یک آسیب‌پذیری بحرانی از نوع PHP Object Injection در افزونه وردپرس GiveWP کشف شده است که در نهایت منجر به اجرای کد از راه دور بدون نیاز به تصدیق هویت می‌شود. شناسه CVE-2024-5932 به این آسیب‌پذیری اختصاص یافته و دارای امتیاز 10 و سطح بحرانی می‌باشد. بیش از 100 هزار وب‌سایت از این افزونه استفاده می‌کنند. افزونه GiveWP برای جمع‌آوری کمک‌های مالی مورد استفاده قرار می‌گیرد و برخی از سرویس‌های پرداخت‌یار ایرانی نیز دارای ماژول برای این افزونه می‌باشند.

زبان PHP جهت ذخیره‌سازی داده‌های پیچیده از serialization استفاده می‌کند. داده‌های Serialized شده برای ذخیره‌سازی در حجم بالا مناسب هستند و وردپرس از آن برای بسیاری از تنظیمات خود استفاده می‌کند. اما این می‌تواند یک مشکل امنیتی باشد، زیرا می‌توان برای ذخیره object های PHP از آن استفاده کرد.
اگر یک افزونه داده‌های ارسال شده توسط کاربر را بدون تایید اعتبار unserialize کند، آنگاه یک مهاجم می‌تواند اقدام به تزریق یک پیلود نماید که موقع unserialize شدن تبدیل به یک PHP object شود. در حالی که یک PHP object ساده خطرناک نیست، اما موقعی که کلاس دارای magic method باشد این وضعیت متفاوت خواهد بود.
افزونه GiveWP دارای ویژگی‌های متعددی از جمله فرم‌های کمک مالی شخصی‌سازی شده، و یکپارچه‌سازی با درگاه‌ها و سرویس‌های شخص ثالث و ... است. با بررسی کد منبع این افزونه مشاهده می‌شود که تابع give_process_donation_form()  برای رسیدگی و پردازش کمک‌های مالی مورد استفاده قرار می‌گیرد. در داخل این تابع از توابع دیگری جهت تایید اعتبار داده‌ها استفاده می‌شود، اما متاسفانه در نسخه آسیب‌پذیر بر روی پارامتر POST به نام give_title تایید اعتبار کافی انجام نمی‌شود که این در نهایت باعث بهره‌برداری از آسیب‌پذیری خواهد شد و می‌توان یک وب‌شل را بر روی سرور آپلود کرد.

محصولات تحت تاثیر
نسخه 3.14.1 و تمام نسخه‌های پایین‌تر افزونه GiveWP تحت تاثیر این آسیب‌پذیری قرار دارند.

توصیه‌های امنیتی
این آسیب‌پذیری در نسخه 3.14.2 برطرف شده است. لذا توصیه می‌شود در اسرع وقت نسبت به نصب این نسخه یا نسخه‌های بالاتر اقدام نمایید.

منبع خبر:

https://www.wordfence.com/blog/2024/08/4998-bounty-awarded-and-100000-wordpress-sites-protected-aga…

محققان چندین آسیب‌پذیری با شدت‌های مختلف را در ابزار AMD μProf و AMD Secure Processor و دیگر پلتفرم‌های AMD کشف کرده‌اند که ممکن است منجر به اجرای کد مخرب، افزایش دسترسی‌ها و نفوذ به سیستم‌ها شوند. این آسیب‌پذیری‌ها شامل نقص‌های موجود در معماری “Zen” و پلتفرم‌های دیگر AMD می‌باشند.
AMD μProf یک ابزار آنالیز پروفایلینگ نرم‌افزار (Software Profiling Tool) است و برای تحلیل عملکرد برنامه‌ها در سیستم‌عامل‌های ویندوز، لینوکس و FreeBSD استفاده می‌شود. این ابزارها به توسعه‌دهندگان کمک می‌کنند تا بخش‌های مختلف کد را ارزیابی کرده و عملکرد آن‌ها را بهبود بخشند. پروفایلینگ شامل اندازه‌گیری زمان اجرای کد، استفاده از منابع سیستم (مثل CPU و حافظه)، و شناسایی نقاطی از کد که ممکن است باعث کندی یا بهره‌وری پایین شوند، می‌باشد. چهار آسیب‌پذیری بالقوه در این ابزار کشف شدند که جزئیاتشان بدین شرح است:
•    آسیب‌پذیری با شناسه CVE-2023-31348 و شدت بالا که با امتیاز CVSS 7.3 شناسایی شده‌است، یک نقص DLL Hijacking در AMD μProf است. آسیب‌پذیری DLL Hijacking نوعی حمله است که در آن مهاجم یک فایل DLL (Dynamic-Link Library) مخرب را جایگزین فایل DLL معتبر یک برنامه می‌کند. زمانی که برنامه تلاش می‌کند DLL معتبر را بارگذاری کند، در واقع نسخه مخرب مهاجم بارگذاری می‌شود. این نوع حمله می‌تواند به مهاجم اجازه دهد تا کد مخرب خود را در فرآیند برنامه اجرا کند، که ممکن است منجر به اجرای کد غیرمجاز، افزایش سطح دسترسی‌ها یا دسترسی به داده‌های حساس شود.
•    آسیب‌پذیری با شناسه CVE-2023-31349 و شدت بالا که با امتیاز CVSS 7.3 شناسایی شده ‌است، ناشی از تنظیمات نادرست پیش‌فرض در دایرکتوری نصب AMD μProf می‌باشد که ممکن است مهاجم را قادر سازد تا به مجوزهای بیشتری دست یابد و در نهایت کد دلخواه خود را اجرا کند.
•    آسیب‌پذیری با شناسه CVE-2023-31341 و شدت متوسط که با امتیاز CVSS 5.5 شناسایی شده‌است، به دلیل اعتبارسنجی نامناسب بافر ورودی-خروجی در AMD μProf ایجاد می‌شود. بافر کنترل ورودی-خروجی (IO Control Buffer) قسمتی از حافظه است که برای ذخیره اطلاعات مرتبط با عملیات‌های ورودی و خروجی استفاده می‌شود و معمولاً در سیستم‌های کامپیوتری برای مدیریت داده‌های ورودی و خروجی از دستگاه‌های جانبی (مانند دیسک‌ها، شبکه، و دیگر دستگاه‌های I/O) به کار می‌روند. این آسیب‌پذیری ممکن است منجر به نوشتن خارج از محدوده (out-of-bound write) و در نهایت اختلال در عملکرد سیستم عامل ویندوز و بروز حمله انکار سرویس (DoS) شود.
•    آسیب‌پذیری با شناسه  CVE-2023-31366 و شدت پایین که با امتیاز CVSS 3.3 شناسایی شده‌است، به دلیل اعتبارسنجی نادرست ورودی در AMD μProf رخ می‌دهد که ممکن است باعث نوشتن در آدرس نامعتبر حافظه و در نتیجه باعث بروز حمله انکار سرویس (DoS) شود.
 

