Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Bug

Bug

Bug Twitter Yang Dapat Memberikan Akses Ke DM

by

Twitter telah mulai memberitahu pengguna mereka akan adanya sebuah masalah keaman pada Aplikasi Twitter di Android. Bug tersebut memungkinkan sebuah aplikasi berbahaya yang berjalan pada perangkat pengguna mengakses data pribadi di Twitter, termasuk pesan langsung (DM) pengguna.

Menurut Twitter, bug tersebut ada karena kerentanan yang mendasari sistem operasi Android itu sendiri.

Menurut Twitter, bug OS Android hanya berdampak pada pengguna Android 8 (Oreo) dan Android 9 (Pie), tetapi tidak pada Android 10.

Sumber: ZDNet

Jika Anda pengguna Android 8 dan 9, segera update aplikasi Twitter di ponsel Anda.

Baca berita selengkapnya pada tautan di bawah ini;
Source: ZDNet

Bug Pada Zoom Memungkinkan Seorang Peretas Untuk Memecahkan Kata Sandi Meeting Pribadi

by

Kurangnya tingkat pembatasan pada upaya pengulangan kata sandi memungkinkan penyerang untuk memecahkan kode sandi numerik yang digunakan untuk mengamankan pertemuan pribadi di Zoom, seperti yang telah ditemukan oleh Tom Anthony, VP Product di SearchPilot.

“Meeting zoom secara default dilindungi oleh kata sandi 6 digit angka, yang berarti 1 juta kata sandi maksimum,” kata Anthony.

Kerentanan yang dilihatnya di web klien Zoom memungkinkan penyerang untuk menebak kata sandi meeting dengan mencoba semua kombinasi yang memungkinkan sampai menemukan yang benar.

Anthony melaporkan masalah klien web Zoom ini kepada Zoom pada 1 April 2020, bersama dengan bukti konsep Python untuk menunjukkan bagaimana penyerang bisa dengan brutal memaksa masuk ke setiap pertemuan yang dilindungi kata sandi.

Satu minggu kemudian, Zoom membahas masalah ini dengan “mengharuskan pengguna login untuk bergabung dengan meeting di klien web, dan memperbarui kata sandi meeting default menjadi non-numerik dan lebih panjang.”

Baca berita selengkapnya pada tautan di bawah ini;
Source: Bleeping Computer

Bug Baru Android Yang Memungkinkan Malware Bertindak Seperti Aplikasi Legit Dan Mencuri Data Pengguna

by

Peneliti keamanan telah menemukan kerentanan besar di hampir setiap versi Android, yang memungkinkan malware meniru aplikasi yang sah untuk mencuri kata sandi aplikasi dan data sensitif lainnya.

Kerentanan, yang dijuluki Strandhogg 2.0, mempengaruhi semua perangkat yang menjalankan Android 9.0 dan yang lebih lama. Ini adalah “kembaran jahat” dari bug sebelumnya dengan nama yang sama, menurut perusahaan keamanan Norwegia Promon, yang menemukan kedua kerentanan itu.

Strandhogg 2.0 berfungsi dengan menipu korban agar berpikir bahwa mereka memasukkan kata sandi pada aplikasi yang sah yang sebenarnya adalah jendela berbahaya. Strandhogg 2.0 juga dapat membajak izin aplikasi lain untuk menyedot data pengguna yang sensitif, seperti kontak, foto, dan melacak lokasi real-time korban.

Promon mengatakan bahwa mereka tidak memiliki bukti bahwa peretas telah menggunakan bug dalam kampanye peretasan aktif. Khawatir bug masih bisa disalahgunakan oleh peretas, Promon menunda merilis rincian bug sampai Google dapat memperbaiki kerentanan “kritis” ini.

Seorang korban harus mengunduh aplikasi jahat – yang disamarkan sebagai aplikasi normal – yang dapat mengeksploitasi kerentanan Strandhogg 2.0. Setelah terinstal dan ketika korban membuka aplikasi yang sah, aplikasi jahat dengan cepat membajak aplikasi dan menyuntikkan konten jahat di tempatnya, seperti jendela masuk palsu.

Ketika seorang korban memasukkan kata sandi mereka pada jendela palsu tersebut, kata sandi mereka akan dikirimkan ke server peretas. Aplikasi sebenarnya kemudian muncul seolah-olah login itu nyata.

