Vulnerability and Risk Management

Google ได้ออกแพตช์ช่องโหว่ของเดือนกรกฏาคม โดยมีช่องโหว่หลายรายการถูกจัดอยู่ในระดับ ‘ร้ายแรง’ ซึ่งสามารถทำให้เกิด Remote Code Execution ได้ การประกาศแพตช์มี 2 รอบด้วยกันคือของวันที่ 1 และ 5 กรกฏาคม

เมื่อสัปดาห์ที่แล้วทาง VMware ได้แจ้งลูกค้าว่ามีการแพตช์อุตช่องโหว่หลายรายการในผลิตภัณฑ์ต่างๆ  ซึ่งช่องโหว่สามารถนำไปสู่การเกิด DoS ได้ หรือเผยถึงข้อมูลใน ESXi, Workstation และ Fusion ดังนั้นแนะนำให้ผู้ดูแลควรอัปเดตแพตช์

Zerodium นักจัดหาช่องโหว่ของซอฟต์แวร์รายใหญ่ เปิดข้อเสนอใหม่ พร้อมจ่ายรางวัลสูงถึง $500,000 (ประมาณ 17 ล้านบาท) ให้แก่ผู้ที่รายงานช่องโหว่ Zero-day บน Unix-based OS เช่น OpenBSD, FreeBSD, NetBSD รวมไปถึงระบบปฏิบัติการ Linux อย่าง Ubuntu, CentOS, Debian และ Tails

Mozilla ได้ออกแพตช์อุดช่องโหว่ให้ผลิตภัณฑ์ Firefox ESR (Expand support release) เวอร์ชัน 52.9 และ 60.1 รวมถึง Firefox 61 โดยมีระดับความร้ายแรงสูงจำนวน 4 รายการ 

หลังจากที่ Cisco ได้ออกมาประกาศถึงเตือนช่องโหว่ใน Advisory ของตนได้ไม่กี่วัน เหล่าแฮ็กเกอร์ก็เริ่มประยุกต์ใช้งานช่องโหว่ที่สามารถทำให้อุปกรณ์ทำงานผิดพลาดหรือได้รับข้อมูลของอุปกรณ์ได้

นาย John Bergbom นักวิจัยด้านความมั่นคงปลอดภัยจาก Forcepoint ได้ออกมาเตือนว่าตาม Roadmap ของ WebAssembly จะเพิ่มการทำงานสำหรับ Thread ด้วยการ Share memory ซึ่งจะทำให้สามารถสร้าง Timer ที่มีความแม่นยำและขัดแย้งกับวิธีการแก้ไขปัญหา Meltdown และ Spectre ใน Browser ที่พยายามลดความเที่ยงตรงของ Timer 

Jake Archibald นักวิจัยและนักพัฒนาจาก Google ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงสูงบนเว็บเบราว์เซอร์สมัยใหม่อย่าง Microsoft Edge และ Mozilla Firefox ซึ่งช่วยให้เว็บไซต์ที่ผู้ใช้เข้าถึงสามารถขโมยข้อมูลจากเว็บไซต์อื่นๆ เช่น ข้อมูลล็อกอิน ที่เปิดใช้บนเบราว์เซอร์เดียวกันได้

Cisco ผู้ให้บริการโซลูชันด้านเครือข่ายและ Data Center ชื่อดัง ออก Security Advisories สำหรับให้คำแนะนำการจัดการกับช่องโหว่บนซอฟต์แวร์ FXOS และ NX-OS รวม 24 รายการ ซึ่ง 5 รายการนั้นเป็นช่องโหว่ความรุนแรงระดับ Critical ซึ่งช่วยให้แฮ็กเกอร์โจมตีแบบ Remote Code Execution หรือ DoS ได้โดยไม่ต้องพิสูจน์ตัวตน

OpenBSD ประกาศวันนี้ว่ามีแผนยกเลิกการรองรับการทำงานแบบ Hyper-Threading ของชิปประมวลผล Intel เพื่อแก้ปัญหาด้านความมั่นคงปลอดภัยเพราะเชื่อว่าอาจจะมี Bug ระดับ Spectre โผล่ตามมาอีก

McAfee ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยแบบบูรณาการ ออกมาแจ้งเตือนถึงช่องโหว่บนซอฟต์แวร์ Cortana ผู้ช่วยอัจฉริยะบน Windows 10 ซึ่งช่วยให้แฮ็กเกอร์สามารถปลดล็อกเข้าใช้งานระบบปฏิบัติการและลอบรันโค้ดแปลกปลอมได้

มีการค้นพบช่องโหว่ใหม่บน Intel Core และ Intel Xeon ที่ผู้โจมตีสามารถเข้าถึงกุญแจที่ใช้เข้ารหัสซึ่งจัดเก็บอยู่บน CPU ได้ โดยถึงแม้ช่องโหว่นี้จะไม่กระทบกับระบบปฏิบัติการล่าสุดอย่าง Linux 4.9 หรือ Windows Server 2016 แต่ช่องโหว่นี้ก็กระทบกับ Linux รุ่นก่อนหน้าหรือ Windows Server 2008

ผ่านมา 6 เดือนแล้วที่ช่องโหว่ Meltdown และ Spectre ถูกค้นพบและเริ่มมีออกแพตช์เพื่อแก้ไขปัญหาเรื่อยมา จนกระทั่งมี Variant ใหม่ๆ ออกมาให้แพตช์แล้วแพตช์อีก ทำให้หลายคนอาจเกิดความสับสนว่า สรุปแล้วช่องโหว่ใดบ้างที่แพตช์เรียบร้อยแล้ว แพตช์ใดที่ต้องอาศัยผู้ใช้ในการดำเนินการเอง และช่องโหว่ใดที่ยังคงมีปัญหาอยู่ Microsoft จัดได้จัดทำตารางสรุปง่ายๆ ให้ได้อ่านกันครับ

Microsoft ประกาศออกแพตช์ด้านความมั่นคงปลอดภัยประจำเดือนมิถุนายน 2018 ล่าสุดบนระบบปฏิบัติการ Windows อุดช่องโหว่รวมทั้งสิ้น 50 รายการ ทั้งบน Windows OS, Internet Explorer, Microsoft Edge, ChakraCore JavaScript Engine และ Microsoft Office และ Microsoft Office Services

VMware ออกมาแจ้งเตือนถึงช่องโหว่ Remote Code Execution บน VMware AirWatch ที่ได้รับรหัส CVE-2018-6968 และมีความรุนแรงระดับสูงสุด พร้อมเตือนให้ผู้ใช้งานทำการอัปเดตเพื่อแก้ไขช่องโหว่นี้ทันที