اضغط هنا لتصفح النشرة من الموقع

صباح الخير قراءنا الكرام،

مرحبًا بكم في العدد الجديد من نشرة أمن المعلومات والتي تتناول شهريًا أهم الأحداث الخاصة بأمن المعلومات، إضافةً إلى التوعية بمخاطر الفضاء الإلكتروني.

يرصد هذا العدد مجموعة من أبرز الأحداث في مجال أمن المعلومات، فضلًا عن الثغرات والهجمات الإلكترونية التي تهم المستخدمين.

أهم الأخبار

• تحذر Apple من هجمات تجسس على مستخدمي آيفون في 92 دولة 

• أدوات AWS وGoogle وAzure CLI تؤدي إلى تسريب بيانات الاعتماد في السجلات (logs)

• اختراق شركة MITRE من قبل مهاجمين استغلوا ثغرة Ivanti

• أعلن Dropbox أن مهاجمين سرقوا بيانات العملاء والأسرار الخاصة بالمصادقة من خدمة التوقيع الإلكتروني

• حذر Cisco Duo من اختراق بيانات الجهات الخارجية بعرض سجلات SMS MFA

مخاطر وثغرات

• ثغرة حرجة في نظام التشغيل PAN-OS في شبكة Palo Alto Networks

• تطرح شركة Fortinet تصحيحات أمنية مهمة لثغرة أمنية في FortiClientLinux

• شركة HPE Aruba للشبكات تصلح أربع ثغرات حرجة عن بُعد في نظام التشغيل لـ Aruba

• الباحثون يكتشفون ثغرات أمنية في تلفزيونات LG الذكية تسمح بالوصول إلى الـ Root

• ثغرة RCE فيIvanti تؤثر على 16,000 بوابة VPN 

معلومة أمنية

• ماذا تفعل إذا تم انتهاك خصوصيتك الشخصية؟
            

تحذر Apple من هجمات تجسس على مستخدمي آيفون في 92 دولة

11 أبريل 2024

أفادت وكالة رويترز أن شركة Apple تحذر مستخدمي iPhone في 92 دولة بشأن هجمات برامج التجسس المرتزقة.

وذكرت رويترز الهند فقط كواحدة من الدول التي استهدفت هجمات المستخدمين.

وفقًا لإشعار بالتهديد عبر البريد الإلكتروني تم إرساله إلى المستخدمين المستهدفين، اكتشف عملاق تكنولوجيا المعلومات محاولات 'لاختراق جهاز iPhone عن بعد.

ولم تنسب الشركة الهجمات المستهدفة إلى أي مهاجم مدعوم من قبل الدولة.

ذكر موقع Heise الألماني أن شركة Apple أشارت صراحة إلى 'الهجمات التي ترعاها الدولة'. وبعد التحذيرات الأخيرة التي وجهها السياسيون والصحفيون المعارضون في الهند، بدت الحكومة هناك منزعجة - وهو أمر غير مناسب لشركة Apple، ففي نهاية المطاف، أصبحت الهند ذات أهمية متزايدة كموقع لإنتاج iPhone. وفي الوقت نفسه، تتحدث شركة Apple بدلاً من ذلك دبلوماسيًّا عن 'برامج التجسس المرتزقة' وتشير إلى أن مثل هذه الهجمات ارتبطت تاريخيًّا بمهاجمين تابعين للدولة.

وبدأت شركة Apple في إرسال مثل هذا النوع من إشعارات التهديد في عام 2021، ومنذ ذلك الحين قامت الشركة بإخطار المستخدمين في أكثر من 150 دولة.

توصي Apple مستخدمي iPhone المستهدفين بتحديث أجهزتهم إلى أحدث إصدارة والاتصال بخبراء الأمن السيبراني للتحقيق في الاختراقات المحتملة.

ردًا على موجة من الهجمات المتطورة ضد مستخدمي Apple (مثل Pegasus وDevilsTongue وHermit) في يوليو 2022، طورت Apple ميزة أمان جديدة، تسمى وضع القفل، لحماية مستخدميها من الهجمات الإلكترونية شديدة الاستهداف.
 

بعض وسائل الحماية المطبقة في وضع التأمين هي:

• الرسائل: يتم حظر معظم أنواع مرفقات الرسائل بخلاف الصور. تم تعطيل بعض الميزات، مثل معاينات الروابط.

• تصفح الويب: يتم تعطيل بعض تقنيات الويب المعقدة، مثل تجميع JavaScript في الوقت المناسب (JIT)، ما لم يستبعد المستخدم موقعًا موثوقًا به من وضع التأمين.

• خدمات Apple: يتم حظر الدعوات الواردة وطلبات الخدمة، بما في ذلك مكالمات FaceTime، إذا لم يكن المستخدم قد أرسل مسبقًا مكالمة أو طلبًا إلى البادئ.

• يتم حظر الاتصالات السلكية بجهاز كمبيوتر أو ملحق عند قفل iPhone.

• لا يمكن تثبيت ملفات تعريف التكوين، ولا يمكن للجهاز التسجيل في إدارة الأجهزة المحمولة (mobile device management - MDM)، أثناء تشغيل وضع التأمين.
   

أدوات AWS وGoogle وAzure CLI تؤدي إلى تسريب بيانات الاعتماد في السجلات (logs) 
 

16 أبريل 2024

توصل بحث جديد في مجال الأمن السيبراني إلى أن Command-line interface (CLI) من Amazon Web Services (AWS) وGoogle Cloud يمكن أن تكشف بيانات الاعتماد الحساسة في سجلات الإنشاء، مما يشكل مخاطر كبيرة على المؤسسات.

تمت تسمية الثغرة الأمنية باسم LeakyCLI من قبل شركة الأمن السحابي Orca.

أفاد الباحث الأمني Roi Nisimi في Hacker News بتقرير: يمكن لبعض الأوامر في Azure CLI و AWS CLIوGoogle Cloud CLI الكشف عن معلومات حساسة في شكل المتغيرات الديناميكية في بيئة النظام، والتي يمكن جمعها عند نشرها بواسطة أدوات مثل GitHub Actions.

منذ ذلك الحين، عالجت Microsoft المشكلة كجزء من التحديثات الأمنية التي تم إصدارها في نوفمبر 2023، وخصصت لها معرف CVE CVE-2023-36052 ذات درجة خطورة (CVSS: 8.6).

