یک آسیب‌پذیری با شناسه CVE-2024-31491 و شدت بالا (8.6) در FortiSandbox کشف و شناسایی شده است که طبق بررسی‌های صورت گرفته، مهاجم احراز هویت شده با سطح دسترسی پایین (read-only) با می‌تواند فایل‌های پیکربندی را از طریق درخواست‌های HTTP دانلود یا آپلود کند و منجر به بهره‌برداری از این نقص امنیتی شود. بر اساس بردار حمله این آسیب‌پذیری، ‌ CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hبهره‌برداری از آن‌ از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) و نیازمند پیش‌زمینه‌ خاصی نبوده و به‌راحتی قابل تکرار است و  به شرایط خاصی  نیاز  نیست(AC: L)، برای انجام حمله به حساب کاربری با سطح دسترسی پایین نیاز است (PR: L) و به تعامل کاربر نیاز ندارد (UL:N)، بهره‌برداری از آسیب‌پذیری‌ مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U)  و هر سه ضلع امنیت با شدت بالایی تحت تأثیر قرار می‌گیرند (C:H/I:H/A:H).

محصولات تحت تأثیر و توصیه‌های امنیتی
در جدول زیر نسخه‌های تحت تأثیر و توصیه امنیتی ذکر شده است:

 
منبع خبر:

 https://www.fortiguard.com/psirt/FG-IR-24-054 

D-Link EXO AX4800 (DIR-X4860) یک روتر محبوبwifi 6  است که به تازگی آسیب‌پذیری روزصفر RCE zero-day برای این روتر کشف و شناسایی شده است که در صورت بهره‌بردرای توسط یک مهاجم احراز هویت نشده، می‌تواند منجر به اجرای کد از راه دور و تصاحب کامل دستگاه با دسترسی به پورت HNAP شود. دسترسی به پورت پروتکل مدیریت شبکه خانگی (HNAP) در روتر D-Link DIR-X4860 در اکثر موارد نسبتاً ساده است، زیرا معمولاً HTTP (پورت 80) یا HTTPS (پورت 443) از طریق رابط مدیریت از راه دور روتر قابل دسترسی است. مهاجم یک درخواست ورود به سیستم HNAP ساختگی ویژه را به رابط مدیریت روتر ارسال می‎‌کند. این درخواست شامل پارامتری به نام "PrivateLogin" می‌باشد که روی "Username" و نام کاربری "Admin"  تنظیم شده است. روتر با یک کوکی و یک کلید عمومی پاسخ می‌دهد. مهاجم از این مقادیر جهت ایجاد یک رمز ورود معتبر برای حساب "Admin" استفاده می‌کند. یک درخواست ورود به سیستم با سربرگ HNAP_AUTH و کلمه عبور Login ایجاد شده به روتر ارسال می‌شود که مهاجم به این ترتیب مکانیسم‌های احراز هویت روتر را دور می زند. پس از احراز هویت، مهاجم از آسیب‌پذیری تزریق دستور (فرمان) در تابع "SetVirtualServerSettings" بهره‌برداری می‌کند و با ارسال یک درخواست طراحی شده به این تابع باعث می‌شود پارامتر "LocalIPAddress" بدون پاکسازی مناسب پردازش شود و دستور تزریق‌شده در سیستم‌عامل روتر اجرا شود.

محصولات تحت تأثیر
نقص امنیتی مذکور در نسخه DIRX4860A1_FWV1.04B03 فریمور وجود دارد.

توصیه‌های امنیتی
تا زمان انتشار به‌روز‌رسانی امنیتی، به کاربران توصیه می‌شود گزینه دسترسی از راه دور یا مدیریت از راه دور را در روترهای خود خاموش کنند. 

