‫ اخبار

با توجه به افزایش حملات #‫باج_افزار ی در روزهای اخیر در کشورهای مختلف دنیا از جمله آمریکا، دانمارک، سوئد و غیره، به سازمان‌ها، شرکت‌ها و اشخاص حقیقی اکیدا توصیه می‌شود نسبت به تهیه‌ی پشتیبان از اطلاعات با ارزش خود اقدام نمایند. مهاجمان از روش‌های مختلف مبادرت به نفوذ به سیستم‌های رایانه‌ای نموده و بعد از آن نسبت به رمزنگاری داده‌های قربانیان، درخواست باج‌ جهت برگرداندن اطلاعات می‌کنند.

اخیراً یک #‫آسیب‌پذیری با شناسه‌ی CVE-2021-1675 و شدت بالا (7.8 از 10) در سرویس Print Spooler ویندوز کشف شده است که بهره‌برداری از آن امکان ارتقای امتیاز و افزایش سطح دسترسی بر روی سیستم‌های ویندوزی آسیب‌پذیر را برای مهاجم فراهم می‌کند. لازم به ذکر است که مهاجم برای بهره‌برداری به امتیاز یا دسترسی بالایی نیاز ندارد. باید توجه داشت که سرویس Print Spooler به صورت پیش‌فرض در سیستم‌های ویندوزی در حال اجرا است و برای اجرا نیاز به اتصال به یک دستگاه پرینتر ندارد.

در تاریخ 10 تیر #‫مایکروسافت از وجود یک آسیب‌پذیری دیگر در سرویس Print Spooler خبر داد که با نام PrintNightmare و شناسه‌ی CVE-2021-34527 شناخته می‌شود. بهره‌برداری از این آسیب‌پذیری روزصفرم امکان اجرای کد از راه دور با دسترسی SYSTEM بر روی سیستم آسیب‌پذیر، نصب برنامه، مشاهده، تغییر یا حذف اطلاعات و ایجاد حساب‌های کاربری با دسترسی کامل را برای مهاجم احراز هویت شده فراهم می‌کند.

وصله‌های امنیتی/ اقدامات کاهشی
CVE-2021-1675
مایکروسافت از این آسیب‌پذیری به عنوان یک آسیب‌پذیری بحرانی یاد کرده است لذا هرچه سریع‌تر نسبت به به‌روزرسانی محصولات آسیب‌پذیر اقدام کنید.

در ویندوز سرورهایی که به عنوان کنترل کننده‌ی دامنه (DC) فعالیت می‌کنند و سیستم‌های که فیلد «NoWarningNoElevationOnInstall» در تنظیمات group policy، با مقدار «یک» تنظیم شده باشد، دریافت وصله امنیتی در رفع آسیب‌پذیری موثر نخواهد بود و باید نسبت به غیرفعال کردن (Disable) سرویس Print Spooler در این سیستم‌ها اقدام شود. برای مشاهده‌ی مقدار فیلد مذکور به آدرس زیر در DC مراجعه کنید:

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint\NoWarningNoElevationOnInstall

CVE-2021-34527- PrintNightmare
تاکنون وصله امنیتی که آسیب‌پذیری را به‌طور کامل برطرف کند، توسط مایکروسافت منتشر نشده است و کد اکسپلویت این آسیب‌پذیری طی چند روز اخیر در سطح اینترنت منتشر شده و در اختیار عموم قرار گرفته است.
با توجه به اینکه یکی از کدهای اکسپلویت به طور خاص کنترل‌کننده‌های دامنه (DC) Active Directory را هدف قرار داده است اکیداً توصیه می‌گردد اگر از ویندوز سرور به عنوان کنترل کننده‌ی دامنه (DC) استفاده می‌کنید، سرویس Print spooler ویندوز را در کنترل‌کننده‌های دامنه و سیستم‌های که از خدمت پرینت استفاده نمی‌کنند (با تغییر Group Policy)، غیرفعال کنید تا در صورت هدف قرار گرفتن توسط مهاجمان، کل شبکه داخلی سازمان تحت اختیار مهاجمان قرار نگیرد. توجه داشته باشید که سرویس باید غیرفعال شود (disabled) نه متوقف (Stopped)؛ چراکه در صورت متوقف کردن سرویس، مهاجم می‌تواند مجدداً آن را راه‌اندازی کند.
جهت آگاهی از اینکه سرویس Print spooler در حال اجرا است یا خیر دستور زیر را با اکانت آدمین دامنه (Domain Admin) اجرا کنید:

در صورت فعال بودن سرویس برای غیرفعال کردن آن در رابط‌های Command line و PowerShell از دستور زیر استفاده کنید:

PowerShell: Stop-Service -Name Spooler -Force Set-Service -Name Spooler -StartupType Disabled

از آنجایی که عموماً کلاینت‌ها نیاز به استفاده از این سرویس دارند به جای غیرفعال کردن سرویس، می‌توان پیکربندی آن را طوری تغییر داد که امکان برقراری اتصال از سایر کلاینت از بین برود. به این منظور به صورت محلی یا با استفاده از تنظیمات Group Policy مطابق شکل زیر«Allow Print Spooler to accept client connections» را بر روی Disabled تنظیم کنید.

لازم به ذکر است که آسیب‌پذیری‌های موجود در سرویس Print Spooler پیش‌تر نیز توسط بدافزارها و ویروس‌های کامپیوتری مورد بهره‌برداری قرار گرفته‌اند (CVE-2010-2729).

مراجع

1. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675
2. https://docs.microsoft.com/en-us/defender-for-identity/cas-isp-print-spooler
3. https://doublepulsar.com/zero-day-for-every-supported-windows-os-version-in-the-wild-printnightmare-b3fdb82f840c
4. https://blog.truesec.com/2021/06/30/exploitable-critical-rce-vulnerability-allows-regular-users-to-fully-compromise-active-directory-printnightmare-cve-2021-1675/
   

شرکت VMware به‌روزرسانی‌هایی را به منظور وصله دو #‫آسیب‌پذیری اخیر موجود در محصولات خود منتشر کرده است. توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی محصولات آسیب‌پذیر اقدام شود. اعمال وصله‌ها، به‌طور کامل آسیب‌پذیری‌ها را رفع می‌کند.
این آسیب‌پذیری‌ها محصولات زیر را تحت تاثیر خود قرار می‌دهند:

• VMware Carbon Black App Control (AppC)
• VMware Tools for Windows
• VMware Remote Console for Windows (VMRC for Windows)
• VMware App Volumes

هیچ‌گونه اقداماتی جهت کاهش مخاطرات این آسیب‌پذیری‌ها توصیه نشده است.

آسیب‌پذیری‌های مذکور، دارای شدت بحرانی و بالا هستند. با توجه به شدت این آسیب‌پذیری‌ها، بهره‌برداری موفقیت‌آمیز از آن‌ها منجر به افزایش سطح دسترسی و نقض احرازهویت خواهد شد. در واقع مهاجم با دسترسی به شبکه و بهره‌برداری از آسیب‌پذیری CVE-2021-21998 می‌تواند دسترسی‌های مدیر سیستم را بدون انجام احرازهویت به‌دست آورد. همچنین می‌تواند با قرار دادن یک فایل مخرب (که به نام openssl.cnf تغییر نام یافته است) در یک دایرکتوری خاص و بهره‌برداری از آسیب‌پذیری CVE-2021-21999، کد دلخواه خود را با دسترسی‌های بالا اجرا نماید. در جدول زیر اطلاعات مختصری از آسیب‌پذیری‌های مورد بحث آورده شده است.

