کشف آسیب‌پذیری بحرانی در نرم‌افزار WHD

تاریخ ایجاد

به ‌تازگی یک آسیب‌پذیری بحرانی با شناسه CVE-2024-28987 و شدت امنیتی بحرانی در نرم‌افزار SolarWinds Web Help Desk (WHD) شناسایی شده است. این آسیب‌پذیری بدین صورت است که تحت تأثیر یک آسیب پذیری اعتبارنامه هاردکد قرار گرفته است که به کاربر غیر مجاز از راه دور اجازه می دهد تا به عملکرد داخلی دسترسی داشته باشد و داده‌ها را تغییر دهد.

محصولات تحت‌تأثیر
•    نسخه‌های قبل از Web Help Desk 12.8.3.1813
•     نسخه‌های قبل از 12.8.3 HF1

توصیه‌های امنیتی
 SolarWinds به مدیران سیستم هشدار داده است که سرورهای آسیب‌پذیر را به نسخه  12.8.3.1813 Web Help Desk  یا 12.8.3 HF1 ارتقا دهند. همچنین توصیه می‌کند از تمام فایل‌های اصلی قبل از تعویض آن‌ها در طول فرآیند نصب Hotfix نسخه پشتیبان تهیه کنید تا در صورت عدم موفقیت یا عدم استفاده صحیح، از مشکلات احتمالی جلوگیری شود.

منبع خبر:


https://nvd.nist.gov/vuln/detail/CVE-2024-28987

کشف آسیب‌پذیری بحرانی در School-Management-System

تاریخ ایجاد

 به تازگی یک آسیب‌‌‌‌پذیری بحرانی با شناسه CVE-2024-42393 و شدت 9.8 در سرویس School Management System کشف شده است. این آسیب‌پذیری بدین صورت است که به مهاجم اجازه می‌دهد تا با استفاده از url  سایت، حملات تزریق کد sql را انجام دهد و به پایگاه‌داده دسترسی پیدا کند.

محصولات تحت‌تأثیر
این آسیب‌‌‌‌پذیری تمامی محصولاتی که از سرویس School-Management-System و شماره ثبت (commit) bae5aaf37a44ee90163a1b81726ea27dabb26e06 استفاده می‌کنند را تحت تاثیر قرار می‌دهد.

منبع خبر:


https://nvd.nist.gov/vuln/detail/CVE-2024-42574

انتشار وصله امنیتی آسیب‌پذیری بحرانی در گوگل کروم

تاریخ ایجاد

یک آسیب‌پذیری بحرانی با شناسه CVE-2024-7971، اخیرا در مرورگر گوگل کروم کشف شده است که می‌تواند خطرات بزرگی برای کاربران ایجاد کند. این نقص امنیتی در موتور V8 جاوا اسکریپت و WebAssembly قرار دارد. در این نوع نقص، مرورگر به اشتباه داده‌هایی را پردازش می‌کند که می‌تواند به خرابی حافظه و حتی بهره‌برداری از راه دور توسط مهاجمان منجر شود. در واقع مهاجمان می‌توانند با ایجاد یک صفحه وب مخرب کنترل سیستم را در دست بگیرند.
این نقص امنیتی در ۱۹ آگوست ۲۰۲۴ گزارش شده است اما به دلیل محافظت از کاربران هنوز جزئیات کامل درباره این آسیب‌پذیری و اینکه چه کسانی ممکن است از آن بهره‌برداری کنند، منتشر نشده است. این تصمیم به این دلیل گرفته شده است تا کاربران فرصت داشته باشند مرورگر خود را به‌روزرسانی کنند و از خطرات احتمالی در امان باشند.

محصولات تحت تأثیر
علاوه بر مرورگر Chrome سایر مرورگرهای مبتنی بر Chromium مانند Microsoft Edge، Brave، Opera  را نیز تحت تأثیر آسیب‌پذیری ذکر شده قرار می‌گیرند. این موضوع به این دلیل است که این مرورگرها از موتور V8 برای پردازش JavaScript و WebAssembly استفاده می‌کنند.

توصیه‌های امنیتی
 کاربران جهت به‌روزرسانی، مرورگر Google Chrome نسخه 128.0.6613.84 و 128.0.6613.85 برای ویندوز و مک و نسخه  128.0.6613.84 برای لینوکس را نصب کنند.  همچنین کاربران مرورگرهایی مانند Microsoft Edge، Brave، Opera   نیز باید به‌روزرسانی‌های امنیتی ارائه شده را به محض در دسترس بودن اعمال کنند.

منبع خبر:


https://thehackernews.com/2024/08/google-fixes-high-severity-chrome-flaw.html

آسیب‌پذیری در SonicWall

تاریخ ایجاد

آسیب‌پذیری با شناسه CVE-2024-40766، امتیاز 8.6 و شدت بالا در مکانیزم کنترل دسترسی فایروال‌های SonicWall شناسایی شده است. این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا به طور غیرمجاز به منابع سیستم دسترسی پیدا کرده و در برخی موارد، باعث از کار افتادن فایروال شوند.

محصولات تحت تأثیر

SonicWall


توصیه‌های امنیتی
•    توصیه شده است فریمور فایروال به آخرین نسخه موجود به‌روزرسانی شود. این مهم‌ترین قدم برای رفع این آسیب‌پذیری است.
•    محدود کردن دسترسی: دسترسی به تنظیمات فایروال را به حداقل افراد مورد اعتماد محدود کنید.
•    غیرفعال کردن دسترسی از راه دور: اگر نیازی به دسترسی از راه دور به فایروال ندارید، این گزینه را غیرفعال کنید.

