တရုတ်ဟက်ကာများက လတ်တလောပစ်မှတ်ထားတိုက်ခိုက်နေသည့် ထိပ်တန်းအားနည်းချက်များစာရင်းကို NSA က ထုတ်ပြန်ခဲ့

Image
Image: ZDNet, Tanguy Keryhuel, Martin Vorel

       အမေရိကန်အမျိုးသားလုံခြုံရေးအေဂျင်စီသည် တရုတ်နိုင်ငံအစိုးရမှ ထောက်ပံ့ပေးသည့် ဟက်ကာအဖွဲ့များက လတ်တလောတွင် ဆက်တိုက်လေ့လာစစ်ဆေးကာ ပစ်မှတ်ထား တိုက်ခိုက်နေသည့် ထိပ်တန်း အားနည်းချက် ၂၅ ခု၏ အသေးစိတ်လေ့လာတင်ပြချက်တစ်ခုကို ယနေ့ ထုတ်ပြန်လိုက်သည်။

       လုံခြုံရေးအားနည်းချက် ၂၅ ခုလုံးသည် လူသိများပြီး၊ ၎င်းရောင်းချသူများထံမှ Patch ဖာထေးပြင်ဆင်မှုများကိုလည်း ရရှိနိုင်ကာ ထည့်သွင်း install လုပ်ရန်အတွက် အသင့်ရှိပြီး ဖြစ်ပါသည်။

       အားနည်းချက်များစွာကို ထိုးဖောက်တိုက်ခိုက်ရန် အသုံးချနည်းလမ်းများအား အများသူငါ သိရှိရယူနိုင်သည်။ အချို့မှာ Ransomware ဂိုဏ်းများ၏ လက်နက်တိုက်များ၊ Low Level အဖျက်အမှောင့် အဖွဲ့များနှင့် အခြားနိုင်ငံများမှ nation-state actor များ (ဥပမာ- ရုရှားနှင့် အီရန်)နှင့် ပူးပေါင်းမှုများရှိသည့်အတွက် တရုတ်ဟက်ကာများထက်ပို၍ ထိုးဖောက်ဝင်ရောက်ခြင်း ခံရသည်။

     

Image: ZDNet, Tanguy Keryhuel, Martin Vorel

    

 “အောက်မှာဖော်ပြထားတဲ့ စာရင်းထဲက အားနည်းချက်အများစုဟာ အင်တာနက်ကနေ တိုက်ရိုက်ရနိုင်တဲ့ ထုတ်ကုန်တွေကို သုံးရင်း တိုက်ခိုက်ခံရသူရဲ့ကွန်ယက်ကို စတင်ဝင်ရောက် နိုင်ပြီး internal ကွန်ယက်ရဲ့ Gateways အနေဖြင့်လုပ်ဆောင်သွားနိုင်စေရန်အတွက် ထိုးဖောက်တိုက်ခိုက်နိုင် ပါတယ်”ဟု ယနေ့တွင် NSA က ပြောကြားသည်။

       အောက်ဖော်ပြပါ အားနည်းချက်များအတွက် စနစ်များကို ပြင်ဆင်ရန် အမေရိကန် အများပိုင်နှင့် ပုဂ္ဂလိကကဏ္ဍရှိ အဖွဲ့အစည်းများအား အမေရိကန်ဆိုက်ဘာလုံခြုံရေးအေဂျင်စီက တိုက်တွန်း သည်။ ၎င်းတို့မှာ -

၁) CVE-2019-11510 - Pulse Secure VPN ဆာဗာများတွင် arbitrary file ဖတ်ရာ၌ အားနည်းချက်ဖြစ်ပေါ်စေရန်အတွက် အတည်ပြုထားခြင်းမရှိသော အဝေးမှ တိုက်ခိုက်သူက အထူးပြုလုပ်ထားသည့် URI ကိုပေးပို့နိုင်သည်။ ၎င်းသည် Keys သို့မဟုတ် password များကို ဖော်ထုတ်နိုင်သည်။

၂) CVE-2020-5902 - F5 BIG-IP proxy များနှင့် load balancer များတွင် Configuration utility ဟုလည်း ခေါ်ဆိုသည့် Traffic Management User Interface (TMUI) သည် BIG-IP device တစ်ခုလုံးအား အဝေးမှ တိုက်ခိုက်သူက သိမ်းပိုက်သွားနိုင်မည့် Remote Code Execution (RCE) အားနည်းချက်ကို ဖြစ်ပေါ်စေသည်။

