Application Security

เชิญร่วมงาน Red Team and Blue Team Collaboration in Bangkok โดยงานนี้เป็นความร่วมมือของคนในวงการ IT Security ที่มีประสบการณ์จริงในสายความมั่นคงปลอดภัยทั้งเชิงรุกและเชิงรับ มาร่วมแชร์ประสบการณ์และ Demo Showcase: Threat Scenarios In-dept Analysis ซึ่งได้รับการสนับสนุนจากหลากหลายหน่วยงานทั้งในไทยและต่างประเทศ ร่วมกันจัดงานในครั้งนี้

เมื่อวันที่ 11 กันยายน 2018 ผู้ให้บริการซอฟต์แวร์ ERP รายใหญ่อย่าง SAP ได้ปล่อยแพตช์ด้านความมั่นคงปลอดภัยประกอบด้วยการอุตช่องโหว่ 13 รายการ ซึ่งประกอบด้วยช่องโหว่ความร้ายแรงสูงถึง 8.8 จำนวน 2 รายการที่เกิดในผลิตภัณฑ์ Business One (เวอร์ชัน 9.2 , 9.3) และ NetWeaver BI (เวอร์ชัน 7.30, 7.31, 7.40, 7.41, 7.50)

Microsoft ได้ทำการปล่อยแพตช์ประจำเดือนและเป็นไปตามคาดคือแก้ไข Zero-day ที่เกี่ยวกับ Task Scheduler APLC ซึ่งเริ่มมีการประยุกต์ใช้งานจริงแล้วในกลุ่มแฮ็กเกอร์ นอกจากนี้ยังมีการแก้ไขช่องโหว่ร้ายแรงอีกกว่า 17 รายการที่ส่งผลกระทบกับผลิตภัณฑ์อย่าง IE, .Net Framework, Microsoft Edge, Microsoft Office และอื่นๆ ดังนั้นแนะนำผู้ใช้ควรรีบอัปเดตด่วน

นักวิจัยที่ใช้นามแฝงบนทวิตเตอร์ว่า Privacy 1st และ Patrick Wardle แห่ง Objective-see ได้ร่วมกันสังเกตและตรวจสอบพบพฤติกรรมของแอปพลิเคชันยอดนิยมที่ชื่อ Adware Doctor และพบว่ามีการแอบเก็บข้อมูลการใช้งาน Browser ไม่ว่าจะเป็น Chrome, Safari หรือ Firefox รวมถึงลิสต์รายชื่อโปรเซสที่กำลังใช้งานและข้อมูลประวัติการค้นหาใน Apple Store ส่งกลับไปยังเซิร์ฟเวอร์ที่ถูกควบคุมมาจากจีน ทั้งนี้ Adware Doctor มีผู้รีวิวกว่า 7 พันคนและได้รับคะแนนความประทับใจในระดับ 4.8 ดาว

Cisco Talos ทีมนักวิจัยด้าน Threat Intelligence ของ Cisco ออกมาแจ้งเตือนถึงช่องโหว่หลายรายการบน Wireshark ซอฟต์แวร์วิเคราะห์ Packet และแก้ปัญหาระบบเครือข่ายแบบ Open-source ซึ่งเสี่ยงถูกทำให้เกิดเงื่อนไข Denial of Service (DoS) จนระบบล่มได้ แนะนำให้ผู้ให้รีบอัปเดตแพตช์ล่าสุดโดยเร็ว

Facebook ได้ประกาศว่าได้หยุดแอปพลิเคชันกว่า 4 ร้อยไว้ก่อนเพื่อสืบสวนถึงการใช้งานข้อมูลส่วนบุคคล โดยนาย Archibong ผู้ดำรงตำแหน่งรองประธานพันธมิตรของผลิตภัณฑ์กล่าวถึงเรื่องแอปพลิเคชันที่ถูกหยุดไว้ว่า “เป็นความกังวลเกี่ยวกับนักพัฒนาที่สร้างแอปขึ้นหรือวิธีการที่ผู้คนเลือกแชร์ข้อมูลกับแอปอาจถูกนำไปใช้“

นาย Tavis Ormandy นักวิจัยจาก Google Project Zero ได้ค้นพบช่องโหว่ใหม่บน Ghostscript หรือตัว Intepreter ของ Adobe PostScript (เป็นภาษาที่ใช้ในการปริ้นต์เอกสารแต่สามารถประยุกต์ใช้สร้างรูปภาพได้) และภาษา PDF Page Description โดย Ghostscript มีอยู่ในหลายร้อยชุดซอฟต์แวร์ รวมถึงไลบรารี่ของโค้ดด้วยเพื่ออนุญาตให้ซอฟต์แวร์ของทั้งเดสก์ท็อปและเว็บเซิร์ฟเวอร์สามารถจัดการ PostScript และเอกสาร PDF ได้ เช่น ถูกใช้ในการแก้ไขเอกสารหรือดู PDF ต่างๆ เป็นต้น