منابع خبر:


https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015
https://nvd.nist.gov/vuln/detail/CVE-2024-40766

مهندسی اجتماعی کاربران anydesk با هدف اخاذی و افشای اطلاعات

تاریخ ایجاد

به تازگی یک گروه هکری جدید با نام Mad Liberator، کاربران AnyDesk را هدف حمله قرار داده است. این گروه پس از پذیرش درخواست anydesk توسط قربانی، با نمایش یک صفحه به‌روزرسانی جعلی ویندوز در پشت زمینه، اطلاعات کاربران را به سرقت می‏برد و پس از مدتی از قربانی برای عدم افشای اطلاعات وی اخاذی می‏کند. این گروه هکری تاکنون اطلاعات 9 قربانی را در وب‏سایت خود افشا کرده است.
حمله Mad Liberator با اتصال ناخواسته به رایانه با استفاده از برنامه دسترسی از راه دور AnyDesk که در بین تیم‌های فناوری اطلاعات محبوب است آغاز می‌شود. مشخص نیست که مهاجم چگونه اهداف خود را انتخاب می‌کند، اما ممکن است شناسه‏های اتصال AnyDesk را تا زمانی که کسی درخواست اتصال را بپذیرد امتحان ‏کند.
هنگامی که درخواست اتصال تأیید شد، مهاجم یک فایل باینری به نام Microsoft Windows Update  را روی سیستم قربانی قرار می‌دهد که یک صفحه نمایش جعلی به روزرسانی ویندوز را نشان می‌دهد. مهاجم از این ترفند برای منحرف کردن حواس قربانی استفاده می‏کند و در پشت زمینه از ابزار AnyDesk's File Transfer  برای سرقت داده‌ها از حساب‌های OneDrive، اشتراک‌های شبکه و حافظه محلی استفاده می‌کند. در زمان نمایش صفحه به‌روزرسانی جعلی، صفحه‌کلید قربانی غیرفعال می‌شود تا از اختلال در فرآیند سرقت اطلاعات جلوگیری شود.
در حملات مشاهده شده توسط شرکت سوفوس که تقریباً چهار ساعت به طول انجامیده این گروه پس از سرقت اطلاعات هیچ گونه رمزگذاری بر روی داده‏ها انجام نداده است. با این حال، یادداشت‌های باج‌گیری را به اشتراک گذاشته تا از دیده شدن به اندازه کافی در محیط‌ شرکت اطمینان حاصل کند.
این گروه برای اخاذی از کاربران ابتدا با شرکت‏های قربانی تماس می‏گیرد و پیشنهاد می‏کند در صورت برآورده شدن مطالبات مالی آنها، به آنها کمک کنند تا مشکلات امنیتی خود را برطرف کرده و فایل‌های رمزگذاری شده را بازیابی کنند. اگر شرکت قربانی در 24 ساعت پاسخ ندهد، نام آنها در پورتال اخاذی منتشر می‏شود و هفت روز فرصت داده می‏شود تا با مهاجمان تماس بگیرند. پس از گذشت پنج روز دیگر، در صورت عدم پرداخت باج، تمامی اطلاعات سرقت شده در وب‌سایت Mad Liberator منتشر می‌شود. این گروه تاکنون اطلاعات 9 قربانی را منتشر کرده است.

منبع خبر:


https://www.bleepingcomputer.com/news/security/new-mad-liberator-gang-uses-fake-windows-update-scre…

هدف قرار گرفتن مرورگرهای سیستم‌های Apple macOS توسط بدافزار BanShee Stealer

تاریخ ایجاد

محققان امنیت سایبری موفق به شناسایی یک بدافزار جدید شده‌اند که به طور خاص برای هدف قرار دادن سیستم‌های Apple macOS و سرقت اطلاعات آن‌ها طراحی شده ‌است. این بدافزار که با نام Banshee Stealer شناخته می‌شود، طیف گسترده‌ای از مرورگرها، کیف پول‌های ارز دیجیتال، و حدود 100 افزونه مرورگر را هدف قرار می‌دهد که آن را به یک تهدید چندمنظوره و بسیار خطرناک تبدیل می‌کند.
مرورگرها و کیف پول‌های دیجیتالی که توسط این بدافزار هدف قرار می‌گیرند، شامل Safari، Google Chrome، Mozilla Firefox، Brave، Microsoft Edge، Vivaldi، Yandex، Opera، OperaGX، Exodus، Electrum، Coinomi، Guarda، Wasabi Wallet، Atomic و Ledger هستند.
همچنین این بدافزار قابلیت جمع‌آوری اطلاعات سیستم و داده‌های رمزهای عبور iCloud Keychain (یک سرویس مدیریت و ذخیره‌سازی امن رمز عبور و اطلاعات حساس ارائه شده توسط Apple) و Notes را دارد و مجهز به تعدادی از اقدامات ضدتحلیل و ضدعیب‌یابی است تا تشخیص دهد آیا در محیط مجازی اجرا می‌شود یا خیر، و به این ترتیب از تشخیص توسط سیستم‌های امنیتی جلوگیری می‌کند.
همانند سایر بدافزارهای macOS مانند Cuckoo و MacStealer، Banshee Stealer نیز از osascript استفاده می‌کند تا یک پنجره‌ی جعلی ورودی رمز عبور را نمایش داده و کاربران را فریب دهد تا رمز عبور سیستم خود را برای افزایش سطح دسترسی وارد کنند. osascript یک ابزار خط فرمان (command-line) در macOS است که به کاربران اجازه می‌دهد اسکریپت‌های AppleScript یا JavaScript for Automation (JXA) را اجرا کنند. مهاجمان می‌توانند از osascript برای نمایش پیام‌های جعلی یا اجرای کدهای مخرب به منظور فریب دادن کاربران و کسب دسترسی‌های بیشتر استفاده کنند.
از دیگر ویژگی‌های قابل توجه این بدافزار، توانایی جمع‌آوری داده‌ها از فایل‌هایی با پسوند .txt، .docx، .rtf، .doc، .wallet، .keys و .key از پوشه‌های Desktop و Documents است. داده‌های جمع‌آوری‌شده سپس به صورت یک فایل فشرده ZIP به یک سرور راه دور ("45.142.122[.]92/send/") ارسال می‌شود. بنابراین، حمله‌ی بدافزار Banshee Stealer در چندین مرحله شامل آلوده‌سازی سیستم، جمع‌آوری اطلاعات حساس از مرورگرها و فایل‌ها، فریب کاربر برای دریافت دسترسی‌های بیشتر، و جلوگیری از شناسایی توسط سیستم‌های امنیتی پیش می‌رود و نهایتاً با ارسال داده‌های جمع‌آوری‌شده به سرور مهاجمان به اتمام می‌رسد.

