Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for CVE

CVE

Adobe Menambal 11 Bug Kritis di Pembaca PDF Acrobat Populer

by

Sebelas bug kritis di pembaca PDF Adobe yang populer dan gratis, Acrobat, membuka pengguna Windows dan macOS hingga serangan mulai dari musuh yang mengeksekusi perintah secara sewenang-wenang pada sistem yang ditargetkan hingga kebocoran data yang terkait dengan kelemahan pembacaan sistem dan memori.

Dalam buletin keamanan Selasa, yang menyertakan tambalan untuk semua kekurangan, perusahaan melaporkan bahwa versi Windows dan macOS dari Acrobat sama-sama rentan. Namun Adobe menambahkan bahwa pihaknya tidak mengetahui adanya penyalahgunaan bug di alam liar.

Acrobat Reader 2020 gratis dan perangkat lunak pembuatan dan pengeditan PDF Acrobat 2020 termasuk di antara daftar program dengan bug kritis yang ditambal. Adobe juga menambal Acrobat DC, Acrobat DC Reader, Acrobat Reader 2017 dan Acrobat 2017. Secara keseluruhan, Adobe menambal 20 bug Acrobat, dengan sembilan yang dinilai penting.

Dua dari kerentanan Acrobat yang paling serius adalah kelemahan penggunaan-setelah-bebas (CVE-2021-28641, CVE-2021-28639) yang, dalam skenario terburuk, memungkinkan musuh untuk mengeksekusi kode secara sewenang-wenang pada sistem yang ditargetkan atau hanya membuat aplikasi crash .

selengkapnya : threatpost.com

Hanya 2,6% dari 18.000 kerentanan terlacak tahun 2019 yang secara aktif dieksploitasi di alam liar

by

Sementara industri infosec terbiasa membaca FUD tentang kerentanan perangkat lunak, penelitian yang menarik menunjukkan sekitar 500 kerentanan dieksploitasi pada tahun 2019 – meskipun 18.000 CVE baru sedang dibuat.

Kenna Security, sebuah firma infosec AS, menganggap bahwa meskipun ribuan kerentanan diberi nomor pelacakan Kerentanan dan Eksploitasi Umum (CVE) pada tahun tersebut, hanya 473 di antaranya yang secara aktif dieksploitasi dengan cara yang mungkin berdampak pada perusahaan.

Itu hanya mewakili 2,6% dari kerentanan yang dilaporkan selama tahun ini, memberikan petunjuk baru tentang skala ancaman terhadap bisnis yang terhubung ke internet.

Laporan tersebut melanjutkan: “Kode eksploitasi sudah tersedia untuk >50% kerentanan (pada akhirnya dieksploitasi di alam liar) pada saat mereka dipublikasikan ke Daftar CVE. Untungnya bagi para pembela, rilis patch bertepatan dengan publikasi untuk lebih dari 80 persen dari CVE tersebut”.

Selengkapnya: The Register

Sebagian besar bug keamanan di alam liar sudah ada bertahun-tahun

by

Kebanyakan kerentanan yang dieksploitasi di alam liar sudah ada bertahun-tahun dan beberapa dapat diperbaiki dengan mudah dengan tambalan yang tersedia.

Ini adalah salah satu temuan laporan baru dari firma keamanan Edgescan, yang menyatakan bahwa dua pertiga (65%) CVE yang ditemukan pada tahun 2020 berusia lebih dari tiga tahun, sedangkan sepertiga dari mereka (32%) awalnya teridentifikasi pada tahun 2015 atau sebelumnya.

Kerentanan tertua yang beredar tahun lalu adalah CVE-1999-0517, yang pertama kali diidentifikasi pada pergantian milenium.

Kerentanan paling umum terkait malware, laporan lebih lanjut menyatakan, berusia antara satu dan tiga tahun, banyak di antaranya dapat diperbaiki dengan tambalan yang sudah tersedia. Terlepas dari kenyataan ini, organisasi membutuhkan rata-rata 84 hari untuk menambal kerentanan berisiko tinggi.

Menurut laporan tersebut, PHP “sejauh ini” adalah framework yang paling tidak aman, terhitung hampir seperempat (22,7%) dari semua risiko kritis yang ditemukan tahun lalu. Lebih lanjut, lebih dari sepersepuluh (13,4%) dari semua risiko kritis terkait dengan sistem yang tidak didukung, tidak ditambal, atau usang.