تتعلق الفكرة، باختصار، بكيفية استخدام أوامر Command-line interface (CLI) لإظهار المتغيرات الديناميكية في بيئة النظام، المحددة (مسبقًا) وإخراجها إلى Continuous Integration and Continuous Deployment (CI/CD) logs. فيما يلي قائمة هذه الأوامر التي تمتد عبر AWS وGoogle Cloud 

• aws lambda get-function-configuration

• aws lambda get-function

• aws lambda update-function-configuration

• aws lambda update-function-code

• aws lambda publish-version

• gcloud functions deploy <func> --set-env-vars

• gcloud functions deploy <func> --update-env-vars

• gcloud functions deploy <func> --remove-env-vars

أعلنت Orca أنها عثرت على العديد من المشاريع على GitHub التي سربت عن غير قصد رموز الوصول وغيرها من البيانات الحساسة عبر سجلات Github Actions وCircleCI وTravisCI وCloud Build.

ومع ذلك، على عكس Microsoft، تعتبر كل من Amazon وGoogle أن هذا سلوك متوقع، مما يتطلب من المؤسسات اتخاذ خطوات لتجنب تخزين المعلومات الحساسة في المتغيرات الديناميكية في بيئة النظام واستخدام خدمة تخزين أسرار مخصصة مثل AWS Secrets Manager أو Google Cloud Secret Manager.

توصي Google أيضًا باستخدام خيار '--no-user-output-enabled' لمنع طباعة نتائج الأوامر.

وأضاف Nisimi: إذا وضع المهاجمون أيديهم على هذه المتغيرات، فقد يؤدي ذلك إلى عرض معلومات حساسة، بما في ذلك بيانات الاعتماد، مثل كلمات المرور وأسماء المستخدمين والمفاتيح، مما قد يسمح لهم بالوصول إلى أي موارد يمكن لأصحاب السحابة الوصول إليها.

يمكن افتراضيًا تشغيل أوامر Command-line interface (CLI) في بيئة آمنة، ولكن عند اقترانها CI/CD pipelines، فإنها قد تشكل تهديدًا أمنيًا.
 

اختراق شركة MITRE من قبل مهاجمين استغلوا ثغرة Ivanti
 

22 أبريل  2024

كشفت شركة MITRE أنها كانت هدفًا لهجوم سيبراني على مستوى دولة قومية استغل ثغرتين من الثغرات الحديثة في أجهزة Ivanti Connect Secure بدءًا من يناير 2024.

أدى إلى اختراق بيئة التجارب والأبحاث والمحاكاة الشبكية (Networked Experimentation, Research, and Virtualization Environment "NERVE")، وهي شبكة بحث ونماذج أولية غير مصنفة.

وأفاد Lex Crumpton باحث في MITRE: أن المهاجم المجهول 'أجرى استطلاعًا لشبكاتنا، واستغل إحدى شبكاتنا الافتراضية الخاصة (VPN) من خلال اثنتين من الثغرات في Ivanti Connect Secure، وتجاوز المصادقة متعددة العوامل MFA لدينا باستخدام اختطاف الجلسة session hijacking'.

استلزم الهجوم استغلال CVE-2023-46805 بدرجة خطورة (CVSS: 8.2) وCVE-2024-21887  بدرجة خطورة (CVSS: 9.1)، والتي يمكن تسليحها من قبل المهاجمين لتجاوز المصادقة وتشغيل أوامر على النظام المصاب.

عند الحصول على وصول أولي، تحرك المهاجمون بشكل جانبي واخترقوا البنية التحتية لبرنامج VMware الخاص بها باستخدام حساب مسؤول مخترق، مما مهد في النهاية الطريق لنشر الأبواب الخلفية backdoors والـ web shells من أجل الاستمرارية وجمع بيانات الاعتماد.

وأفادت " MITRE أن NERVE عبارة عن شبكة تعاونية غير مصنفة توفر موارد التخزين والحوسبة والشبكات. بناءً على تحقيقاتنا حتى الآن، لا يوجد ما يشير إلى أن شبكة مؤسسة MITRE الأساسية أو أنظمة الشركاء قد تأثرت بهذا الحادث".

وأضافت المنظمة أنها اتخذت منذ ذلك الحين خطوات لاحتواء الحادث، وأنها بذلت جهود الاستجابة والتعافي بالإضافة إلى التحليل الجنائي لتحديد مدى الاختراق.

وفقًا Mandiant يُعزى الاستغلال الأولي للثغرات المزدوجة إلى مجموعة تتبعها شركة الأمن السيبراني Volexity تحت اسم UTA0178، وهي جهة فاعلة تابعة لدولة قومية من المحتمل أن تكون مرتبطة بالصين. منذ ذلك الحين، انضم العديد من مجموعات القرصنة الصينية الأخرى.

وقال Jason Providakes، الرئيس والمدير التنفيذي لشركة MITRE: لا توجد منظمة محصنة ضد هذا النوع من الهجمات السيبرانية، ولا حتى تلك التي تسعى جاهدة للحفاظ على أعلى مستوى ممكن من الأمن السيبراني.

إننا نكشف عن هذا الحادث في الوقت المناسب بسبب التزامنا بالعمل من أجل المصلحة العامة والدعوة إلى أفضل الممارسات التي تعزز أمن المؤسسة، بالإضافة إلى التدابير اللازمة لتحسين وضع الدفاع السيبراني الحالي في الصناعة.
 

أعلن Dropbox أن مهاجمين سرقوا بيانات العملاء والأسرار الخاصة بالمصادقة من خدمة التوقيع الإلكتروني

1 مايو 2024

أعلنت شركة تخزين السحابة DropBox أن المهاجمين قد تسللوا إلى أنظمة الإنتاج لمنصة DropBox Sign للتوقيع الإلكتروني ووصلوا إلى رموز المصادقة، ومفاتيح Multi-factor authentication MFA، وكلمات المرور المجزأة hashed passwords، ومعلومات العملاء.

DropBox Sign المعروفة سابقًا باسم (HelloSign) هي منصة للتوقيع الإلكتروني تتيح للعملاء إرسال المستندات عبر الإنترنت لاستلام تواقيع قانونية ملزمة.