توصیه‌های امنیتی
به گفته‌ی محققان،‌ همانطور که macOS به‌طور فزاینده‌ای هدف اصلی مجرمان سایبری می‌شود، Banshee Stealer نیز نشان‌دهنده افزایش توجه به بدافزارهای خاص macOS است.
برای مقابله با بدافزار Banshee Stealer و جلوگیری از نفوذ آسیب‌های مشابه در سیستم‌های macOS، کاربران و سازمان‌ها باید به رعایت نکات زیر اهتمام ورزند:

  • به‌روزرسانی مداوم سیستم‌عامل macOS و تمام نرم‌افزارهای نصب شده، به‌ویژه مرورگرها و کیف پول‌های ارز دیجیتال
  • استفاده از نرم‌افزارهای امنیتی معتبر
  • احتیاط در مواجهه با پنجره‌های ورودی رمز عبور
  • پیکربندی تنظیمات امنیتی iCloud
  • استفاده از روش‌های احراز هویت چندمرحله‌ای
  • بررسی و نظارت مستمر سیستم‌ها
  • پشتیبان‌گیری منظم
     

منبع خبر:


https://thehackernews.com/2024/08/new-banshee-stealer-targets-100-browser.html?m=1

آسیب‌پذیری در سایت‌های Oracle NetSuite

تاریخ ایجاد

محققان امنیت سایبری کشف کرده‌اند که هزاران سایت تجارت الکترونیک که از پلتفرم Oracle NetSuite استفاده می‌کنند، اطلاعات حساس مشتریان را به دلیل پیکربندی نادرست کنترل دسترسی در معرض خطر قرار داده‌اند. این مشکل به ویژه در انواع رکوردهای سفارشی (CRTs) که توسط مشتریان NetSuite ایجاد شده‌اند، مشاهده می‌شود.
براساس یافته‌های AppOmni، هزاران وب‌سایت عمومی اطلاعات حساس مشتریان، از جمله آدرس‌های کامل و شماره تلفن‌های همراه، را به دلیل این پیکربندی نادرست افشا می‌کنند. در بسیاری از موارد، این مشکل به دلیل استفاده از یک وب‌سایت پیش‌فرض عمومی پس از خرید نسخه NetSuite اتفاق افتاده است.
این امر می تواند به یک مهاجم اجازه دهد تا درخواست های HTML ایجاد کند که منجر به بازگشت سوابق کاربر شود، در بیشتر موارد اطلاعاتی مانند اطلاعات آدرس و مشخصات تماس.
سناریوی حمله‌ای که AppOmni تشریح کرده، از CRT هایی با دسترسی آزاد استفاده می‌کند. این بدان معناست که کاربران بدون نیاز به احراز هویت می‌توانند از طریق  APIهای NetSuite به داده‌ها دسترسی پیدا کنند. البته، برای انجام این حمله، مهاجم باید نام دقیق این  CRTها را بداند. از طرف دیگر، Cymulate راهی برای دور زدن سیستم احراز هویت Microsoft Entra ID (که قبلاً Azure AD نامیده می‌شد) پیدا کرده است. برای انجام این حمله، مهاجم نیاز به دسترسی به یک حساب مدیریتی خاص دارد که بر روی سروری قرار دارد که مسئولیت کنترل دسترسی کاربران را بر عهده دارد. مشکل اصلی این حمله به نحوه اتصال چندین سیستم به یکدیگر مربوط می‌شود.
این مشکل زمانی رخ می‌دهد که درخواست‌های ورود کاربران به سیستم‌های مختلف به اشتباه مدیریت می‌شود. این اشتباه به دلیل نحوه کارکرد یک بخش خاص از سیستم امنیتی به نام "عامل احراز هویت گذرگاهی" (PTA) ایجاد می‌شود. این بخش معمولاً برای تأیید هویت کاربران استفاده می‌شود، اما در این حالت به جای محافظت از سیستم، راه را برای هکرها باز می‌کند. هکرها می‌توانند از این ضعف استفاده کنند و بدون داشتن رمز عبور اصلی، به راحتی وارد سیستم شوند. حتی ممکن است بتوانند به عنوان مدیر اصلی سیستم عمل کنند و به تمام اطلاعات و تنظیمات سیستم دسترسی پیدا کنند.

