Vulnerability and Risk Management

พูดไปใครจะเชื่อว่าในปี 2021 ยังมีข่าวซอฟต์แวร์ของบริษัทรถยนต์ยักษ์ใหญ่อย่าง Nissan สาขาอเมริกาเหนือจะหลุดเพราะใช้ Credentials เป็น admin และรหัสผ่าน admin

Zyxel ได้ประกาศออกแพตช์ให้อุปกรณ์ Firewall และ Ap Controller ของตนหลังมีการค้นพบบัญชี Backdoor ซึ่งคนร้ายสามารถใช้เพื่อโจมตี SSH หรือ Web UI ได้

HPE ได้เปิดเผยถึงช่องโหว่ zero-day ในซอฟต์แวร์ Systems Insight Manager (SIM) ของตน พร้อมกับออกข้อปฏิบัติเพื่อบรรเทาปัญหา

มีการแจ้งเตือนช่องโหว่ Zero-day ในปลั๊กอินของ WordPress ที่ชื่อ ‘Easy WP SMTP’ ซึ่งนำไปสู่การลอบขโมยบัญชีของแอดมินได้

The Kubernetes Product Security Committee ได้เปิดเผยแนวทางการแก้ไขช่องโหว่ที่คนร้ายสามารถทำ Man-in-the-Middle เพื่อลอบดักจับทราฟฟิกจาก Pod อื่นในการทำ Multi-tenant ได้

สำหรับแพตช์อุดช่องโหว่รายเดือนของ Microsoft ได้มีการประกาศแก้ไขช่องโหว่จำนวน 58 รายการ โดยมีช่องโหว่ร้ายแรง 9 รายการ จึงแนะนำให้ผู้ใช้เร่งอัปเดต

Oskars Vegeris ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยได้เปิดเผยช่องโหว่ RCE บน Microsoft Teams โดยเพียงแค่คนร้ายส่งข้อความแบบพิเศษไปหาเหยื่อเพียงแค่เห็นข้อความ

เมื่อปลายเดือนก่อนเพิ่งมีการประกาศแพตช์บน VMware WorkspaceONE หมายเลขอ้างอิง CVE-2020-4006 ซึ่งล่าสุด NSA ได้ออกโรงเตือนแล้วว่าพบการโจมตีมาระยะหนึ่งแล้ว จึงแนะให้ผู้ใช้เรงอัปเดต

UK National Cyber Security Centre (NCSC) ได้ออกประกาศให้ทุกองค์กรที่ใช้งานโซลูชัน MDM ของ MobileIron เร่งอัปเดตแพตชช์ช่องโหว่ CVE-2020-15505 เพราะพบความพยายามโจมตีจากกลุ่มแฮ็กเกอร์ระดับชาติเพื่อหวังแฮ็กองค์กรทั้งในกลุ่มของ Healthcare, รัฐบาลท้องถิ่น, โลจิสติกส์ และหน่วยงานทางกฏหมาย เป็นต้น

Clément Labro นักวิจัยด้านความมั่งคงปลอดภัยชาวฝรั่งเศสได้ค้นพบช่องโหว่ใหม่บน Windows 7 และ Windows Server 2008 ประเด็นก็คือ OS ทั้งสองหมดการรองรับจาก Microsoft แล้ว ดังนั้นเป็นเรื่องยากมากที่จะได้รับแพตช์แก้ไขโดยตรง

cPanel น่าจะเป็นชื่อที่คุ้นหูกันบ้านในธุรกิจ Web Hosting ซึ่งวันนี้มีการเปิดเผยว่าค้นพบช่องโหว่ที่ช่วยให้คนร้ายสามารถ Bypass การป้องกันของ 2 Factors Authentication ได้

TikTok ได้มอบรางวัลแก่ผู้ค้นพบช่องโหว่ XSS ผ่านแพลฟอตร์มหาบั๊กอย่าง HackerOne โดยร้ายแรงถึงขนาดว่าเหยื่อคลิกทีเดียวก็ถูกยึดบัญชีได้

VMware ได้ออก Workaround ให้กับผู้ใช้งานโซลูชัน Workspace ONE หลังจากพบช่องโหว่ระดับร้ายแรง ซึ่งยังไม่มีแพตช์แก้ไข ณ ขณะนี้

Lennert Wouters นักวิจัยด้านความมั่นคงปลอดภัยทางคอมพิวเตอร์ได้โชว์ผลงานการแฮ็กรถ Tesla Model X ในเวลาเพียงไม่กี่นาที หนำซ้ำอุปกรณ์ที่ใช้งานก็ไม่ได้ลงทุนอะไรมากมายด้วย Raspberry Pi และอุปกรณ์เสริมนิดหน่อย

เมื่อสัปดาห์ก่อนทาง Microsoft ได้แพตช์รายเดือนตามปกติ แต่ล่าสุดได้ประกาศว่าพบปัญหาเกี่ยวข้องกับการพิสูจน์ตัวตนด้วยโปรโตคอล Kerberos เมื่ออัปเดตแพตช์ป้องกันช่องโหว่หมายเลข ‘CVE-2020-17049’