اخبار
اخیراً در به‌روزرسانی‌های محصولات #سیسکو یک #آسیب‌پذیری بحرانی با شدت 9.6 وصله شده است. این آسیب‌پذیری با شناسه CVE-2022-20658 شناخته شده و مهاجم با دارا بودن اعتبارنامه‌های معتبر (مربوط به یک کاربر با سطح دسترسی بالا) و ارسال یک درخواست HTTP مخرب به سیستم آسیب‌پذیر، می‌تواند از این آسیب‌پذیری بهره‌برداری کند. بهره‌برداری موفق از آسیب‌پذیری مذکور به مهاجم احرازهویت شده امکان می‌دهد سطح دسترسی خود را به Admin ارتقاء داده یا حساب‌های کاربری با سطح دسترسی Admin بسازد.
هیچ‌گونه روش موقتی جهت کاهش مخاطرات آسیب‌پذیری‌های مذکور منتشر نشده است؛ لذا به کاربران توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سیستم‌های آسیب‌پذیر اقدام کنند.
این آسیب‌پذیری بر محصولات Cisco Unified CCMP و Cisco Unified CCDM (در صورتی که دارای پیکربندی پیش‌فرض باشند) تاثیر می‌گذارد.
جهت مشاهده اطلاعات بیشتر راجع به آسیب‌پذیری مذکور و نحوه به‌روزرسانی به لینک زیر مراجعه کنید:
اخیراً یک #آسیب‌پذیری مبتنی بر JNDI در کنسول پایگاه داده H2 شناسایی شده است که منشا آن مشابه منشا آسیب‌پذیری Log4Shell در کتابخانه Log4j است. به گفته‌ی محققان امنیتی این آسیب‌پذیری با شناسه CVE-2021-42392 شناخته می‌شود و امکان اجرای کد از راه دور را برای مهاجم احراز هویت نشده فراهم می‌کند.
پایگاه داده H2 یک سیستم مدیریت پایگاه داده رابطه‌ای و یک پروژه متن باز است که به زبان جاوا توسعه داده شده و می‌تواند در برنامه‌های کاربردی تعبیه و یا در حالت کلاینت-سرور اجرا شود.
این آسیب‌پذیری در نسخه‌های 1.1.100 تا 2.0.204 این محصول وجود دارد. توصیه می‌شود نسخه‌ی پایگاه داده H2 مورد استفاده خود را به 2.0.206 ارتقا دهید. درصورت عدم امکان ارتقای نسخه، توصیه می‌گردد از نسخه‌های جاوا (JRE/JDK) زیر (یا نسخه‌های جدیدتر) که مخاطرات ناشی از این آسیب‌پذیری را کاهش می‌دهند (به عنوان راهکار موقت)، استفاده کنید:
- 6u211
- 7u201
- 8u191
- 11.0.1
مراجع
وردپرس با انتشار به‌روزرسانی‌های امنیتی، چهار #آسیب‌پذیری امنیتی را در نسخه 5.8.3 خود وصله نموده است. آسیب‌پذیری‌های مذکور شامل دو آسیب‌پذیری تزریق SQL (CVE-2022-21664 و CVE-2022-21661 با شدت 7.4 و 8.0)، یک آسیب‌پذیری Stored XSS (CVE-2022-21662 با شدت 8.0) و یک آسیب‌پذیری تزریق شیء (CVE-2022-21663 با شدت 6.6) هستند. کلیه نسخه‌های بین 3.7 تا 5.8 وردپرس تحت تاثیر این آسیب‌پذیری‌ها قرار دارند. به کاربران توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سایت‌های وردپرسی آسیب‌پذیر اقدام کنند.
هیچ‌گونه روش موقتی جهت کاهش مخاطرات آسیب‌پذیری‌های مذکور منتشر نشده است. اعمال به‌روزرسانی‌ها به‌صورت زیر انجام می‌پذیرد:
- مراجعه به سایت WordPress.org و بارگیری فایل به‌روزرسانی
- استفاده از مسیر Dashboard → Updates در پیشخوان سایت وردپرسی و انتخاب گزینه Update Now
در صورتی که سایت وردپرسی از به‌روزرسانی‌های خودکار در پس‌زمینه پشتیبانی می‌کند، فرآیند به‌روزرسانی به‌صورت خودکار در آن آغاز می‌شود.