أفادت الشركة أنها اكتشفت وصولًا غير مصرح به إلى أنظمة الإنتاج لـ DropBox Sign في 24 أبريل 2024 وبدأت التحقيق.

أظهر هذا التحقيق أن المهاجم حصل على وصول إلى أداة تكوين نظام DropBox Sign التلقائي، والتي تعد جزءًا من خدمات الخلفية للمنصة.

هذه الأداة تمكن المهاجم من تنفيذ التطبيقات والخدمات التلقائية بامتيازات مرتفعة، مما سمح للمهاجم بالوصول إلى قاعدة بيانات العملاء.

تحذر DropBox خلال تحقيقها: اكتشفنا أن مهاجمًا قد وصل إلى البيانات بما في ذلك معلومات عملاء DropBox Sign مثل البريد الإلكتروني، وأسماء المستخدمين، وأرقام الهواتف وكلمات المرور المشفرة، بالإضافة إلى إعدادات الحساب العامة وبعض معلومات المصادقة مثل مفاتيح API ورموز OAuth، والمصادقة متعددة العوامل.

بالنسبة للمستخدمين الذين استخدموا منصة التوقيع الإلكتروني ولكن لم يسجلوا حسابًا، تمت سرقة عناوين بريدهم الإلكتروني وأسمائهم أيضًا.

أعلنت الشركة أنها لم تجد أي دليل على أن المهاجمين حصلوا على وصول إلى مستندات أو اتفاقيات العملاء ولم يتم الوصول إلى منصات خدمات DropBox الأخرى.

وأضافت DropBox أنها قامت بإعادة تعيين جميع كلمات مرور المستخدمين، وتسجيل الخروج من جلسات الدخول إلى DropBox Sign، وتقيد كيفية استخدام مفاتيح Application Programming Interface API حتى يتم تدويرها من قبل العملاء.

قدمت الشركة معلومات إضافية في التنبيه الأمني حول كيفية تدوير مفاتيح API لاستعادة الامتيازات الكاملة مرة أخرى.

الذين يستخدمون MFA مع DropBox Sign يجب أن يقوموا بحذف التكوين من تطبيقات المصادقة الخاصة بهم وإعادة تكوينها باستخدام مفتاح MFA جديد يتم استرجاعه من الموقع الإلكتروني.

وأضافت DropBox أنهم حالياً يرسلون رسائل بريد إلكتروني لجميع العملاء الذين تأثروا بالحادث.

في الوقت الحالي، يجب على عملاء DropBox Sign أن يكونوا يقظين لحملات التصيد الاحتيالية المحتملة التي تستخدم هذه البيانات لجمع المعلومات الحساسة، مثل كلمات المرور النصية.

إذا تلقيت رسالة بريد إلكتروني من DropBox Sign تطلب منك إعادة تعيين كلمة المرور، فلا تتبع أي روابط في البريد الإلكتروني. بدلاً من ذلك، قم بزيارة DropBox Sign مباشرةً وقم بإعادة تعيين كلمة المرور من الموقع.

في عام 2022، كشفت DropBox عن اختراق أمني بعد أن قام المهاجمون بسرقة 130 مستودعًا للأكواد عن طريق اختراق حسابات الشركة على GitHub باستخدام بيانات اعتماد الموظفين المسروقة.
 

حذر Cisco Duo من اختراق بيانات الجهات الخارجية بعرض سجلات SMS MFA

15 أبريل 2024

حذر فريق الأمان في CiscoDuo من أن المهاجمين سرقوا سجلات VoIP والرسائل النصية القصيرة لبعض العملاء لرسائل المصادقة متعددة العوامل (Multi-factor authentication - MFA) في هجوم إلكتروني على مزود الخدمة الهاتفية الخاص بهم.

Cisco Duo عبارة عن مصادقة متعددة العوامل MFA وخدمة تسجيل دخول فردي تستخدمها الشركات لتوفير وصول آمن إلى الشبكات الداخلية وتطبيقات الشركة.

تشير الصفحة الرئيسة لـ Duo إلى أنها تخدم 100,000 عميل وتتعامل مع أكثر من مليار عملية مصادقة شهريًا، مع أكثر من 10,000,000 عملية تنزيل على Google Play.

في رسائل البريد الإلكتروني المرسلة إلى العملاء، تقول Cisco Duo إن موفرًا غير معلوم يتعامل مع رسائل المصادقة متعددة العوامل (MFA) الخاصة بالشركة SMS وVOIP قد تعرض للاختراق في 1 أبريل 2024.

يوضح الإشعار أن المهاجمين حصلوا على بيانات اعتماد الموظف من خلال هجوم تصيد احتيالي ثم استخدمت بيانات الاعتماد هذه للوصول إلى أنظمة مزود الخدمة الهاتفية.

وأكد المزود أن المهاجم لم يصل إلى أي محتويات للرسائل أو استخدم وصولها لإرسال رسائل إلى العملاء.

ومع ذلك، تحتوي سجلات الرسائل المسروقة على بيانات يمكن استخدامها في هجمات التصيد الاحتيالي المستهدفة للوصول إلى المعلومات الحساسة، مثل بيانات اعتماد الشركة.
تتضمن البيانات الواردة في هذه السجلات ما يلي:

• رقم التليفون

• الناقل

• بيانات الموقع

• تاريخ

• وقت

• نوع الرسالة

وعندما اكتشف المورد المتأثر بالاختراق، قام بإبطال بيانات الاعتماد المخترقة، وقام بتحليل سجلات الأنشطة، وأبلغ Cisco وفقًا لذلك. كما تم تنفيذ تدابير أمنية إضافية لمنع وقوع حوادث مماثلة في المستقبل.

قامت الشركة الموردة بتزويد Cisco Duo بجميع سجلات الرسائل التي تم التعريض لها، والتي يمكن طلبها عن طريق إرسال بريد إلكتروني إلى msp@duo.com للمساعدة في فهم نطاق الاختراق وتأثيره واستراتيجية الدفاع المناسبة بشكل أفضل.

وتحذر Cisco أيضًا العملاء المتأثرين بهذا الاختراق من توخي الحذر من التصيد الاحتيالي عبر الرسائل النصية القصيرة أو هجمات الهندسة الاجتماعية المحتملة باستخدام المعلومات المسروقة.