၃) CVE-2019-19781 - Citrix Application Delivery Controller (ADC) နှင့် Gateway စနစ်များသည် တိုက်ခိုက်သူက စက်အတွက် မှန်ကန်သော အထောက်အထားများကို ပိုင်ဆိုင်စရာ မလိုဘဲ အဝေးမှ ထိန်းချုပ်စေခိုင်းနိုင်သည့် directory traversal အားနည်းချက်ဖြစ်ပေါ်စေသည်။ Citrix စနစ်များကို လွှဲပြောင်းယူရန်အတွက် ဤ ပြဿနာနှစ်ခုသည် ဆက်စပ်မှုဖြစ်နိုင်သည်။

၄+၅+၆) CVE-2020-8193, CVE-2020-8195, CVE-2020-8196 - အခြား Citrix ADC နှင့် Gateway မှာ bug များ။ ဤအချက်သည် SDWAN WAN-OP စနစ်ကိုပါ ထိခိုက်နိုင်သည်။ အဆိုပါ ပြစ်ချက် (၃)ခုသည် URL endpoints  အချို့အား အတည်ပြုချက်မရှိဘဲ ဝင်ရောက်ခြင်းနှင့် အခွင့်အာဏာ နိမ့်ပါးသော အသုံးပြုသူများအား သတင်းအချက်အလက် ဖွင့်ချခြင်းတို့ကို ခွင့်ပြုသည်။

၇) CVE-2019-0708 (aka BlueKeep) - Windows operating system ရှိ Remote Desktop Services အတွင်း၌ အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ်စေခိုင်းနိုင်သော အားနည်းချက်ရှိသည်။

၈) CVE-2020-15505 - MobileIron Device Management (MDM) ဆော့ဝဲတွင် တိုက်ခိုက်သူက အဝေးမှ aribitrary code ကို အလုပ်လုပ်စေခြင်းဖြင့် အဝေးရှိ ကုမ္ပဏီဆာဗာများကို လွှဲပြောင်းရယူစေနိုင်သည့် remote code execution အားနည်းချက်ရှိသည်။

၉) CVE-2020-1350 (aka SIGRed) - တောင်းဆိုမှု request များကို မှန်ကန်စွာ ကိုင်တွယ်ရန် ပျက်ကွက်သောအခါ Windows ဒိုမိန်းအမည်စနစ်ဆာဗာများတွင် remote code execution အားနည်းချက် ရှိသည်။

၁၀) CVE-2020-1472 (aka Netlogon) - တိုက်ခိုက်သူတစ်ဦးသည် Netlogon Remote Protocol (MS-NRPC) ကို အသုံးပြု၍ ဒိုမိန်းထိန်းချုပ်သူနှင့် အားနည်းချက်ရှိသော Netlogon Secure Channel ဆက်သွယ်မှုကို တည်ဆောက်သောအခါ အခွင့်အာဏာမြှင့်တင်သည့် အားနည်းချက် ဖြစ်ပေါ်သည်။

၁၁) CVE-2019-1040 - man-in-the-middle attacker သည် NTLM MIC (Message Integrity Check) ကာကွယ်မှုကို ကျော်လွှားနိုင်သည့်အခါ Microsoft Windows တွင် ပြုပြင်စမ်းသပ်နိုင်သည့် အားနည်းချက် တည်ရှိသည်။

၁၂) CVE-2018-6789 - Exim mail transfer agent သို့ handcrafted message ပို့ခြင်းဖြင့် buffer overflow ကို ဖြစ်ပေါ်စေနိုင်သည်။ ၎င်းကို code ဖြင့် အဝေးမှထိန်းချုပ်ရန်နှင့် အီးမေးလ်ဆာဗာ များကို လွှဲပြောင်းယူရန်အသုံးပြုနိုင်သည်။

၁၃) CVE-2020-0688 - Memory ထဲရှိ object များကို မှန်ကန်စွာ ကိုင်တွယ်ခြင်းမရှိသည့်အခါ Microsoft Exchange ဆော့ဝဲလ်တွင် အဝေးမှ ကုတ်ဖြင့် စေခိုင်းထိန်းချုပ်နိုင်သည့်  အားနည်းချက်ရှိသည်။

၁၄) CVE-2018-4939 - အချို့သော Adobe ColdFusion ဗားရှင်းများတွင် စိတ်မချရသော အချက်အလက် Deserialization ကို ဝင်ရောက်တိုက်ခိုက်နိုင်သည့် အားနည်းချက်ရှိပါသည်။ ဝင်ရောက်တိုက်ခိုက်မှု အောင်မြင်ပါက arbitraty code execution ကို ပြုလုပ်နိုင်မည်ဖြစ်သည်။

၁၅) CVE-2015-4852 - Oracle WebLogic 15 ဆာဗာရှိ WLS လုံခြုံရေးအပိုင်းသည် တီထွင်ထားသော serialized Java object မှတစ်ဆင့် တိုက်ခိုက်သူများအား arbitrary command များကို အဝေးမှ စေခိုင်းနိုင်ရန် ခွင့်ပြုသည်။