منبع خبر:

https://www.bleepingcomputer.com/news/security/poc-exploit-released-for-rce-zero-day-in-d-link-exo-…;

چندین نقص امنیتی در محصولات VMware Workstation و Fusion کشف شده است که مهاجم پس از  انجام حمله انکار سرویس (DoS) و اجرای کد مخرب می‌تواند به اطلاعات حساس کاربر دسترسی  پیدا کرده  و از این طریق از آسیب‌پذیری‌های زیر بهره‌برداری کند:

1.    شناسه CVE-2024-22267 با شدت بحرانی (9.3): یک آسیب‌پذیری use-after-free  در دستگاه بلوتوث می‌باشد که مهاجم درصورت بهره‌برداری از این نقص امنیتی می‌تواند، با سطح دسترسی Admin محلی، کد دلخواه خود را به عنوان فرآیند VMX ماشین مجازی که روی ماشین میزبان اجرا می شود، اجرا کند. این بدان معنی است که مهاجم می‌تواند به طور بالقوه ماشین میزبان را از طریق ماشین مجازی در معرض خطر کنترل کند.
2.    شناسه CVE-2024-22268 با شدت بالا (7.1): یک آسیب‎‌پذیری در عملکرد Shader وجود دارد که می‌تواند منجر بهheap buffer-overflow  شود. مهاجم با دسترسی اولیه به یک ماشین مجازی (VM) که دارای گرافیک سه بعدی فعال است می‌تواند از این نقص امنیتی بهره‌برداری کند و منجر به از کار افتادن سیستم و در نتیجه انجام حمله انکار سرویس (DoS) شود.
3.    شناسه CVE-2024-22269 با شدت بالا (7.1): یک آسیب‌پذیری افشای اطلاعات در دستگاه بلوتوث می‌باشد که مهاجم با  سطح دسترسی Admin محلی، در صورت بهره‌برداری از این نقص می‌تواند از این آسیب‌پذیری برای دسترسی به اطلاعات حساس ذخیره شده در حافظه Hypervisor  استفاده کند. Hypervisor نرم افزاری است که ماشین‌های مجازی را ایجاد و مدیریت می‌کند.
4.    شناسه CVE-2024-22270 با شدت بالا (7.1): یک آسیب‌پذیری افشای اطلاعات در قابلیت اشتراک‌گذاری فایل (HGFS) می‌باشد که می‌تواند توسط مهاجم با سطح دسترسی بالا در یک ماشین مجازی جهت خواندن اطلاعات مهم حافظه Hypervisor مورد بهره‌برداری قرار گیرد.

محصولات تحت تأثیر
آسیب‌پذیری‌های مذکور VMware Workstation نسخه 17.x و VMware Fusion نسخه 13.x را تحت تأثیر قرار می‌دهد.

توصیه‌های امنیتی
به کاربران توصیه می‌شود در اسرع وقت، VMware Workstation را به نسخه 17.5.2 و VMware Fusion را به نسخه 13.5.2 به‌روزرسانی کنند. 
در صورتی که امکان به‌روزرسانی برای کاربران مقدور نیست توصیه می‌شود به عنوان راه‌حل موقت، پشتیبانی بلوتوث را در ماشین مجازی خاموش کرده و ویژگی 3D acceleration  را غیرفعال کنند.

منبع خبر:

https://thehackernews.com/2024/05/vmware-patches-severe-security-flaws-in.html 

یک آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2024-36401 و شدت بالا(9.8) درکتابخانه GeoTools موجود در GeoServer کشف شده است که مهاجم از این طریق می‌تواند در حملات خود آن را مورد بهره‌برداری قرار دهد. این آسیب‌پذیری که ناشی از فرآیند نادرست و ارزیابی ناامن عبارات XPath  و انتقال آن به کتابخانه commons-jxpath  می‌باشد، منجر به اجرای کد از راه دور می‌شود. به عبارت دیگر به مهاجم اجازه می‌دهد تا با ارسال ورودی‌های خاص، کدهای خطرناک را در سرور اجرا کند و از طریق آن کنترل سیستم را به دست بگیرد. GeoServer یه سرور Open Source است که به کاربران اجازه می‌دهد داده‌های جغرافیایی را به اشتراک گذاشته و آن‌ها را پردازش و ویرایش کنند. 

