گزارشی از 307 مورد خدمت ارائه شده توسط مرکز ماهر در دی ماه سال 1400 در گراف‌های زیر قابل مشاهده است. خدمات ارائه شده شامل فراوانی گزارش‌های دریافتی و نوع رخدادهای رسیدگی شده توسط مرکز، بخش‌های دریافت کننده این خدمات و نحوه مطلع شدن مرکز از این رخدادها است.
اخیراً در به‌روزرسانی‌های محصولات سیسکو یک آسیب‌پذیری بحرانی با شدت 9.6 وصله شده است. این آسیب‌پذیری با شناسه CVE-2022-20658 شناخته شده و مهاجم با دارا بودن اعتبارنامه‌های معتبر (مربوط به یک کاربر با سطح دسترسی بالا) و ارسال یک درخواست HTTP مخرب به سیستم آسیب‌پذیر، می‌تواند از این آسیب‌پذیری بهره‌برداری کند. بهره‌برداری موفق از آسیب‌پذیری مذکور به مهاجم احرازهویت شده امکان می‌دهد سطح دسترسی خود را به Admin ارتقاء داده یا حساب‌های کاربری با سطح دسترسی Admin بسازد.
هیچ‌گونه روش موقتی جهت کاهش مخاطرات آسیب‌پذیری‌های مذکور منتشر نشده است؛ لذا به کاربران توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سیستم‌های آسیب‌پذیر اقدام کنند.
این آسیب‌پذیری بر محصولات Cisco Unified CCMP و Cisco Unified CCDM (در صورتی که دارای پیکربندی پیش‌فرض باشند) تاثیر می‌گذارد.
جهت مشاهده اطلاعات بیشتر راجع به آسیب‌پذیری مذکور و نحوه به‌روزرسانی به لینک زیر مراجعه کنید:
اخیراً یک آسیب‌پذیری مبتنی بر JNDI در کنسول پایگاه داده H2 شناسایی شده است که منشا آن مشابه منشا آسیب‌پذیری Log4Shell در کتابخانه Log4j است. به گفته‌ی محققان امنیتی این آسیب‌پذیری با شناسه CVE-2021-42392 شناخته می‌شود و امکان اجرای کد از راه دور را برای مهاجم احراز هویت نشده فراهم می‌کند.
پایگاه داده H2 یک سیستم مدیریت پایگاه داده رابطه‌ای و یک پروژه متن باز است که به زبان جاوا توسعه داده شده و می‌تواند در برنامه‌های کاربردی تعبیه و یا در حالت کلاینت-سرور اجرا شود.
این آسیب‌پذیری در نسخه‌های 1.1.100 تا 2.0.204 این محصول وجود دارد. توصیه می‌شود نسخه‌ی پایگاه داده H2 مورد استفاده خود را به 2.0.206 ارتقا دهید. درصورت عدم امکان ارتقای نسخه، توصیه می‌گردد از نسخه‌های جاوا (JRE/JDK) زیر (یا نسخه‌های جدیدتر) که مخاطرات ناشی از این آسیب‌پذیری را کاهش می‌دهند (به عنوان راهکار موقت)، استفاده کنید:
منابع:
https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/
https://www.h2database.com/html/main.html
https://github.com/h2database/h2database/releases/tag/version-2.0.206
وردپرس با انتشار به‌روزرسانی‌های امنیتی، چهار آسیب‌پذیری امنیتی را در نسخه 5.8.3 خود وصله نموده است. آسیب‌پذیری‌های مذکور شامل دو آسیب‌پذیری تزریق SQL (CVE-2022-21664 و CVE-2022-21661 با شدت 7.4 و 8.0)، یک آسیب‌پذیری Stored XSS (CVE-2022-21662 با شدت 8.0) و یک آسیب‌پذیری تزریق شیء (CVE-2022-21663 با شدت 6.6) هستند. کلیه نسخه‌های بین 3.7 تا 5.8 وردپرس تحت تاثیر این آسیب‌پذیری‌ها قرار دارند. به کاربران توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سایت‌های وردپرسی آسیب‌پذیر اقدام کنند.
هیچ‌گونه روش موقتی جهت کاهش مخاطرات آسیب‌پذیری‌های مذکور منتشر نشده است. اعمال به‌روزرسانی‌ها به‌صورت زیر انجام می‌پذیرد:
در صورتی که سایت وردپرسی از به‌روزرسانی‌های خودکار در پس‌زمینه پشتیبانی می‌کند، فرآیند به‌روزرسانی به‌صورت خودکار در آن آغاز می‌شود.