توصیه‌های امنیتی
برای کاهش خطر، توصیه می‌شود که مدیران سایت، کنترل دسترسی بر روی CRTها را تقویت کنند، فیلدهای حساس را برای دسترسی عمومی روی "None" تنظیم کنند و سایت‌های تحت تأثیر را به طور موقت برای جلوگیری از افشای داده‌ها آفلاین کنند.

منبع‌خبر:


https://thehackernews.com/2024/08/thousands-of-oracle-netsuite-sites-t.html

کشف آسیب‌پذیری اجرای کد از راه دور در افزونه وردپرس GiveWP

تاریخ ایجاد

یک آسیب‌پذیری بحرانی از نوع PHP Object Injection در افزونه وردپرس GiveWP کشف شده است که در نهایت منجر به اجرای کد از راه دور بدون نیاز به تصدیق هویت می‌شود. شناسه CVE-2024-5932 به این آسیب‌پذیری اختصاص یافته و دارای امتیاز 10 و سطح بحرانی می‌باشد. بیش از 100 هزار وب‌سایت از این افزونه استفاده می‌کنند. افزونه GiveWP برای جمع‌آوری کمک‌های مالی مورد استفاده قرار می‌گیرد و برخی از سرویس‌های پرداخت‌یار ایرانی نیز دارای ماژول برای این افزونه می‌باشند.

زبان PHP جهت ذخیره‌سازی داده‌های پیچیده از serialization استفاده می‌کند. داده‌های Serialized شده برای ذخیره‌سازی در حجم بالا مناسب هستند و وردپرس از آن برای بسیاری از تنظیمات خود استفاده می‌کند. اما این می‌تواند یک مشکل امنیتی باشد، زیرا می‌توان برای ذخیره object های PHP از آن استفاده کرد.
اگر یک افزونه داده‌های ارسال شده توسط کاربر را بدون تایید اعتبار unserialize کند، آنگاه یک مهاجم می‌تواند اقدام به تزریق یک پیلود نماید که موقع unserialize شدن تبدیل به یک PHP object شود. در حالی که یک PHP object ساده خطرناک نیست، اما موقعی که کلاس دارای magic method باشد این وضعیت متفاوت خواهد بود.
افزونه GiveWP دارای ویژگی‌های متعددی از جمله فرم‌های کمک مالی شخصی‌سازی شده، و یکپارچه‌سازی با درگاه‌ها و سرویس‌های شخص ثالث و ... است. با بررسی کد منبع این افزونه مشاهده می‌شود که تابع give_process_donation_form()  برای رسیدگی و پردازش کمک‌های مالی مورد استفاده قرار می‌گیرد. در داخل این تابع از توابع دیگری جهت تایید اعتبار داده‌ها استفاده می‌شود، اما متاسفانه در نسخه آسیب‌پذیر بر روی پارامتر POST به نام give_title تایید اعتبار کافی انجام نمی‌شود که این در نهایت باعث بهره‌برداری از آسیب‌پذیری خواهد شد و می‌توان یک وب‌شل را بر روی سرور آپلود کرد.

محصولات تحت تاثیر
نسخه 3.14.1 و تمام نسخه‌های پایین‌تر افزونه GiveWP تحت تاثیر این آسیب‌پذیری قرار دارند.

توصیه‌های امنیتی
این آسیب‌پذیری در نسخه 3.14.2 برطرف شده است. لذا توصیه می‌شود در اسرع وقت نسبت به نصب این نسخه یا نسخه‌های بالاتر اقدام نمایید.

منبع خبر:


https://www.wordfence.com/blog/2024/08/4998-bounty-awarded-and-100000-wordpress-sites-protected-aga…