محصولات تحت تأثیر

•      GeoTools library API که توسط GeoServer فراخوانی می‌شود.
•      commons-jxpath library که در GeoTools استفاده می‌شود
•     WFS GetPropertyValue
•     WMS GetMap و WMS GetFeatureInfo  و  WMS GetLegendGraphic
•      GeoServer نسخه‌های قبل از 2.23.6 و 2.24.4 و 2.25.2

توصیه‌های امنیتی 

• اعمال به‌روزرسانی به نسخه‌های 2.23.6 و 2.24.4 و 2.25.2 و بررسی لاگ‌ها

منبع خبر:

https://www.bleepingcomputer.com/news/security/cisa-warns-critical-geoserver-geotools-rce-flaw-is-e…

یک آسیب‌پذیری با شناسه CVE-2024-32465 و شدت 7.3(بالا) در Git کشف شده است،Git معروف‌ترین و محبوب‌ترین سیستم کنترل ورژن (VSC)  جهان می‌باشد و تمهیدات امنیتی خاصی لحاظ می‌کند تا عملیات را، حتی با یک منبع نامعتبر تبدیل به یک عملیات امن کند؛ اما آسیب‌پذیری مذکور، امکان دور زدن این حفاظت‌ها را فراهم می‌کند. بر اساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H در این نوع حمله، دشمن باید به طور فیزیکی با سیستم هدف تعامل داشته باشد( AV:P)، بهره‌برداری از آن به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست(AC:L)، برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست (PR:N) و به تعامل با کاربر نیاز دارد(UI:R)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر می‌گذارد (S:C) و هر سه ضلع امنیت با شدت بسیار زیادی تحت تأثیر قرار می‌گیرند( C:H/I:H/A:H).

محصولات تحت تأثیر
نسخه‌های زیر از سیستم کنترل ورژن Git، تحت تاثیر این آسیب‌پذیری قرار دارند:
•    2.45.1
•    2.44.1
•    2.43.4
•    2.42.2
•    2.41.1
•    2.40.2
•    2.39.4

توصیه‌های امنیتی
به کاربران توصیه می‌شود هنگام دریافت فایل(zip) حاوی یک کپی کامل از مخزن، نباید به طور پیش فرض به ایمن بودن آن اعتماد کنند و از استفاده از git در مخازنی که از طریق آرشیو منابع نامعتبر به دست آمده خودداری کنید. 

منبع خبر:

https://nvd.nist.gov/vuln/detail/CVE-2024-32465

یک آسیب‌پذیری با شناسه CVE-2024-28165 و شدت 8.1 (بالا) در پلتفرمSAP Business Objects Business کشف شده است که به مهاجم اجازه می‌دهد از طریق حمله XSS، پارامتری را در URL Opendocument دستکاری کند که این امر می‌تواند تاثیر زیادی بر محرمانگی و یکپارچگی برنامه داشته باشد.

محصولات تحت تأثیر
یادداشت‌های امنیتی(Security Notes) SAP تحت تأثیر این آسیب‌پذیری قرار دارند، پلتفرم SAP این یادداشت‌ها را به عنوان بسته پشتیبانی دسته‌بندی می‌کند.

توصیه‌های امنیتی
به کاربران توصیه می‌شود که به یادداشت‌های امنیتی SAP در SAP for Me دسترسی پیدا کنند وهمه آنها را انتخاب کنید تا لیست کاملی از تمام یادداشت های امنیتی SAP را دریافت کنید و این اصلاحات را در اولویت  قرر داده و اجرا کنید، چندین ابزار برای کمک به شناسایی ، انتخاب و اجرای این اصلاحات در دسترس هستندکه می‌توان به محصولات مبتنی برSAP NetWeaver که همراه با بسته‌های پشتیبانی ارائه می‌شود، اشاره کرد.

منبع خبر:

https://secalerts.co/vulnerability/CVE-2024-28165
https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html?anchorId=section_3701…
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26165