جهت کسب اطلاعات بیشتر در مورد این آسیب‌پذیری‌ها به لینک زیر مراجعه کنید:
مراجع
مایکروسافت گزارش آسیب‌پذیری‌های امنیتی موثر بر محصولات و خدمات مایکروسافت را بررسی و آخرین به‌روزرسانی را برای محصولات خود منتشر کرده است. در اصلاحیه امنیتی سه شنبه 11 ژانویه 2022 مایکروسافت 97 آسیب‌پذیری (6 آسیب‌پذیری روز صفرم) را برطرف کرده است. از این 97 آسیب‌پذیری (41 مورد Elevation of Privilege، 9 مورد Security Feature Bypass، 29 مورد Remote Code Execution، 6 مورد Information Disclosure، 9 مورد Denial of Service، 3 مورد Spoofing)، 9 مورد دارای درجه حساسیت بحرانی و 88 مورد دارای درجه حساسیت مهم طبقه‌بندی شده‌اند.
آسیب‌پذیری‌های روز صفرم شامل شناسه‌های زیر می‌شوند:
- CVE-2021-22947 - Open Source Curl Remote Code Execution Vulnerability
- CVE-2021-36976 - Libarchive Remote Code Execution Vulnerability
- CVE-2022-21919 - Windows User Profile Service Elevation of Privilege Vulnerability
- CVE-2022-21836 - Windows Certificate Spoofing Vulnerability
- CVE-2022-21839 - Windows Event Tracing Discretionary Access Control List Denial of Service Vulnerability
- CVE-2022-21874 - Windows Security Center API Remote Code Execution Vulnerability
طبق گزارش مایکروسافت، تعدادی از این آسیب‌پذیری‌ها به‌صورت عمومی دارای اکسپلویت بوده و ممکن است توسط مهاجمین در حال بهره‌برداری باشند.
در به‌روزرسانی این ماه، وصله‌ها شامل موارد زیر بوده‌اند:
- .NET Framework
- Microsoft Dynamics
- Microsoft Edge (Chromium-based)
- Microsoft Exchange Server
- Microsoft Graphics Component
- Microsoft Office
- Microsoft Office Excel
- Microsoft Office SharePoint
- Microsoft Office Word
- Microsoft Teams
- Microsoft Windows Codecs Library
- Open Source Software
- Windows Hyper-V
- Tablet Windows User Interface
- Windows Account Control
- Windows Active Directory
- Windows AppContracts API Server
- Windows Application Model
- Windows BackupKey Remote Protocol
- Windows Bind Filter Driver
- Windows Certificates
- Windows Cleanup Manager
- Windows Clipboard User Service
- Windows Cluster Port Driver
- Windows Common Log File System Driver
- Windows Connected Devices Platform Service
- Windows Cryptographic Services
- Windows Defender
- Windows Devices Human Interface
- Windows Diagnostic Hub
- Windows DirectX
- Windows DWM Core Library
- Windows Event Tracing
- Windows Geolocation Service
- Windows HTTP Protocol Stack
- Windows IKE Extension
- Windows Installer
- Windows Kerberos
- Windows Kernel
- Windows Libarchive
- Windows Local Security Authority
- Windows Local Security Authority Subsystem Service
- Windows Modern Execution Server
- Windows Push Notifications
- Windows RDP
- Windows Remote Access Connection Manager
- Windows Remote Desktop
- Windows Remote Procedure Call Runtime
- Windows Resilient File System (ReFS)
- Windows Secure Boot
- Windows Security Center
- Windows StateRepository API
- Windows Storage
- Windows Storage Spaces Controller
- Windows System Launcher
- Windows Task Flow Data Engine
- Windows Tile Data Repository
- Windows UEFI
- Windows UI Immersive Server
- Windows User Profile Service
- Windows User-mode Driver Framework
- Windows Virtual Machine IDE Drive
- Windows Win32K
- Windows Workstation Service Remote Protocol
در نهایت مایکروسافت اکیداً توصیه به به‌روزرسانی فوری در محصولات تحت تاثیر داشته است.
