Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Vulnerability

Vulnerability

Bug yang dieksploitasi secara aktif melewati otentikasi pada jutaan router

by

Pelaku ancaman secara aktif mengeksploitasi kerentanan bypass otentikasi kritis yang memengaruhi router rumah dengan firmware Arcadyan untuk mengambil alih dan menyebarkan muatan berbahaya botnet Mirai.

Kerentanan yang dilacak sebagai CVE-2021-20090 adalah kerentanan traversal jalur kritis (diberi peringkat 9.9/10) di antarmuka web router dengan firmware Arcadyan yang dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mem-bypass otentikasi.

Serangan yang sedang berlangsung ditemukan oleh peneliti Juniper Threat Labs saat memantau aktivitas aktor ancaman yang dikenal menargetkan jaringan dan perangkat IoT sejak Februari.

Perangkat yang rentan termasuk lusinan model router dari beberapa vendor dan ISP, termasuk Asus, British Telecom, Deutsche Telekom, Orange, O2 (Telefonica), Verizon, Vodafone, Telstra, dan Telus.

Berdasarkan jumlah model router dan daftar panjang vendor yang terkena dampak bug ini, jumlah total perangkat yang terkena serangan kemungkinan mencapai jutaan router.

Cacat keamanan ditemukan oleh Tenable, yang menerbitkan penasihat keamanan pada 26 April dan menambahkan bukti konsep kode eksploitasi pada Selasa, 3 Agustus.

Sejak Kamis, Juniper Threat Labs “mengidentifikasi beberapa pola serangan yang mencoba mengeksploitasi kerentanan ini di alam liar yang berasal dari alamat IP yang terletak di Wuhan, provinsi Hubei, Cina.”

Pelaku ancaman di balik aktivitas eksploitasi yang sedang berlangsung ini menggunakan alat berbahaya untuk menyebarkan varian botnet Mirai, serupa dengan yang digunakan dalam kampanye Mirai yang menargetkan perangkat IoT dan keamanan jaringan, yang ditemukan oleh peneliti Unit 42 pada bulan Maret.

Selengkapnya: Bleeping Computer

Library “net” di bahasa pemrograman Rust, Go mendapatkan dampak dari kerentanan validasi alamat IP kritis

by

Library “net” yang umum digunakan dalam bahasa Go dan Rust juga terpengaruh oleh kerentanan validasi alamat IP format campuran.

Bug tersebut berkaitan dengan bagaimana net memperlakukan alamat IP sebagai desimal, bahkan ketika disediakan dalam format campuran (oktal-desimal).

Akibatnya, aplikasi yang mengandalkan jaringan bisa rentan terhadap kerentanan Server-Side Request Forgery (SSRF) dan Remote File Inclusion (RFI) yang tidak dapat ditentukan.

Sebelumnya, cacat tersebut berdampak pada berbagai implementasi library netmask, yang diandalkan oleh ribuan aplikasi. Kemudian, library standar Python yang disebut ipaddress juga ditemukan rentan terhadap cacat tersebut.

Kerentanan, dilacak sebagai CVE-2021-29922 (untuk Rust) dan CVE-2021-29923 (untuk Golang) menyangkut bagaimana net menangani alamat IP format campuran, atau lebih khusus lagi ketika alamat IPv4 desimal berisi nol di depan.

Menurut pengelola proyek, modul net Golang akan memiliki tambalan yang dikeluarkan dalam (beta) versi 1.17.

Untuk Rust, perbaikan telah digabungkan di library net, seperti yang dikonfirmasi oleh BleepingComputer:

Sumber: BleepingComputer

Selengkapnya: Bleeping Computer

Peneliti keamanan memperingatkan kelemahan tumpukan TCP/IP dalam perangkat teknologi operasional

by

Kerentanan keamanan dalam protokol komunikasi yang digunakan oleh sistem kontrol industri dapat memungkinkan penyerang dunia maya untuk merusak atau mengganggu layanan, serta mengakses data di jaringan.

Dijuluki INFRA:HALT, kumpulan 14 kerentanan keamanan telah dirinci oleh peneliti keamanan siber di Forescout Research Labs dan JFrog Security Research, yang memperingatkan bahwa jika dibiarkan, kelemahan tersebut dapat memungkinkan eksekusi kode jarak jauh, penolakan layanan, atau bahkan kebocoran informasi.

Semua kerentanan terkait dengan tumpukan TCP/IP – protokol komunikasi yang biasa digunakan di perangkat yang terhubung – di NicheStack, digunakan di seluruh teknologi operasional (OT) dan infrastruktur industri.