همچنین پردازنده‌های امن (AMD Secure Processors)AMD و سایر اجزای پلتفرم امنیتی آن‌ها با ده آسیب‌پذیری بحرانی و متوسط مواجه شده‌اند که می‌توانند منجر به افشای اطلاعات و اختلال در سیستم‌ها شوند. شناسه و جزئیات هر یک به شرح ذیل است:

• آسیب‌پذیری با شناسه CVE-2023-20578 و شدت بالا که با امتیاز CVSS 7.5 شناسایی شده‌است، به علت نقص در مدیریت زمان در مدل مدیریت سیستم (SMM) رخ می‌دهد. این نقص به مهاجمی با قابلیت دسترسی به سطح حلقه 0 (ring0) و منوی BIOS یا پوسته‌ی UEFI اجازه می‌دهد تا با دستکاری بافر ارتباطات، کد دلخواه خود را اجرا کند. اجرای کدهای مخرب و ایجاد تهدیدات جدی برای امنیت سیستم را میتوان از نتایج بهره‌برداری از این نقص برشمرد.
• آسیب‌پذیری با شناسه CVE-2021-26344 و شدت بالا که با امتیاز CVSS 7.2 شناسایی شده‌است، از نوشتن خارج از محدوده در حین پردازش بلوک پیکربندی PSP1(PSP1 Configuration Block) ناشی میشود.PSP1 یک پردازنده امنیتی مجزا است که در برخی از پردازنده‌های AMD تعبیه شده است. بلوک پیکربندی PSP1(APCB) بخشی از پیکربندی پردازنده‌های امن AMD است که مسئولیت تنظیمات امنیتی و مدیریت کلیدهای رمزنگاری برای پردازنده را بر عهده دارد. مهاجم با دسترسی به BIOS می‌تواند بلوک پیکربندی APCB را تغییر داده و کد دلخواه خود را اجرا کند. این مسئله می‌تواند منجر به تغییر BIOS و ایجاد مشکلات امنیتی جدی شود.
• آسیب‌پذیری با شناسه CVE-2023-20591 و شدت متوسط که با امتیاز CVSS 6.5 شناسایی شده‌است، به دلیل نقص در بازنشانی (Input-Output Memory Management Unit)IOMMU در طول رویداد DRTM رخ می‌دهد. IOMMU  واحدی است که دسترسی‌های ورودی-خروجی دستگاه‌های جانبی به حافظه سیستم را مدیریت می‌کند. نقص در بازنشانی IOMMU به این معناست که این واحد بعد از یک رویداد مثل راه‌اندازی مجدد سیستم یا در طول یک عملیات مهم مانند DRTM به درستی به حالت اولیه بازنمی‌گردد، که می‌تواند به مهاجم اجازه دهد از این نقص برای دسترسی یا تغییر داده‌ها در حافظه استفاده کند. DRTM (Dynamic Root of Trust for Measurement) یک مکانیزم امنیتی است که در برخی از سیستم‌های پردازشی برای راه‌اندازی یک محیط ایمن و مورد اعتماد در طول اجرای سیستم استفاده می‌شود. این آسیب‌پذیری ممکن است به مهاجم اجازه دهد تا پیکربندی نادرست پلتفرم را حفظ کرده و حافظه Hypervisor را بخواند یا تغییر دهد و درنتیجه به افشای اطلاعات حساس و تغییرات غیرمجاز در سیستم منجر شود.
• آسیب‌پذیری با شناسه CVE-2024-21981 و شدت متوسط که با امتیاز CVSS 5.7 شناسایی شده‌است، در نتیجه‌ی کنترل نادرست استفاده از کلیدهای رمزنگاری در پردازنده امنAMD  (ASP) به وجود می‌آید. مهاجم با سطح دسترسی محلی و اجرای کد دلخواه در ASP می‌تواند کلیدهای رمزنگاری را استخراج کرده و باعث از دست رفتن محرمانگی و نشت اطلاعات شود.
• آسیب‌پذیری با شناسه CVE-2023-20584 و شدت متوسط که با امتیاز CVSS 5.3 شناسایی شده‌است، به دلیل مدیریت نادرست آدرس‌ها در IOMMU رخ می‌دهد. مهاجم با دسترسی به سیستم و دستکاری حافظه‌ی Hypervisor می‌تواند چک‌های RMP در SEV-SNP را دور بزند و کنترل سیستم را به طور کلی دچار اختلال کند. RMP (Restricted Memory Protection) یک ویژگی امنیتی است که در پردازنده‌های AMD برای محافظت از حافظه‌های مجازی استفاده می‌شود. همچنین SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) یک فناوری امنیتی در این پردازنده‌ها است که حفاظت‌های پیشرفته‌ای برای ماشین‌های مجازی ارائه می‌دهد. دور زدن SEV-SNP به معنای شکست این محافظت‌ها است که می‌تواند به مهاجم اجازه دهد به داده‌های محافظت‌شده در ماشین‌های مجازی دسترسی پیدا کند یا آن‌ها را تغییر دهد.
• آسیب‌پذیری با شناسه CVE-2021-46746 و شدت متوسط که با امتیاز CVSS 5.2 شناسایی شده‌است، به علت فقدان مکانیزم‌های محافظت از پشته در محیط امن ASP Trusted Execution Environment (TEE) رخ می‌دهد. مهاجم با دسترسی به کلیدهای امضای AMD می‌تواند باعث سرریز بافر پشته‌ شود که ممکن است از کار افتادن سیستم یا انکار سرویس(DoS) را در پی داشته‌باشد.