محققان یک پکیج مخرب پایتون به نام requests-darwin-lite را کشف کرده‌اند که از طریق کتابخانه محبوب requests ، سیستم کاربران را آلوده می‌کند. این پکیج در لوگو خود یک نسخه golang از Sliver command-and-control C2 framework را پنهان کرده است. طبق بررسی‌های صورت گرفته، تغییراتی در فایل setup.py پکیج ایجاد شده است که جهت رمزگشایی و اجرای یک فرمان رمزگذاری شده از طریق Base64 در جمع‌آوری شناسه منحصر به فرد جهانی (UUID) پیکربندی شده است. این جمع‌آوری تنها در صورتی ادامه می‌یابد که شناسه با یک مقدار به خصوص که مورد نظر مهاجم است، مطابقت داشته باشد. اگر UUID با UUIDهای مورد نظر مهاجم مطابقت داشته باشد، requests-darwin-lite اقدام به خواندن داده‌ها از یک فایل PNG به نام «requests-sidebar-large.png» می‌کند که مشابه با requests package است و با فایل مشابه‌ی به نام «requests-sidebar.png » به مهاجم ارسال می‌شود. همچنین طی بررسی‌های مختلف، مشاهده شده است که این پکیج از فرآیند تایید قرارداد ERC20 (USDT) بهره‌برداری می‌کند و به طور مخفیانه تایید نامحدودی به آدرس قرارداد مهاجم می‌دهد و به طور موثر به مهاجم اجازه می‌دهد تا توکن‌های USDT قربانی را تخلیه کند.
مسئله‌ای که در اینجا متفاوت است آن است که در حالی که لوگوی واقعی تعبیه شده در requests  دارای حجم فایل 300 کیلوبایت است، لوگوی موجود در داخل requests-darwin-lite حدود 17 مگابایت است.  داده‌های باینری پنهان شده در تصویر با فرمت PNG، از نوع Golang-based Sliver می‌باشند که یک فریمورک  C2 منبع باز است و جهت استفاده توسط متخصصان امنیتی در عملیات تیم قرمز طراحی شده است.

توصیه‌های امنیتی
هدف نهایی این پکیج در حال حاضر مشخص نیست؛ اما با توجه به بررسی‌های می‌توان گفت که بستر مناسبی برا توزیع بدافزار می‌باشد و به کابران توصیه می‌شود در صورت استفاده از این پکیج، در اصرع وقت آن را پاک کنند.

منبع خبر:

https://thehackernews.com/2024/05/malicious-python-package-hides-sliver.html 

یک آسیب‌پذیری با شناسه CVE-2024-32700 و شدت بحرانی (10) در افزونه Kognetiks Chatbot وردپرس کشف و شناسایی شده است. طبق بررسی‌های صورت گرفته مهاجم با بهره‌برداری از این نقص امنیتی می‌تواند فایل مخرب دلخواه را در وب‌سایت بارگزاری کند که بسته به محتوای فایل، مهاجم قادر خواهد بود حمله‌های متفاوتی انجام دهد تا در نهایت منجر به افزایش سطح دسترسی یا پیاده‌سازی Backdoor شود.  

محصولات تحت تأثیر
این نقص امنیتی نسخه 2.0.0 و قبل‌تر افزونه Kognetiks Chatbot وردپرس را تحت تأثیر قرار می‌دهد.

توصیه‌های امنیتی
در حال حاضر به‌روزرسانی جهت رفع این آسیب‌پذیری منتشر نشده است.

منبع خبر:

https://patchstack.com/database/vulnerability/chatbot-chatgpt/wordpress-kognetiks-chatbot-for-wordp…
 

یک آسیب‌پذیری با شناسه CVE-2024-28964 و شدت بالا 7.8 در برخی از محصولاتDell  کشف شده است که امکان سریال‌زدایی داده‌های غیرقابل اعتماد درCAVATools  را برای مهاجم محلی احراز هویت نشده فراهم خواهد کرد که این امر منجر به اجرای کد دلخواه توسط وی خواهد شد. بهره‌برداری از آسیب‌پذیری مذکور نیازمند باز کردن یک فایل مخرب توسط قربانی است.
بر اساس بردار حمله این آسیب‌پذیریCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H: بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N)، و نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست(AC:L)، برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست (PR:N)، و به تعامل با کاربر نیاز ندارد (UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر نمی‌گذارد (S:U)و دو ضلع از سه ضلع امنیت با شدت بسیار زیادی تحت تأثیر قرار می‌گیرند ( C:N/I:N/A:H).

محصولات تحت تأثیر
این آسیب‌پذیری Dell Common Event Enabler نسخه 8.9.10.0 و قبل‌تر را تحت تاثیر قرار می‌دهد. 

توصیه‌های امنیتی
توصیه می‌شود کاربران در اسرع وقت نسبت به ارتقاء Dell Common Event Enabler به نسخه‌های 8.9.8.21، 8.9.9.1 و 8.9.10.1 اقدام نمایند. همچنین توصیه می‌شود که کاربر فایل‌های .cavac را که قابل اعتماد نیستند، بارگیری نکند. علاوه بر این، CAVATool را با سطح دسترسی ادمین اجرا نکنید، همیشه ابزار را به عنوان یک کاربر با سطح دسترسی پایین اجرا کنید.