يختتم الإخطار الصادر من فريق خصوصية البيانات والاستجابة للحوادث في Cisco
"نظرًا لأن المهاجمين حصلوا على حق الوصول إلى سجلات الرسائل من خلال هجوم هندسة اجتماعية ناجح على الموفر Provider، يرجى الاتصال بعملائك مع المستخدمين المتأثرين الذين كانت أرقام هواتفهم موجودة في سجلات الرسائل لإعلامهم، دون تأخير لا مبرر له، بهذا الحدث وننصحهم بتوخي الحذر والإبلاغ عن أي هجمات هندسة اجتماعية مشتبه بها إلى فريق الاستجابة للحوادث ذي الصلة أو نقطة اتصال أخرى معينة لمثل هذه الأمور". 

يرجى أيضًا التفكير في تثقيف المستخدمين حول المخاطر التي تشكلها هجمات الهندسة الاجتماعية والتحقيق في أي نشاط مشبوه.

حذر مكتب التحقيقات الفيدرالي العام الماضي من أن المهاجمين يستخدمون بشكل متزايد التصيد الاحتيالي عبر الرسائل القصيرة والمكالمات الصوتية في هجمات الهندسة الاجتماعية لاختراق شبكات الشركات.

في عام 2022، تم اختراق شركة Uber بعد أن نفّذ أحد المهاجمين هجوم MFA fatigue على أحد الموظفين ثم اتصل به عبر واتساب عبر أرقام هواتفهم، متظاهرًا بأنه موظف في مكتب مساعدة تكنولوجيا المعلومات. أدى هذا في النهاية إلى السماح للقراصنة بتسجيل الدخول إلى الحساب والوصول إلى أنظمة Uber.

ولم تكشف Cisco عن اسم المورد وعدد العملاء المتأثرين بهذا الحادث. 

أخبرت Cisco أن الحادث أثر على حوالي 1% من عملاء Duo وبما أن الشركة تدعي أن لديها 100,000 مستخدم، فقد أثر هذا الحادث على ما يقرب من 1,000 شخص.

أفادت شركة Cisco:"تدرك الشركة وقوع حادث يتعلق بمورد هاتفي واحد يرسل رسائل مصادقة Duo متعددة العوامل (MFA) عبر الرسائل القصيرة وVOIP إلى المستلمين المقيمين في أمريكا الشمالية". "تعمل الشركة بنشاط مع المورد للتحقيق في الحادث ومعالجته. واستنادًا إلى المعلومات التي تلقيناها من المورد حتى الآن، قمنا بتقييم أن ما يقرب من 1% من عملاء Duo قد تأثروا. ولا يزال تحقيقنا مستمرًا، ونقوم بإعلام العملاء المتأثرين حسب الاقتضاء.
 

ثغرة حرجة في نظام التشغيل PAN-OS في شبكة Palo Alto Networks 

12 أبريل 2024

 
تحذر شركة Palo Alto Networks من أن الثغرة الخطيرة التي تؤثر على برنامج PAN-OS المستخدم في بوابات GlobalProtect الخاصة بها يتم استغلاله بشكل نشط.

تم تتبع الثغرة على أنها CVE-2024-3400، ولديها درجة خطورة CVSS تبلغ 10، مما يشير إلى الحد الأقصى من الخطورة.

وأفادت الشركة في تقرير استشاري: 'أن ثغرة أمنية في ميزة GlobalProtect في برنامج Palo Alto Networks PAN-OS لإصدارات PAN-OS محددة وتكوينات الميزات المميزة قد تمكن مهاجمًا غير مصادق عليه من تنفيذ تعليمات برمجية عشوائية مع امتيازات المسؤول على جدار الحماية'. 

تؤثر الثغرة على الإصدارات التالية من نظام التشغيل PAN-OS، ومن المتوقع إصدار الإصلاحات في 14 أبريل 2024.

• PAN-OS < 11.1.2-h3

• PAN-OS < 11.0.4-h1

• PAN-OS < 10.2.9-h1

كما أضافت الشركة أن المشكلة تنطبق فقط على جدران الحماية التي تم تمكين تكوينات كل من بوابة GlobalProtect (بوابات Network GlobalProtect) والقياس عن بعد للجهاز (القياس عن بعد لإعداد الجهاز).

يعود الفضل لشركة Volexity للاستخبارات المتعلقة بالتهديدات والاستجابة للحوادث في اكتشاف الثغرة والإبلاغ عنها.

وفي حين لا توجد تفاصيل فنية أخرى حول طبيعة عمليات الاقتحام أو هوية الجهات التي تقف وراءها، أقرت شركة Palo Alto Networks بأنها 'على علم بعدد محدود من الهجمات التي تستفيد من استغلال هذه الثغرة الأمنية'.

وفي غضون ذلك، توصي الشركة العملاء الذين لديهم اشتراك في 'منع التهديدات' بتمكين معرف التهديد 95187 للتأمين ضد التهديد.

ويأتي هذا التطور في الوقت الذي يعتمد فيه المهاجمون الصينيون بشكل متزايد على ثغرات حديثة تؤثر على شبكات Barracuda Networks وFortinet وIvanti وVMware لاختراق الأهداف التي تكون محل الاهتمام ونشر برامج ضارة سرية للوصول المستمر.
 

تطرح شركة Fortinet تصحيحات أمنية مهمة لثغرة أمنية في FortiClientLinux
 

  11أبريل 2024
 
 

أصدرت Fortinet تصحيحات لمعالجة ثغرة أمنية خطيرة تؤثر على FortiClientLinux والتي يمكن استغلالها لتنفيذ تعليمات برمجية عشوائية.

تم تتبع الثغرة الأمنية باسم CVE-2023-45590، وتحمل درجة خطورة CVSS تبلغ 9.4 من أصل 10 كحد أقصى.

أفادت Fortinet في تقرير استشاري قد تسمح الثغرة الأمنية في التحكم في إنشاء التعليمات البرمجية ('حقن التعليمات البرمجية') في FortiClientLinux لمهاجم غير مصادق بتنفيذ تعليمات برمجية عشوائية عن طريق خداع مستخدم FortiClientLinux لزيارة موقع ويب ضار. 