• آسیب‌پذیری با شناسه CVE-2023-31356 و شدت متوسط که با امتیاز CVSS 4.4 شناسایی شده‌است، ناشی از پاکسازی ناقص حافظه سیستم در SEV firmware (نرم‌افزاری که نقشی حیاتی در ایجاد و حفظ محیط‌های ایمن و رمزنگاری‌شده برای ماشین‌های مجازی ایفا می‌کند) است که ممکن است مهاجم را قادر سازد تا حافظه خصوصی کاربر مهمان(guest) را تخریب کرده و باعث از دست رفتن تمامیت داده‌ها شود.
• آسیب‌پذیری با شناسه CVE-2021-26387 و شدت پایین که با امتیاز CVSS 3.9 شناسایی شده‌است، به علت کنترل‌ دسترسی نامناسب در ASP kernel رخ می‌دهد. مهاجم با دسترسی به کلیدهای امضای AMD و منوی BIOS یا پوسته‌ی UEFI می‌تواند بخش‌هایی از حافظه DRAM را در نواحی حفاظت شده نگاشت کند که ممکن است به از دست رفتن تمامیت پلتفرم منجر شود.
• آسیب‌پذیری با شناسه CVE-2021-46772 و شدت پایین که با امتیاز CVSS 3.9 شناسایی شده‌است، به دلیل اعتبارسنجی ناکافی ورودی‌ها در ABL رخ می‌دهد. ABL(Authenticated Boot Loader) بخشی از فرآیند بوت امن در سیستم‌های کامپیوتری است که مسئول تأیید صحت و اعتبار نرم‌افزار بوت (Boot Loader) پیش از بارگذاری آن در سیستم است. این مکانیزم از بارگذاری نرم‌افزارهای مخرب یا تغییریافته که ممکن است در ابتدای فرآیند بوت سیستم به اجرا درآیند، جلوگیری می‌کند. مهاجم با دسترسی به منوی BIOS یا پوسته‌ی UEFI می‌تواند با دستکاری هدرهای ساختار(structure headers) در SPI ROM باعث خواندن و نوشتن خارج از محدوده‌ی حافظه شود که ممکن است به خرابی حافظه یا از کار افتادن سیستم منجر شود. SPI ROM (Serial Peripheral Interface Read-Only Memory) حافظه‌ای است که معمولاً برای ذخیره کردن اطلاعات اولیه بوت، شامل BIOS یا UEFI، و داده‌های حیاتی سیستم به کار می‌رود. این حافظه معمولاً به صورت غیرقابل تغییر (Read-Only) طراحی شده است، اگرچه ممکن است در شرایط خاص بتوان آن را به‌روزرسانی کرد. در مجموع، ABL در SPI ROM ذخیره می‌شود و در طول فرآیند بوت، ابتدا این حافظه توسط ABL خوانده می‌شود تا اطمینان حاصل شود که نرم‌افزار بوت معتبر و قابل اعتماد است. هر گونه آسیب‌پذیری در این فرآیند می‌تواند به مهاجمان امکان سواستفاده از سیستم در مراحل اولیه راه‌اندازی را بدهد.
• آسیب‌پذیری با شناسه CVE-2023-20518 و شدت پایین که با امتیاز CVSS 1.6 شناسایی شده‌است، به علت پاکسازی ناقص در ASP ممکن است کلید رمزنگاری اصلی را برای مهاجمی که به منوی BIOS یا پوسته‌ی UEFI دسترسی دارد فاش کند. این نقص، محرمانگی اطلاعات را به خطر می‌اندازد.
   

توصیه‌های امنیتی
برای کاهش تهدید این آسیب‌پذیری‌ها، به کاربران توصیه می‌شود که به‌روزرسانی‌های منتشر شده توسط AMD را فورا اعمال کرده و از دسترسی‌های غیرمجاز به BIOS یا شل UEFI جلوگیری کنند.

 
منابع خبر:

[1] https://www.amd.com/en/resources/product-security/bulletin/amd-sb-9001.html
[2] https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3003.html

SAP یک شرکت پیشرو در زمینه‌ی تولید نرم‌افزارهای سازمانی است. از محصولات SAP برای مدیریت فعالیت‌های تجاری استفاده می‌شود. محصولات این شرکت به کسب‌وکارها و سازمان‌ها کمک می‌کنند تا فرآیندهای مختلف خود از جمله فرآیندهای مالی، حسابداری، منابع انسانی، تولید، زنجیره تأمین، و خدمات مشتریان را به صورت یکپارچه و کارآمد مدیریت کنند.
SAP بسته امنیتی خود را منتشر کرده است که شامل وصله‌های امنیتی برای چندین آسیب‌پذیری است، از جمله دو آسیب‌پذیری بحرانی که در ادامه به توضیح جزئیات هر یک می‌پردازیم:

• آسیب‌پذیری با شناسه CVE-2024-41730، که با شدت بحرانی و امتیاز CVSS 9.8  ردیابی می‌شود، یک نقص بحرانی با امکان دور زدن احراز هویت است که به مهاجمان راه دور اجازه می‌دهد تا کاملا سیستم را تحت کنترل خود درآورند.

