همینطور حوصلم سر رفت یه چنل بزنم توش یه سری چیزارو بگم درباره اخبار سایبر سکیوریتی مثلا ببینیم اون سر دنیا چه خبره و درباره آسیب پذیری های جدید یه سری حرفا بزنیم

دوست داشتم که اخباری که مینویسیم رسمی نباشه و خودمونی باشه که یه حس راحتی بینمون باشه و از طرفی باید بدونیم که اخباری که نویسنده این مطالب ارائه میده هیچ گونه کششی به سمت و سویی نداره و اگر طور دیگه ای بخوام بگم نویسنده دوست نداره که برچسبی به اون زده بشه

یه خبر جالبی که بود و حدود یه هفته پیش انگار اعتفاق افتاده و وبسایت سکیوریتی ویک اون رو اعلام کرده که و از طرفی هم غول نفتی ایالات متحده ، هالیبرتون روز پنجشنبه هفته قبل تایید کرده که به کامپیوتر های شرکتش این حمله انجام شده و هنوزم انگار تا اخرای هفته پیش این دسترسی از سمت فرد خرابکار برقرار بوده به دفاترش توی هیوستون ، تگزاس .

این وسط خبرگزاری رویترز هم یه چیزایی گفته درباره شرکت که انگار هالیبرتون دومین شرکت نفتی جهانه که انگار تا حمله شده بهشون کارشناساشون وارد عمل شدن که جلوگیری کنن .

البته که منم فقط اسم تگزاس به گوشم خورده اما خب چاره ای نیست باید بگم ولی خب در ادامه باید بگم که هنوز انگار زیاد اطلاعاتی نشت نکرده از چگونگی و ابعاد حمله ولی اینطوری که معلومه انگار یه باج افزار ساده بوده و انگار همه داده هارو رمزنگاری کرده فرد خرابکار و درخواست یه باج کلفت میلیون دلاری داره

این شرکت هم واسه خودش شرکت کت و کلفتیه صدها شرکت وابستگی دارن بهش و توی ۷۰ کشور هم فعالیتی داره خلاصه که شرکت با آبرویی هست اما مشکل اینجاست که وقتی یه حمله باج افزار ساده میتونه تا حد زیادی به شرکت هایی در این ابعاد آسیب های جدی وارد کنه که یکی از مهم ترینشون از دست دادن اعتماد هستش .

از طرفی هم حملات باج افزاری به شدت درحال افزایش هستن و خب مبالغ زیادی هم صرف این نوع حملات شده به طوری که تا همین نیم سال حدود ۴۶۰ میلیون دلار اینطور که معلومه هزینه برداشته واسه شرکت ها

اکثر کاربرای ویندوزی برای استفاده از لینوکس توی ویندوز از ماشین مجازی و یا WSL استفاده میکنن.( ولی چه کاریه کلا بیاید سمت لینوکس )

برای اجرای لینوکس روی ویندوز ماشین مجازی نیاز به منابع زیادی داره و wsl هم دسترسی کاملی از لینوکس بهتون نمیده.


مایکروسافت یه پروژه داره به اسم Hyper-v ( احتمال زیاد اسمشو شنیدین) که شبیه به ماشین مجازی عمل میکنه فقط با این تفاوت که روی ویندوز host نیست و native هست و سرعت خیلی بیشتری نسبت به حالت ماشین مجازی داره.

اما یه خبر مهم از قلم افتاده نه ؟🧐
بعد از گند جهانی که ویندوز زد همین چند وقت پیش که شرکت crowdstrike اومد اون کارو کرد ...

قضیه از این قرار بود که شرکت امنیتی crowdstrike میاد یه آپدیت جدید میده و توش یکی از فایل های ضروری ویندوز رو دستکاری میکنه و همین باعث میشه کلی سیستم ویندوزی دیگه بالا نیان و بعد از چند روز سر و ته ماجرا رو هم آوردن بیچاره اون کارمند جدیدی که روز اول کارش توی این شرکت بوده😂

اما ماجرای گند جدید چیه ؟ اینبار ویندوز قصه ما حوصلش سر رفته اومده گفته چیکار کنم چیکار نکنم ؟ یهویی زده یقه IPV6 رو گرفته (CVE-2024-38063) 

ماجرای این مشکل بزرگ از این قراره که یه شخص مخرب میتونه با استفاده از این آسیب پذیری دسترسی اجرای کد از راه دور بگیره (RCE) این آسیب پذیری هم همونطور که معلومه سیستم های ویندوزی که از آیپی ورژن شیش استفاده میکنن رو میتونه تحت تاثیر قرار بده حالا چطور ؟