تؤثر الثغرة، الذي تم وصفها على أنها تنفذ تعليمات برمجية عن بعد بسبب 'تكوين Nodejs الخطير، على الإصدارات التالية:

• إصدارات FortiClientLinux من 7.0.3 إلى 7.0.4 ومن 7.0.6 إلى 7.0.10 (الترقية إلى الإصدار 7.0.11 أو أعلى)

• FortiClientLinux الإصدار 7.2.0 (الترقية إلى 7.2.1 أو أعلى)

يعود الفضل إلى الباحث الأمني CataLpa من Dbappsecurity في اكتشاف الثغرة الأمنية والإبلاغ عنها.

تعالج تصحيحات أمان Fortinet لشهر أبريل 2024 أيضًا مشكلة في مثبت FortiClientMac والتي قد تؤدي أيضًا إلى تنفيذ التعليمات البرمجية CVE-2023-45588 وCVE-2024-31492، بدرجات خطورة (CVSS: 7.8).  

تم أيضًا حل ثغرة FortiOSوFortiProxy التي قد تؤدي إلى تسرب ملفات تعريف الارتباط الخاصة بالمسؤول في سيناريوهات معينة CVE-2023-41677، بدرجة خطورة (CVSS:7.5).

على الرغم من عدم وجود دليل على استغلال أي من الثغرات بشكل مباشر، فمن المستحسن أن يقوم المستخدمون بتحديث أنظمتهم للتخفيف من التهديدات المحتملة.
 

شركة HPE Aruba للشبكات تصلح أربع ثغرات حرجة عن بُعد في نظام التشغيل لـ Aruba

 1 مايو 2024

أصدرت شركة HPE Aruba للشبكات تحديثًا أمنيًا لشهر أبريل 2024 يوضح التفاصيل حول الثغرات الحرجة في تنفيذ أوامر برمجية عن بُعد (RCE) التي تؤثر على عدة إصدارات من ArubaOS، نظام التشغيل الشبكي الخاص بها.

يقوم التحذير بسرد عشر ثغرات، أربع منها تعد ذات خطورة حرجة (CVSS v3.1: 9.8) تتعلق بمشاكل تجاوز سعة المخزن المؤقت غير المصادق عليها يمكن أن تؤدي إلى تنفيذ أكواد عن بُعد (RCE).

المنتجات المتأثرة بالثغرات المفتوحة حديثًا هي:

• HPE Aruba Networking Mobility Conductor, Mobility Controllers, WLAN Gateways, and SD-WAN Gateways managed by Aruba Central.

• ArubaOS 10.5.1.0 and below, 10.4.1.0 and older, 8.11.2.1 and below, and 8.10.0.10 and older.

• All versions of ArubaOS and SD-WAN that have reached EoL. This includes ArubaOS below 10.3, 8.9, 8.8, 8.7, 8.6, 6.5.4, and SD-WAN 2.3.0 through 8.7.0.0 and 2.2 through 8.6.0.4.

الثغرات الأربع الحرجة لتنفيذ الشفرة عن بُعد هي:

• CVE-2024-26305: ثغرة في Utility daemon الخاصة بـ ArubaOS تسمح للمهاجم غير المصادق عليه بتنفيذ كود عن بُعد عن طريق إرسال حزم مصممة بشكل خاص إلى PAPI بروتوكول إدارة نقاط الوصول لـ Aruba عبر منفذ UDP (8211).

• CVE-2024-26304: ثغرة في خدمة الإدارة L2/L3، تسمح بتنفيذ كود عن بُعد غير المصادق عليه من خلال حزم مصممة تُرسل إلى منفذ PAPI UDP.

• CVE-2024-33511: ثغرة في خدمة التقارير التلقائية يمكن استغلالها بإرسال حزم مصممة بشكل خاص إلى منفذ بروتوكول PAPI للسماح للمهاجمين غير المصادق عليهم بتنفيذ كود عن بُعد.

• CVE-2024-33512: ثغرة تسمح للمهاجمين البعيدين غير المصادق عليهم بتنفيذ الشفرة عن بُعد عن طريق استغلال تجاوز سعة المخزن المؤقت في خدمة قاعدة بيانات المستخدمين المحلية التي يتم الوصول إليها عبر بروتوكول PAPI.

لتخفيف الثغرات، يوصى المستخدمون بتمكين الأمان المحسّن لبروتوكول PAPI والترقية إلى الإصدارات المصححة لـ ArubaOS.

الإصدارات الأحدث تعالج أيضًا ست ثغرات أخرى، يتم تصنيفها جميعًا بـ "متوسطة" من حيث الخطورة (CVSS v3.1: 5.3 - 5.9) والتي يمكن أن تسمح للمهاجمين غير المصادق عليهم بإحداث خدمة الرفض على الأجهزة الضعيفة وتسبب انقطاعات تشغيلية مكلفة.

الإصدارات المستهدفة للترقية التي تعالج جميع الثغرات العشر هي:

• ArubaOS 10.6.0.0 and above 

• ArubaOS 10.5.1.1 and above 

• ArubaOS 10.4.1.1 and above 

• ArubaOS 8.11.2.2 and above 

•  ArubaOS 8.10.0.11 and above 

في الوقت الحالي، ليست HPE Aruba للشبكات على علم بأي حالات استغلال نشطة أو وجود تجارب توضيحية (PoC) للثغرات المذكورة.

ومع ذلك، يُوصى لمسؤولي النظام بتطبيق التحديثات الأمنية المتاحة في أقرب وقت ممكن.

الباحثون يكتشفون ثغرات أمنية في تلفزيونات LG الذكية تسمح بالوصول إلى الـ Root
 

 9 أبريل 2024



  

تم الكشف عن العديد من الثغرات الأمنية في LG webOS الذي يعمل على أجهزة التلفزيون الذكية الخاصة بها والتي يمكن استغلالها لتجاوز الصلاحية والحصول على حق الوصول إلى المسؤول عن الأجهزة.

وتأتي النتائج من شركة الأمن السيبراني الرومانية Bitdefender، التي اكتشفت الثغرات وأبلغت عنها في نوفمبر 2023. وتم إصلاح المشكلات بواسطة LG كجزء من التحديثات التي تم إصدارها في 22 مارس 2024.