Adobe ได้อัปเดตแพตช์เพื่ออุตช่องโหว่ใน Photoshop CC บน macOS และ Windows เพื่อแก้ไขช่องโหว่ระดับร้ายแรงจำนวน 2 รายการที่่ส่งผลกระทบให้เกิด Remote Code Execution ได้

เมื่อวันอังคารที่ผ่านมา SAP เจ้าของผลิตภัณฑ์ ERP รายใหญ่ได้ออกแพตช์อุตช่องโหว่ด้านความมั่นคงปลอดภัยกว่า 27 รายการ อย่างไรก็ตามในแพตช์ชุดนี้ไม่มีช่องโหว่ระดับร้ายแรง

ทีมนักวิจัยจาก Check Point ได้สาธิตวิธีการโจมตีใหม่บน Android ที่ให้ชื่อว่า ‘Man-in-the-disk’ ซึ่งสามารถทำให้แอปพลิเคชัน Third-party สามารถเข้าไปดูและแก้ไขข้อมูลของแอปพลิเคชันอื่นที่มีการใช้พื้นที่บน External Storage ได้นำไปสู่การทำให้แอปพลิเคชันนั้นทำงานผิดพลาดหรือรันโค้ดอันตราย

ระบบ ERP ถือเป็นระบบหลักและมีความสำคัญกับบริษัทอย่างมากจึงตกเป็นเป้าหมายของแฮ็กเกอร์ ไม่ว่าจะเป็นแอปพลิเคชันแบบ Cloud และ On-premise ก็ล้วนตกเป็นเป้าไม่ต่างกันเพราะแฮ็กเกอร์ก็ได้พัฒนาวิธีการและเทคนิคใหม่เพื่อสู้กับระบบการป้องกันแบบเดิม เช่น การบริการจัดการตัวตนและการแบ่งหน้าที่กัน วันนี้เราจึงได้เลือกบทความจาก SecurityWeek ที่นำเสนอวิธีการลดความเสี่ยงของการโจมตีเหล่านี้มาให้ได้อ่านกัน

อีกไม่นานผู้ดูแล G Suite จะติดตามกิจกรรมต้องสงสัยในการใช้งานของผู้ใช้งานได้แล้ว อีกทั้งยังสามารถตั้งค่าเพื่อรับการแจ้งเตือนเมื่อพบกิจกรรมสุ่มเสี่ยงอีกด้วย

ปัจจุบันวิธีการพัฒนาแอปพลิเคชันเปลี่ยนโฉมไปมากโดยการใช้ประโยชน์จาก API เพื่อตอบโจทย์ความรวดเร็วและแยกการบริหารจัดการเป็นส่วนๆ ซึ่งกลายมาเป็นดาบสองคมที่แฮ็กเกอร์ใช้ความซับซ้อนที่เพิ่มขึ้นตรงนี้เข้ามา เราจึงได้พบบทความที่จะนำเสนอถึงคำถามที่ว่าจะป้องกันความมั่นคงปลอดภัยของ API อย่างไรไม่ให้รบกวนประโยชน์ของการใช้งานสรุปมาให้อ่านกัน

กลายเป็นประเด็นร้อนแรงอย่างต่อเนื่องเมื่อกระทรวงกลาโหมสหรัฐได้ประกาศกับสื่อเมื่อวันศุกร์ที่ผ่านมาว่ากำลังทำลิสต์รายชื่อของบริษัทที่ใช้ซอฟต์แวร์จากจีนและรัสเซียเพื่อทำการไม่สนับสนุนการซื้อขายกับบริษัทเหล่านี้ โดยทางแพนตากอนได้ตั้งรายชื่อลิสต์ตั้งแต่หกเดือนที่แล้วและแจกให้กับตัวแทนของรัฐบาลแต่ไม่ได้บังคับใช้หรือปฏิบัติอย่างเป็นทางการ

AdGuard ผู้ให้บริการแพลตฟอร์มการบล็อกโฆษณาได้เผยถึง Extension บน Chrome และ Firefox และแอปพลิเคชันทั้ง iOS และ Android ที่แอบเก็บข้อมูลส่วนบุคคลของผู้ใช้งานด้วยเทคนิคที่หลากหลาย อย่างไรก็ตาม AdGuard ชี้ว่าเบื้องหลังของแอปพลิเคชันและ Extension เหล่านี้มาจากบริษัทที่ชื่อ Big Star Labs

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) ออกโรงเตือนให้ระวังการโจมตีที่อาจจะเกิดขึ้นกับระบบ ERP จากกลุ่มแฮ็กเกอร์ต่างๆ โดยอ้างอิงจากรายงานร่วมระหว่างสองผู้เชี่ยวชาญด้านข้อมูลภัยคุกคาม (Threat Intelligence) จาก Digital Shadows และ Onapsis ซึ่งได้สำรวจข้อมูลในกลุ่มความสนใจของแฮ็กเกอร์ในแหล่งใต้ดินหรือจำนวนของช่องโหว่ของ ERP ที่เพิ่มขึ้นในหลายปีหลัง