Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Exploit

Exploit

KeePass membantah kerentanan yang memungkinkan pencurian kata sandi secara diam-diam

by

Tim pengembangan di balik perangkat lunak manajemen kata sandi open-source KeePass memperdebatkan apa yang digambarkan sebagai kerentanan yang baru ditemukan yang memungkinkan penyerang untuk secara diam-diam mengekspor seluruh database dalam teks biasa.

KeePass adalah pengelola kata sandi sumber terbuka yang sangat populer yang memungkinkan Anda mengelola kata sandi menggunakan basis data yang disimpan secara lokal, daripada yang dihosting di cloud, seperti LastPass atau Bitwarden.

Kerentanan baru sekarang dilacak sebagai CVE-2023-24055, dan memungkinkan pelaku ancaman dengan akses tulis ke sistem target untuk mengubah file konfigurasi KeePass XML dan menyuntikkan pemicu berbahaya yang akan mengekspor database, termasuk semua nama pengguna dan kata sandi dalam teks jelas.

Setelah ini dilaporkan dan diberi CVE-ID, pengguna meminta tim pengembangan di belakang KeePass untuk menambahkan permintaan konfirmasi sebelum ekspor basis data senyap seperti yang dipicu melalui file konfigurasi yang dimodifikasi secara berbahaya atau menyediakan versi aplikasi yang datang tanpa fitur ekspor .

Sementara tim CERT Belanda dan Belgia juga telah mengeluarkan penasehat keamanan mengenai CVE-2023-24055, tim pengembangan KeePass berpendapat bahwa ini tidak boleh diklasifikasikan sebagai kerentanan karena penyerang dengan akses tulis ke perangkat target juga dapat memperoleh informasi yang terkandung dalam database KeePass melalui cara lain.

Faktanya, halaman “Masalah Keamanan” di Pusat Bantuan KeePass telah menjelaskan masalah “Akses Tulis ke File Konfigurasi” setidaknya sejak April 2019 sebagai “sebenarnya bukan kerentanan keamanan KeePass.”

Selengkapnya: Bleeping Computer

Para peneliti akan merilis eksploit VMware vRealize Log RCE, patch sekarang

by

Peneliti keamanan dengan Tim Serangan Horizon3 akan merilis eksploit yang menargetkan rantai kerentanan minggu depan untuk mendapatkan eksekusi kode jarak jauh pada peralatan VMware vRealize Log Insight yang belum ditambal.

Sekarang dikenal sebagai VMware Aria Operations for Logs, vRealize Log Insight memudahkan admin VMware untuk menganalisis dan mengelola terabyte infrastruktur dan log aplikasi.

Pada hari Selasa, VMware menambal empat kerentanan keamanan dalam alat analisis log ini, dua di antaranya kritis dan memungkinkan penyerang mengeksekusi kode dari jarak jauh tanpa autentikasi.

Keduanya ditandai sebagai tingkat keparahan kritis dengan skor dasar CVSS 9,8/10 dan dapat dimanfaatkan oleh pelaku ancaman dalam serangan dengan kompleksitas rendah yang tidak memerlukan autentikasi.

Salah satunya (CVE-2022-31706) adalah kerentanan traversal direktori yang dapat disalahgunakan untuk menyuntikkan file ke dalam sistem operasi peralatan yang terpengaruh, dan yang kedua (dilacak sebagai CVE-2022-31704) adalah cacat kontrol akses yang rusak yang dapat juga dapat dieksploitasi dengan menyuntikkan file perusak yang berbahaya ke dalam serangan RCE.

VMware juga mengatasi kerentanan deserialisasi (CVE-2022-31710) yang memicu penolakan status layanan dan bug pengungkapan informasi (CVE-2022-31711) yang dapat dieksploitasi untuk mengakses sesi sensitif dan info aplikasi.

​Pada hari Kamis, Tim Serangan Horizon3 memperingatkan admin VMware bahwa mereka telah dapat membuat eksploit yang menghubungkan tiga dari empat kelemahan yang ditambal oleh VMware minggu ini untuk mengeksekusi kode dari jarak jauh sebagai root.

Semua kerentanan dapat dieksploitasi dalam konfigurasi default peralatan VMware vRealize Log Insight. Eksploitasi dapat digunakan untuk mendapatkan akses awal ke jaringan organisasi (melalui peralatan yang terpapar Internet) dan untuk pergerakan lateral dengan kredensial tersimpan.

