mendapatkan hak istimewa SISTEM.

Bug eksekusi kode jarak jauh (dilacak sebagai CVE-2021-34527) memungkinkan penyerang mengambil alih server yang terpengaruh melalui eksekusi kode jarak jauh (RCE) dengan hak istimewa SISTEM, karena memungkinkan mereka menginstal program, melihat, mengubah, atau menghapus data, dan membuat akun baru dengan hak pengguna penuh.

Pembaruan keamanan belum dirilis untuk Windows 10 versi 1607, Windows Server 2016, atau Windows Server 2012, tetapi mereka juga akan segera dirilis, menurut sumber dari Microsoft.

Kerentanan PrintNightmare mencakup baik eksekusi kode jarak jauh (RCE) dan vektor eskalasi hak istimewa lokal (LPE) yang dapat digunakan dalam serangan untuk menjalankan perintah dengan hak istimewa SISTEM pada sistem yang rentan.

Setelah Microsoft merilis pembaruan out-of-band, peneliti keamanan Matthew Hickey memverifikasi bahwa patch hanya memperbaiki RCE dan bukan komponen LPE. Ini berarti bahwa perbaikannya tidak lengkap dan pelaku ancaman serta malware masih dapat mengeksploitasi kerentanan secara lokal untuk mendapatkan hak istimewa SISTEM.

Microsoft mendesak pelanggan untuk segera menginstal pembaruan keamanan out-of-band ini untuk mengatasi kerentanan PrintNightmare.

Mereka yang tidak dapat menginstal pembaruan ini sesegera mungkin harus memeriksa bagian FAQ dan Solusi di penasihat keamanan CVE-2021-34527 untuk info tentang cara melindungi sistem mereka dari serangan yang mengeksploitasi kerentanan ini.

Selengkapnya: Bleeping Computer

Peretas mengeksploitasi bug zero day untuk menghapus perangkat My Book Live secara massal

by

Penghapusan massal perangkat penyimpanan Western Digital My Book Live minggu lalu melibatkan eksploitasi tidak hanya satu kerentanan tetapi juga bug keamanan kritis kedua yang memungkinkan peretas melakukan reset pabrik dari jarak jauh tanpa kata sandi, sebuah penyelidikan menunjukkan.

Kerentanannya luar biasa karena membuatnya sepele untuk menghapus data pengguna yang kemungkinan berukuran petabyte. Lebih penting lagi adalah bahwa, menurut kode yang rentan itu sendiri, pengembang Western Digital secara aktif menghapus kode yang memerlukan kata sandi pengguna yang valid sebelum mengizinkan pengaturan ulang pabrik untuk melanjutkan.

Kerentanan yang tidak terdokumentasi berada dalam file bernama system_factory_restore. Ini berisi skrip PHP yang melakukan reset, memungkinkan pengguna untuk mengembalikan semua konfigurasi default dan menghapus semua data yang tersimpan di perangkat.

“Vendor yang mengomentari otentikasi di titik akhir pemulihan sistem benar-benar tidak membuat segalanya terlihat baik bagi mereka,” HD Moore, pakar keamanan dan CEO platform penemuan jaringan Rumble, mengatakan kepada Ars. “Sepertinya mereka sengaja mengaktifkan bypass.”

Untuk mengeksploitasi kerentanan, penyerang harus mengetahui format permintaan XML yang memicu reset. Itu “tidak semudah menekan URL acak dengan permintaan GET, tetapi [itu] juga tidak terlalu jauh,” kata Moore.

My Book Live adalah perangkat penyimpanan seukuran buku yang menggunakan jack Ethernet untuk terhubung ke jaringan rumah dan kantor sehingga komputer yang terhubung memiliki akses ke data di dalamnya.

Selengkapnya: Ars Technica

Linux Marketplace rentan terhadap serangan RCE dan rantai pasokan

by

Peneliti menemukan kerentanan keamanan stored cross-site-scripting (XSS) yang tidak ditambal yang memengaruhi Linux marketplace dan dapat memungkinkan serangan rantai pasokan yang dapat menyebar luas.

Bug tersebut ditemukan mempengaruhi pasar berbasis Pling oleh para peneliti di Positive Security, termasuk AppImage Hub, Gnome-Look, KDE Discover App Store, Pling.com dan XFCE-Look.

Aplikasi PlingStore dipengaruhi oleh kerentanan eksekusi kode jarak jauh (RCE) yang belum ditambal, yang menurut para peneliti dapat dipicu dari situs web mana pun saat aplikasi sedang berjalan – memungkinkan serangan drive-by.

PlingStore adalah penginstal dan aplikasi manajemen konten yang bertindak sebagai etalase digital terkonsolidasi untuk berbagai situs yang menawarkan perangkat lunak dan plugin Linux.

Tim Pling tidak dapat dihubungi, menurut Fabian Bräunlein dengan Positive Security, menulis dalam sebuah posting blog pada hari Selasa – “itulah sebabnya kami memutuskan untuk mempublikasikan kerentanan yang belum ditambal ini untuk memperingatkan pengguna,” katanya.

Bug Stored XSS pertama kali ditemukan mempengaruhi KDE Discover. Stored XSS, juga dikenal sebagai XSS persisten, terjadi ketika skrip berbahaya disuntikkan langsung ke aplikasi web yang rentan. Tidak seperti reflected XSS, serangan stored XSS hanya mengharuskan korban mengunjungi halaman web yang disusupi.

Pada dasarnya, salah satu aset yang dapat diunduh mungkin telah disusupi, jadi pengguna harus diperingatkan bahwa setiap daftar di salah satu pasar yang terpengaruh dapat membajak akun pengguna di platform melalui XSS, kata Bräunlein.

Selengkapnya: Threat Post