يتم تعقب الثغرات الأمنية من CVE-2023-6317 إلى CVE-2023-6320 وتؤثر على الإصدارات التالية من webOS، وفيما يلي وصف موجز للثغرات:

• CVE-2023-6317:  ثغرة أمنية تسمح للمهاجم بتجاوز التحقق من رقم PIN وإضافة ملف تعريف مستخدم مميز إلى جهاز التلفزيون دون الحاجة إلى تدخل المستخدم.

•  CVE-2023-6318: ثغرة أمنية تسمح للمهاجم برفع امتيازاته والحصول على حق الوصول إلى المسؤول للتحكم في الجهاز.

• CVE-2023-6319: ثغرة أمنية تسمح بإدخال أوامر نظام التشغيل عن طريق التلاعب في  asm Libraryالمسؤولة عن عرض كلمات الموسيقى.

• CVE-2023-6320: ثغرة أمنية تسمح بإدخال أوامر تمت مصادقتها من خلال معالجة نقطة نهاية. com.webos.service.connectionmanager/tv/setVlanStaticAddress API endpoint

نجاح استغلال الثغرات يمكن أن يسمح لمهاجم بالحصول على أذونات مرتفعة على الجهاز، مما يمكن في نهاية المطاف من ربطها مع CVE-2023-6318 وCVE-2023-6319 للحصول على صلاحيات المسؤول، أو مع CVE-2023-6320 لتشغيل أوامر تخصصية كمستخدم dbus.

أفادت Bitdefender، على الرغم من أن الخدمة الضعيفة مخصصة للوصول إلى الشبكة المحلية (LAN) فقط، فإن Shodan، محرك البحث للأجهزة المتصلة بالإنترنت، حدد أكثر من  91,000 جهاز يعرض هذه الخدمة للإنترنت. توجد غالبية الأجهزة في كوريا الجنوبية وهونج كونج والولايات المتحدة والسويد وفنلندا ولاتفيا.

ثغرة RCE فيIvanti  تؤثر على 16,000 بوابة VPN 
 

05 أبريل 2024

من المحتمل أن يكون ما يقرب من 16,500 بوابة Ivanti Connect Secure وPoly Secure على الإنترنت عرضة لثغرة في تنفيذ التعليمات البرمجية عن بعد (remote code execution - RCE) والتي قامت الشركة بمعالجتها.

يتم تتبع الثغرة على أنها CVE-2024-21894 وهي عبارة عن تجاوز سعة الذاكرة المؤقتة عالية الخطورة في مكون IPSec في Ivanti Connect Secure 9.x و22.x مما قد يسمح للمستخدمين غير المصادقين بالتسبب في رفض الخدمة (DoS) أو تحقيق RCE من خلال إرسال طلبات معدّة خصيصًا.

عند الكشف، في أبريل 2024، أظهر محرك بحث الإنترنت Shodan تعرض 29,000حالة للإنترنت، في حين أبلغت خدمة مراقبة التهديدات Shadowserver عن رؤية ما يقرب من 18,000 حالة.

وفي ذلك الوقت، ذكرت شركة Ivanti أنها لم تر أية علامات على الاستغلال النشط لدى أي من عملائها، لكنها حثت مسؤولي النظام على تطبيق التحديثات في أقرب وقت ممكن.

أضاف Shadowserver الثغرة CVE-2024-21894 إلى إمكانات المسح الخاصة به، حيث أبلغ عن أن حوالي 16,500 حالة معرضة لثغرة RCE.

معظم هذه الحالات (4,700) موجودة في الولايات المتحدة، لدى اليابان (2,000)، المملكة المتحدة (1,000)، ألمانيا (900)، فرنسا (900)، الصين (500)، هولندا (500)، إسبانيا (500). تليها كندا (330) والهند (330) والسويد (320) مع مستوى كبير من التعرض أيضًا.

غالبًا ما تكون الثغرات عالية الخطورة في منتجات Ivanti بمثابة نقطة اختراق للمؤسسات في جميع أنحاء العالم.

في وقت سابق من هذا العام، تم الكشف عن أن المهاجمين استفادوا من ثغرات متعددة من نوع zero-days في منتجات Ivanti، وهي CVE-2023-46805، وCVE-2024-21887، وCVE-2024-22024، وCVE-2024-21893، مما يعني أن الشركة لم تكن على علم بالثغرات ولم تكن هناك أي إصلاحات متاحة.

أعقب هذا النشاط مجموعات قرصنة متعددة استغلت الانتشار الواسع لنشر هياكل ويب مخصصة على الأجهزة الخلفية backdoor.

يتعمق تقرير نشرته شركة Mandiant في حالات استغلال الثغرات البارزة الأخيرة التي تستهدف نقاط نهاية Ivanti، مع التركيز على المتسللين الصينيين من خمس مجموعات أنشطة متميزة وعائلة البرامج الضارة المسماة 'SPAWN' المستخدمة في هذه الهجمات.

يُنصح مسؤولو النظام الذين لم يطبقوا عوامل التخفيف والإصلاحات المتوافرة لـ CVE-2024-21894 باتباع إرشادات الشركة.
 

ماذا تفعل إذا تعرضت خصوصيتك للخرق؟
  

لسوء الحظ، تحدث اختراقات للبيانات الشخصية بشكل منتظم. في حالة حدوث هجوم يؤدي إلى فقدان البيانات الشخصية أو تعديلها أو الكشف عنها بشكل غير مصرح به، يكون أمام الشركات ما يصل إلى 90 يومًا لإعلامك بعد اكتشافها. خلال تلك الفترة، يمكن أن يتم استخدام معلوماتك وبيانات اعتمادك غير المحمية من قبل جهات ضارة لإحداث أضرار جسيمة. يمكن أن يتراوح هذا الضرر من سرقة المستندات الشخصية وكلمات المرور المسروقة إلى المعاملات المالية غير القانونية وسرقة بيانات الهوية.