در توضیحات ارائه شده توسط شرکت SAP آمده است: "در پلتفرم SAP BusinessObjects Business Intelligence (یک مجموعه نرم‌افزاری که با ارائه‌ی ابزارهای متنوعی برای ایجاد گزارش‌ها، داشبوردها، و تجزیه و تحلیل داده‌ها به سازمان‌ها، کمک می‌کند داده‌های خود را تحلیل و تفسیر کنند)، اگر Single Sign-On  بر روی احراز هویت Enterprise فعال باشد، یک کاربر غیرمجاز می‌تواند با استفاده از یک نقطه پایانی REST (یک URL که به یک منبع خاص در سرویس وب RESTful اشاره دارد)، توکن log in را دریافت کند. مهاجم می‌تواند به‌طور کامل سیستم را در دست بگیرد و محرمانگی، یکپارچگی و دسترسی‌پذیری را شدیدا به خطر اندازد."

• آسیب‌پذیری دیگر با شناسه CVE-2024-29415 که با شدت بحرانی و امتیاز CVSS 9.1 شناسایی شده ‌است، یک نقص جعل درخواست در سمت سرور (SSRF) است.

این نقص به دلیل ضعف در پکیج 'IP' در Node.js ایجاد شده است که چک می‌کند آیا یک آدرس IP عمومی است یا خصوصی. زمانی که از نمایش IP در حالت هشت‌تایی استفاده می‌شود، این پکیج به اشتباه '127.0.0.1' را به عنوان یک آدرس عمومی و قابل مسیریابی جهانی شناسایی می‌کند در حالی که باید آن را به ‌عنوان یک آدرس محلی و خصوصی شناسایی کند.
بهره‌برداری موفقیت‌آمیز از این نقص، مهاجم را قادر می‌سازد تا درخواست‌های خاصی را به سرورهای داخلی- که نباید از بیرون به آن‌ها دسترسی داشت- ارسال کند. این امر ممکن است به مهاجم اجازه دهد تا به اطلاعات حساس دسترسی پیدا کرده یا حتی کنترل سرور را به دست گیرد.

از دیگر به‌روزرسانی‌های اعلام‌شده برای نواقص امنیتی SAP، چهار مورد  با شدت بالا (با امتیاز CVSS  بین 7.4 تا 8.2) طبقه‌بندی شده‌اند که به شرح زیر می‌باشند:

• CVE-2024-42374: در BEx Web Java Runtime Export Web Service ، یک آسیب‌پذیری وجود دارد که در آن، اسناد XML دریافت شده از منابع غیرمعتبر به درستی اعتبارسنجی نمی‌شوند. این ضعف به مهاجمان اجازه می‌دهد تا به اطلاعات مهم سیستم دسترسی پیدا کرده و حتی باعث شوند بخشی از سیستم که وظیفه ایجاد فایل‌های PDF را دارد، از کار بیفتد. این مشکل می‌تواند باعث افشای اطلاعات و مختل شدن عملکرد سیستم شود.
• CVE-2023-30533: نرم‌افزار SheetJS Community Edition دارای یک نقص امنیتی است که امکان آلودگی نمونه اولیه (Prototype Pollution) را از طریق یک فایل دستکاری‌شده فراهم می‌کند. آلودگی نمونه اولیه یک نوع آسیب‌پذیری امنیتی در برنامه‌نویسی است که به مهاجمان اجازه می‌دهد ویژگی‌ها یا متغیرهای دلخواهی را به نمونه‌های اولیه (Prototype) اشیاء در زبان‌های برنامه‌نویسی اضافه کنند. این آسیب‌پذیری به‌طور خاص در زبان‌های برنامه‌نویسی پویا مانند جاوا اسکریپت (JavaScript) رایج است. با این کار مهاجم ممکن است بتواند ویژگی‌های نمونه‌ی اولیه را به عنوان متغیرهای قابل دسترسی در کل برنامه معرفی کند که ممکن است به نشت اطلاعات، دور زدن کنترل‌های امنیتی، یا اجرای کد دلخواه منجر شود.
• CVE-2024-34688: در SAP NetWeaver AS Java، به دلیل دسترسی نامحدود به سرویس‌های Meta Model Repository، مهاجمان می‌توانند حملات انکار سرویس (DoS) را بر روی برنامه اجرا کنند. در این نوع حملات، مهاجم با ایجاد بار اضافی بر روی سیستم، موجب می‌شود که کاربران مجاز نتوانند به برنامه دسترسی داشته باشند و در نتیجه برنامه از دسترس خارج شود. این آسیب‌پذیری، تأثیری بر محرمانگی و یکپارچگی ندارد، اما تأثیر بسیار زیادی بر دسترسی‌پذیری سیستم دارد.
• CVE-2024-33003: در SAP Commerce Cloud، برخی از بخش‌های API وجود دارند که به اشتباه اجازه می‌دهند اطلاعات حساس کاربران، مانند رمزهای عبور، آدرس‌های ایمیل، شماره‌های تلفن همراه، و کدهای تخفیف به صورت مستقیم در آدرس اینترنتی (URL) درخواست قرار بگیرند. این امر به این معنی است که این اطلاعات در آدرس درخواست قابل مشاهده هستند که در صورت دسترسی مهاجمان به این URLها، می‌تواند به افشای اطلاعات حساس منجر شود. بهره‌برداری موفق از این آسیب‌پذیری می‌تواند تأثیر قابل توجهی بر محرمانگی و یکپارچگی سیستم داشته باشد.
   