၁၆) CVE-2020-2555 - Oracle Fusion Middleware ၏ Oracle Coherence ထုတ်ကုန်တွင် အားနည်းချက်ရှိနေသည်။ ဤအလွယ်တကူ ထိုးဖောက်ဝင်ရောက်နိုင်သည့် အားနည်းချက်သည် အတည်ပြုချက်မရှိသော တိုက်ခိုက်သူအား Oracle Coherence စနစ်များကို T3 မှတစ်ဆင့် ကွန်ယက်ချိတ်ဆက်ရယူခွင့်ပြုသည်။

၁၇) CVE-2019-3396 - Atlassian Confluence 17 Server ရှိ Widget Connector macro သည် အဝေးမှ တိုက်ခိုက်သူများအား Server-side template injection မှတဆင့် Confluence Server သို့မဟုတ် Data Center instance တွင် Path traversal နှင့် အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ်လုပ်ကိုင်စေသည့် remote code execution ကို လုပ်ဆောင်ရန် ခွင့်ပြုသည်။

18) CVE-2019-11580 - Atlassian Crowd သို့မဟုတ် Crowd Data Center instance သို့ တောင်းဆိုမှုများအား ပေးပို့နိုင်သော တိုက်ခိုက်သူများသည် အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ်စေရန် ခွင့်ပြုပေးနိုင်သည့် arbitrary plugins ကို ထည့်သွင်းရန် ဤအားနည်းချက်ကို အသုံးချနိုင်သည်။

၁၉) CVE-2020-10189 - စိတ်မချရသောဒေတာများကို ဖျက်သိမ်းခြင်းကြောင့် Zoho ManageEngine Desktop Central သည် အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ်စေရန် ခွင့်ပြုပေးနိုင်သည်။

၂၀) CVE-2019-18935 - ASP.NET AJAX အတွက် Progress Telerik UI တွင် .NET deserialization အားနည်းချက်ရှိသည်။ ထိုးဖောက်ဝင်ရောက်ခြင်းဖြင့် အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ်ခိုင်းစေနိုင်မည် ဖြစ်သည်။

၂၁) CVE-2020-0601 (aka CurveBall) - Windows CryptoAPI (Crypt32.dll)က Elliptic Curve Cryptography (ECC) အသိအမှတ်ပြုလက်မှတ်များအား အတည်ပြုရာတွင် လှည့်ဖျားမှု Spoofing အားနည်းချက် တည်ရှိသည်။ တိုက်ခိုက်သူသည် spoofed code-signing certificate လှည့်ဖျားထားသော ကုတ်ဖြင့် ထုတ်ထားသော လက်မှတ်ကို အသုံးပြု၍ အန္တရာယ်ရှိနိုင်သော executable ကို လက်မှတ်ထိုးရန်၊ ယုံကြည်စိတ်ချရသော တရားဝင်ရင်းမြစ်မှ ဖြစ်ပေါ်လာသည့် ဖိုင်ဟု ထင်မြင်စေရန်ပြုလုပ်ကာ ဤအားနည်းချက်ကို ထိုးဖောက်ဝင်ရောက်နိုင်သည်။

၂၂) CVE-2019-0803 - Win32k အစိတ်အပိုင်းသည် မှတ်ဉာဏ်ထဲရှိ object များကို စနစ်တကျ ကိုင်တွယ်ရန် ပျက်ကွက်သောအခါ အခွင့်အာဏာမြှင့်တင်နိုင်သည့် အားနည်းချက်တစ်ခု Windows တွင် ရှိသည်။

၂၃) CVE-2017-6327 - Symantec Messaging Gateway သည် အဝေးမှ ကုတ်ဖြင့် ထိန်းချုပ် ခိုင်းစေနိုင်သည့် ပြဿနာကို ကြုံတွေ့နိုင်သည်။

၂၄) CVE-2020-3118 - Cisco IOS XR ဆော့ဝဲလ်အတွက် Cisco Discovery Protocol အကောင်အထည်ဖော်မှုရှိ အားနည်းချက်တစ်ခုသည် စစ်မှန်ကြောင်းသက်သေပြခြင်းမရှိဘဲ နီးစပ်ရာ တိုက်ခိုက်သူကို arbitrary code ကို အလုပ်လုပ်စေခြင်း သို့မဟုတ် တိုက်ခိုက်ခံရသော စက်ကို ပြန်ဖွင့်ခြင်းများကို ပြုလုပ်နိုင်သည်။

၂၅) CVE-2020-8515 - DrayTek Vigor ထုတ်ကုန်များသည် shell metacharacters မှတဆင့် စစ်မှန်ကြောင်းအတည်ပြုခြင်းမရှိဘဲ root အဖြစ် အဝေးမှ ကုဒ်ဖြင့် စေခိုင်းထိန်းချုပ်ခြင်းကို ခွင့်ပြုပေးသည်။