Selengkapnya: Bleeping Computer

Penasihat Teknis: Rantai Eksploitasi “Proxy*Hell” di Alam Liar

by

Pada akhir November 2022, para pakar Bitdefender Labs mulai melihat peningkatan serangan menggunakan rantai eksploitasi ProxyNotShell/OWASSRF yang menargetkan penerapan Microsoft Exchange lokal.

Serangan SSRF di server Microsoft Exchange adalah beberapa kerentanan yang paling populer dan sering dieksploitasi. Pihaknya memutuskan merilis penasehat teknis yang menjelaskan serangan ini dan juga mendokumentasikan beberapa serangan baru-baru ini yang terdeteksi secara liar.

Arsitektur Berorientasi Layanan (SOA)
Merupakan pendekatan desain perangkat lunak yang melibatkan pengorganisasian sistem sebagai kumpulan layanan yang berkomunikasi satu sama lain melalui antarmuka yang terdefinisi dengan baik. Salah satu manfaat utama SOA adalah memungkinkan fleksibilitas dan skalabilitas yang lebih besar dengan menghapus batasan aplikasi.

Microsoft Exchange
Microsoft Exchange adalah contoh aplikasi yang menggunakan layanan proxy untuk melindungi backend sensitif dari jaringan publik yang tidak terpercaya.

Layanan Akses Klien (CAS) adalah lapisan yang bertanggung jawab untuk menerima semua bentuk koneksi klien (front-end) dan memproyeksikannya ke layanan back-end.

Pemalsuan Permintaan Sisi Server (SSRF)
Pemalsuan permintaan sisi server (SSRF) adalah jenis serangan yang memungkinkan penyerang mengirim permintaan buatan dari server yang rentan ke server lain, atas nama server yang rentan.

Ini memungkinkan penyerang mengakses sumber daya atau informasi yang sebaliknya tidak dapat diakses secara langsung oleh mereka dan memungkinkan mereka melakukan tindakan atas nama server yang rentan.

Serangan proxy di Microsoft Exchange
Sebagian besar kerentanan yang ditemukan peneliti keamanan didasarkan pada implementasi yang cacat. Kerentanan arsitektur sulit diperbaiki dalam sistem produksi, terutama untuk perangkat lunak yang didistribusikan secara luas dimana kompatibilitas mundur merupakan fitur penting, seperti server Microsoft Exchange.

Serangan Nyata
Berikut adalah beberapa serangan kehidupan nyata yang telah dideteksi oleh para ahli Bitdefender Labs pada akhir November 2022 terdiri dari beberapa kasus diantaranya alat administrasi remote, broker akses awsal, ransomware kuba, pencurian kredensial. Terdapat kami peningkatan penggunaan ProxyNotShell/OWASSRF untuk eksekusi perintah jahat.

Selengkapnya: Bitdefender

Eksploitasi Dirilis untuk Bug Spoofing Windows CryptoAPI yang Kritis

by

Proof of concept exploit telah dirilis oleh peneliti Akamai untuk vulnerable kritis Windows CryptoAPI yang ditemukan oleh NSA dan NCSC Inggris yang memungkinkan spoofing sertifikat tabrakan MD5.

“Kami telah mencari aplikasi di alam liar yang menggunakan CryptoAPI dengan cara yang rentan terhadap serangan spoofing ini. Sejauh ini, kami menemukan bahwa Chrome versi lama (v48 dan sebelumnya) dan aplikasi berbasis Chromium dapat dieksploitasi,” para peneliti dikatakan.

“Kami percaya ada target yang lebih rentan di alam liar dan penelitian kami masih berlangsung. Kami menemukan bahwa kurang dari 1% perangkat yang terlihat di pusat data telah ditambal, membuat sisanya tidak terlindungi dari eksploitasi vulnerable ini.”

Dengan mengeksploitasi vulnerable ini, penyerang dapat memengaruhi validasi kepercayaan untuk koneksi HTTPS dan menandatangani kode, file, atau email yang dapat dieksekusi.

Akibatnya, target tidak akan memiliki indikasi bahwa file tersebut benar-benar berbahaya, mengingat tanda tangan digital tampaknya berasal dari penyedia yang memiliki reputasi dan dapat dipercaya.