محصولات تحت تاثیر
برنامه‌ها و نسخه‌هایی که توسط هر آسیب‌پذیری تحت تاثیر قرار می‌گیرند عبارتند از:

• CVE-2024-41730: این آسیب‌پذیری نسخه‌های 430 و 440 پلتفرم SAP BusinessObjects Business Intelligence را تحت تأثیر قرار می‌دهد.
•  CVE-2024-29415: این آسیب‌پذیری برنامه‌های ساخته‌شده با SAP Build Apps در نسخه‌های قدیمی‌تر از 4.11.130 را تحت تأثیر قرار می‌دهد.
• CVE-2024-42374: این آسیب‌پذیری نسخه‌های BI-BASE-E 7.5، BI-BASE-B 7.5، BI-IBC 7.5، BI-BASE-S 7.5 و BIWEBAPP 7.5 از BEx Web Java Runtime Export Web Service  را تحت تأثیر قرار می‌دهد.
• CVE-2023-30533: این آسیب‌پذیری نرم‌افزار SheetJS Community Edition را در نسخه‌های ماقبل 0.19.3 تحت تأثیر قرار می‌دهد.
•  CVE-2024-34688: این آسیب‌پذیری نسخه MMR_SERVER 7.5 در کامپوننت Meta Model Repository را تحت تاثیر قرار می‌دهد.
• CVE-2024-33003: این آسیب‌پذیری نسخه‌های HY_COM 1808، 1811، 1905، 2005، 2105، 2011، 2205، 2211 و COM_CLOUD  از SAP Commerce Cloud را تحت تأثیر قرار می‌دهد.
   

توصیه‌های امنیتی
با توجه به اینکه SAP بزرگترین فروشنده ERP (سیستم برنامه‌ریزی منابع سازمان) در جهان است و محصولات آن در بیش از 90 درصد از شرکت‌های جهانی استفاده می‌شوند، مهاجمان همواره به دنبال بهره‌برداری از نقص‌های بحرانی احراز هویت هستند که می‌تواند به آن‌ها امکان دسترسی به شبکه‌های شرکتی بسیار ارزشمند را بدهد.
در فوریه 2022، سازمان امنیت سایبری و زیرساخت‌های آمریکا (CISA) از مدیران سیستم‌ها خواست تا آسیب‌پذیری‌های شدید در برنامه‌های کسب‌وکار SAP را به‌روزرسانی کنند تا از سرقت داده‌ها، باج‌افزارها و اختلالات در عملیات‌های حیاتی جلوگیری شود. مهاجمان در بازه زمانی بین 2020 تا 2021 از سیستم‌های SAP بدون به‌روزرسانی استفاده کرده و در حداقل 300 مورد به شبکه‌های شرکتی نفوذ کردند.
بنابراین، به‌روزرسانی مناسب و هرچه سریع‌تر به آخرین نسخه‌های منتشر شده از محصولات SAP اکیدا توصیه می‌گردد.

منبع خبر:

https://www.bleepingcomputer.com/news/security/critical-sap-flaw-allows-remote-attackers-to-bypass-…

مایکروسافت مشکل شناخته‌شده‌ای که باعث میشد برخی دستگاه‌های ویندوزی پس از نصب به‌روزرسانی‌های امنیتی ماه گذشته از حالت بازیابی BitLocker راه‌اندازی شوند را برطرف کرده است. به گفته‌ی این شرکت، پس از نصب به‌روزرسانی امنیتی ویندوز که در تاریخ 9 جولای 2024 منتشر شد، ممکن است هنگام راه‌اندازی دستگاه، صفحه بازیابی BitLocker مشاهده شود. کاربرانی که تحت تأثیر این نقص امنیتی قرار گرفته‌اند، با صفحه بازیابی BitLocker مواجه می‌شوند و باید کلید بازیابی BitLocker را وارد کنند تا بتوانند درایو را باز کرده و سیستم را به ‌طور عادی از حالت بازیابی راه‌اندازی کنند.
این اتفاق معمولاً پس از به‌روزرسانی ویندوز رخ نمی‌دهد. کاربرانی که گزینه Device Encryption را را در تنظیمات در قسمت Privacy & Security -> Device encryption فعال کرده‌اند، بیشتر ممکن است هنگام راه‌اندازی سیستم خود با صفحه بازیابی BitLocker مواجه شوند.
BitLocker یک ویژگی امنیتی ویندوز است که درایوهای حافظه را رمزگذاری می‌کند تا از سرقت یا افشای داده‌ها جلوگیری شود. کامپیوترهای ویندوزی معمولاً تنها پس از رویدادهایی مانند تغییرات سخت‌افزاری یا به‌روزرسانی‌های TPM (ماژول پلتفرم قابل اعتماد) وارد حالت بازیابی BitLocker می‌شوند تا به درایوهای محافظت‌شده دسترسی پیدا کنند.
TPM یک تراشه امنیتی است که در مادربوردهای کامپیوترها نصب می‌شود یا به صورت افزونه (ماژول) قابل نصب است. این تراشه برای اجرای عملیات رمزنگاری مانند ایجاد، ذخیره‌سازی و مدیریت کلیدهای رمزنگاری استفاده می‌شود و به افزایش امنیت سیستم‌ها کمک می‌کند.
کاربران می‌توانند با وارد شدن به پورتال صفحه بازیابی BitLocker با استفاده از حساب کاربری مایکروسافت خود، BitLocker را بازیابی کنند.
در آگوست 2022، دستگاه‌های ویندوزی تحت تأثیر مشکلات مشابهی قرار گرفتند و پس از به‌روزرسانی امنیتی KB5012170 برای Secure Boot DBX  با خطاهای 0x800f0922 مواجه شدند که باعث شد برخی دستگاه‌ها در صفحه بازیابی BitLocker راه‌اندازی شوند.