ماذا تفعل إذا تعرضت خصوصيتك للخرق؟
إذا أخبرتك إحدى الشركات أن معلوماتك ربما كانت جزءًا من عملية خرق للبيانات، فقد تكون تفاصيلك الشخصية موجودة بالفعل على شبكة الإنترنت المظلمة أو في قاعدة بيانات هادفة للربح تديرها جهات ضارة. مع معظم انتهاكات خصوصية البيانات، فإن أول 72 ساعة هي الأكثر أهمية. لذلك من المهم أن تسأل الشركة عن موعد حدوث الانتهاك حتى تعرف المدة التي قد تكون فيها معلوماتك موجودة. كلما طالت مدة كشف معلوماتك، زادت فرص مجرمي الإنترنت في استخدامها لصالحهم.

حتى لو مر أطول من 72 ساعة، فإن اتباع مراحل التعافي الصحيحة بعد الانتهاك الشخصي أمر مهم للغاية. وفيما يلي جميع الإجراءات التي ستحتاج إلى اتخاذها إذا كنت تعتقد أنك وقعت ضحية لخرق البيانات الشخصية.

1. اكتشف البيانات التي تم اختراقها وتحقق من وجود التحديثات.

2. قم بتحديث أي بيانات اعتماد تعرضت للكشف.

3. سجل في المصادقة ثنائية العامل.

4. مراقبة جميع حساباتك.

5. حماية خصوصيتك المالية.

1. اكتشف البيانات التي تم اختراقها وتحقق من التحديثات

في بعض الأحيان، لا تكشف الشركات بالضبط عن العملاء الذين تمت سرقة معلوماتهم أو نوع البيانات التي تم الاستيلاء عليها. ومع ذلك، لمجرد أنهم لا يضمنون أن معلوماتك كانت جزءًا من الاختراق، فهذا لا يعني أنه لا ينبغي عليك التصرف. إذا تلقيت إشعارًا من إحدى الشركات يفيد باحتمال تعرض معلوماتك للتسرب، أو ربما رأيت معلومات حول تسرب في وسائل الإعلام، فيجب عليك مراجعة الشركة وسؤالها عن نوع المعلومات التي يتضمنها الخرق. الأشكال الأكثر شيوعًا للبيانات الشخصية المسروقة هي:

• بريد إلكتروني

• كلمة المرور

• اسم

• رقم التليفون

• عنوان

• معلومات بطاقة الائتمان

• رقم الضمان الاجتماعي

إن تغيير و/أو التحقق من أن هذه المعلومات آمنة بعد انتهاك الخصوصية يمكن أن يكون مكلفًا أو مستهلكًا للوقت أو كليهما. نوصيك بالعمل حسب الأولوية، بناءً على المعلومات التي تم الكشف عنها، والتحقق مرة أخرى مع الشركة، إما عبر الهاتف أو على موقعها على الويب، للحصول على التحديثات الأمنية المتعلقة بالانتهاك.

2. قم بتحديث أي بيانات اعتماد تم كشفها
إذا كنت تعتقد أن عنوان بريدك الإلكتروني أو كلمة المرور الخاصة بك قد تم كشفها، سواء بشكل جماعي أو فردي، فيجب عليك تغييرها على الفور. إذا قمت بإعادة استخدام كلمة المرور الخاصة بك على مواقع متعددة في الماضي.

3. احصل على المصادقة الثنائية
ضاعف أمانك عبر الإنترنت من خلال الاشتراك في 'المصادقة الثنائية' two-factor authentication حيثما يتوافر هذا الخيار. يُشار إليها أحيانًا باسم 'التحقق من خطوتين 'أو 2FA' '، وتعد مستوى إضافيًا من الأمان لحساباتك عبر الإنترنت والتي تتطلب منك إدخال جزء إضافي من معلومات التعريف.

4. مراقبة جميع حساباتك
في السنوات الأخيرة، أصبح المهاجمون متقدمين جدًا في أساليبهم. يمكن التحقق بسهولة من مجموعة واحدة من بيانات الاعتماد المكشوفة عبر العديد من مواقع الويب المختلفة وصفحات الوسائط الاجتماعية والاشتراكات/العضويات. إذا تم تكرار أي من كلمات المرور الخاصة بك عبر الأنظمة الأساسية، فيمكن لمجرمي الإنترنت الوصول بسرعة إلى معلومات الملف الشخصي التي تكشف المزيد عنك، مثل عناوين البريد الإلكتروني الشخصية وأرقام الهواتف وحتى العنوان الفعلي.

5. حماية خصوصيتك المالية
إذا تم تسريب معلومات الدفع كجزء من خرق البيانات، فيجب عليك أن تطلب من مزود بطاقتك قفل بطاقاتك أو إيقافها مؤقتًا على الفور وإرسال بطاقة بديلة إليك. لمنع حدوث عمليات شراء جديدة باستخدام رقم البطاقة المسربة، وسيكون للبطاقة البديلة رقم جديد مخصص لها، مما يسمح لك بمتابعة مشترياتك العادية.

كيفية منع اختراقات البيانات في المستقبل
نظرًا لأن مجرمي الإنترنت أصبحوا أكثر تقدمًا، فإن العواقب المترتبة على سرقة القليل من المعلومات عنك أصبحت أكثر خطورة. حتى باستخدام عنوان البريد الإلكتروني أو كلمة المرور، تتمكن الجهات الفاعلة الضارة، في بعض الحالات، من العثور على بيانات أكثر حساسية وفعالية في وقت قصير جدًا. بالإضافة إلى ذلك، فإن اختراقات بيانات الشركات الكبيرة ليست هي الطريقة الوحيدة التي يمكن أن يتم بها كشف معلوماتك. تحدث اختراقات البيانات بشكل متساوٍ في الأماكن العامة عادةً عبر اتصالات Wi-Fi غير المحمية أو في مكان العمل (غالبًا نتيجة لضعف تدريب موظفي الأمن السيبراني).

لذا، يعد اتخاذ خطوات استباقية لحماية معلوماتك الشخصية أمرًا ضروريًا، وهذا يعني إعداد مجموعة من خدمات المراقبة وبرامج مكافحة الفيروسات بحيث تتمتع أجهزتك وشبكتك وحساباتك بطبقة إضافية من الأمان ضد المهاجمين. وبالمثل، هناك العديد من الخطوات التي يمكن لأي مستخدم اتخاذها لتقليل فرصة اختراق البيانات الشخصية. يوجد فيما يلي دليلنا المفصل لمنع تسرب البيانات من أجهزتك الشخصية أو أجهزتك الخاصة بالعمل.