NSA melaporkan cacat spoofing Windows CryptoAPI lainnya (CVE-2020-0601) dua tahun lalu, dengan cakupan yang jauh lebih luas dan memengaruhi target yang berpotensi lebih rentan.

Kode eksploitasi PoC untuk vulnerable, yang sekarang dikenal sebagai CurveBall, dirilis dalam waktu 24 jam oleh pakaian keamanan siber Swiss Kudelski Security dan peneliti keamanan Oliver Lyak.

Pada saat itu, CISA memerintahkan badan-badan federal untuk menambal semua titik akhir yang terkena dampak dalam waktu sepuluh hari kerja sesuai Petunjuk Darurat yang kedua kalinya.

sumber : bleepingcomputer

Lebih dari 19.000 Router Cisco di Akhir Masa Pakainya Terkena Serangan RCE

by

Lebih dari 19.000 router Cisco VPN akhir masa pakainya di Internet terkena serangan yang menargetkan rantai eksploitasi eksekusi perintah jarak jauh.

Dengan merantai dua kelemahan keamanan yang diungkapkan minggu lalu, pelaku ancaman dapat melewati otentikasi (CVE-2023-20025) dan menjalankan perintah sewenang-wenang (CVE-2023-2002) pada sistem operasi yang mendasari router Cisco Small Business RV016, RV042, RV042G, dan RV082 .

Cisco menilai CVE-2023-20025 sebagai kritis dan mengatakan bahwa tim Product Security Incident Response Team (PSIRT) mengetahui kode eksploit proof-of-concept yang tersedia di alam bebas.

Meskipun demikian, perusahaan juga mengatakan “belum dan tidak akan merilis pembaruan perangkat lunak yang mengatasi kerentanan ini.”

Ribuan router rentan terhadap serangan

vulnerable routers expose
Distribusi router yang rentan di seluruh dunia (Censys)

Meskipun mereka tidak akan mendapatkan pembaruan keamanan, dan Cisco mengatakan bahwa “tidak ada solusi yang mengatasi kerentanan ini”, pengguna masih dapat mengamankan perangkat mereka dari serangan dengan menonaktifkan antarmuka manajemen berbasis web dan memblokir akses ke port 443 dan 60443 untuk menggagalkan upaya eksploitasi.

selengkapnya : bleepingcomputer

Implan Linux Canggih Ditemukan Mengompromikan Perangkat Keamanan Jaringan Fortinet

by

Minggu ini, perusahaan merilis detail lebih lanjut tentang implan malware canggih yang disebarkan oleh penyerang melalui celah tersebut.

Kerentanan, dilacak sebagai CVE-2022-42475, berada dalam fungsionalitas SSL-VPN FortiOS dan dapat dieksploitasi oleh penyerang jarak jauh tanpa autentikasi.

Fortinet memberi peringkat kerentanan 9,3 (Kritis) pada skala CVSS dan merilis pembaruan untuk varian utama FortiOS, FortiOS-6K7K, dan FortiProxy, produk gerbang web aman perusahaan.

Analis tidak dapat memulihkan semua file dari alat yang disusupi yang mereka analisis, sehingga rantai serangan penuh tidak diketahui. Namun, mereka menemukan file bernama wxd.conf yang isinya mirip dengan file konfigurasi untuk reverse proxy open-source yang dapat digunakan untuk mengekspos sistem di belakang NAT ke internet.

Analisis penangkapan paket jaringan dari alat menyarankan malware menghubungkan dua server eksternal yang dikendalikan penyerang untuk mengunduh muatan tambahan dan perintah untuk dieksekusi.

Fortinet juga telah merilis tanda tangan IPS (sistem pencegahan intrusi) untuk mendeteksi upaya eksploit, serta aturan deteksi untuk implan yang dikenal di mesin antivirusnya.

sumber : paulponraj

Hal-hal Buruk Datang dalam Paket Besar: Bypass Verifikasi Tanda Tangan .pkg di MacOS

by

Kerentanan (CVE-2022-42841) yang dapat digunakan untuk memodifikasi paket penginstal yang ditandatangani tanpa membatalkan tanda tangannya. Kerentanan ini dapat disalahgunakan untuk mem-bypass Gatekeeper, SIP dan dalam kondisi tertentu meningkatkan hak istimewa ke root.

Kerentanan
Untuk paket yang ditandatangani, hash TOC perlu digunakan untuk dua pemeriksaan berbeda:

  • Hash TOC yang dihitung harus sama dengan hash TOC yang disimpan di heap.
  • Tanda tangan dan sertifikat harus sesuai dengan hash TOC.