منبع خبر:

https://www.dell.com/support/kbdoc/en-us/000224987/dsa-2024-179-security-update-for-dell-emc-common…;

دو آسیب‌پذیری با شناسه‌های CVE-2024-34350 و CVE-2024-34351 و شدت‌های بالا در برخی از نسخه‌های Next.js کشف شده‌اند که مربوط به Response queue poisoning و SSRF می‌باشند.
آسیب‌پذیری Response queue poisoning به دلیل تفسیر ناسازگار درخواست‌های HTTP به وجود آمده است که گاهی به عنوان یک درخواست و گاهی دو درخواست جداگانه تفسیر می‌شوند. آسیب‌پذیری SSRF به دلیل استفاده از یک مولفه آسیب‌پذیر در Next.js ایجاد شده است که به طور پیش‌فرض فعال می‌باشد.

جزئیات آسیب‌پذیری HTTP Request Smuggling با شناسه CVE-2024-34350
مهاجم در صورت بهره‌برداری  از این آسیب‌پذیری می‌تواند به طور بالقوه موفق به دریافت پاسخ‌های غیر همگام از Next.js شود و منجر به آسیب‌پذیری Response queue poisoning خواهد شد. این آسیب‌پذیری نوعی حمله Request smuggling می‌باشد که می‌تواند یک سرور front-end را تحت تاثیر قرار دهد و پاسخ‌های نادرستی در back-end نگاشت کند. اما با این وجود به منظور بهره‌برداری از آسیب‌پذیری مذکور، مسیرهای تحت تاثیر باید از ویژگی rewrite در Next.js استفاده کنند. راه حلی جز استفاده از نسخه‌های وصله شده برای مقابله با این آسیب‌پذیری وجود ندارد.

جزئیات آسیب‌پذیری Server-Side Request Forgery با شناسه CVE-2024-34351
این آسیب‌پذیری به دلیل وجود API endpoint آسیب‌پذیر یعنی _next/image به وجود آمده است. NextJS دارای یک مولفه بهینه‌سازی تصویر می‌باشد که به طور پیش‌فرض فعال است. اگر شما دارای یک تصویر بزرگ هستید که می‌خواهید در اندازه کوچک یا اندازه پویا ارائه شود، ارسال آن با اندازه اصلی به سمت کلاینت موجب هدر رفتن پهنای باند خواهد شد. به ازای آن می‌توان یک کد React نوشت و تصویر با اندازه مناسب به سمت کلاینت ارسال خواهد شد. علاوه بر این، تصویر می‌تواند Cash شود و لازم نیست  سرور در هر درخواست مجدداً آن را تغییر اندازه دهد. اگر نسخه NextJS قدیمی باشد مهاجم می‌تواند یک لینک به فایل SVG میزبانی شده بر روی دامنه خود ارائه دهد که منجر به حمله XSS خواهد شد. همچنین به دلیل بررسی‌های ناکافی، امکان افشای محتوای فایل‌های XML از طریق SSRF وجود دارد و به دلیل دریافت Host header از سمت کلاینت، امکان دریافت پاسخ از host به جای خود app وجود دارد که در نهایت منجر به SSRF خواهد شد.

محصولات تحت تاثیر
آسیب‌پذیری HTTP Request Smuggling:
در نسخه‌های قبل از 13.5.1 و نسخه‌های 13.4.0 و بالاتر Next.js وجود دارد که در نسخه 13.5.1 برطرف شده است.
آسیب‌پذیری Server-Side Request Forgery:
در نسخه‌های قبل از 14.1.1 و نسخه‌های 13.4 و بالاتر Next.js وجود دارد که در نسخه 14.1.1 برطرف شده است.

توصیه‌های امنیتی
این دو آسیب‌پذیری در آخرین نسخه منتشر شده Next.js برطرف شده‌اند. توصیه می‌شود کاربان در اسرع وقت به نسخه وصله شده یعنی 14.1.1 به‌روزرسانی نمایند.

منابع خبر:

[1]https://cybersecuritynews.com/next-js-server-compromise/
[2]https://www.assetnote.io/resources/research/digging-for-ssrf-in-nextjs-apps