نسخه‌های آسیب‌پذیر
این مشکل، چندین پلتفرم ویندوزی، شامل سرور و کلاینت را تحت تأثیر قرار داده است:
•    کلاینت: Windows 11 version 23H2، Windows 11 version 22H2، Windows 11 version 21H2، Windows 10 version 22H2، Windows 10 version 21H2.
•    سرور: Windows Server 2022، Windows Server 2019، Windows Server 2016، Windows Server 2012، Windows Server 2012 R2، Windows Server 2008، Windows Server 2008 R2.
 

توصیه‌های امنیتی
مایکروسافت نصب آخرین به‌روزرسانی ویندوز را توصیه کرده‌ است زیرا شامل وصله‌های امنیتی و رفع نواقص مهمی، از جمله این نقص می‌باشد.

منبع خبر:

https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-issue-that-sent-pcs-into-bitlocker-…

 یک آسیب‌پذیری با شناسه  CVE-2024-7301 و شدت 7.2 در افزونه WordPress File Upload کشف شده است.  این آسیب‌پذیری به دلیل عدم پاکسازی صحیح ورودی‌ها و عدم بررسی لازم در بارگذاری فایل‌های SVG، به مهاجمان اجازه می‌دهد تا اسکریپت‌های دلخواه را در صفحات وب تزریق کنند. این اسکریپت‌ها هنگامی که یک کاربر به فایل SVG دسترسی پیدا می‌کند، اجرا می‌شوند.
این آسیب‌پذیری از نوع Stored Cross-Site Scripting (XSS) است و می‌تواند بدون نیاز به تعامل کاربر و بدون نیاز به دسترسی‌های ویژه، از طریق شبکه، مورد بهره‌برداری قرار گیرد. این موضوع باعث می‌شود که حملات گسترده‌تری ممکن شود، زیرا مهاجم می‌تواند کدهای مخرب خود را در وب‌سایت تزریق کند و بر اساس آن اطلاعات حساس کاربران را به دست آورد یا کنترل بیشتری بر سایت داشته باشد.

 یک آسیب‌پذیری با شناسه CVE-2024-7145 و شدت 8.8 در افزونه JetElements وردپرس کشف شده است. این آسیب‌پذیری از نوع درج فایل محلی (Local File Inclusion) یا LFI است که به مهاجمان احراز هویت‌شده با سطح دسترسی Contributor یا بالاتر اجازه می‌دهد فایل‌های دلخواه را در سرور درج و اجرا کنند. این نقص می‌تواند به مهاجمان امکان اجرای کد PHP دلخواه را بدهد، که می‌تواند منجر به دور زدن کنترل‌های امنیتی، دسترسی به اطلاعات حساس، و حتی در برخی موارد، کنترل کامل وب‌سایت وردپرس شود.

محصولات تحت تأثیر
شناسه CVE-2024-7301: نسخه  4.28.4 و تمام نسخه‌‌های قبلی افزونه File Upload  تحت تاثیر این آسیب‌پذیری قرار می‌گیرند.

شناسه CVE-2024-7145: این آسیب‌پذیری نسخه‌های تا 2.6.20 از افزونه JetElements را تحت تاثیر قرار می‌دهد.

توصیه‌های امنیتی
شناسه CVE-2024-7301: به کاربران توصیه می‌شود افزونه را به نسخه 4.24.9 به‌روزرسانی کنند.

شناسه CVE-2024-7145: به کاربران توصیه می‌شود فوراً افزونه خود را به نسخه جدیدتر از 2.6.20 به‌روزرسانی کنند یا تا زمان انتشار یک وصله امنیتی، آن را غیرفعال کنند. همچنین، اعمال محدودیت‌های سختگیرانه بر دسترسی کاربران و استفاده از فایروال برنامه‌های وب (WAF) برای تشخیص و مسدودسازی تلاش‌های احتمالی برای بهره‌برداری از این آسیب‌پذیری توصیه می‌شود.

منابع‌خبر:

[1] https://nvd.nist.gov/vuln/detail/CVE-2024-301
[2] https://github.com/advisories/GHSA-gw3m-cj7m-xhp2

[3] https://www.tenable.com/cve/CVE-2024-7145

اخیرا یک وصله امنیتی برای آسیب‌پذیری بحرانی با شناسه CVE-2024-28986 و شدت CVSS: 9.8 در نرم‌افزار Web Help Desk شرکت SolarWinds منتشر شده است. این آسیب‌پذیری امنیتی که به دلیل نقص در پردازش deserialization جاوا می‌باشد می‌تواند به مهاجمان اجازه دهد کنترل کامل سیستم را به دست گرفته و برنامه داده‌های مخرب را پردازش کرده و کدهای مخرب را اجرا کند. نرم‌افزار Web Help Desk به شرکت‌‌ها و سازمان‌ها، امکان مدیریت بهتر درخواست‌های کاربران و پاسخ‌دهی مناسب و به موقع از سمت تیم پشتیبانی ارائه می‌دهد. 

محصولات تحت تأثیر
 Web Help Desk: نسخه 12.8.3 و نسخه‌های قبل‌تر

توصیه‌های امنیتی 
در نسخه جدید یک وصله امنیتی فوری به عنوان hotfix با شماره 12.8.3 HF 1  منتشر شده است. مدیران فناوری اطلاعات و مدیران شبکه سازمان‌ها لازم است ابتدا نرم‌افزار مربوطه را به نسخه 12.8.3.1813  ارتقا دهند. پس از اعمال به‌روزرسانی SolarWinds،  به‌طور خودکار یک فایل JAR به سیستم اضافه خواهد شد، اما در ادامه لازم است کاربران یک تغییر دستی در پوشه تنظیمات (config) نرم‌افزار انجام دهند. دستورالعمل‌های دقیق جهت نصب این به‌روزرسانی و تغییرات لازم در راهنمای منتشر شده توسط شرکتSolarWinds  ارائه شده است.