Sumber: IT Pro Portal

Total CVE yang Dipublikasikan Mencapai Rekor Tertinggi untuk Tahun Keempat

by

Dalam 12 bulan terakhir, sejumlah rekor CVE diterbitkan oleh otoritas AS, volume tahun keempat berturut-turut telah meningkat.

Per 15 Desember, jumlah kerentanan dalam kode produksi yang ditemukan dan diberi nomor CVE oleh Basis Data Kerentanan US-CERT, melampaui angka tahun 2019.

Tahun lalu ada 17.306 CVE yang diterbitkan, termasuk 4337 risiko tinggi, 10.956 risiko menengah dan 2013 kekurangan risiko rendah. Hingga kemarin, tercatat 17.447 total, termasuk 4168 bug berisiko tinggi, 10.710 risiko sedang, dan 2.569 bug berisiko rendah.

K2 Cyber Security, yang mencatat lonjakan rekor baru-baru ini, berpendapat bahwa pandemi mungkin berdampak pada pengungkapan tahun ini.

“Perusahaan masih berjuang untuk menemukan keseimbangan antara mengirimkan aplikasi ke pasar dengan cepat, dan mengamankan kode mereka. Pandemi COVID-19 adalah faktor utama tahun ini,” kata salah satu pendiri dan CEO vendor, Pravin Madhani.

Untuk mengurangi risiko ini, tim DevOps harus menggeser keamanan sejauh mungkin dalam lifecycle, sementara sysadmin harus menambal sesegera mungkin untuk memastikan sistem operasi dan perangkat lunak penting up-to-date, katanya.

Sumber: Info Security

Bug Cisco Webex memungkinkan penyerang untuk bergabung dalam rapat sebagai pengguna hantu

by

Cisco berencana untuk memperbaiki tiga kerentanan di aplikasi konferensi video Webex yang memungkinkan penyerang menyelinap dan bergabung dengan rapat Webex sebagai pengguna bayangan, yang tidak terlihat oleh peserta lain.

Kerentanan tersebut ditemukan awal tahun ini oleh peneliti keamanan dari IBM, yang melakukan peninjauan terhadap alat kerja jarak jauh yang digunakan raksasa perangkat lunak teknologi tersebut secara internal selama pandemi virus corona.

Para peneliti mengatakan tiga bug, jika digabungkan, akan memungkinkan penyerang untuk:
1. Bergabunglah dengan rapat Webex sebagai pengguna bayangan, tidak terlihat oleh orang lain di daftar peserta, tetapi dengan akses penuh ke audio, video, obrolan, dan berbagi layar.
2. Tetap berada dalam rapat Webex sebagai pengguna audio hantu bahkan setelah dikeluarkan darinya.
3. Dapatkan informasi tentang peserta rapat, seperti nama lengkap, alamat email, dan alamat IP. Informasi ini juga dapat diperoleh dari lobi ruang rapat, bahkan sebelum penyerang menerima panggilan.

Peneliti IBM mengatakan bug berada dalam proses “jabat tangan” yang terjadi saat pertemuan Webex baru dibuat. Cisco akan merilis patch hari ini untuk tiga kerentanan Webex yang dilaporkan oleh tim IBM – yaitu CVE-2020-3441, CVE-2020-3471, dan CVE-2020-3419.

sumber : ZDNET

CERT/CC meluncurkan bot Twitter untuk memberi nama random pada bug keamanan

by

Dalam upaya untuk mengurangi penggunaan nama kerentanan yang sensasional dan menakutkan, tim CERT/CC meluncurkan bot Twitter yang akan menetapkan nama secara random dan netral ke setiap bug keamanan yang menerima pengenal CVE.

Dinamakan Vulnonim, bot dioperasikan oleh Pusat Koordinasi CERT (CERT/CC) di Universitas Carnegie Mellon, tim CERT pertama yang dibuat, dan sekarang menjadi kolaborator dan mitra tim resmi US-CERT DHS.

Ide untuk bot ini muncul setelah diskusi yang tampaknya tak berujung seputar topik “jika kerentanan harus memiliki nama?”

Selama beberapa dekade, semua kelemahan keamanan utama telah diberi pengenal CVE oleh MITRE Corporation. ID ini biasanya dalam format CVE-[TAHUN]-[NOMOR], seperti CVE-2019-0708. Perusahaan dan peneliti menyadari bahwa bug yang mereka temukan memiliki lebih banyak peluang untuk lebih menonjol jika bug itu memiliki nama yang terdengar keren.

