Vulnerability and Risk Management

Vulnerability Management, Vulnerability Assessment, Risk Management, Risk Assessment

SUSE ออก Patch แก้ช่องโหว่ Meltdown และ Spectre แล้ว

SUSE ได้ออกมาเผยถึง Patch ล่าสุดสำหรับแก้ปัญหาช่องโหว่ Meltdown และ Spectre ที่กำลังโด่งดังอันเนื่องมาจากการออกแบบ CPU ที่ไม่รัดกุมด้าน Security เรียบร้อย พร้อมรายงานช่องโหว่ทั้งหมด 3 รายการดังนี้

Read More »

Google แพตซ์อุตช่องโหว่ ‘ร้ายแรง’ หลายรายการบน Android ผู้ใช้ควรอัปเดต

Google ได้ออกแพตซ์ด้านความมั่นคงปลอดภัยเมื่อวันที่ 1 และ 5 มกราคม จำนวน 38 รายการ โดยมีช่องโหว่ที่ถูกจัดอยู่ในระดับร้ายแรงจำนวน 5 รายการ ซึ่งเกือบทั้งหมดของ Bug ดังกล่าวสามารถทำให้เกิด Remote Code Execution ได้ โดยส่วนที่เหลือของ Bug ที่เกิดขึ้นถูกจัดอยู่ในความเสี่ยงระดับสูงสามารถทำให้เกิดการปฏิเสธการให้บริการและการยกระดับสิทธิ์

Read More »

Google เผยเป็นผู้ค้นพบช่องโหว่บน Intel ชี้กระทบ AMD, ARM ด้วย มี Android Patch แล้ว

Google ได้ออกมาเขียน Blog ชี้แจงถึงปัญหาใหญ่ในฐานะของผู้ค้นพบช่องโหว่ที่กำลังเป็นประเด็นของ Intel จากการที่ The Register เริ่มเอามาตีแผ่ ซึ่งยังไม่มีรายละเอียดมากนักและ Patch อาจทำให้ CPU ทำงานช้าลงได้ โดยทีม Google Project Zero ได้อธิบายปัญหาคร่าวๆ พร้อมผลกระทบเอาไว้กระจ่างพอสมควร ดังนี้

Read More »

Google ออกรายงานช่องโหว่ Meltdown และ Spectre คาดกระทบ CPU Intel หลังปี 1995 ทั้งหมด

Google ได้ออกรายงานถึงรายละเอียดของ 2 ช่องโหว่ที่ชื่อว่า Meltdown และ Spectre โดย Bug ทั้ง 2 ตัวนี้สามารถทำให้เกิดการขโมยข้อมูลที่กำลังถูกประมวลผลบนคอมพิวเตอร์ ซึ่งข้อมูลนั้นประกอบด้วย รหัสผ่านที่ถูกเก็บอยู่ในตัวบริหารจัดการหรือ Browser รูปภาพส่วนตัว อีเมล ข้อความต่างๆ และเอกสารสำคัญทางธุรกิจ เป็นต้น

Read More »

VMware ออกแพตซ์แก้ไขช่องโหว่ ‘Spectre’ ความร้ายแรงระดับ Important บน ESXi, Workstation และ Fusion

ก่อนหน้านี้ VMware ได้ออกแพตซ์แก้ไขช่องโหว่ร้ายแรงบน vSphere Data Protection ไปแล้ว ในขณะเดียวกันก็ได้ประกาศออกแพตซ์อีกจำนวน 2 รายการซึ่งถูกจัดอยู่ในระดับ “Important” โดยผลิตภัณฑ์ของ VMware ที่ได้รับผลกระทบนี้ประกอบไปด้วย ESXi, Workstation และ Fusion

Read More »

พบช่องโหว่ร้ายแรงบน phpMyAdmin เสี่ยงฐานข้อมูลถูกโจมตี

Ashutosh Barot นักวิจัยด้านความมั่นคงปลอดภัยจากอินเดีย ออกมาแจ้งเตือนถึงช่องโหว่ Cross-site Request Forgery (CSRF) บน PhpMyAdmin เวอร์ชัน 4.7.x ซึ่งช่วยให้แฮ็กเกอร์สามารถสั่งการระบบฐานข้อมูลได้จากระยะไกล เพียงแค่หลอกให้ผู้ดูแลระบบกดคลิกลิงค์เท่านั้น

Read More »

VMware ออกแพตซ์แก้ไขช่องโหว่ ‘ร้ายแรง’ บน vSphere Data Protection

VMware ได้ออกแพตซ์แก้ไขช่องโหว่บน vSphere Data Protection หรือ VDP (โซลูชัน Backup และ Recovery) จำนวน 3 รายการและถูกจัดอยู่ในระดับร้ายแรง ซึ่งหนึ่งในช่องโหว่ดังกล่าวสามารถทำให้ผู้โจมตีจากภายนอกสามารถเข้าควบคุมระบบได้ทันที โดย VDP เวอร์ชัน 6.1.x, 6.0.x และ 5.x ได้รับผลกระทบจากช่องโหว่ครั้งนี้ 