Beberapa kerentanan yang baru ditemukan berusia lebih dari 20 tahun, masalah umum dalam teknologi operasional, yang masih sering berjalan pada protokol yang dikembangkan dan diproduksi bertahun-tahun yang lalu.

Forescout telah merinci setiap kerentanan dalam posting blog – mereka terkait dengan proses paket yang salah yang memungkinkan penyerang mengirim instruksi untuk membaca atau menulis di bagian memori yang seharusnya tidak.

Semua versi NicheStack sebelum versi 4.3, termasuk NicheLite, dipengaruhi oleh kerentanan, yang telah diungkapkan ke HCC Embedded, yang mengakuisisi NicheStack pada 2016.

Bleum pasti berapa total perangkat OT yang rentan, tetapi para peneliti dapat mengidentifikasi lebih dari 6.400 perangkat yang rentan dengan menggunakan Shodan, mesin pencari Internet of Things.

Untuk membantu melindungi teknologi operasional dari segala jenis serangan siber, para peneliti di Forescout merekomendasikan agar segmentasi jaringan diterapkan, sehingga teknologi operasional yang tidak perlu terpapar ke internet tidak dapat ditemukan dari jarak jauh – dan teknologi yang tidak perlu terhubung ke internet sama sekali berada di jaringan yang terpisah dengan celah udara.

Selengkapnya: ZDNet

Kerusakan IoT di hotel kapsul membawa balas dendam tetangga ke tingkat berikutnya

by

BLACK HAT USA: Para peneliti telah mengungkapkan bagaimana kerentanan keamanan dapat dieksploitasi untuk mengkompromikan perangkat Internet of Things (IoT) hotel — dan membalas dendam pada tetangga yang berisik.

Perangkat IoT sekarang menjadi hal yang lumrah baik di bisnis maupun di rumah. Internet dan produk yang sering terhubung ke Bluetooth ini berkisar dari kamera keamanan hingga pencahayaan cerdas; lemari es yang memantau bahan makanan Anda, pelacak hewan peliharaan, termostat cerdas — dan di ruang perhotelan, IoT juga digunakan untuk memberi tamu lebih banyak kendali atas masa inap mereka.

Layanan ini terkadang ditawarkan melalui aplikasi dan tablet khusus, memungkinkan pengelolaan lampu, pemanas, AC, televisi, dan banyak lagi.

Namun, saat Anda membuat jaringan IoT dan menyerahkan kendali kepada pihak ketiga, Anda juga dapat memberikan individu kunci kerajaan digital — dan kemampuan untuk menyebabkan kerusakan, atau lebih buruk lagi.

Berbicara di Black Hat USA, Las Vegas, konsultan keamanan Kya Supa dari LEXFO menjelaskan bagaimana rantai kelemahan keamanan digabungkan dan dieksploitasi untuk menguasai kamar di hotel kapsul, jenis hotel budget-friendly yang menawarkan sangat kecil — dan, oleh karena itu, nyaman — ruang untuk tamu, yang ditumpuk berdampingan.

Supa sedang bepergian dan check in ke hotel kapsul di luar negeri. Ketika mereka tiba, para tamu diberikan iPod Touch. Kapsul berisi tempat tidur dan tirai untuk privasi, serta kipas ventilasi.

Teknologi yang digunakan termasuk kartu NFC untuk setiap lantai, opsi untuk mencerminkan layar perangkat di tirai, dan di iPod Touch, para tamu dapat mengontrol lampu, kipas ventilasi, dan mengubah posisi tempat tidur yang dapat disesuaikan melalui aplikasi. Aplikasi ini terhubung melalui Bluetooth atau Wi-Fi.

Seorang tetangga, “Bob,” terus membangunkan Supa dengan melakukan panggilan telepon yang keras pada dini hari. Sementara Bob telah setuju untuk tidak berisik, dia tidak menepati janjinya — dan peneliti mulai bekerja karena dia membutuhkan tidurnya, terutama selama liburannya.

Hal pertama yang dilakukan Supa adalah menjelajahi kamarnya, menemukan lampu darurat yang dipasang untuk alasan keamanan; pusat otomat Nasnos untuk digunakan dalam mengendalikan produk jika iPod Touch hilang; motor listrik yang digunakan untuk mengatur kemiringan tempat tidur kapsul; dan router Nasnos, tersembunyi di dinding.

Jika Anda terhubung ke router melalui smartphone, maka Anda memungkinkan untuk mengontrol perangkat lain di jaringan, dan ini adalah pengaturan yang dipilih hotel untuk digunakan.

Dengan menggunakan smartphone Android, iPod Touch, dan laptop, peneliti membuat arsitektur Man-in-The-Middle (MiTM) dan memeriksa lalu lintas jaringan. Tidak ada enkripsi yang ditemukan dan dia membuat program sederhana untuk merusak koneksi ini, memungkinkan peneliti untuk menguasai kamarnya melalui laptopnya.