منبع خبر:

https://thehackernews.com/2024/08/solarwinds-releases-patch-for-critical.html

محققان حوزه امنیت موبایل یک پکیج اندرویدی به نام Showcase.apk کشف کرده‌اند که دارای دسترسی‌های سیستمی بسیار زیاد است و امکان اجرای کد از راه دور و نصب پکیج را برای مهاجم فراهم می‌آورد. این برنامه بر روی درصد بزرگی از گوشی‌های Pixel که پس از سپتامبر 2017 به فروش رفته‌اند به طور پیش‌فرض نصب شده است. اپلیکیشن مذکور یک فایل پیکربندی را از طریق یک پروتکل غیر امن دانلود کرده که می‌تواند جهت اجرای کد مورد بهره‌برداری قرار گیرد.
 

نمونه درخواستی که در صورت فعال بودن این برنامه، ارسال می‌شود.

این اپلیکیشن فایل پیکربندی را از یک سرور AWS از طریق پروتکل HTTP دانلود می‌کند و می‌تواند دستگاه را آسیب‌پذیر کند. وجود این برنامه میلیون‌ها دستگاه اندرویدی را در معرض حمله MITM قرار می‌دهد و مهاجمان می‌توانند کدهای مخرب خود را جهت نصب جاسوس‌افزار به آن تزریق نمایند. حذف این برنامه توسط کاربر عادی ممکن نیست و هنوز شرکت گوگل وصله‌ای برای این نقص امنیتی منتشر نکرده است. خوشبختانه این برنامه به طور پیش‌فرض فعال نیست اما ممکن است از روش‌هایی برای فعال‌سازی آن استفاده شود که این روش‌ها برای حفظ امنیت کاربران هنوز عمومی نشده‌اند. این برنامه توسط شرکتی به نام Smith Micro ساخته شده است که دستگاه را در حالت demo قرار می‌دهد. در این حالت بسیاری از دسترسی‌های سطح بالا و غیر ضروری برای برنامه فعال می‌شوند. مهاجم با منابع کافی می‌تواند اقدام به نصب Backdoor در بسیاری از گوشی‌های پیکسل در سطح جهان نماید.

توصیه‌های امنیتی
گوگل در ارائه وصله امنیتی برای این نقص تاخیر داشته است. لذا فعلاً از طریق زیر می‌توانید نصب بودن یا نبودن این پکیج را بر روی دستگاه خود را بررسی نمایید: 
 
 

کدهای هش مربوط به برنامه

این برنامه فایل‌های زیادی را پس از اجرا بر روی حافظه ذخیره می‌کند:

پوشه‌های محل ذخیره فایل

همچنین فایل‌هایی که این برنامه ایجاد می‌کند و یا بر روی آن‌ها می‌نویسد در شکل زیر قابل مشاهده است:
 
 

محل‌های ذخیره فایل

منابع خبر:

[1]https://iverify.io/blog/iverify-discovers-android-vulnerability-impacting-millions-of-pixel-devices…
[2]https://www.wired.com/story/google-android-pixel-showcase-vulnerability/
[3]https://cybersecuritynews.com/android-vulnerability-pixel-devices-worldwide/
 

به‌تازگی یک آسیب‌پذیری بحرانی با شناسه CVE-2024-38063 و شدت 9.8 در سیستم‌عامل ویندوز کشف شده است. این آسیب‌پذیری از نوع integer underflow می‌باشد و این امکان را برای مهاجم احراز هویت نشده فراهم می‌آورد تا با ارسال مکرر بسته‌های IPv6 خاص به یک دستگاه ویندوز، کد دلخواه خود را از راه دور اجرا نماید.

محصولات تحت‌تأثیر
این آسیب‌پذیری تمامی نسخه‌های محصولات جدول زیر و نسخه‌های قبل‌تر آن‌ها را تحت تأثیر خود قرار می‌دهد.

توصیه‌های امنیتی
با اعمال به‌روزرسانی محصولات آسیب‌پذیر به نسخه‌های ارائه شده در جدول زیر، آسیب‌پذیری مذکور رفع خواهد شد.

منبع خبر:

https://nvd.nist.gov/vuln/detail/CVE-2024-38063

یک آسیب‌پذیری امنیتی بحرانی در پیاده‌سازی‌ OpenSSH در سیستم‌های FreeBSD کشف شده است که به مهاجمان این امکان را می‌دهد تا بدون احراز هویت، از راه دور کد دلخواه خود را اجرا کنند. این آسیب‌پذیری با شناسه CVE-2024-7589 شناخته می‌شود و تمام نسخه‌های پشتیبانی‌شده FreeBSD را تحت تأثیر قرار می‌دهد.
آسیب‌پذیری مذکور خطر قابل توجهی ایجاد می‌کند زیرا امکان اجرای کد از راه دور بدون احراز هویت را فراهم کرده که می‌تواند به نفوذ کامل به سیستم منجر شود. مهاجمانی که از این نقص بهره‌برداری می‌کنند می‌توانند دسترسی ادمین (root) سیستم را به دست بگیرند، به اطلاعات محرمانه سیستم دسترسی پیدا کنند، سیستم را آلوده کند و اعمال بدخواهانه انجام دهد.
این نقص امنیتی از یک مدیریت‌کننده سیگنال در سرویس sshd ناشی می‌شود که ممکن است توابع لاگ‌گیری که برای سیگنال‌های ناهمزمان ایمن نیستند را فراخوانی کند. این مدیریت‌کننده سیگنال زمانی فعال می‌شود که یک کلاینت در مدت زمان پیش‌فرض 120 ثانیه‌ای LoginGraceTime نتواند احراز هویت کند.
این مشکل که با یکپارچه‌سازی سرویس blacklistd در FreeBSD مرتبط است، یک وضعیت رقابتی ایجاد می‌کند که مهاجمان با بهره‌برداری از آن می‌توانند کد دلخواه را از راه دور اجرا ‏کنند. نکته مهم این است که کد آسیب‌پذیر در بستر sshd و با دسترسی کامل ادمین (root) اجرا می‌شود و بنابراین مهاجم می‌تواند از آن برای اجرای کد از راه دور و بدون احراز هویت به عنوان کاربر ادمین (root) بهره‌برداری کند.