Strandhogg 2.0 juga dapat membajak izin aplikasi lain yang memiliki akses ke kontak, foto, dan pesan korban dengan memicu permintaan izin.

Risiko untuk pengguna cenderung rendah, tetapi bukan tidak mungkin. Promon mengatakan memperbarui perangkat Android dengan pembaruan keamanan terbaru – sekarang – akan memperbaiki kerentanan. Pengguna disarankan untuk memperbarui perangkat Android mereka sesegera mungkin.

Selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Tech Crunch

Cisco: Ke-12 Bug Tingkat Tinggi Ini Dalam Software Keamanan ASA Dan Firepower Perlu Segera Diperbaiki

by

Cisco telah mengungkapkan selusin celah keamanan dengan tingkat keparahan tinggi yang memengaruhi perangkat lunak Adaptive Security Appliance (ASA) dan perangkat lunak Firepower Threat Defense (FTD).

Pembaruan membahas delapan masalah penolakan layanan yang mempengaruhi perangkat lunak keamanannya, kerentanan pengungkapan informasi, cacat kebocoran memori, kerentanan jalur-traversal, dan bypass otentikasi.

Bug dengan skor CVSS tertinggi 9,1 dalam bundel pengungkapan ASA dan FTD ini adalah kerentanan jalur-traversal dalam perangkat lunak ASA dan FTD, yang dilacak sebagai CVE-2020-3187 dan dilaporkan oleh Mikhail Klyuchnikov dari perusahaan keamanan Positive Technologies. Seorang penyerang dapat mengeksploitasi celah ini dengan mengirimkan permintaan HTTP buatan yang berisi urutan karakter traversal direktori, yang memungkinkan penyerang untuk melihat atau menghapus file pada sistem.

Selain selusin bug tingkat tinggi ASA dan FTD, Cisco mengungkapkan 22 kerentanan tingkat keparahan sedang yang mempengaruhi ASA, FTD, dan produk Cisco lainnya.

Selenkapnya dapat dibaca pada tautan di bawah ini:
Source: ZDNet

Samsung Menambal Kerentanan Zero-click Yang Memengaruhi Semua Smartphone Yang Dijual Sejak 2014

by

Vendor smartphone Korea Selatan Samsung merilis pembaruan keamanan minggu ini untuk memperbaiki kerentanan kritis yang berdampak pada semua smartphone yang terjual sejak 2014.

Kelemahan keamanan terletak pada bagaimana OS Android yang berjalan pada perangkat Samsung menangani format gambar Qmage khusus (.qmg), yang mulai didukung oleh smartphone tersebut pada semua perangkat yang dirilis sejak akhir 2014.

Mateusz Jurczyk, seorang peneliti keamanan bersama tim pemburu bug Project Zero Google, menemukan cara untuk mengeksploitasi bagaimana Skia (library grafis Android) menangani gambar Qmage yang dikirim ke perangkat.

Jurczyk mengatakan bug Qmage dapat dieksploitasi dalam skenario zero-click, tanpa adanya interaksi pengguna. Ini terjadi karena Android mengalihkan semua gambar yang dikirim ke sebuah perangkat ke perpustakaan Skia untuk diproses – seperti menghasilkan preview thumbnail – tanpa sepengetahuan pengguna.

Peneliti membuat demo bukti konsep eksploitasi bug terhadap aplikasi perpesanan Samsung. Dia menyerang aplikasi perpesanan Samsung dan membombardirnya dengan 50 sampai 300 pesan MMS untuk menemukan di mana perpustakaan Skia berada dalam memori perangkat. Begitu ia menemukannya, payload kemudian dikirim, yang memungkinkan penyerang untuk mengeksekusi kode berbahaya dari jarak jauh dan secara tak terlihat.

Peneliti menemukan kerentanan pada bulan Februari dan melaporkan masalah tersebut ke Samsung. Perusahaan Korea Selatan tersebut menambal bug dalam pembaruan keamanannya di bulan Mei 2020 yang mulai beredar minggu lalu. Untuk semua pengguna Samsung, Anda disarankan untuk menerapkan pembaruan sesegera mungkin setelah tersedia pada smartphone Anda.