مراجع
https://www.tenable.com/blog/microsofts-january-2022-patch-tuesday-addresses-97-cves-cve-2022-21907
بر اساس گزارش‌های واصله به مرکز ماهر حملات گروه‌های باج افزاری به دیتاسنترها و هاستیگ‌ها از طریق آسیب‌پذیری log4shell در محصولات VMWARE در حال وقوع است. ضمن تاکید بر جداسازی ZONE مدیریتی و محدودیت شدید دسترسی به واسط وبی vcenter حتی از داخل شبکه، نسبت به اعمال وصله‌های امنیتی مربوطه اقدام فوری انجام شود. توصیه می‌شود با استفاده از ابزار زیر نسبت به ارزیابی ipهای داخلی شبکه برای یافتن آسیب‌پذیری‌های احتمالی اقدام شود:
در صورتی که قصد دارید به صورت محلی بدون ارتباط با بیرون، IPهای داخل شبکه را نسبت به #آسیب‌پذیری log4shell تست کنید می‌توانید از ابزار توسعه داده شده توسط آپای ارومیه استفاده کنید. با استفاده از این ابزار تعدادی پورت پرکاربرد روی یک محدوده از آی پی‌ها، در خصوص آسیب‌پذیر بودن log4shell مورد بررسی قرار می‌گیرد. با استفاده از این ابزار هیچ اطلاعاتی در مورد سرور شما به خارج از شبکه ارسال نمی‌شود. البته بایستی بین مقاصد تست شده و ماشینی که ابزار اجرا می‌شود مسیریابی انجام شود و بسته‌ها دو طرفه بتوانند حرکت کنند. دقت شود که فایروال ماشین ارزیاب در حین ارزیابی قطع باشد.
فایل اجرایی ویندوز و لینوکس ابزار: log4jScanner.zip
راهنمای استفاده از ابزار:Log4jScanner_Manual.pdf
دقت شود که برای استفاده از این ابزار اولا دسترسی ادمین یا روت به برنامه داده شود و همچنین پورت ۱۳۸۹ در پروتکل tcp و پورت ۵۳ در پروتکل udp از سمت فایروال باز بوده و امکان دسترسی به آن از بیرون وجود داشته باشد. شکل کلی استفاده از ابزار به این صورت است:
فرض کنیم آی‌پی خودمان داخل شبکه ۱۹۲.۱۶۸.۱۰.۱۰۰ و در بستر اینترنت ۲.۱۸۷.۲۴۰.۱۳۰ باشد.
اگر هدف اسکن یک رنج آی‌پی داخلی باشد دستور به صورت زیر خواهد بود:
استفاده از آرگومان server-ip به این دلیل است که برنامه احیانا اشتباها آی‌پی دیگری از سیستم اسکنر را به عنوان سرور در نظر نگیرد.
اگر هدف اسکن یک آی‌پی خاص مثلا ۱۹۲.۱۶۸.۱۰.۱۱۳ باشد دستور به شکل زیر خواهد بود:
استفاده از دیگر آرگومان‌های برنامه دلخواه بوده و می‌توان با دستور زیر همه آن‌ها را مشاهده کرد:
اسکن از بیرون برای یافتن سرویس‌های آسیب‌پذیر در شبکه لزوما موفق آمیز نخواهد بود حتی اگر از ابزارهای قوی استفاده شود. روش درست این قضیه اسکن تمام فایل‌های سرور برای یافتن کتابخانه‌های آسیب‌پذیر است. به این منظور فایل پویشگر یافتن کتابخانه‌های Log4j آسیب‌پذیر در سیستم‌های ویندوزی و لینوکسی تهیه شده است:
اجرای فایل در سیستم‌های ویندوزی با استفاده از دستور java -jar Log4j_Scanner_v1.jar انجام می‌شود.
در سیستم‌های لینوکسی فایل پس از اجرایی کردن (chmod +x Log4j_Scanner_v1.jar) قابل اجرا است.