اولا اینو بگم که یه محقق از Kunlun lab تونسته این آسیب پذیری رو شناسایی کنه و آسیب پذیری هم اینطوره که به دلیل خطای کمبود عدد صحیح (integer underflow) ایجاد میشه که همین میتونسته خودش باعث سرریزبافر بشه که مهاجم میتونسته با استفاده از همین کد خودشو از راه دور اجرا کنه

چیز جالبی که هست اینه که این آسیب پذیری زیرو کلیک هست (zero click) یعنی کاربر حتی لازم نداره شما براش کاری رو انجام بدین فقط اگه IPV6 شمارو داشته باشه میتونه بسته های IPV6 رو به شما ارسال کنه و بوم ماجرا تمومه گیم اور شدی .

مایکروسافت هم مثل همیشه برگشته گفته عزیزان منتظر آپدیت های امنیتی باشید ولی اگر آپدیت به دستتون نرسیده که کلا بزنید IPV6 رو توی سیستم عاملتون غیر فعال کنین 😀

خبر جدیدی که هست اینه که Fortra توی این هفته پچ کرده دوتا آسیب پذیری رو توی FileCatalyst Workflow که یکی از اونها اینطور که معلومه خیلی بحرانی بوده .

(CVE-2024-6633) : [CVSS 9.8]

اولا HSQLDB که منسوخ شده از طرفی اگر شخص هیچ پایگاه داده جایگزینی در نظر نگرفته باشه و بیاد از این پایگاه داده استفاده کنه HSQLDB در این شرایط کاری که میکنه اینه که نمونه های آسیب پذیر FileCatalyst Workflow رو در معرض خطر قرار میده و امکان حمله و بهره برداری از آسیب پذیری تا جایی که معلومه خیلی زیاد میشه .


از طرفی خود Fortra کلا پیشنهاد داده از این پایگاه داده استفاده نشه تا جایی که راه هست ، اما از طرفی هم اشاره کرده به اینکه آسیب پذیری ( CVE-2024-6633 ) فقط درصورتی قابل بهره برداریه که مهاجم به شبکه و اسکن پورت دسترسی داشته باشه و پورت HSQL هم به اینترنت متصل باشه .

فورترا یه جای دیگه گفته : «این حمله به مهاجم غیرقانونی دسترسی از راه دور به پایگاه داده، تا و از جمله دستکاری/حذف داده‌ها از پایگاه داده، و ایجاد کاربر ادمین را می‌دهد».


البته درحال حاضر اینطور که معلومه دسترسی پایگاه داده رو برای امنیت بیشتر به لوکال هاست تغییر دادن تا ببینن چطور جمع میشه ...

میدونید Backporting یعنی چی؟

فرض کنید توی درایور wi-fi کرنل v6 یه مشکل امنیتی رو پیدا شده و حل شده.

بعضی از یوزر ها دارن از کرنل v5 استفاده میکنن و همون مشکل رو دارن، برای حل این مشکل نخوان یا نتونن به کرنل v6 آپدیت کنن توی این سناریو Backporting یعنی انتقال رفع اشکال از ورژن v6 به v5 به طوری که توی کرنل v5 هم این مشکل حل شده باشه.

عملیات Backporting فقط مربوط به اشکال نیست و ممکنه انتقال یه ویژگی باشه و بخاطر تضاد با سایر تغییرات ممکنه پیچیده باشه ولی توی کرنل لینوکس یه اتفاق بسیار عادی محسوب میشه.

وقتی موقع پارتیشن بندی 10GB واسه boot/ کنار گذاشتی !

Vmware : بزار یه نفس راحت بکشیم

امروز که میشه سه شنبه vmware یه اپدیت امنیتی برای Hypervisor Fusion ارائه کرده که یه آسیب پذیری با شدت بالارو که انگار دسترسی اجرای کد به شخص سو استفاده کننده میداده .

توی یه توصیه که خود vmware ارائه کرده گفته که این آسیب پذیری که الان دیگه با اسم CVE-2024-38811 (CVSS 8.8/10) میشناسیمش دلیلش یه متغیر محیطی ناامنه که خود vmware محدوده این آسیب پذیری رو "مهم" اعلام کرده... البته که داریم درمورد vmware fusion حرف میزنیم .

حالا اگر یه فرد مهربون بیاد از این آسیب پذیری استفاده کنه میتونه توی زمینه Fusion کد اجرا کنه و خب همین میتونه به طور کامل سیستم عامل رو به خطر بندازه .