Dalam sebuah posting blog, tim CERT/CC memutuskan untuk mengedepankan solusi untuk menempatkan beberapa urutan dalam penamaan kerentanan. Jawaban mereka adalah bot Vulnonim, yang akan menetapkan nama kode dua kata dalam format kata sifat-kata sifat untuk setiap ID CVE yang baru ditetapkan.

Leigh Metcalf, anggota tim CERT/CC berpendapat bahwa manusia pada dasarnya membutuhkan istilah yang mudah diingat untuk menggambarkan bug keamanan karena “manusia tidak dikondisikan dengan baik untuk mengingat angka,” seperti yang digunakan untuk ID CVE.

“Tujuan kami adalah untuk menciptakan nama netral yang menyediakan sarana bagi orang untuk mengingat kerentanan tanpa menyiratkan betapa menakutkan (atau tidak menakutkan) kerentanan tertentu yang dimaksud,” kata Metcalf.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Bagi pengguna Foxit, lakukan patch sekarang !

by

Foxit Software, perusahaan perangkat lunak China yang mengembangkan perangkat lunak dan alat Portable Document Format (PDF) yang digunakan untuk membuat, mengedit, menandatangani, dan mengamankan file dan dokumen digital. Telah merilis update kemanan pada beberapa perangkat softwarenya, diantara lain :

    • Foxit Reader 10.1 and Foxit PhantomPDF 10.1
      3D Plugin Beta 10.1.0.37494
      Foxit PhantomPDF Mac and Foxit Reader Mac 4.1

    • Meski Foxit terkena insiden Data Breach pada 30 Agustus lalu, nampaknya Foxit tetap optimis akan perkemnbangan software mereka, seperti yang dikutip adlam website nya:
    “Tanggapan yang cepat untuk kerusakan perangkat lunak dan kerentanan keamanan telah, dan akan terus menjadi, prioritas utama bagi semua orang di Foxit Software. Meskipun ancaman adalah fakta, kami bangga mendukung solusi PDF paling canggih di pasar. Berikut adalah informasi tentang beberapa penyempurnaan yang membuat perangkat lunak kami semakin kuat.” < Jadi bagi kalian pemakai aplikasi Foxit, segera lakukan Update di halaman resmi Foxit disini ya !

    Perkembangan Eksploitasi: 80% Eksploitasi Terbit Lebih Cepat daripada CVE

    by

    Dengan jumlah kerentanan baru yang terus meningkat, manajemen kerentanan menjadi salah satu proses paling penting dalam memastikan operasi bisnis yang berkelanjutan.

    Meskipun jelas bahwa penambalan yang tepat waktu itu penting, penting juga untuk mengetahui secara kuantitatif bagaimana penundaan dapat meningkatkan risiko.

    Untuk memahami keadaan perkembangan pengungkapan kerentanan dan eksploitasi, peneliti Unit 42 menganalisis 45.450 eksploitasi yang tersedia untuk umum di Exploit Database.

    Penelitian ini menghubungkan data exploit dengan kerentanan dan informasi patch untuk mempelajari perkembangan exploit dalam berbagai aspek.

    Penelitian tersebut mengungkapkan bahwa:

    • Dari 45.450 eksploitasi publik di Database Eksploitasi, terdapat 11.079 (~ 26%) eksploitasi di Database Eksploitasi yang telah memetakan nomor CVE.
    • Di antara 11.079 eksploitasi itu:
      • 14% adalah zero-day (dipublikasikan sebelum vendor merilis patch), 23% dipublikasikan dalam seminggu setelah rilis patch dan 50% dipublikasikan dalam waktu sebulan setelah rilis patch. Rata-rata, sebuah exploit diterbitkan 37 hari setelah tambalan dirilis. Tambal sesegera mungkin – risiko kerentanan yang dieksploitasi meningkat dengan cepat setelah vendor merilis tambalan.
      • 80% dari eksploitasi publik dipublikasikan sebelum CVE dipublikasikan. Rata-rata, exploit diterbitkan 23 hari sebelum CVE dipublikasikan. Perangkat lunak dan perangkat keras mungkin juga memiliki kerentanan dengan eksploitasi publik yang tidak memiliki CVE. Periksa pembaruan keamanan dari vendor sesering mungkin dan terapkan pembaruan sesegera mungkin.

    Baca berita selengkapnya pada tautan di bawah ini;
    Source: Unit 42 Paloalto