مراجع

در به‌روزرسانی جدید مرورگر #‫کروم چهار #‫آسیب‌پذیری با شدت بالا وصله شده است. به گزارش گوگل، بهره‌برداری‌های فعال از یکی از آنها که یک آسیب‌پذیری روزصفرم است، مشاهده شده است. با توجه به بروز آسیب‌پذیری‌های روزصفرم متعدد در این مرورگر و احتمال بهره‌برداری زنجیره‌ای از این آسیب‌پذیری‌ها توسط مهاجمان، توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی این مرورگر اقدام شود. در صورت عدم به‌روزرسانی خودکار توسط خود مرورگر از طریق زیر اقدام کنید:

Settings > Help > 'About Google Chrome'

لیست به‌روزرسانی‌های منتشر شده

در تاریخ 18 خرداد ماه، به‌روزرسانی‌هایی به منظور وصله بیش از 90 #‫آسیب‌پذیری موجود در دستگاه‌های دارای سیستم‌عامل #‫اندروید و دستگاه‌های Pixel منتشر شد؛ لذا توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی سیستم‌عامل‌های آسیب‌پذیر اقدام شود.
مهمترین آسیب‌پذیری وصله شده، آسیب‌پذیری CVE-2021-0507 در بخش System در سیستم‌عامل اندروید است که به مهاجم امکان اجرای کد از راه دور را خواهد داد. همچنین یک آسیب‌پذیری بحرانی افزایش سطح دسترسی (CVE-2021-0516) نیز در این بخش وجود دارد که جزئیات فنی بیشتری از آن ارائه نشده است. چندین آسیب‌پذیری افزایش سطح دسترسی در سایر بخش‌های این سیستم‌عامل نیز وجود دارد. در این بین می‌توان به آسیب‌پذیری‌های CVE-2021-0511، CVE-2021-0508، CVE-2021-0509، CVE-2021-0510 و CVE-2021-0520 اشاره کرد که به یک مهاجم محلی امکان می‌دهد کد دلخواه خود را در سیستم‌عامل آسیب‌پذیر اجرا کرده و الزامات تعامل کاربری را به منظور دسترسی به مجوزهای اضافی دور بزند.
اشکالات موجود در دستگاه‌های Pixel گوگل عمدتاً دارای شدت متوسط هستند. در این بین می‌توان به آسیب‌پذیری‌های منع سرویس در Android runtime (CVE-2020-1971 و CVE-2021-0555) و یک آسیب‌پذیری اجرای کد از راه دور در Media Framework (CVE-2021-0557) اشاره کرد.
در مجموع دستگاه‌های Pixel دارای 43 آسیب‌پذیری امنیتی هستند که بر بخش‌های Android runtime، Framework، Media Framework، System، هسته اندروید و بخش‌های Knowles IAXXX adnc driver و Pixel Launcher در Pixel تاثیر می‌گذارند.
تنها 4 مورد از آسیب‌پذیری‌های مذکور دارای شدت بالا هستند که شامل دو آسیب‌پذیری افزایش سطح دسترسی در بخش‌های Pixel (CVE-2021-0607 و CVE-2021-0608)، یک آسیب‌پذیری افزایش سطح دسترسی در Media Framework (CVE-2021-0565) و یک آسیب‌پذیری افزایش سطح دسترسی دیگر در Framework (CVE-2021-0571) هستند.
گوگل جزئیات فنی بیشتری درباره هیچ‌یک از نقص‌ها منتشر نکرده است. به طور معمول، گوگل جزئیات فنی آسیب‌پذیری‌های وصله شده را تا زمانی که اکثریت دستگاه‌های آسیب‌پذیر وصله‌ها را دریافت نکنند، منتشر نمی‌کند. سطح وصله امنیتی 05-06-2021 یا بالاتر این آسیب‌پذیری‌ها را رفع می‌کند.
جهت مشاهده اطلاعات بیشتر در مورد این آسیب‌پذیری و نحوه اعمال به‌روزرسانی، به لینک زیر مراجعه کنید:

https://source.android.com/security/bulletin/2021-06-01

اخیراً شرکت #‫مایکروسافت به‌روزرسانی‌هایی را به منظور وصله 50 مورد #‫آسیب‌پذیری در محصولات خود در ماه ژوئن منتشر کرده است؛ توصیه می‌شود هرچه سریع‌تر نسبت به به‌روزرسانی محصولات آسیب‌پذیر اقدام شود. امکان دریافت به‌روزرسانی برای کاربران ویندوز با استفاده از بخش windows update در مسیر زیر فراهم است:

محصولات تحت تاثیر این آسیب‌پذیری‌ها شامل موارد زیر هستند:

• Microsoft Office
• Windows TCP/IP
• Windows NTFS
• Windows Kernel
• Windows Defender
• Microsoft Office SharePoint
• Microsoft Office Outlook
• 3D Viewer
• .NET Core & Visual Studio
• Microsoft Edge (Chromium-based)
• Microsoft Scripting Engine
• Visual Studio Code
• Windows Remote Desktop
• Windows Remote Desktop
• Windows NTLM
• Windows Network File System
• Windows Kernel-Mode Drivers
• Windows Kerberos
• Windows Installer
• Windows HTML Platform
• Windows Filter Manager
• Windows Event Logging Service
• Windows Drivers
• Windows Defender
• Windows DCOM Server
• Windows Cryptographic Services
• Windows Common Log File System Driver
• Windows Bind Filter Driver
• Role: Hyper-V
• Paint 3D
• Microsoft Windows Codecs Library
• Microsoft Scripting Engine
• Microsoft Intune
• Microsoft Office Excel
• Microsoft DWM Core Library

در بین به‌روزرسانی‌های ارائه شده، 7 مورد آسیب‌پذیری روزصفرم که 6 مورد از آن‌ها سابقاً مورد بهره‌برداری فعال قرار داشته‌اند نیز وصله شده است:

• CVE-2021-31955: آسیب‌پذیری افشای اطلاعات حساس در هسته ویندوز
• CVE-2021-31956: آسیب‌پذیری ارتقاء امتیازات در Windows NTFS
• CVE-2021-33739: آسیب‌پذیری ارتقاء امتیازات در کتابخانه Microsoft DWM Core
• CVE-2021-33742: آسیب‌پذیری اجرای کد از راه دور در Windows MSHTML Platform
• CVE-2021-31199 و CVE-2021-31201: آسیب‌پذیری ارتقاء امتیازات در Microsoft Enhanced Cryptographic Provider
• CVE-2021-31968: آسیب‌پذیری منع سرویس در Windows Remote Desktop Services که تا به حال مورد بهره‌برداری قرار نگرفته است.

ظاهراً آسیب‌پذیری‌های CVE-2021-31955 و CVE-2021-31956 به‌طور زنجیره‌ای جهت دستیابی به اجرای کد از راه دور توسط گروه تهدید مستمر پیشرفته PuzzleMaker مورد استفاده قرار گرفته‌اند.
برخی آسیب‌پذیری‌های مهم‌تر وصله شده در این به‌روزرسانی‌ها، به شرح زیر است:

جهت اطلاع از سایر محصولات آسیب‌پذیر و جزییات فنی این آسیب‌پذیری‌ها به پیوند زیر مراجعه نمایید:

https://msrc.microsoft.com/update-guide/releaseNote/2021-Jun

شرکت Adobe به‌روزرسانی‌هایی را به منظور وصله چندین #‫آسیب‌پذیری در محصولات خود منتشر کرده است. توصیه می‌شود در اسرع وقت نسبت به به‌روزرسانی محصولات آسیب‌پذیر اقدام شود. این آسیب‌پذیری‌ها محصولات زیر را تحت تاثیر خود قرار می‌دهند:

• Adobe Connect
• Adobe Acrobat and Reader
• Adobe Photoshop
• Adobe Experience Manager (AEM)
• Adobe Creative Cloud Desktop Application
• Adobe RoboHelp Server
• Adobe Photoshop Elements
• Adobe After Effects
• Adobe Animate
• Adobe Premiere Elements

یک آسیب‌پذیری Path Traversal (CVE-2021-28588) با شدت بالای 8.8 از 10 درAdobe RoboHelp Server وجود دارد که بهره‌برداری موفقیت‌آمیز از آن به مهاجم امکان اجرای کد از راه دور را خواهد داد. این آسیب‌پذیری نسخه‌های 2019.0.9 به قبل  از Adobe RoboHelp Server را تحت تاثیر خود قرار می‌دهد. هیچ‌گونه روشی جهت کاهش مخاطرات این آسیب‌پذیری منتشر نشده است؛ بنابراین به‌روزرسانی این محصول به نسخه 2020.0.1 توصیه می‌گردد.
جهت به‌روزرسانی و اطلاعات بیشتر در مورد آسیب‌پذیری مذکور به لینک زیر مراجعه کنید:

https://helpx.adobe.com/security/products/robohelp-server/apsb21-44.html

همچنین آسیب‌پذیری CVE-2021-28582 با شدت 8.8 از 10 محصولات Adobe Photoshop 2020 نسخه 21.2.8 به قبل و Adobe Photoshop 2021 نسخه 22.4.1 به قبل را تحت تاثیر خود قرار داده و بهره‌برداری موفقیت‌آمیز از آن به مهاجم امکان اجرای کد از راه دور را خواهد داد. اعمال وصله‌های منتشر شده این آسیب‌پذیری را رفع می‌کند. اطلاعات بیشتر از آسیب‌پذیری فوق در لینک زیر موجود است:

https://helpx.adobe.com/security/products/photoshop/apsb21-38.html

سایر آسیب‌پذیری‌های موجود در Adobe Connect، Adobe Photoshop، Adobe After Effects و دیگر محصولات با شدت بالا، متوسط و پایین در این به‌روزرسانی وصله شده‌اند. برای کسب اطلاعات بیشتر در مورد این آسیب‌پذیری‌ها به پیوند زیر مراجعه کنید:

https://helpx.adobe.com/security.html

شرکت #‫سیسکو اخیراً به منظور وصله آسیب‌پذیری‌های موجود در محصولات خود به‌روزرسانی‌هایی را منتشر نموده است؛ در این بین محصولات Cisco Webex Player، Cisco Webex Network Recording Player، Cisco SD-WAN Software و Cisco ASR 5000 Series Software دارای #‫آسیب‌پذیری با شدت بالا می‌باشند. با توجه به اینکه هیچ‌گونه روش موقتی جهت کاهش مخاطرات آسیب‌پذیری‌های مذکور منتشر نشده است توصیه می‌شود در اسرع وقت نسبت به به‌روزرسانی سیستم‌های آسیب‌پذیر اقدام شود.

یک مورد از محصولات سیسکو دارای آسیب‌پذیری با شدت بالا 8.1 از 10 و سایر موارد دارای شدت 7.8 هستند. بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری‌ها منجر به اجرای کد از راه دور بر روی دستگاه‌های آسیب‌پذیر، ارتقای سطح دسترسی و بی‌اثر کردن سازوکارهای احراز هویت خواهد شد. در جدول زیر اطلاعات مختصری از آسیب‌پذیری‌های مورد بحث آورده شده است.

جهت کسب اطلاع از جزییات فنی و Advisory مربوط به هر آسیب‌پذیری به پیوندهای زیر مراجعه کنید:

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-player-rCFDeVj2

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-player-dOJ2jOJ

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-webex-player-kOf8zVT

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sd-wan-fuErCWwF

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asr5k-autho-bypass-mJDF5S7n