جهت کسب اطلاعات بیشتر در مورد این آسیب‌پذیری‌ها به لینک زیر مراجعه کنید:
https://wordpress.org/news/2022/01/wordpress-5-8-3-security-release/
منابع:
https://wordpress.org/news/2022/01/wordpress-5-8-3-security-release/
https://www.wordfence.com/blog/2022/01/wordpress-5-8-3-security-release/
مایکروسافت گزارش آسیب‌پذیری‌های امنیتی موثر بر محصولات و خدمات مایکروسافت را بررسی و آخرین به‌روزرسانی را برای محصولات خود منتشر کرده است. در اصلاحیه امنیتی سه شنبه 11 ژانویه 2022 مایکروسافت 97 آسیب‌پذیری (6 آسیب‌پذیری روز صفرم) را برطرف کرده است. از این 97 آسیب‌پذیری (41 مورد Elevation of Privilege، 9 مورد Security Feature Bypass، 29 مورد Remote Code Execution، 6 مورد Information Disclosure، 9 مورد Denial of Service، 3 مورد Spoofing)، 9 مورد دارای درجه حساسیت بحرانی و 88 مورد دارای درجه حساسیت مهم طبقه‌بندی شده‌اند.
آسیب‌پذیری‌های روز صفرم شامل شناسه‌های زیر می‌شوند:
طبق گزارش مایکروسافت، تعدادی از این آسیب‌پذیری‌ها به‌صورت عمومی دارای اکسپلویت بوده و ممکن است توسط مهاجمین در حال بهره‌برداری باشند.
در به‌روزرسانی این ماه، وصله‌ها شامل موارد زیر بوده‌اند:
در نهایت مایکروسافت اکیداً توصیه به به‌روزرسانی فوری در محصولات تحت تاثیر داشته است.
منابع:
https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2022-patch-tuesday-fixes-6-zero-days-97-flaws/
https://www.tenable.com/blog/microsofts-january-2022-patch-tuesday-addresses-97-cves-cve-2022-21907
https://msrc.microsoft.com/update-guide/en-us
بر اساس گزارش‌های واصله به مرکز ماهر حملات گروه‌های باج افزاری به دیتاسنترها و هاستیگ‌ها از طریق آسیب‌پذیری log4shell در محصولات VMWARE در حال وقوع است. ضمن تاکید بر جداسازی ZONE مدیریتی و محدودیت شدید دسترسی به واسط وبی vcenter حتی از داخل شبکه، نسبت به اعمال وصله‌های امنیتی مربوطه اقدام فوری انجام شود. توصیه می‌شود با استفاده از ابزار زیر نسبت به ارزیابی ipهای داخلی شبکه برای یافتن آسیب‌پذیری‌های احتمالی اقدام شود:
در صورتی که قصد دارید به صورت محلی بدون ارتباط با بیرون، IPهای داخل شبکه را نسبت به #آسیب‌پذیری log4shell تست کنید می‌توانید از ابزار توسعه داده شده توسط آپای ارومیه استفاده کنید. با استفاده از این ابزار تعدادی پورت پرکاربرد روی یک محدوده از آی پی‌ها، در خصوص آسیب‌پذیر بودن log4shell مورد بررسی قرار می‌گیرد. با استفاده از این ابزار هیچ اطلاعاتی در مورد سرور شما به خارج از شبکه ارسال نمی‌شود. البته بایستی بین مقاصد تست شده و ماشینی که ابزار اجرا می‌شود مسیریابی انجام شود و بسته‌ها دو طرفه بتوانند حرکت کنند. دقت شود که فایروال ماشین ارزیاب در حین ارزیابی قطع باشد.
فایل اجرایی ویندوز و لینوکس ابزار: log4jScanner.zip
راهنمای استفاده از ابزار: Log4jScanner_Manual.pdf
دقت شود که برای استفاده از این ابزار اولا دسترسی ادمین یا روت به برنامه داده شود و همچنین پورت ۱۳۸۹ در پروتکل tcp و پورت ۵۳ در پروتکل udp از سمت فایروال باز بوده و امکان دسترسی به آن از بیرون وجود داشته باشد. شکل کلی استفاده از ابزار به این صورت است:
فرض کنیم آی‌پی خودمان داخل شبکه ۱۹۲.۱۶۸.۱۰.۱۰۰ و در بستر اینترنت ۲.۱۸۷.۲۴۰.۱۳۰ باشد.
اگر هدف اسکن یک رنج آی‌پی داخلی باشد دستور به صورت زیر خواهد بود:
log4jScanner_windows.exe scan --cidr=192.168.10.0/24 --server-ip=192.168.10.100
در این صورت تعداد ۲۵۴ آی‌پی موجود در این بازه برای ۱۰ پورت متداول وب مورد اسکن قرار خواهد گرفت.
استفاده از آرگومان server-ip به این دلیل است که برنامه احیانا اشتباها آی‌پی دیگری از سیستم اسکنر را به عنوان سرور در نظر نگیرد.
اگر هدف اسکن یک آی‌پی خاص مثلا ۱۹۲.۱۶۸.۱۰.۱۱۳ باشد دستور به شکل زیر خواهد بود:
log4jScanner_windows.exe scan --ip=192.168.10.113 --server-ip=192.168.10.100
اگر یک فایل با نام ip-list.txt شامل لیست آی‌پی‌های خارج از شبکه و در بستر اینترنت داشته باشیم و بخواهیم این لیست را برای پورتهای ۸۰ و ۴۴۳ اسکن کنیم دستور به صورت زیر درخواهد آمد:
log4jScanner_windows.exe scan --list=ip-list.txt --ports=80,443 --server-ip=2.187.240.130
دقت شود که در این حالت بایستی آی‌پی خارجی سرور مورد استفاده قرار گیرد.