کشف چندین آسیب‌پذیری در پردازنده‌های AMD

تاریخ ایجاد

محققان چندین آسیب‌پذیری با شدت‌های مختلف را در ابزار AMD μProf و AMD Secure Processor و دیگر پلتفرم‌های AMD کشف کرده‌اند که ممکن است منجر به اجرای کد مخرب، افزایش دسترسی‌ها و نفوذ به سیستم‌ها شوند. این آسیب‌پذیری‌ها شامل نقص‌های موجود در معماری “Zen” و پلتفرم‌های دیگر AMD می‌باشند.
AMD μProf یک ابزار آنالیز پروفایلینگ نرم‌افزار (Software Profiling Tool) است و برای تحلیل عملکرد برنامه‌ها در سیستم‌عامل‌های ویندوز، لینوکس و FreeBSD استفاده می‌شود. این ابزارها به توسعه‌دهندگان کمک می‌کنند تا بخش‌های مختلف کد را ارزیابی کرده و عملکرد آن‌ها را بهبود بخشند. پروفایلینگ شامل اندازه‌گیری زمان اجرای کد، استفاده از منابع سیستم (مثل CPU و حافظه)، و شناسایی نقاطی از کد که ممکن است باعث کندی یا بهره‌وری پایین شوند، می‌باشد. چهار آسیب‌پذیری بالقوه در این ابزار کشف شدند که جزئیاتشان بدین شرح است:
•    آسیب‌پذیری با شناسه CVE-2023-31348 و شدت بالا که با امتیاز CVSS 7.3 شناسایی شده‌است، یک نقص DLL Hijacking در AMD μProf است. آسیب‌پذیری DLL Hijacking نوعی حمله است که در آن مهاجم یک فایل DLL (Dynamic-Link Library) مخرب را جایگزین فایل DLL معتبر یک برنامه می‌کند. زمانی که برنامه تلاش می‌کند DLL معتبر را بارگذاری کند، در واقع نسخه مخرب مهاجم بارگذاری می‌شود. این نوع حمله می‌تواند به مهاجم اجازه دهد تا کد مخرب خود را در فرآیند برنامه اجرا کند، که ممکن است منجر به اجرای کد غیرمجاز، افزایش سطح دسترسی‌ها یا دسترسی به داده‌های حساس شود.
•    آسیب‌پذیری با شناسه CVE-2023-31349 و شدت بالا که با امتیاز CVSS 7.3 شناسایی شده ‌است، ناشی از تنظیمات نادرست پیش‌فرض در دایرکتوری نصب AMD μProf می‌باشد که ممکن است مهاجم را قادر سازد تا به مجوزهای بیشتری دست یابد و در نهایت کد دلخواه خود را اجرا کند.
•    آسیب‌پذیری با شناسه CVE-2023-31341 و شدت متوسط که با امتیاز CVSS 5.5 شناسایی شده‌است، به دلیل اعتبارسنجی نامناسب بافر ورودی-خروجی در AMD μProf ایجاد می‌شود. بافر کنترل ورودی-خروجی (IO Control Buffer) قسمتی از حافظه است که برای ذخیره اطلاعات مرتبط با عملیات‌های ورودی و خروجی استفاده می‌شود و معمولاً در سیستم‌های کامپیوتری برای مدیریت داده‌های ورودی و خروجی از دستگاه‌های جانبی (مانند دیسک‌ها، شبکه، و دیگر دستگاه‌های I/O) به کار می‌روند. این آسیب‌پذیری ممکن است منجر به نوشتن خارج از محدوده (out-of-bound write) و در نهایت اختلال در عملکرد سیستم عامل ویندوز و بروز حمله انکار سرویس (DoS) شود.
•    آسیب‌پذیری با شناسه  CVE-2023-31366 و شدت پایین که با امتیاز CVSS 3.3 شناسایی شده‌است، به دلیل اعتبارسنجی نادرست ورودی در AMD μProf رخ می‌دهد که ممکن است باعث نوشتن در آدرس نامعتبر حافظه و در نتیجه باعث بروز حمله انکار سرویس (DoS) شود.
 

همچنین پردازنده‌های امن (AMD Secure Processors)AMD و سایر اجزای پلتفرم امنیتی آن‌ها با ده آسیب‌پذیری بحرانی و متوسط مواجه شده‌اند که می‌توانند منجر به افشای اطلاعات و اختلال در سیستم‌ها شوند. شناسه و جزئیات هر یک به شرح ذیل است:

  • آسیب‌پذیری با شناسه CVE-2023-20578 و شدت بالا که با امتیاز CVSS 7.5 شناسایی شده‌است، به علت نقص در مدیریت زمان در مدل مدیریت سیستم (SMM) رخ می‌دهد. این نقص به مهاجمی با قابلیت دسترسی به سطح حلقه 0 (ring0) و منوی BIOS یا پوسته‌ی UEFI اجازه می‌دهد تا با دستکاری بافر ارتباطات، کد دلخواه خود را اجرا کند. اجرای کدهای مخرب و ایجاد تهدیدات جدی برای امنیت سیستم را میتوان از نتایج بهره‌برداری از این نقص برشمرد.
  • آسیب‌پذیری با شناسه CVE-2021-26344 و شدت بالا که با امتیاز CVSS 7.2 شناسایی شده‌است، از نوشتن خارج از محدوده در حین پردازش بلوک پیکربندی PSP1(PSP1 Configuration Block) ناشی میشود.PSP1 یک پردازنده امنیتی مجزا است که در برخی از پردازنده‌های AMD تعبیه شده است. بلوک پیکربندی PSP1(APCB) بخشی از پیکربندی پردازنده‌های امن AMD است که مسئولیت تنظیمات امنیتی و مدیریت کلیدهای رمزنگاری برای پردازنده را بر عهده دارد. مهاجم با دسترسی به BIOS می‌تواند بلوک پیکربندی APCB را تغییر داده و کد دلخواه خود را اجرا کند. این مسئله می‌تواند منجر به تغییر BIOS و ایجاد مشکلات امنیتی جدی شود.
  • آسیب‌پذیری با شناسه CVE-2023-20591 و شدت متوسط که با امتیاز CVSS 6.5 شناسایی شده‌است، به دلیل نقص در بازنشانی (Input-Output Memory Management Unit)IOMMU در طول رویداد DRTM رخ می‌دهد. IOMMU  واحدی است که دسترسی‌های ورودی-خروجی دستگاه‌های جانبی به حافظه سیستم را مدیریت می‌کند. نقص در بازنشانی IOMMU به این معناست که این واحد بعد از یک رویداد مثل راه‌اندازی مجدد سیستم یا در طول یک عملیات مهم مانند DRTM به درستی به حالت اولیه بازنمی‌گردد، که می‌تواند به مهاجم اجازه دهد از این نقص برای دسترسی یا تغییر داده‌ها در حافظه استفاده کند. DRTM (Dynamic Root of Trust for Measurement) یک مکانیزم امنیتی است که در برخی از سیستم‌های پردازشی برای راه‌اندازی یک محیط ایمن و مورد اعتماد در طول اجرای سیستم استفاده می‌شود. این آسیب‌پذیری ممکن است به مهاجم اجازه دهد تا پیکربندی نادرست پلتفرم را حفظ کرده و حافظه Hypervisor را بخواند یا تغییر دهد و درنتیجه به افشای اطلاعات حساس و تغییرات غیرمجاز در سیستم منجر شود.
  • آسیب‌پذیری با شناسه CVE-2024-21981 و شدت متوسط که با امتیاز CVSS 5.7 شناسایی شده‌است، در نتیجه‌ی کنترل نادرست استفاده از کلیدهای رمزنگاری در پردازنده امنAMD  (ASP) به وجود می‌آید. مهاجم با سطح دسترسی محلی و اجرای کد دلخواه در ASP می‌تواند کلیدهای رمزنگاری را استخراج کرده و باعث از دست رفتن محرمانگی و نشت اطلاعات شود.
  • آسیب‌پذیری با شناسه CVE-2023-20584 و شدت متوسط که با امتیاز CVSS 5.3 شناسایی شده‌است، به دلیل مدیریت نادرست آدرس‌ها در IOMMU رخ می‌دهد. مهاجم با دسترسی به سیستم و دستکاری حافظه‌ی Hypervisor می‌تواند چک‌های RMP در SEV-SNP را دور بزند و کنترل سیستم را به طور کلی دچار اختلال کند. RMP (Restricted Memory Protection) یک ویژگی امنیتی است که در پردازنده‌های AMD برای محافظت از حافظه‌های مجازی استفاده می‌شود. همچنین SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) یک فناوری امنیتی در این پردازنده‌ها است که حفاظت‌های پیشرفته‌ای برای ماشین‌های مجازی ارائه می‌دهد. دور زدن SEV-SNP به معنای شکست این محافظت‌ها است که می‌تواند به مهاجم اجازه دهد به داده‌های محافظت‌شده در ماشین‌های مجازی دسترسی پیدا کند یا آن‌ها را تغییر دهد.
  • آسیب‌پذیری با شناسه CVE-2021-46746 و شدت متوسط که با امتیاز CVSS 5.2 شناسایی شده‌است، به علت فقدان مکانیزم‌های محافظت از پشته در محیط امن ASP Trusted Execution Environment (TEE) رخ می‌دهد. مهاجم با دسترسی به کلیدهای امضای AMD می‌تواند باعث سرریز بافر پشته‌ شود که ممکن است از کار افتادن سیستم یا انکار سرویس(DoS) را در پی داشته‌باشد.
  • آسیب‌پذیری با شناسه CVE-2023-31356 و شدت متوسط که با امتیاز CVSS 4.4 شناسایی شده‌است، ناشی از پاکسازی ناقص حافظه سیستم در SEV firmware (نرم‌افزاری که نقشی حیاتی در ایجاد و حفظ محیط‌های ایمن و رمزنگاری‌شده برای ماشین‌های مجازی ایفا می‌کند) است که ممکن است مهاجم را قادر سازد تا حافظه خصوصی کاربر مهمان(guest) را تخریب کرده و باعث از دست رفتن تمامیت داده‌ها شود.
  • آسیب‌پذیری با شناسه CVE-2021-26387 و شدت پایین که با امتیاز CVSS 3.9 شناسایی شده‌است، به علت کنترل‌ دسترسی نامناسب در ASP kernel رخ می‌دهد. مهاجم با دسترسی به کلیدهای امضای AMD و منوی BIOS یا پوسته‌ی UEFI می‌تواند بخش‌هایی از حافظه DRAM را در نواحی حفاظت شده نگاشت کند که ممکن است به از دست رفتن تمامیت پلتفرم منجر شود.
  • آسیب‌پذیری با شناسه CVE-2021-46772 و شدت پایین که با امتیاز CVSS 3.9 شناسایی شده‌است، به دلیل اعتبارسنجی ناکافی ورودی‌ها در ABL رخ می‌دهد. ABL(Authenticated Boot Loader) بخشی از فرآیند بوت امن در سیستم‌های کامپیوتری است که مسئول تأیید صحت و اعتبار نرم‌افزار بوت (Boot Loader) پیش از بارگذاری آن در سیستم است. این مکانیزم از بارگذاری نرم‌افزارهای مخرب یا تغییریافته که ممکن است در ابتدای فرآیند بوت سیستم به اجرا درآیند، جلوگیری می‌کند. مهاجم با دسترسی به منوی BIOS یا پوسته‌ی UEFI می‌تواند با دستکاری هدرهای ساختار(structure headers) در SPI ROM باعث خواندن و نوشتن خارج از محدوده‌ی حافظه شود که ممکن است به خرابی حافظه یا از کار افتادن سیستم منجر شود. SPI ROM (Serial Peripheral Interface Read-Only Memory) حافظه‌ای است که معمولاً برای ذخیره کردن اطلاعات اولیه بوت، شامل BIOS یا UEFI، و داده‌های حیاتی سیستم به کار می‌رود. این حافظه معمولاً به صورت غیرقابل تغییر (Read-Only) طراحی شده است، اگرچه ممکن است در شرایط خاص بتوان آن را به‌روزرسانی کرد. در مجموع، ABL در SPI ROM ذخیره می‌شود و در طول فرآیند بوت، ابتدا این حافظه توسط ABL خوانده می‌شود تا اطمینان حاصل شود که نرم‌افزار بوت معتبر و قابل اعتماد است. هر گونه آسیب‌پذیری در این فرآیند می‌تواند به مهاجمان امکان سواستفاده از سیستم در مراحل اولیه راه‌اندازی را بدهد.
  • آسیب‌پذیری با شناسه CVE-2023-20518 و شدت پایین که با امتیاز CVSS 1.6 شناسایی شده‌است، به علت پاکسازی ناقص در ASP ممکن است کلید رمزنگاری اصلی را برای مهاجمی که به منوی BIOS یا پوسته‌ی UEFI دسترسی دارد فاش کند. این نقص، محرمانگی اطلاعات را به خطر می‌اندازد.
     