Ini diterapkan di lokasi berikut dalam kode sumber xar.

Di sini, TOC yang dihitung dibandingkan dengan nilai yang disimpan di heap.

https://github.com/apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/archive.c#L391-L484

Ini pertama mengambil atribut atribut checksum dari dokumen XML sebagai nilai const char *. Kemudian, strtoull mengubahnya menjadi bilangan bulat 64-bit yang tidak ditandatangani dan disimpan dalam variabel offset.

Untuk mendapatkan hash TOC untuk memvalidasi tanda tangan, sedikit kode serupa digunakan:
https://github.com/Apple-oss-distributions/xar/blob/f67a3a8c43fdd35021fd3d1562b62d2da32b4f4b/xar/lib/signature.c#L244-L276

Perhatikan di sini perbedaan kecil tapi sangat penting: sementara perbandingan pertama menyimpan offset dalam offset uint64_t (integer unsigned 64-bit), di sini ia menggunakan offset uint32_t (integer unsigned 32-bit). Perbedaan ini berarti bahwa jika offset berada di luar rentang yang dapat disimpan dalam nilai 32-bit, kedua pemeriksaan tersebut dapat menggunakan offset heap yang berbeda.

Dengan demikian, dimungkinkan untuk memodifikasi file xar tanpa membatalkan tanda tangannya sebagai berikut:

  • Ambil file xar yang ditandatangani dengan benar dan parsing TOC.
  • Ubah nilai offset checksum menjadi 4294967296 (dan buat perubahan lain yang Anda inginkan pada file yang disertakan, seperti menambahkan skrip prainstal berbahaya atau mengganti skrip pemeriksaan instalasi).
  • Tulis TOC yang dimodifikasi kembali ke file dan hitung hash TOC baru.
  • Tambahkan padding hingga heap berukuran tepat 4294967296 byte (4 GiB).
  • Tempatkan hash TOC baru di heap offset 4294967296, biarkan hash TOC asli di heap offset 0.

    • Perbaikan
    Ini diperbaiki oleh Apple dengan perbaikan 2 karakter: mengubah uint32_t menjadi uint64_t di macOS 13.1.

    selengkapnya : sector7

Kerentanan dengan tingkat keparahan 9.8 di Panel Web Kontrol berada di bawah eksploit aktif

by

Peretas jahat telah mulai mengeksploitasi kerentanan kritis dalam versi Panel Web Kontrol yang belum ditambal, antarmuka yang banyak digunakan untuk hosting web.

“Ini adalah RCE yang tidak diautentikasi,” tulis anggota grup Shadowserver di Twitter, menggunakan singkatan untuk eksploitasi kode jarak jauh. “Eksploitasi itu sepele dan PoC diterbitkan.” PoC mengacu pada kode proof-of-concept yang mengeksploitasi kerentanan.

Kerentanan dilacak sebagai CVE-2022-44877. Ditemukan oleh Numan Türle dari Gais Cyber Security dan ditambal pada bulan Oktober dalam versi 0.9.8.1147. Penasihat tidak dipublikasikan sampai awal bulan ini, namun, kemungkinan besar beberapa pengguna masih tidak menyadari ancaman tersebut.

Angka yang diberikan oleh perusahaan Keamanan GreyNoise menunjukkan bahwa serangan dimulai pada 7 Januari dan perlahan meningkat sejak saat itu, dengan putaran terbaru berlanjut hingga Rabu. Perusahaan mengatakan eksploit berasal dari empat alamat IP terpisah yang berlokasi di AS, Belanda, dan Thailand.

Shadowserver menunjukkan bahwa ada sekitar 38.000 alamat IP yang menjalankan Panel Web Kontrol, dengan konsentrasi tertinggi di Eropa, diikuti oleh Amerika Utara dan Asia.

Peringkat keparahan untuk CVE-2022-44877 adalah 9,8 dari kemungkinan 10. “Perintah Bash dapat dijalankan karena tanda kutip ganda digunakan untuk mencatat entri yang salah ke sistem,” kata penasehat untuk kerentanan. Akibatnya, peretas yang tidak diautentikasi dapat menjalankan perintah jahat selama proses login. Video berikut menunjukkan aliran eksploit.

Selengkapnya: ars TECHNICA