خود vmware گفته : یک عامل مخرب با امتیازات استاندارد کاربر ممکن است از این آسیب پذیری برای اجرای کد در زمینه برنامه Fusion سوء استفاده کند .

از طرفی باید اشاره به این داشته باشیم که این آسیب پذیری که پیدا شده هیچ راه حلی براش پیدا نشده و همه نسخه های 13.x رو تحت تاثیر قرار داده .

خبر جدید رو خلاصه بخوام بگم
به گزارش FBI یه سری افراد مخرب که ضاهرا از کره شمالی هستن با حملات پیچیده مهندسی اجتماعی سعی میکنن بدافزار هایی رو وارد کنن و از این طریق ارز های دیجیتال تارگت رو بالا بکشن و نوش جان کنن .

و در خبری جدید و شگفت انگیز و زیبا شرکت D-LINK هشدار داده که روتر DIR-846 بخاطر اینکه دارای آسیب پذیری RCE بوده باید بای بای کنه .

به نقل از این شرکت کتو کلفت چهار تا آسیب پذیری پیدا شده که به همین مربوط بوده ، که دوتا با درجه پایین تر و دوتای دیگه بحرانی هستن : CVE-2024-44341 و CVE-2024-44342 (امتیاز CVSS 9.8) همون دوتا آسیب پذیری هستن که پیدا شدن و داریم درموردشون حرف میزنیم که باعث RCE شدن .

از طرف دیگه نقص سوم یعنی CVE-2024-41622 که با یه پارامتر آسیب پذیر میشه ازش بهره برداری کرد خود D-LINK اون رو با امتیاز CVSS 8.8 نشون داده ولی NIST میگه نه این یه آسیب پذیری به شدت بحرانی هست و امتیاز 9.8 داده .


و در نهایت نقص چهارم، CVE-2024-44340 که بازم RCE هست ولی برای بهره برداری نیاز به احراز هویت داره .

و در نهایت خود D-LINK گفته به منچه این مشکل رو قصد ندارم اوکی کنم از محصولات جدید استفاده کنین ....

داستان از این قراره که هرچی که بتونم و مهم باشه رو تا جایی که بتونم میگم .

و اما گوگل روز سه شنبه مجموعه ای از اپدیت های امنیتی رو برای موبایل های اندرویدی ارائه کرده که بیاد و 35 آسیب پذیری رو فیکس کنه از جمله جدی ترین این آسیب پذیری ها که باعث تشدید دسترسی محلی میشده .

داریم درمورد CVE-2024-32896 (امتیاز CVSS 7.8) حرف میزنیم که چهارچوب اندروید رو تحت تاثیر خودش قرار داده و توی این آسیب پذیری یه اشتباه منطقی توی کد باعث میشده که بتونیم تمام حفاظتی که میشه رو بایپس کنیم یه جورایی .

گوگل توی بولتن امنیتی اندروید در سپتامبر 2024 گفته : «جدی‌ترین این مشکلات، آسیب‌پذیری امنیتی بالا در مؤلفه Framework است که می‌تواند منجر به افزایش محلی امتیاز بدون نیاز به مجوزهای اجرایی اضافی شود».

البته توی گزارش ها گفته شده که این باگ توی ژوئن پیدا شده تا جایی که گوگل گزارش داده که از یه آسیب پذیری روز صفر برای هدف قرار دادن دستگاه های پیکسل ازش استفاده شده و پیکسل هم با اپدیت امنیتی خودش سرو ته قضیه رو هم اورده .

از طرفی گوگل اشاره کرده به اینکه ممکنه هنوز این آسیب پذیری مورد بهره برداری محدود و هدفمند قرار بگیره و از طرفی دیگه گفته با اولین اپدیت امنیتی که در تاریخ 2024-09-01 ارائه شده در مجموع 10 آسیب پذیری برطرف شده که گفته شده 3 مورد در سطح Framework و 7 تا در سطح System که نقص های خیلی شدیدی بودن .

و بخش دوم آپدیت امنیتی در تاریخ 2024-09-05 با رفع 25 اشکال در اجزای Kernel، Arm، Imagination Technologies، Unisoc و Qualcomm در دستگاه‌ها .

البته این خلاصه بود سطح این حملات اینقدر گسترده بوده که این چندین هفته هست خبر های زیادی از این دست کارای اینا به گوش میرسه

به به چه آپدیتی :

یه Hex Editor برای مهندسای معکوس، برنامه نویس ها و کسانی که ساعت 3 صبح به چشمشون اهمیت میدن.

https://github.com/WerWolv/ImHex