Sekarang, itu akan ditentukan apakah kuncinya akan berlaku untuk kamar tidur lainnya.

Supa mengunduh aplikasi router Nasnos dan merekayasa balik perangkat lunak untuk melihat bagaimana kunci Wi-Fi dibuat, dan sementara penyelidikan ini gagal, ia dapat menemukan bahwa paket dikirim melalui port UDP 968, dan kurangnya otentikasi berarti ia masih bisa mengamankan kunci Wi-Fi.

Hanya empat digit di setiap kunci yang tampaknya dihasilkan secara berbeda, dikonfirmasi melalui serangan dictionary, dan kemudian program eksploitasi cepat, Supa memiliki kendali atas fitur cerdas setiap kamar tidur.

Sekarang dia bisa “mengendalikan setiap kamar tidur”, dan Bob masih di sana, Supa kemudian mengubah lampu kamar tidur yang berbeda sampai dia menemukan yang tepat.

Dia membuat script yang, setiap dua jam, akan mengubah tempat tidur menjadi sofa dan menyalakan dan mematikan lampu.

Script diluncurkan pada tengah malam. Kita mungkin bisa berasumsi Bob tidak menikmati masa tinggalnya.

Selengkapnya: ZDNet

Jaringan Industri Terekspos Melalui Teknologi Operasional Berbasis Cloud

by

Manfaat menggunakan platform manajemen berbasis cloud untuk memantau dan mengonfigurasi perangkat sistem kontrol industri (ICS) sangat jelas — efisiensi, penghematan biaya, dan diagnostik yang lebih baik hanya sebagai permulaan. Tetapi penelitian baru menemukan kerentanan kritis dalam platform ini yang dapat digunakan untuk melumpuhkan operasi jika dibiarkan tanpa tanggung jawab.

Analisis oleh tim peneliti Team82 Claroty yang baru menemukan kerentanan mencolok dalam sistem industri CODESYS dan WAGO, yang menggunakan otomatisasi berbasis cloud untuk teknologi operasional (OT) — segmen yang sering disebut sebagai “Industri 4.0.”

Kerentanan, jika dieksploitasi, dapat menyebabkan konsekuensi serius, termasuk menguasai peralatan dan operasi industri.

Sumber: Claroty

Beberapa jenis eksploitasi dapat dilakukan, tetapi Claroty menandai beberapa catatan. Dalam satu bukti konsep, mereka dapat memodifikasi paket CODESYS Package Designer untuk mengambil kredensial cloud pengguna; serangan melibatkan rekayasa sosial pengguna yang masuk untuk menginstalnya.

Serangan itu akan memungkinkan akses ke konsol manajemen berbasis cloud CODESYS, dimana musuh dapat lebih jauh mengeksploitasi PLC terkelola yang terhubung ke konsol.

WAGO dan CODESYS dengan cepat merespons dengan mitigasi dan patch untuk semua kerentanan yang dilaporkan.

Selengkapnya: Threat Post

Kebijakan perangkat lunak baru China mempersenjatai penelitian keamanan siber

by

Peretasan server Microsoft Exchange yang baru saja dikaitkan AS dengan China dapat menjadi kejadian yang lebih umum dan berbahaya dengan pengumuman aturan baru China untuk kerentanan perangkat lunak.

Peraturan, yang mulai berlaku pada bulan September, memaksa perusahaan asing untuk mengungkapkan kesalahan ini jika mereka ingin melakukan bisnis di China. Dengan melakukan itu, mereka mempersenjatai proses penemuan kerentanan dan memiliki konsekuensi keamanan nasional yang signifikan bagi AS dan sekutunya.

Kerentanan, ketika dieksploitasi dengan benar, memungkinkan penyerang mengakses sesuatu yang seharusnya tidak dapat mereka jangkau. Di A.S., komunitas aktif peneliti keamanan siber, yang diberi insentif oleh program hadiah perusahaan dan kompetisi keamanan siber yang menguntungkan, secara sukarela mengungkapkan informasi tentang kerentanan kepada perusahaan atau pemerintah A.S.

Institut Nasional Standar dan Teknologi mengelola proses ini, mengeluarkan nomor ID dan mendaftarkan kerentanan di Database Kerentanan Nasional. Peretas pemerintah menemukan kerentanan mereka sendiri, baik dengan melakukan lusinan jam penelitian atau dengan membelinya dari vendor.

Tetapi aturan baru China tentang kerentanan perangkat lunak mencoba mengubah sistem ini. Kebijakan baru membuat komunitas keamanan siber global berada dalam jalur penemuan kerentanan China dengan mewajibkan perusahaan yang melakukan bisnis di China untuk mengungkapkan kerentanan mereka kepada pemerintah.