استفاده از دیگر آرگومان‌های برنامه دلخواه بوده و می‌توان با دستور زیر همه آن‌ها را مشاهده کرد:
log4jScanner_windows.exe scan --help
اسکن از بیرون برای یافتن سرویس‌های آسیب‌پذیر در شبکه لزوما موفق آمیز نخواهد بود حتی اگر از ابزارهای قوی استفاده شود. روش درست این قضیه اسکن تمام فایل‌های سرور برای یافتن کتابخانه‌های آسیب‌پذیر است. به این منظور فایل پویشگر یافتن کتابخانه‌های Log4j آسیب‌پذیر در سیستم‌های ویندوزی و لینوکسی تهیه شده است:
اجرای فایل در سیستم‌های ویندوزی با استفاده از دستور java -jar Log4j_Scanner_v1.jar انجام می‌شود.
در سیستم‌های لینوکسی فایل پس از اجرایی کردن (chmod +x Log4j_Scanner_v1.jar) قابل اجرا است.
با انتخاب گزینه 1 کل سیستم پویش می‌شود:
با انتخاب گزینه 2 می‌توان یک مسیر مورد نظر را به‌منظور انجام پویش وارد کرد:
در حین انجام پویش با یافتن هر آسیب‌پذیری جزئیات مربوط به آن شامل سطح خطر (Critical و Medium)، CVE مربوط به آسیب‌پذیری (یکی از موارد CVE-2021-45105 ,CVE-2021-45046 ,CVE-2021-44228 و CVE-2021-44832)، مسیر کتابخانه آسیب‌پذیر و نسخه آن نمایش داده می‌شود. شکل زیر نمونه‌ای از خروجی مربوط به سه آسیب‌پذیری پیداشده را نشان داده است:
پس از پایان پویش گزارش خلاصه‌ای از آسیب‌پذیری‌های پیداشده به‌صورت زیر نمایش داده می‌شود (تعداد آسیب‌پذیری‌های پیداشده به تفکیک درجه خطر آن‌ها، راهنمای وصله‌کردن آسیب‌پذیری‌ها). همان طور که در این خلاصه گفته شده است نتایج پویش در فایلی با نام Log4j_Vulnerabilities.txt نیز ذخیره می‌شود.
شرکت Apache در به‌روزرسانی‌های اخیر خود دو #آسیب‌پذیری بحرانی و شدت بالا را در HTTP سرور‌های خود رفع کرده است. این آسیب‌پذیری‌ها با شناسه CVE-2021-44790 و CVE-2021-44224 و شدت 9.8 و 8.2 شناخته شده و نسخه‌های پیش از 2.4.51 از Apache HTTP Server را تحت تاثیر خود قرار می‌دهند.
مهاجم با بهره‌برداری از این آسیب‌پذیری‌ها قادر است کد دلخواه خود را در وب‌سرورهای آسیب‌پذیر اجرا کند یا منجر به اقدامات غیرمجاز یا دسترسی به داده‌های حساس سازمان شده و در نهایت کنترل سیستم آسیب‌پذیر را به دست گیرد. هیچ‌گونه روشی جهت کاهش مخاطرات این آسیب‌پذیری‌ها منتشر نشده است؛ لذا به کاربران توصیه می‌شود هرچه سریع‌تر به‌روزرسانی‌های منتشر شده را در سیستم‌های آسیب‌پذیر اعمال نمایند.
https://www.cisa.gov/uscert/ncas/current-activity/2021/12/22/apache-releases-security-update-http-server
https://nvd.nist.gov/vuln/detail/CVE-2021-44790
https://nvd.nist.gov/vuln/detail/CVE-2021-44224
https://httpd.apache.org/security/vulnerabilities_24.html
ابزارهای متعددی برای ارزیابی و اسکن آدرس‌های آسیب‌پذیر به Log4shell ارایه شده است. هرکدام بخشی از نقاط آسیب‌پذیر را تشخیص می‌دهند و هیچ کدام مدعی کامل بودن نیستند. برای اسکن سایت یا ip می‌توانید از ابزار https://log4j.cert.ir استفاده نمایید.
این ابزار مانند بسیاری از ابزارهای معتبر دیگر ممکن است یک مورد آسیب‌پذیر را به عنوان عدم آسیب‌پذیر تشخیص دهد. لذا توصیه می‌شود به خروجی این ابزار بسنده نکرده و با توجه به دستورالعمل‌های امن‌سازی نسبت به ارتقاء کتابخانه‌ی log4j و سایر اقدامات توصیه شده مراجع ذیصلاح اقدام نمایید.