Vulnerability and Risk Management

ในงาน DEF CON 26 นักวิจัยด้าน Security จาก Check Point ได้ออกมาเล่าถึงการค้นพบการโจมตีที่มีชื่อว่า Faxploit ซึ่งอาศัยช่องโหว่บน Fax Protocol อย่าง ITU T.30 ซึ่งสามารถใช้เจาะระบบเครือข่ายขององค์กรได้ทันทีเพียงแค่ทราบเบอร์ Fax ของเป้าหมาย

ผู้เชี่ยวชาญจาก Threatcare และ IBM X-Force ได้ผนึกกำลังกันเพื่อศึกษาช่องโหว่ในเทคโนโลยีของ Smart City ที่อาจเปิดโอกาสให้แฮ็กเกอร์สร้างความโกลาหล ซึ่งจากการศึกษาผู้เล่นในเทคโนโลยี 3 บริษัทคือ Echelon, Libelium และ Battelle พบว่ามีช่องโหว่กว่า 17 รายการในผลิตภัณฑ์ 4 ประเภท โดยเป็นช่องโหว่ร้ายแรงจำนวน 8 รายการ

ในวันที่ผ่านมานี้ได้ปรากฎช่องโหว่ที่มีชื่อว่า SegmentSmack ซึ่งได้รับรหัส CVE-2018-5390 และเป็นช่องโหว่ที่สามารถทำ DoS ใส่ระบบ Linux Kernel หลากหลายรุ่นจน CPU ทำงานหนักจนไม่สามารถตอบสนองใดๆ ได้ ด้วยการส่ง TCP Packet เข้าไปโจมตีเท่านั้น ทำให้เหล่าผู้พัฒนาระบบปฏิบัติการ Linux, ผู้ให้บริการ Cloud และผู้ผลิตอุปกรณ์ IT ที่ใช้งาน Linux นั้นต่างต้องเร่งอุดช่องโหว่ดังกล่าวกันทุกราย

HP ได้ออกแพตช์แก้ไขช่องโหว่ระดับร้ายแรงจำนวน 2 รายการใน Inkjet Printer ที่อาจนำไปสู่การทำ Remote Code Execution ดังนั้นแนะผู้ใช้ควรอัปเดตป้องกัน

ในงาน Black Hat USA 2018 ที่กำลังจัดขึ้นอยู่นี้ ทาง IBM ได้ออกมาเผยถึงแผนของ IBM X-Force Red Lab ที่จะเปิดตัวเพิ่มขึ้นอีก 4 แห่งทั่วโลก เพื่อทำการค้นหาช่องโหว่ของระบบต่างๆ อย่างเช่น Internet of Things (IoT), ตู้ ATM และระบบอื่นๆ เพื่อให้เหล่าผู้พัฒนาเทคโนโลยีและองค์กรที่ใช้งานสามารถเสริมความมั่นคงปลอดภัยได้ดีขึ้นในอนาคต

นักวิจัยด้าน Security หลายรายได้ออกมาเปิดเผยถึงการค้นพบแคมเปญการโจมตีแบบ Cryptojacking ที่มีเป้าหมายคือ MikroTik Router จำนวนมากกว่า 200,000 เครื่องทั่วโลก เพื่อใช้แทรก Cryptocurrency Mining Script เข้าไปในเว็บไซต์ของผู้ใช้งานที่เชื่อมต่อ Internet ผ่าน MikroTik

Ziyahan Albeniz นักวิจัยด้านความมั่นคงปลอดภัยจาก Netsparker ได้ค้นพบช่องโหว่บนกลไก Same-Origin Policy (การป้องกันไม่ให้ผู้โจมตีโหลดโค้ดอันตรายจากลิงก์ที่ไม่ได้มาจากโดเมนเดียวกัน) ของบราวเซอร์ Edge ซึ่งนักวิจัยได้สาธิตการโจมตีว่าสามารถนำไปสู่การขโมยไฟล์ภายในเครื่องเหยื่อได้

ทีมนักวิจัยจาก Cyberbit ผู้ให้บริการแพลต์ฟอร์มด้านการตอบสนองเหตุการณ์ที่ไม่คาดคิดได้ทดลองศึกษาจนพบว่าผู้โจมตีสามารถรันไฟล์อันตรายได้ผ่านทางเทคนิค Component Object Model (COM) Hijacking หรือมักนิยมในการโจมตีแบบ Persistant เพื่อหลีกเลี่ยงการตรวจจับ

Check Point ผู้ให้บริการโซลูชันความมั่นคงปลอดภัยรายใหญ่ได้ค้นพบแคมเปญการแพร่โฆษณาแฝงอันตรายหรือ Malvertising โดยคาดว่าเบื้องหลังคือกลุ่มปฏิบัติการที่ชื่อ Master134 ได้ทำการแพร่กระจายทราฟฟิคอันตรายผ่านเครือข่ายโฆษณา (ad network)

