Vulnerability and Risk Management

Mateusz Jurczyk นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ได้สาธิตการค้นพบช่องโหว่กับสมาร์ทโฟนจาก Samsung ซึ่งรองรับมาตั้งแต่ปี 2014 โดยปัจจุบันได้มีการแพตช์แล้ว จึงขอให้ผู้ใช้งานเร่งอัปเดต

เมื่อไม่กี่วันก่อนเกิดเหตุการณ์ที่แฮ็กเกอร์โจมตีเซิร์ฟเวอร์ของ LineageOS หรือระบบปฏิบัติการสำหรับมือถือแบบโอเพ่นซอร์สที่ต่อยอดมาจากแอนดรอยด์ โดยสาเหตุเพราะมีช่องโหว่จากส่วนประกอบที่ไม่ได้รับการแพตช์

Adobe ได้ออก Advisory เกี่ยวกับช่องโหว่ร้ายแรงจำนวนมากและช่องโหว่อื่นๆ บนผลิตภัณฑ์ Illustrator, Bridge และ Magento จึงแนะนำให้ผู้ใช้งานเร่งอัปเดต

ผู้เชี่ยวชาญจาก CyberArk ได้สาธิตการโจมตีเพื่อขโมยบัญชีของผู้ใช้งาน Microsoft Teams เพียงแค่หลอกให้เหยื่อเปิดลิงก์หรือภาพเคลื่อนไหว (GIF)

Microsoft ได้ออกแพตช์นอกกำหนดการเพื่อแก้ไขช่องโหว่ที่สืบเนื่องจากการรองรับไลบรารีจาก Autodesk ที่เพิ่งพบช่องโหว่หลายรายการไปเมื่อสัปดาห์ก่อน

Sophos ได้รับแจ้งจากลูกค้าว่ามีความผิดปกติบนหน้า Management UI ซึ่งต่อมาพบว่าคนร้ายได้ใช้ช่องโหว่ SQL Injection เข้ามาโจมตี จึงได้ออกแพตช์และแนะนำวิธีป้องกันตัว

NSA และ Australian Signals Directorate (ASD) ได้ร่วมกันออกรายงานเพื่อช่วยผู้ดูแลองค์กรตรวจสอบและจัดการภัยคุกคามของ Web Shell

Pedro Ribeiro ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจาก Agile Information Security ได้ออกมาเปิดเผยรายละเอียดของ 4 ช่องโหว่บนผลิตภัณฑ์ IBM Data Risk Manager หลังแจ้งต่อบริษัทแต่กลับไม่ได้รับความสนใจ

ทีมนักวิจัยจากเยอรมันจาก Horst Görtz Institute for IT Security และ Max Planck Institute for Security and Privacy ได้ร่วมกันเผยแพร่ผลงานการค้นพบช่องโหว่ที่สามารถทำให้เข้าไปโปรแกรมชิปจาก Xilinx ในทางอันตรายได้

Microsoft ได้ประกาศแพตช์ประจำเดือนเมษายน โดยมีการแก้ไขช่องโหว่กว่า 113 รายการ โดยไฮไลต์คือช่องโหว่ Zero-day 3 รายการซึ่ง 2 รายการพบการใช้โจมตีแล้ว

VMware ได้ออกแพตช์ช่องโหว่ระดับร้ายแรงใน vCenter Server พร้อมทั้งมีคำแจ้งเตือนจาก CISA ว่าให้รีบอัปเดตเพราะกังวลว่าอาจจถูกแฮ็กเกอร์โจมตีได้

ผู้เชี่ยวชาญจาก Rapid7 ได้ออกมาเตือนผู้ดูแลระบบ Exchange Server ให้เร่งอัปเดตแพตช์ช่องโหว่ร้ายแรงในเดือนกุมภาพันธ์ที่ผ่านมา หลังจากสแกนพบว่า 80% ของเซิร์ฟเวอร์ที่มีช่องโหว่ยังไม่ได้รับการแพตช์

Firefox เพิ่งจะมีการอัปเดตแพตช์ 2 ช่องโหว่ Zero-day เป็นการด่วน เนื่องจากพบว่ามีคนร้ายเริ่มใช้งานแล้ว

ช่วงนี้ Zoom ค่อนข้างจะได้รับการกล่าวถึงเป็นพิเศษทั้งในแง่ของ Privacy และ Security โดยมีข่าวอีกประเด็นที่ผู้เชี่ยวชาญพบว่าสามารถลอบขโมย Windows Credentials ได้

สำหรับธุรกิจองค์กรที่ถึงแม้จะมีแผนใช้นโยบาย Work from Home แต่ก็ไม่ต้องการลดระดับการตรวจสอบช่องโหว่และประเด็นด้านความมั่นคงปลอดภัย Tenable ได้ให้เปิดให้ลูกค้าที่ใช้งานผลิตภัณฑ์ของตนเองสามารถใช้งาน Tenable.io ซึ่งเป็นบริการ Cloud ได้ฟรี เพื่อให้ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยยังคงสามารถตรวจสอบช่องโหว่ต่างๆ ได้แม้จะทำงานจากที่บ้านก็ตาม โดยมีเงื่อนไขดังต่อไปนี้

HPE ได้ออกแพตช์ Bug ที่เกิดขึ้นใน Firmware ของ SAS SSD ซึ่งอาจทำให้ไดร์ฟพังเมื่อทำงานไปครบ 40,000 ชั่วโมงหรือ 4 ปี กับอีก 206 วัน และไม่สามารถกู้คืนข้อมูลได้