Selengkapnya: The Hill

Kerentanan Windows 10 baru memungkinkan siapa saja untuk mendapatkan hak istimewa admin

by

Windows 10 dan Windows 11 rentan terhadap peningkatan kerentanan hak istimewa lokal setelah menemukan bahwa pengguna dengan hak istimewa rendah dapat mengakses file database Registry yang sensitif.

Registry Windows bertindak sebagai repositori konfigurasi untuk sistem operasi Windows dan berisi kata sandi hash, penyesuaian pengguna, opsi konfigurasi untuk aplikasi, kunci dekripsi sistem, dan banyak lagi.

File database yang terkait dengan Windows Registry disimpan di bawah folder C:\Windows\system32\config dan dipecah menjadi file yang berbeda seperti SYSTEM, SECURITY, SAM, DEFAULT, dan SOFTWARE.

Karena file ini berisi informasi sensitif tentang semua akun pengguna di perangkat dan token keamanan yang digunakan oleh fitur Windows, file tersebut harus dibatasi agar tidak dilihat oleh pengguna biasa tanpa hak istimewa yang lebih tinggi.

Hal ini terutama berlaku untuk file Security Account Manager (SAM) karena berisi kata sandi hash untuk semua pengguna di sistem, yang dapat digunakan oleh pelaku ancaman untuk mengasumsikan identitas mereka.

Peneliti keamanan Jonas Lykkegaard mengatakan kepada BleepingComputer bahwa dia menemukan file Registry Windows 10 dan Windows 11 yang terkait dengan Security Account Manager (SAM), dan semua database Registry lainnya, dapat diakses oleh grup ‘Pengguna’ yang memiliki hak istimewa rendah pada perangkat.

Dengan izin file yang rendah ini, aktor ancaman dengan hak istimewa terbatas pada perangkat dapat mengekstrak kata sandi hash NTLM untuk semua akun di perangkat dan menggunakan hash tersebut dalam serangan pass-the-hash untuk mendapatkan hak istimewa yang lebih tinggi.

Serangan ini ditunjukkan dalam video di bawah yang dibuat oleh Delpy dan dibagikan dengan BleepingComputer yang menunjukkan Mimikatz menggunakan hash NTLM untuk mendapatkan hak debug.

Selengkapnya: Bleeping Computer

Microsoft menemukan zero-day SolarWinds kritis di bawah serangan aktif

by

SolarWinds, perusahaan yang menjadi pusat serangan rantai pasokan yang membahayakan sembilan agensi AS dan 100 perusahaan swasta, berusaha keras untuk mengatasi ancaman keamanan baru: kerentanan zero-day kritis dalam lini produk Serv-U-nya.

Microsoft menemukan eksploitasi dan secara pribadi melaporkannya ke SolarWinds, kata perusahaan dalam sebuah nasihat yang diterbitkan pada hari Jumat. SolarWinds mengatakan serangan itu sama sekali tidak terkait dengan serangan rantai pasokan yang ditemukan pada bulan Desember.

Hanya SolarWinds Serv-U Managed File Transfer dan Serv-U Secure FTP—dan dengan ekstensi, Serv-U Gateway, komponen dari kedua produk tersebut—yang terpengaruh oleh kerentanan ini, yang memungkinkan penyerang mengeksekusi kode berbahaya dari jarak jauh pada sistem yang rentan.

Penyerang dapat memperoleh akses istimewa ke mesin yang dieksploitasi yang menghosting produk Serv-U dan kemudian dapat menginstal program; melihat, mengubah, atau menghapus data; atau menjalankan program pada sistem yang terpengaruh. Kerentanan ada di Serv-U versi 15.2.3 HF1 terbaru, dirilis pada 5 Mei, dan semua versi sebelumnya.

SolarWinds telah mengeluarkan perbaikan terbaru untuk mengurangi serangan sementara perusahaan bekerja pada solusi permanen. Orang yang menjalankan Serv-U versi 15.2.3 HF1 harus menerapkan hotfix (HF) 2; mereka yang menggunakan Serv-U 15.2.3 harus menerapkan Serv-U 15.2.3 HF1 dan kemudian menerapkan Serv-U 15.2.3 HF2; dan yang menjalankan versi Serv-U sebelum 15.2.3 harus meningkatkan ke Serv-U 15.2.3, menerapkan Serv-U 15.2.3 HF1, dan kemudian menerapkan Serv-U 15.2.3 HF2.

Perusahaan mengatakan pelanggan harus segera menginstal perbaikan.

Selengkapnya: Ars Technica