Read More »

พบช่องโหว่ Trackmageddon ส่งผลกับบริการติดตามของ Smart Device จำนวนมาก

Vangelis Stykas และ Michael Gruhn นักวิจัยด้านความมั่นคงปลอดภัยได้ออกรายงานเกี่ยวกับช่องโหว่ที่ชื่อว่า ‘Trackmageddon’ ซึ่งส่งผลกระทบกับบริการติดตาม Location และ GPS หลายแห่ง โดยผู้โจมตีสามารถใช้ช่องโหว่เหล่านี้เพื่อได้รับข้อมูล เช่น พิกัด GPS, เบอร์โทรศัพท์, ข้อมูลอุปกรณ์เลข IMIE หรือ Serial Number หรือ Mac Address และข้อมูลอื่นๆ ขึ้นอยู่กับการตั้งค่าของอุปกรณ์ว่าส่งอะไรไปบ้าง

Read More »

พบช่องโหว่ Security ใน CPU Intel กระทบทุก OS และ Patch อาจทำให้ CPU ช้าลง 5-30%

มีการค้นพบช่องโหว่ด้าน Security บน CPU x86 ของ Intel ในระดับของการออกแบบชิปที่ไม่สามารถแก้ในระดับ Microcode ได้ ส่งผลกระทบให้ทั้ง Windows และ Linux ต้องเริ่มทำการทดสอบ Patch ในระดับระบบปฏิบัติการแล้ว และคาดว่าจะกระทบกับ macOS ด้วย โดย Patch ใหม่เพื่อเพิ่มความมั่นคงปลอดภัยนี้อาจทำให้ CPU ทำงานช้าลง 5-30% เลยทีเดียว

Read More »

พบช่องโหว่ Zero Day บน macOS ปรากฎมานาน 15 ปี เปิดให้ผู้โจมตีมีสิทธิ์ Root ได้

นักวิจัยด้าน Security ที่ใช้นามแฝงว่า Siguza ได้ออกมาเผยถึงช่องโหว่ Zero Day บน macOS ที่คาดว่าน่าจะปรากฎอยู่บนระบบปฏิบัติดังกล่าวและก่อนหน้าเป็นเวลาอย่างน้อย 15 ปี ซึ่งเปิดให้ผู้โจมตีสามารถยกระดับสิทธิ์ของตนเองเป็น Root ได้

Read More »

DHS เริ่มทดลองตรวจสอบแอปพลิเคชันด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย

กระทรวงความมั่นคงแห่งมาตุภูมิแห่งสหรัฐอเมริกา หรือ DHS ได้เริ่มต้นทดลองโปรแกรมเพื่อตรวจสอบแอปพลิเคชันร้องขอความช่วยเหลือจากบุคคลที่เกิดเหตุวิกฤต (First Responder) บน Android และ iOS ในด้านความเป็นส่วนตัวและความมั่นคงปลอดภัย โดย 33 แอปพลิเคชันจาก 20 นักพัฒนาถูกตรวจสอบในโปรแกรมเริ่มต้นครั้งนี้ 

Read More »

8 แนวโน้มภัยคุกคามและความมั่นคงปลอดภัยในปี 2018 โดย Forcepoint

Forcepoint ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยไซเบอร์แบบครบวงจร ออกรายงานแนวโน้มภัยคุกคามและการคาดการณ์ด้านความมั่นคงปลอดภัยที่จะเกิดขึ้นในปี 2018 โดยอาศัยการวิเคราะห์ข้อมูลจาก Forcepoint Security Labs ที่คอยเฝ้าระวังและเก็บข้อมูลภัยคุกคามจากทั่วทุกมุมโลก

Read More »

Mozilla ออกแพตซ์อุตช่องโหว่ความเสี่ยงระดับสูงใน Thunderbird หลายรายการ

Mozilla ได้ออกแพตซ์แก้ไขช่องโหว่ความเสี่ยงระดับ Critical และ High หลายรายการบน Thunderbird หรืออีเมลไคลเอนต์ไอเพ่นซอร์สในเวอร์ชัน 52.5.2 ซึ่งตัวโปรแกรมเองได้ให้บริการ รายงานข่าว (RSS feed) และใช้แชทได้ด้วย โดยช่องโหว่สามารถทำให้โปรแกรมเกิดทำงานผิดพลาด อีกทั้งยังมีช่องโหว่ที่ส่งผลกระทบกับส่วน RSS และอีเมลเช่นกัน

Read More »