• كلمات مرور قوية وMFA.

• حافظ على تحديث برامجك.

• قم بعمل نسخة احتياطية لبياناتك بانتظام.

• قم بتحديث دفتر عناوين البريد الإلكتروني الخاص بك.

• استخدم عناوين URL الآمنة.

• قم بمراجعة عناصر التحكم في الوصول الخاصة بك.

• تثقيف وتدريب الموظفين على أفضل الممارسات.

• كلمات مرور قوية وMFA
كما ذكرنا سابقًا، يبدأ الأمن السيبراني الجيد بكلمة مرور قوية يتم تغييرها بانتظام (كل 3 إلى 6 أشهر). تتكون كلمة المرور القوية عادةً من 8 أحرف على الأقل (نوصي باستخدام 10 إلى 12 حرفًا). وينبغي أن يكون ذلك مزيجًا من الحروف والأرقام والرموز (إذا كان مسموحًا بها). لا تقم مطلقًا بتضمين معلومات شخصية في كلمات المرور الخاصة بك، مثل أسماء والديك أو أطفالك أو حيواناتك الأليفة أو حتى تاريخ ميلادك. يبحث مجرمو الإنترنت عن هذا النوع المحدد من المعلومات بين حسابات الوسائط الاجتماعية الخاصة بك أثناء محاولتهم فرض كلمة المرور الخاصة بك. حتى أن البعض لديهم تطبيقات خاصة تتيح لهم الجمع بين الكلمات الرئيسة المتعلقة بحياتك والتواريخ المهمة في حياتك لمحاولة تخمين كلمة المرور الخاصة بك. تذكر، حاول عدم استخدام نفس كلمة المرور لحسابات متعددة. يجب أن يكون لديك مجموعة من كلمات المرور المختلفة التي تستخدمها. وبالمثل، يجب عليك الاشتراك في سياسات أمان المصادقة الثنائية عند عرضها. نوصي أيضًا باستخدام مدير كلمات المرور لتخزين كلمات مرورك المختلفة.

• حافظ على تحديث برامجك
في كثير من الأحيان، ستوفر الشركات الكبيرة تصحيحات وتغييرات أمنية أساسية عبر تحديثات البرامج. ولهذا السبب من المهم الحفاظ على تحديث جميع برامج العمل والبرامج الشخصية الخاصة بك والتأكد من أنك تستخدم أحدث إصدار من البرنامج لمنع كشف أي ثغرات استغلال ضعيفة. نوصي بتمكين كافة التحديثات التلقائية للبرامج كلما أمكن ذلك.

• قم بعمل نسخة احتياطية لبياناتك بانتظام
من أجل منع الفقدان الدائم للبيانات والمعلومات المهمة، نوصي بالحصول على نسخة احتياطية من بياناتك الشخصية، إما الاحتفاظ بها في محرك أقراص خارجي أو تخزينها بشكل آمن خارج الموقع. إن النسخ الاحتياطي لبياناتك بانتظام يعني أنه لا يلزم تخزين معلوماتك باستمرار على جهازك وسيظل من الممكن الوصول إلى أي شيء مفقود بعد الاختراق الأولي.

• قم بتحديث دفتر عناوين البريد الإلكتروني الخاص بك
سواء كنت تعمل في مكتب أو من المنزل أو تعمل بشكل مستقل أثناء التنقل، فمن الحكمة دائمًا أن تطلب من عملائك إخطارك إذا قاموا بتغيير عنوانهم أو تفاصيل الاتصال الأخرى. وبالمثل، يجب عليك أن تسألهم بشكل دوري عما إذا كانوا قد واجهوا أي انتهاكات شخصية. سيمنع كلا الإجراءين الجهات الفاعلة الضارة من الوصول إلى معلوماتك من خلال سرقة هوية زميل/عميل أو عملية احتيال تصيدية.

• استخدم عناوين URL الآمنة
يعد هذا جزءًا أساسيًا لجميع المستخدمين. إذا تلقيت رابطًا من زميل أو مصدر خارجي، فافتح فقط عناوين URL التي تبدأ بـ HTTPS. وبالمثل، عند زيارة مواقع الويب عبر الإنترنت، من المهم أن تكون موثوقًا بها، وغالبًا ما يُشار إليها بقفل على يسار شريط البحث في المتصفح الخاص بك.

• قم بمراجعة عناصر التحكم في الوصول الخاصة بك
إذا كنت قلقًا بشأن الخروقات الأمنية على جهاز الكمبيوتر الخاص بالعمل، فتحدث مع قسم تكنولوجيا المعلومات لديك حول تشديد ضوابط الوصول لديك.

• تثقيف وتدريب الموظفين على أفضل الممارسات
إن حماية البيانات ليست مسؤولية قسم تكنولوجيا المعلومات لديك فقط، بل تتحمل أنت وزملاؤك المسؤولية. لهذا السبب، يجب عليك البقاء على اطلاع دائم بالتدريب على الأمن السيبراني لمؤسستك والحصول على الموارد المناسبة في حالة حدوث اختراق. يجب أن يتضمن ذلك أفضل الممارسات المتعلقة بإرسال المعلومات الشخصية عبر البريد الإلكتروني واصطلاحات التسمية الصحيحة للمستندات بحيث يمكن إنشاء مسار ورقي رقمي بسهولة. اطلب من قسم تكنولوجيا المعلومات أو مديرك الحصول على خطة الاستجابة وتأكد من الإبلاغ عن أي هجوم أو محاولة مشتبه بها على الفور.

للأسف، أصبحت اختراقات البيانات شائعة إلى حد ما في عالمنا الرقمي الحديث. يتم تخزين الكثير من معلوماتنا الشخصية ومشاركتها عبر الإنترنت، وغالبًا ما يكون ذلك مع شركات لا نعرف عنها سوى القليل. لذا، في المرة القادمة التي تتسوق فيها عبر الإنترنت أو تتساءل عن الاشتراك في خدمة رقمية جديدة أو الاشتراك في موقع ويب جديد، يجب أن تفكر مليًا قبل إعادة استخدام كلمة المرور أو مشاركة معلوماتك الأكثر خصوصية.