พบการโจมตีช่องโหว่บน Oracle WebLogic Server ที่ไม่ได้ทำการอัปเดตแพตช์ด้านความมั่นคงปลอดภัยล่าสุด หลังมีนักวิจัยด้านความมั่นคงปลอดภัยหลายรายเปิดเผยโค้ด PoC สำหรับเจาะช่องโหว่ดังกล่าว เสี่ยงถูกแฮ็กเกอร์เข้าควบคุมระบบ Server แม้ไม่รู้รหัสผ่านได้

Apache Software Foundation (ASF) ออกมาแจ้งเตือนถึงช่องโหว่หลายรายการบน Apache Tomcat หนึ่งในนั้นคือช่องโหว่ความรุนแรงระดับ Important ที่ช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูลสำคัญจากระยะไกลได้ แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์โดยเร็ว

นักวิจัยจากสถาบันเทคโนโลยีของอิสราเอลได้ค้นพบช่องโหว่ร้ายแรงในระดับ Implementation ของ Bluetooth (การนำมาตรฐานไปปฏิบัติตามเพื่อใช้งาน) โดยช่องโหว่นี้เกิดจากที่อุปกรณ์ Bluetooth ไม่สามารถตรวจสอบความถูกต้องของพารามิเตอร์ในการเข้ารหัสได้ดีพอ ทำให้แฮ็กเกอร์สามารถได้รับ Encryption Key ของอุปกรณ์ที่ทำการ Pairing ดังนั้นแฮ็กเกอร์จึงสามารถเข้าจัดการข้อมูลที่กำลังแลกเปลี่ยนกันอยู่ของคู่อุปกรณ์ได้

Software Park Thailand ร่วม ACIS Professional Center ขอเชิญผู้ที่สนใจเข้าร่วมงานสัมมนา Cyber Leadership Forum 2018 (CLF2018) เพื่อเปิดมุมมองวิวัฒนาการทางเทคโนโลยีนับจากอดีต ปัจจุบัน อนาคต เพื่อสร้างความพร้อมต่อการเปลี่ยนแปลงที่กำลังจะมาถึงซึ่งจะพลิกโฉมโลกใบนี้ โดยการสัมมนาจะโฟกัสที่ 5 เทคโนโลยีหลัก คือ Blockchain, Big Data Analytics, AI & ML, IoT และ Cybersecurity & Privacy ที่จัดว่าเป็น Digital Disruption Technologies ผู้ที่สนใจรีบลงสมัครโดยด่วน !!

Cisco ออกแพตช์จำนวน 25 รายการ โดยหนึ่งในช่องโหว่ที่ได้รับการแก้ไขในแพตช์นี้คือรหัสผ่านที่ไม่เคยระบุในเอกสารของซอฟต์แวร์ Cisco Policy Suite หรือซอฟต์แวร์ที่เป็น Framework เพื่อสร้าง Rule ให้ฝั่ง Business Logic นำไปใช้ เช่น เราเตอร์ เกตเวย์ มือถือ และ WiFi ซึ่งมักขายให้กับ ISP หรือองค์กรใหญ่ๆ ที่อนุญาตให้ผู้ดูแลใช้ Policy คุมการใช้งาน Bandwidth หรือแผน Subscription เพื่อใช้งานกับลูกค้าหรือพนักงาน

ทาง Deloitte ได้ออกเอกสารแนะนำภาพรวมด้าน IT Risk สำหรับเหล่าธุรกิจการเงินโดยเฉพาะ พร้อมระบุประเด็นต่างๆ ที่เหล่าผู้บริหารควรให้ความสำคัญ ซึ่งทางผู้อ่าน TechTalkThai ก็ได้ส่งเอกสารฉบับนี้มาให้ทางทีมงาน และทีมงานก็เห็นว่าเป็นประโยชน์ดี จึงขอนำมาเผยแพร่ต่อดังนี้ครับ

เมื่อวันที่ 17 กรกฎาคมที่ผ่านมาทาง Oracle ออกแพตช์อุตช่องกว่า 334 รายการในหลายสิบผลิตภัณฑ์ โดยระดับความรุนแรงสูงสุดอยู่ 9.8  ซึ่งถือว่าร้ายแรงมาก นอกจากนี้นักวิจัยด้านความมั่นคงปลอดภัยยังแนะนำให้ผู้ใช้รีบอัปเดตเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้นได้ในอนาคต

นักวิจัยจากมหาวิทยาลัย Virginia Tech, มหาวิทยาลัย Electronic Science และ Technology of China และทีมวิจัยของ Microsoft ได้ร่วมกันค้นพบวิธีการโจมตีแบบ GPS Spoofing ที่ทดสอบแล้วว่าสามารถใช้ได้ผลจริงกับระบบนำทางบนถนน

GitHub ได้ออกมาประกาศรองรับการตรวจสอบช่องโหว่ที่ปรากฏบนโค้ดภาษา Python เรียบร้อยแล้ว

หลังจากที่ Google ได้ออกมาเปิดเผยถึงความสามารถใหม่บน Google Chrome 67 เพื่อช่วยป้องกันการโจมตีช่องโหว่ Spectre บนเครื่องของผู้ใช้งานนั้น ก็มีรายงานออกมาว่าความสามารถนี้อาจกิน RAM มากขึ้นอีก 10% ถึง 13% เลยทีเดียว