พบช่องโหว่ส่งผลกระทบอุปกรณ์ IoT หลายแสนชิ้นทั่วโลก

นักวิจัยด้านความมั่นคงปลอดภัยจากบริษัทสัญชาติออสเตรเลีย (Elttam) ได้พบช่องโหว่ซึ่งทำให้เกิด Remote Code Execution ได้ในแพ็กเกจของเว็บเซิร์ฟเวอร์จากบริษัท GoAhead ผู้ให้บริการ Embedded เว็บเซิร์ฟเวอร์สำหรับอุปกรณ์และมีบริษัทแม่คือ Embedthis Software ประเทศสหรัฐอเมริกา  โดย Embedthis อ้างว่าผลิตภัณฑ์ของตนถูกนำไปใช้กับผู้ผลิตอุปกรณ์รายใหญ่อย่าง Comcast, Oracle, D-Link, ZTE, HP, Siemens, Canon และเจ้าอื่นๆ

Read More »

อีกครั้ง! ระบบจดจำใบหน้าของ Window 10 สามารถใช้รูปภาพแทนได้

นักวิจัยจาก SySS  GmbH บริษัทที่ให้บริการทดสอบเจาะระบบจากเยอรมันพบว่าฟีเจอร์ Window Hello ที่ใช้เพื่อพิสูจน์ตัวตนใน Window 10 มีข้อบกพร่องโดยสามารถใช้เพียงรูปคุณภาพต่ำแทนหน้าคนจริงได้ นี่ไม่ใช่ครั้งแรกเพราะเมื่อต้นเดือนที่ผ่านมา Window 10 ก็ได้แพตซ์ช่องโหว่ลักษณะนี้ไปแล้วครั้งหนึ่ง

Read More »

VMware ออกแพตซ์อุดช่องโหว่ Code Execution หลายรายการผู้ใช้งานควรอัปเดต

VMware ได้ออกแพตซ์อัปเดตสำหรับ ESXi, vCenter Server Appliance (vCSA), Workstation และ Fusion เพื่อปัญหาช่องโหว่ทั้งหมด 4 รายการหนึ่งในนั้นสามารถทำให้เกิด Code Execution ได้

Read More »

พบช่องโหว่การเชื่อมต่อ Office 365 และ Azure AD เสี่ยงโดเมนถูกแฮ็ก

ทีมนักวิจัยด้านความมั่นคงปลอดภัยจาก Preempt ออกมาแจ้งเตือนถึงช่องโหว่เมื่อทำการเชื่อมต่อ Microsoft Office 365 กับ Active Directory Domain Services (AD DS) โดยใช้ซอฟต์แวร์ Azure AD Connect ซึ่งช่วยใช้ผู้ใช้ธรรมดาสามารถยกระดับสิทธิ์ตัวเองขึ้นเป็น Admin แบบลับๆ ได้

Read More »

Microsoft แพตซ์อุตช่องโหว่ร้ายแรง 34 รายการแนะผู้ใช้ควรอัปเดต

Microsoft ออกแพตซ์แก้ไขช่องโหว่ประจำเดือนธันวาคมจำนวน 34 รายการ โดยแบ่งเป็นการแก้ไขช่องโหว่ระดับความเสี่ยงสูงถึง 20 รายการและ อีก 12 รายการอยู่ในระดับสำคัญ โดยผลิตภัณฑ์ที่ได้รับผลกระทบคือ IE, Microsoft Edge, Windows, Office, SharePoint และ Exchange

Read More »

Microsoft กล่าวว่าการรั่วไหลของ ERP Private Key มีความเสี่ยงเพียงเล็กน้อย

กว่า 100 วันแล้วที่ Microsoft พยายามแก้ไขปัญหาที่เกี่ยวข้องกับการใช้งาน Digital Certificate ใบเดียวกันในการติดตั้ง Dynamics 365 หรือผลิตภัณฑ์ ERP ของตนแต่บริษัทกลับบอกว่าปัญหาที่เกิดมีความเสี่ยงเพียงเล็กน้อยเท่านั้น 

Read More »

วิธีตรวจสอบ Keylogger บน Keyboard ของโน๊ตบุ๊ค HP ด้วยตัวเอง

เนื่องจากสัปดาห์ก่อนมีข่าวว่าพบ Keylogger บน Synaptic Keyboard Driver ของ HP ซึ่งมีโน๊ตบุ๊คที่ได้รับผลกระทบว่า 400 รุ่น (ข่าวสารต่างประเทศ และจาก TechTalkThai) วันนี้จึงได้เลือกสรุปข่าวที่ช่วยให้ผู้ใช้ HP สามารถตรวจสอบปัญหาดังกล่าวด้วยตัวเองและอัปเดตให้ปลอดภัยต่อไป

Read More »