توصیه‌های امنیتی
برای کاهش تهدید این آسیب‌پذیری‌ها، به کاربران توصیه می‌شود که به‌روزرسانی‌های منتشر شده توسط AMD را فورا اعمال کرده و از دسترسی‌های غیرمجاز به BIOS یا شل UEFI جلوگیری کنند.

 
منابع خبر:


[1] https://www.amd.com/en/resources/product-security/bulletin/amd-sb-9001.html
[2] https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3003.html

کشف آسیب‌پذیری‌های بحرانی دور زدن احراز هویت در SAP

تاریخ ایجاد

SAP یک شرکت پیشرو در زمینه‌ی تولید نرم‌افزارهای سازمانی است. از محصولات SAP برای مدیریت فعالیت‌های تجاری استفاده می‌شود. محصولات این شرکت به کسب‌وکارها و سازمان‌ها کمک می‌کنند تا فرآیندهای مختلف خود از جمله فرآیندهای مالی، حسابداری، منابع انسانی، تولید، زنجیره تأمین، و خدمات مشتریان را به صورت یکپارچه و کارآمد مدیریت کنند.
SAP بسته امنیتی خود را منتشر کرده است که شامل وصله‌های امنیتی برای چندین آسیب‌پذیری است، از جمله دو آسیب‌پذیری بحرانی که در ادامه به توضیح جزئیات هر یک می‌پردازیم:

  • آسیب‌پذیری با شناسه CVE-2024-41730، که با شدت بحرانی و امتیاز CVSS 9.8  ردیابی می‌شود، یک نقص بحرانی با امکان دور زدن احراز هویت است که به مهاجمان راه دور اجازه می‌دهد تا کاملا سیستم را تحت کنترل خود درآورند.

در توضیحات ارائه شده توسط شرکت SAP آمده است: "در پلتفرم SAP BusinessObjects Business Intelligence (یک مجموعه نرم‌افزاری که با ارائه‌ی ابزارهای متنوعی برای ایجاد گزارش‌ها، داشبوردها، و تجزیه و تحلیل داده‌ها به سازمان‌ها، کمک می‌کند داده‌های خود را تحلیل و تفسیر کنند)، اگر Single Sign-On  بر روی احراز هویت Enterprise فعال باشد، یک کاربر غیرمجاز می‌تواند با استفاده از یک نقطه پایانی REST (یک URL که به یک منبع خاص در سرویس وب RESTful اشاره دارد)، توکن log in را دریافت کند. مهاجم می‌تواند به‌طور کامل سیستم را در دست بگیرد و محرمانگی، یکپارچگی و دسترسی‌پذیری را شدیدا به خطر اندازد."

  • آسیب‌پذیری دیگر با شناسه CVE-2024-29415 که با شدت بحرانی و امتیاز CVSS 9.1 شناسایی شده ‌است، یک نقص جعل درخواست در سمت سرور (SSRF) است.

این نقص به دلیل ضعف در پکیج 'IP' در Node.js ایجاد شده است که چک می‌کند آیا یک آدرس IP عمومی است یا خصوصی. زمانی که از نمایش IP در حالت هشت‌تایی استفاده می‌شود، این پکیج به اشتباه '127.0.0.1' را به عنوان یک آدرس عمومی و قابل مسیریابی جهانی شناسایی می‌کند در حالی که باید آن را به ‌عنوان یک آدرس محلی و خصوصی شناسایی کند.
بهره‌برداری موفقیت‌آمیز از این نقص، مهاجم را قادر می‌سازد تا درخواست‌های خاصی را به سرورهای داخلی- که نباید از بیرون به آن‌ها دسترسی داشت- ارسال کند. این امر ممکن است به مهاجم اجازه دهد تا به اطلاعات حساس دسترسی پیدا کرده یا حتی کنترل سرور را به دست گیرد.

از دیگر به‌روزرسانی‌های اعلام‌شده برای نواقص امنیتی SAP، چهار مورد  با شدت بالا (با امتیاز CVSS  بین 7.4 تا 8.2) طبقه‌بندی شده‌اند که به شرح زیر می‌باشند:

  • CVE-2024-42374: در BEx Web Java Runtime Export Web Service ، یک آسیب‌پذیری وجود دارد که در آن، اسناد XML دریافت شده از منابع غیرمعتبر به درستی اعتبارسنجی نمی‌شوند. این ضعف به مهاجمان اجازه می‌دهد تا به اطلاعات مهم سیستم دسترسی پیدا کرده و حتی باعث شوند بخشی از سیستم که وظیفه ایجاد فایل‌های PDF را دارد، از کار بیفتد. این مشکل می‌تواند باعث افشای اطلاعات و مختل شدن عملکرد سیستم شود.
  • CVE-2023-30533: نرم‌افزار SheetJS Community Edition دارای یک نقص امنیتی است که امکان آلودگی نمونه اولیه (Prototype Pollution) را از طریق یک فایل دستکاری‌شده فراهم می‌کند. آلودگی نمونه اولیه یک نوع آسیب‌پذیری امنیتی در برنامه‌نویسی است که به مهاجمان اجازه می‌دهد ویژگی‌ها یا متغیرهای دلخواهی را به نمونه‌های اولیه (Prototype) اشیاء در زبان‌های برنامه‌نویسی اضافه کنند. این آسیب‌پذیری به‌طور خاص در زبان‌های برنامه‌نویسی پویا مانند جاوا اسکریپت (JavaScript) رایج است. با این کار مهاجم ممکن است بتواند ویژگی‌های نمونه‌ی اولیه را به عنوان متغیرهای قابل دسترسی در کل برنامه معرفی کند که ممکن است به نشت اطلاعات، دور زدن کنترل‌های امنیتی، یا اجرای کد دلخواه منجر شود.
  • CVE-2024-34688: در SAP NetWeaver AS Java، به دلیل دسترسی نامحدود به سرویس‌های Meta Model Repository، مهاجمان می‌توانند حملات انکار سرویس (DoS) را بر روی برنامه اجرا کنند. در این نوع حملات، مهاجم با ایجاد بار اضافی بر روی سیستم، موجب می‌شود که کاربران مجاز نتوانند به برنامه دسترسی داشته باشند و در نتیجه برنامه از دسترس خارج شود. این آسیب‌پذیری، تأثیری بر محرمانگی و یکپارچگی ندارد، اما تأثیر بسیار زیادی بر دسترسی‌پذیری سیستم دارد.
  • CVE-2024-33003: در SAP Commerce Cloud، برخی از بخش‌های API وجود دارند که به اشتباه اجازه می‌دهند اطلاعات حساس کاربران، مانند رمزهای عبور، آدرس‌های ایمیل، شماره‌های تلفن همراه، و کدهای تخفیف به صورت مستقیم در آدرس اینترنتی (URL) درخواست قرار بگیرند. این امر به این معنی است که این اطلاعات در آدرس درخواست قابل مشاهده هستند که در صورت دسترسی مهاجمان به این URLها، می‌تواند به افشای اطلاعات حساس منجر شود. بهره‌برداری موفق از این آسیب‌پذیری می‌تواند تأثیر قابل توجهی بر محرمانگی و یکپارچگی سیستم داشته باشد.
     

محصولات تحت تاثیر
برنامه‌ها و نسخه‌هایی که توسط هر آسیب‌پذیری تحت تاثیر قرار می‌گیرند عبارتند از:

  • CVE-2024-41730: این آسیب‌پذیری نسخه‌های 430 و 440 پلتفرم SAP BusinessObjects Business Intelligence را تحت تأثیر قرار می‌دهد.
  •  CVE-2024-29415: این آسیب‌پذیری برنامه‌های ساخته‌شده با SAP Build Apps در نسخه‌های قدیمی‌تر از 4.11.130 را تحت تأثیر قرار می‌دهد.
  • CVE-2024-42374: این آسیب‌پذیری نسخه‌های BI-BASE-E 7.5، BI-BASE-B 7.5، BI-IBC 7.5، BI-BASE-S 7.5 و BIWEBAPP 7.5 از BEx Web Java Runtime Export Web Service  را تحت تأثیر قرار می‌دهد.
  • CVE-2023-30533: این آسیب‌پذیری نرم‌افزار SheetJS Community Edition را در نسخه‌های ماقبل 0.19.3 تحت تأثیر قرار می‌دهد.
  •  CVE-2024-34688: این آسیب‌پذیری نسخه MMR_SERVER 7.5 در کامپوننت Meta Model Repository را تحت تاثیر قرار می‌دهد.
  • CVE-2024-33003: این آسیب‌پذیری نسخه‌های HY_COM 1808، 1811، 1905، 2005، 2105، 2011، 2205، 2211 و COM_CLOUD  از SAP Commerce Cloud را تحت تأثیر قرار می‌دهد.
     

توصیه‌های امنیتی
با توجه به اینکه SAP بزرگترین فروشنده ERP (سیستم برنامه‌ریزی منابع سازمان) در جهان است و محصولات آن در بیش از 90 درصد از شرکت‌های جهانی استفاده می‌شوند، مهاجمان همواره به دنبال بهره‌برداری از نقص‌های بحرانی احراز هویت هستند که می‌تواند به آن‌ها امکان دسترسی به شبکه‌های شرکتی بسیار ارزشمند را بدهد.
در فوریه 2022، سازمان امنیت سایبری و زیرساخت‌های آمریکا (CISA) از مدیران سیستم‌ها خواست تا آسیب‌پذیری‌های شدید در برنامه‌های کسب‌وکار SAP را به‌روزرسانی کنند تا از سرقت داده‌ها، باج‌افزارها و اختلالات در عملیات‌های حیاتی جلوگیری شود. مهاجمان در بازه زمانی بین 2020 تا 2021 از سیستم‌های SAP بدون به‌روزرسانی استفاده کرده و در حداقل 300 مورد به شبکه‌های شرکتی نفوذ کردند.
بنابراین، به‌روزرسانی مناسب و هرچه سریع‌تر به آخرین نسخه‌های منتشر شده از محصولات SAP اکیدا توصیه می‌گردد.

منبع خبر:


https://www.bleepingcomputer.com/news/security/critical-sap-flaw-allows-remote-attackers-to-bypass-…