Berita selengkapnya dapat dibaca pada tautan di bawah ini:
Source: ZDNet | Forbes

Celah di iPhone & iPad Memungkinkan Peretas Mencuri Data Selama Bertahun-tahun

by

Sebuah bug ditemukan pada perangkat Apple, termasuk iPad, oleh ZecOps, sebuah perusahaan forensik keamanan mobile yang berbasis di San Francisco. Zuk Avraham, kepala eksekutif ZecOps, mengatakan ia menemukan bukti kerentanan itu dieksploitasi di setidaknya enam serangan cyber.

Kerentanan yang mungkin membuat lebih dari setengah miliar iPhone dan iPad rentan terhadap peretas, ada pada software email Apple, Mail. Perusahaan telah mengembangkan perbaikan dan akan diluncurkan dalam pembaruan yang akan datang pada jutaan perangkat yang telah terjual secara global.

Untuk menjalankan peretasan, Avraham mengatakan para korban akan dikirimi pesan email yang tampaknya kosong melalui aplikasi Mail yang memaksa crash dan reset. Kecelakaan itu membuka pintu bagi peretas untuk mencuri data lain pada perangkat, seperti foto dan detail kontak.

ZecOps mengklaim bahwa kerentanan memungkinkan peretas untuk mencuri data pada iPhone dari jarak jauh meskipun mereka menjalankan versi terbaru iOS. Dengan sendirinya, kelemahan tersebut dapat memberikan akses ke apa pun yang dapat diakses aplikasi Mail, termasuk pesan rahasia.

Baca berita selengkapnya pada tautan di bawah ini:
Source: Reuters

Mantan peretas NSA mengungkapkan zero day baru pada Aplikasi Zoom

by

Tahun bermasalah Zoom semakin memburuk.

 

Baru-baru ini dua peneliti keamanan menemukan bug Zoom yang dapat disalahgunakan untuk mencuri kata sandi Windows, peneliti keamanan lain menemukan dua bug baru yang dapat digunakan untuk mengambil alih Mac pengguna Zoom, termasuk mengetuk webcam dan mikrofon.

 

Patrick Wardle, mantan peretas NSA dan sekarang peneliti keamanan utama di Jamf, mengungkapan dua kelemahan yang sebelumnya tidak dipublikasi di blog-nya hari Rabu, yang ia bagikan dengan TechCrunch.

 

Kedua bug tersebut, kata Wardle, dapat diluncurkan oleh penyerang lokal – dimana seseorang memiliki kontrol atas komputer yang rentan secara fisik. Setelah dieksploitasi, penyerang dapat memperoleh dan mempertahankan akses terus-menerus sampai ke bagian-bagian yang ada di dalam komputer korban, memungkinkan mereka untuk menginstal malware atau spyware.

 

Karena Wardle mengungkapkan detail kerentanan di blognya, Zoom belum memberikan perbaikan. Zoom juga tidak menanggapi permintaan TechCrunch untuk memberikan komentar.

 

Sementara itu, Wardle berkata, “jika Anda peduli dengan keamanan dan privasi Anda, mungkin Anda harus berhenti menggunakan Zoom.”

 

Berita selengkapnya dapat dibaca pada tautan di bawah ini;

Source: Tech Crunch

Bug Intel CSME lebih buruk dari yang diperkirakan sebelumnya

by

Peneliti keamanan mengatakan bahwa bug di salah satu teknologi CPU Intel yang ditambal tahun lalu sebenarnya jauh lebih buruk daripada yang diperkirakan sebelumnya. 

 

Pada Mei 2019, dengan merilis pembaruan keamanan Intel-SA-00213, Intel menambal bug di CPU Intel yang berdampak Converged Security and Management Engine (CSME). CSME adalah fitur keamanan yang disertakan dengan semua CPU Intel terbaru. Dianggap sebagai “dasar kriptografi” untuk semua teknologi Intel dan firmware yang berjalan pada platform berbasis Intel.

 

Ternyata, para peneliti mengatakan tambalan lengkap membutuhkan penggantian perangkat keras dan tambalan firmware hanya memperbaiki sebagian masalahnya. Untuk melindungi perangkat yang menangani operasi sensitif, peneliti merekomendasikan untuk mengganti CPU dengan versi yang tidak terpengaruh oleh bug ini. Dan hanya chip Intel generasi ke-10 terbaru yang tidak terkena dampak ini, kata para peneliti.

 

Baca berita selengkapnya pada tautan di bawah ini;

Source: ZDNet