با انتخاب گزینه 1 کل سیستم پویش می‌شود:
با انتخاب گزینه 2 می‌توان یک مسیر مورد نظر را به‌منظور انجام پویش وارد کرد:
در حین انجام پویش با یافتن هر آسیب‌پذیری جزئیات مربوط به آن شامل سطح خطر (Critical و Medium)، CVE مربوط به آسیب‌پذیری (یکی از موارد CVE-2021-45105 ,CVE-2021-45046 ,CVE-2021-44228 و CVE-2021-44832)، مسیر کتابخانه آسیب‌پذیر و نسخه آن نمایش داده می‌شود. شکل زیر نمونه‌ای از خروجی مربوط به سه آسیب‌پذیری پیداشده را نشان داده است:
پس از پایان پویش گزارش خلاصه‌ای از آسیب‌پذیری‌های پیداشده به‌صورت زیر نمایش داده می‌شود (تعداد آسیب‌پذیری‌های پیداشده به تفکیک درجه خطر آن‌ها، راهنمای وصله‌کردن آسیب‌پذیری‌ها). همان طور که در این خلاصه گفته شده است نتایج پویش در فایلی با نام Log4j_Vulnerabilities.txt نیز ذخیره می‌شود.
شرکتApache در به‌روزرسانی‌های اخیر خود دو #آسیب‌پذیری بحرانی و شدت بالا را در HTTP سرور‌های خود رفع کرده است. این آسیب‌پذیری‌ها با شناسه CVE-2021-44790 و CVE-2021-44224 و شدت 9.8 و 8.2 شناخته شده و نسخه‌های پیش از 2.4.51 از Apache HTTP Server را تحت تاثیر خود قرار می‌دهند.
مهاجم با بهره‌برداری از این آسیب‌پذیری‌ها قادر است کد دلخواه خود را در وب‌سرورهای آسیب‌پذیر اجرا کند یا منجر به اقدامات غیرمجاز یا دسترسی به داده‌های حساس سازمان شده و در نهایت کنترل سیستم آسیب‌پذیر را به دست گیرد. هیچ‌گونه روشی جهت کاهش مخاطرات این آسیب‌پذیری‌ها منتشر نشده است؛ لذا به کاربران توصیه می‌شود هرچه سریع‌تر به‌روزرسانی‌های منتشر شده را در سیستم‌های آسیب‌پذیر اعمال نمایند.
https://nvd.nist.gov/vuln/detail/CVE-2021-44790
https://nvd.nist.gov/vuln/detail/CVE-2021-44224
https://httpd.apache.org/security/vulnerabilities_24.html
ابزارهای متعددی برای ارزیابی و اسکن آدرس‌های آسیب‌پذیر به Log4shell ارایه شده است. هرکدام بخشی از نقاط آسیب‌پذیر را تشخیص می‌دهند و هیچ کدام مدعی کامل بودن نیستند. برای اسکن سایت یا ip می‌توانید از ابزار https://log4j.cert.ir استفاده نمایید.
این ابزار مانند بسیاری از ابزارهای معتبر دیگر ممکن است یک مورد آسیب‌پذیر را به عنوان عدم آسیب‌پذیر تشخیص دهد. لذا توصیه می‌شود به خروجی این ابزار بسنده نکرده و با توجه به دستورالعمل‌های امن‌سازی نسبت به ارتقاء کتابخانه‌ی log4j و سایر اقدامات توصیه شده مراجع ذیصلاح اقدام نمایید.
در نسخه‌های 2.2.x (از 2.2.0 تا 2.2.25)، 3.1.x (از 3.1.0 تا 3.1.14) و 3.2.x (از 3.2.0 تا 3.2.10) فریم‌ورک Django، آسیب‌پذیری با شدت بالا (7.3 از 10) وجود دارد. در این آسیب‌پذیری مهاجم به‌صورت ریموت و از راه دور، می‌تواند با دستکاری مسیر و URL درخواست‌های HTTP که حاوی دنباله‌ای از مقادیر %0A باشد (این مقدار معادل خط جدید و NewLine در utf8 است.) کنترل سطح دسترسی و HTTP Request Handler را دور زده و دسترسی غیرمجاز به عملکردهای محدود شده، اتخاذ نماید. جدول زیر مشخصات کلی آسیب‌پذیری مذکور را نشان می‌دهد.
آخرین نسخه فریم‌ورک Django، 4.0 است که لازم است نسخه‌های قدیمی و آسیب‌پذیر به این نسخه ارتقاء یابند.
