Vulnerability and Risk Management

เมื่อวันที่ 17 กรกฎาคมที่ผ่านมาทาง Oracle ออกแพตช์อุตช่องกว่า 334 รายการในหลายสิบผลิตภัณฑ์ โดยระดับความรุนแรงสูงสุดอยู่ 9.8  ซึ่งถือว่าร้ายแรงมาก นอกจากนี้นักวิจัยด้านความมั่นคงปลอดภัยยังแนะนำให้ผู้ใช้รีบอัปเดตเพื่อป้องกันการโจมตีที่อาจจะเกิดขึ้นได้ในอนาคต

นักวิจัยจากมหาวิทยาลัย Virginia Tech, มหาวิทยาลัย Electronic Science และ Technology of China และทีมวิจัยของ Microsoft ได้ร่วมกันค้นพบวิธีการโจมตีแบบ GPS Spoofing ที่ทดสอบแล้วว่าสามารถใช้ได้ผลจริงกับระบบนำทางบนถนน

GitHub ได้ออกมาประกาศรองรับการตรวจสอบช่องโหว่ที่ปรากฏบนโค้ดภาษา Python เรียบร้อยแล้ว

หลังจากที่ Google ได้ออกมาเปิดเผยถึงความสามารถใหม่บน Google Chrome 67 เพื่อช่วยป้องกันการโจมตีช่องโหว่ Spectre บนเครื่องของผู้ใช้งานนั้น ก็มีรายงานออกมาว่าความสามารถนี้อาจกิน RAM มากขึ้นอีก 10% ถึง 13% เลยทีเดียว

แฮ็กเกอร์เร่ขายเอกสารของกองทัพหลายรายการที่แฮ็กเข้าไปได้เนื่องจากมีการใช้ Default Password กับบริการ FTP โดยเอกสารที่ได้มา เช่น คอร์สสำหรับ MQ-9 Reaper Drone ที่ใช้อยู่ในกองทัพสหรัฐ, เอกสารสอนเทคนิคการติดตั้งการประกอบระเบิด ( improvised explosive device) , เอกสารการฝึกทหารและหมวดรถถัง เป็นต้น

Microsoft ได้เพิ่มอัปเดตลิสต์ไฟล์อันตรายภายในเอกสาร Office 365 สำหรับไฟล์ ‘.SettingContent-ms’ ซึ่งพบว่าผู้ร้ายสามารถนำไปใช้เพื่อทำให้เกิด Remote Code Execution ได้และก่อนหน้านี้เคยมีการประยุกต์ใช้งานวิธีการนี้ไปบ้างแล้ว

2 นักวิจัยด้านความมั่นคงปลอดภัย ออกมาแจ้งเตือนถึงช่องโหว่ Spectre (CVE-2017-5753) แบบใหม่ โดยตั้งชื่อว่า Spectre 1.1 และ Spectre 1.2 ซึ่งตอนนี้ยังไม่มีแพตช์สำหรับอุดช่องโหว่ ในขณะที่ Intel มอบเงินรางวัล $100,000 (ประมาณ 3,300,000 บาท) ให้กับคนทั้งสองที่ช่วยค้นหาช่องโหว่ให้

Adobe ได้ประกาศออก Patch อุดช่องโหว่กว่า 112 รายการในผลิตภัณฑ์์ของตนเอง แนะนำให้ผู้ใช้งานทำการอัปเดตโดยเร็วเพราะมีช่องโหว่ที่มีความเสี่ยงจะถูกเจาะอยู่เป็นจำนวนมากอยู่บน Adobe Acrobat และ Adobe Reader

Microsoft ได้ประกาศออก Patch สำหรับเดือนกรกฎาคม 2018 แล้วอย่างเป็นทางการ โดยในครั้งนี้มีช่องโหว่ที่ถูกอุดด้วยกัน 53 รายการ ซึ่ง 17 รายการในนั้นถือเป็นช่องโหว่ที่มีความรุนแรงระดับสูงสุด

Polar หนึ่งในเจ้าผลิตภัณฑ์กลุ่มการออกกำลังกายได้สั่งระงับฟีเจอร์ที่ถูกเปิดเผยโดยผู้สื่อข่าวจาก DeCorrespodent และทีมสืบสวนออนไลน์ Bellingcat ว่าแอปพลิเคชันของ Polar มีช่องโหว่ที่อนุญาตให้ใครก็ตามสามารถเข้าถึงฟีเจอร์ Explore หรือ Activity Map ได้ โดยแผนที่ดังกล่าวมีข้อมูลของผู้ใช้ในอดีต เช่น เส้นทางการวิ่ง การปั่นจักรยาน รวมถึงข้อมูลสำคัญอย่าง Username ของบัญชีใช้งาน อัตราการเต้นของหัวใจ และภาวะทางร่างกายอื่นๆ

Google ได้ออกแพตช์ช่องโหว่ของเดือนกรกฏาคม โดยมีช่องโหว่หลายรายการถูกจัดอยู่ในระดับ ‘ร้ายแรง’ ซึ่งสามารถทำให้เกิด Remote Code Execution ได้ การประกาศแพตช์มี 2 รอบด้วยกันคือของวันที่ 1 และ 5 กรกฏาคม

เมื่อสัปดาห์ที่แล้วทาง VMware ได้แจ้งลูกค้าว่ามีการแพตช์อุตช่องโหว่หลายรายการในผลิตภัณฑ์ต่างๆ  ซึ่งช่องโหว่สามารถนำไปสู่การเกิด DoS ได้ หรือเผยถึงข้อมูลใน ESXi, Workstation และ Fusion ดังนั้นแนะนำให้ผู้ดูแลควรอัปเดตแพตช์

Zerodium นักจัดหาช่องโหว่ของซอฟต์แวร์รายใหญ่ เปิดข้อเสนอใหม่ พร้อมจ่ายรางวัลสูงถึง $500,000 (ประมาณ 17 ล้านบาท) ให้แก่ผู้ที่รายงานช่องโหว่ Zero-day บน Unix-based OS เช่น OpenBSD, FreeBSD, NetBSD รวมไปถึงระบบปฏิบัติการ Linux อย่าง Ubuntu, CentOS, Debian และ Tails

Mozilla ได้ออกแพตช์อุดช่องโหว่ให้ผลิตภัณฑ์ Firefox ESR (Expand support release) เวอร์ชัน 52.9 และ 60.1 รวมถึง Firefox 61 โดยมีระดับความร้ายแรงสูงจำนวน 4 รายการ 

หลังจากที่ Cisco ได้ออกมาประกาศถึงเตือนช่องโหว่ใน Advisory ของตนได้ไม่กี่วัน เหล่าแฮ็กเกอร์ก็เริ่มประยุกต์ใช้งานช่องโหว่ที่สามารถทำให้อุปกรณ์ทำงานผิดพลาดหรือได้รับข้อมูลของอุปกรณ์ได้