توصیه‌های امنیتی
FreeBSD برای رفع این آسیب‌پذیری در نسخه‌های زیر وصله‌هایی منتشر کرده است:
•    14.1-RELEASE-p3
•    14.0-RELEASE-p9
•    13.3-RELEASE-p5
به منظور مقابله با آسیب‏پذیری ذکر شده موارد زیر توصیه می‏شود:
•    به ادمین سیستم‌های FreeBSD به شدت توصیه می‌شود که سیستم‌های خود را فوراً به‌روزرسانی کنند.
•    در صورتی که امکان به‏روزرسانی فوری وجود ندارد، می‏توان به صورت موقت در فایل پیکربندی sshd مقدار LoginGraceTime را به 0 تنظیم کرد. توجه شود که با استفاده از این راهکار سیستم‌ همچنان در برابر حملات انکار سرویس آسیب‌پذیر باقی می‌‏ماند.
 

منابع خبر:

[1] https://cybersecuritynews.com/openssh-vulnerability-freebsd
[2] https://www.freebsd.org/security/advisories/FreeBSD-SA-24:08.openssh.asc

شرکت مایکروسافت به تازگی از یک آسیب‌پذیری روز صفر(Zero-Day) در نرم‌افزار Microsoft Office خبر داده ‌است که در صورت بهره‌برداری موفق، می‌تواند منجر به افشای غیرمجاز اطلاعات حساس شده و محرمانگی را به خطر اندازد. این آسیب‌پذیری با شناسه CVE-2024-38200 و شدت بالا و امتیاز CVSS 7.5 ردیابی شده‌ و یک نقص افشای اطلاعات (Information Disclosure) ناشی از پردازش نامناسب داده‌ها توسط نرم‌افزار می‌باشد. مشکل به دلیل یک ورودی ناشناخته ایجاد می‌شود که می‌تواند یک فایل یا داده‌ای باشد که نرم‌افزار Office به طور نادرست آن را پردازش می‌کند.
در سناریوی حمله‌ی مبتنی بر وب، مهاجم فایلی که برای بهره‌برداری از این آسیب‌پذیری طراحی شده است را بر روی یک وب‌سایت که خودش میزبان آن است یا وب‌سایتی با قابلیت پذیرش محتوای کاربران که مهاجم آن را تحت کنترل دارد، قرار می‌دهد. سپس باید برای اینکه کاربران از سایت بازدید کنند، اطمینان آنان را از طریق ارسال یک لینک در ایمیل یا پیام فوری، جلب کند تا روی لینک کلیک کرده و سپس فایل مخرب را باز کنند. زمانی که این فایل در نرم‌افزار Office باز می‌شود، آسیب‌پذیری فعال شده و امکان افشای اطلاعات حساس فراهم می‌شود.
به گفته‌ی محققان، بهره‌برداری از این آسیب‌پذیری بسیار آسان است و نیازی به احراز هویت ندارد و می‌تواند از راه دور انجام شود.

محصولات تحت تاثیر
نسخه‌های ۳۲ بیتی و ۶۴ بیتی نرم‌افزارهای Microsoft Office 2016، Microsoft Office 2019، Microsoft 365 Apps for Enterprise و Microsoft Office LTSC 2021 آسیب‌پذیر هستند.
 

توصیه‌های امنیتی
مایکروسافت اعلام کرده است که یک به‌روزرسانی رسمی برای رفع این آسیب‌پذیری در تاریخ ۱۳ آگوست منتشر خواهد شد. اما تا آن زمان، انتشار تدریجی به‌روزرسانی‌ها در مقیاس‌های کوچک (Feature Flighting) را فعال و تأکید کرده که در تمام نسخه‌های پشتیبانی‌شده از آفیس و Microsoft 365 این محافظت به کار گرفته‌ شده ‌است. با این حال توصیه می‌شود که برای امنیت بیشتر، کاربران به محض در دسترس بودن به‌روزرسانی نهایی، آن را نصب کنند.
این شرکت همچنین سه استراتژی کاهش خطر را پیشنهاد کرده است:

•  پیکربندی تنظیمات "Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers" برای مدیریت و کنترل ترافیک NTLM خروجی به سرورهای راه دور. ترافیک NTLM شامل داده‌هایی است که در فرآیند احراز هویت بین سیستم‌ها رد و بدل می‌شود.
•  افزودن کاربران به گروه امنیتی Protected Users که مانع از استفاده از NTLM به عنوان مکانیزم احراز هویت می‌شود. Protected Users یکی از ویژگی‌های امنیتی ویندوز است که برای محافظت بیشتر از حساب‌های کاربری حساس در برابر تهدیدات امنیتی طراحی شده است. این گروه امنیتی در نسخه‌های جدید ویندوز سرور و کلاینت (ویندوز 8.1 به بعد) معرفی شده است و شامل مجموعه‌ای از محدودیت‌ها و سیاست‌های امنیتی است که به‌طور پیش‌فرض برای اعضای این گروه اعمال می‌شود.
• مسدود کردن خروجی TCP 445/SMB از طریق فایروال پیرامونی، فایروال محلی و تنظیمات VPN به منظور جلوگیری از ارسال پیام‌های احراز هویت NTLM به منابع خارجی راه دور.
   

منابع خبر:

[1] https://thehackernews.com/2024/08/microsoft-warns-of-unpatched-office.html
[2] https://vuldb.com/?id.274028