Vulnerability and Risk Management

นักวิจัยด้าน Security จาก Google ได้ค้นพบช่องโหว่ Remote Command Injection บนระบบ DHCP Client ของ Red Hat Linux ที่ส่งผลกระทบต่อ Linux ตระกูลอื่นๆ ที่เกี่ยวข้องอย่างเช่น Fedora ด้วย

Rapid7 ผู้ให้บริการซอฟต์แวร์วิเคราะห์ด้านความมั่นคงปลอดภัยชื่อดัง จัดงานสัมมนา Transforming Data into Answers with Rapid7 พร้อมอัปเดตเทคนิคการบริหารจัดการช่องโหว่ด้านความมั่นคงปลอดภัยและการทำ Incident Response อย่างมีประสิทธิภาพ ในวันพุธที่ 23 พฤษภาคมนี้ ผู้ที่สนใจสามารถลงทะเบียนเข้าร่วมงานได้ฟรี

เมื่อวันจันทร์ที่ผ่านมา Adobe ได้ออกอัปเดตแพตช์อุตช่องโหว่ 47 รายการในผลิตภัณฑ์บน MacOS และ Windows อย่าง Acrobat DC (Consumer และ Classic 2015), Acrobat Reader DC (Consumer และ Classic 2015), Acrobat 2017 และ Acrobat Reader โดยช่องโหว่ร้ายแรงหลายรายการทำให้เกิด Code Execution ได้

Brendan Scarvell นักวิจัยด้าน Security จาก Trustwave ได้ค้นพบช่องโหว่ Cross-Site Scripting (XSS) บน Electron ซึ่งเป็น Framework ชื่อดังที่ Application จำนวนมากเลือกใช้ เช่น Microsoft Skype, Microsoft Visual Studio Code, GitHub Atom, Signal, Twitch, Discord, Basecamp, Slack, Ghost, WordPress และอื่นๆ โดยช่องโหว่นี้อาจนำไปสู่การโจมตี Remote Code Execution (RCE) ได้

หลังจากที่ vpnMentor ได้ค้นพบช่องโหว่บน Dasan เราเตอร์และแจ้งไปยังบริษัทแล้วแต่ไม่มีการตอบสนองใดๆ จากเจ้าของผลิตภัณฑ์จนกระทั่งตอนนี้มีข่าวมัลแวร์ที่หันมาใช้ช่องทางนี้เล่นงานผู้ใช้งานเรียบร้อยแล้ว ซึ่งมีเราเตอร์งานจำนวนมากพร้อมเป็นเหยื่อสังเวยกับเหตุการณ์ในครั้งนี้ โดยสามารถเช็คจากแพลตฟอร์มการค้นหาว่ามีเราเตอร์ตัวไหนได้รับผลกระทบ (เช่น Shodan.io) อย่างไรก็ตามทาง vpnMentor ได้ส่งอีเมลมาหาทางทีมงานว่าพวกเขาได้พัฒนาแพตช์ขึ้นมาในการณ์นี้เพื่อช่วยเหลือผู้ใช้งาน

Outpost24 บริษัทด้านความมั่นคงปลอดภัยจากสวีเดน เผยผลสำรวจจากผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยภายในงานสัมมนา RSA Conference 2018 ที่เพิ่งจัดไป ระบุมีเพียง 47% ของบริษัทเท่านั้นที่อัปเดตแพตช์เพื่ออุดช่องโหว่ทันทีที่ทราบข่าว ในขณะที่ 26% ไม่ดำเนินการใดๆ เนื่องจากไม่มีเวลา

หลังจากที่ vpnMentor ออกมาเปิดเผยถึง 2 ช่องโหว่ความรุนแรงสูงบน GPON Router ของ DASAN Zhone Solutions ที่ผลิตในประเทศเกาหลีใต้เมื่อสัปดาห์ที่ผ่านมา ล่าสุดทีมนักวิจัยจาก Qihoo 330 Netlab ระบุว่าพบ Botnet ไม่น้อยกว่า 5 สายพันธุ์แพร่ระบาด Router เหล่านั้นผ่านช่องโหว่เป็นที่เรียบร้อย

Offensive Security ผู้ให้บริการการทดสอบเจาะระบบคอมพิวเตอร์และฝึกอบรมด้านความมั่นคงปลอดภัยสารสนเทศ ได้ประกาศเปิดตัว Kali Linux 2018.2 แพลตฟอร์มสำหรับทดสอบการเจาะระบบแบบ Open Source เวอร์ชันใหม่ล่าสุด พร้อมให้นักทดสอบเจาะระบบและผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยดาวน์โหลดไปใช้งานแล้ว

7-Zip ซอฟต์แวร์ฟรีสำหรับการทำ Decompression ไฟล์ที่ถูกบีบอัดข้อมูลมานั้น ถูกพบว่ามีช่องโหว่ที่เปิดให้ผู้โจมตีทำ Denial of Service (DoS) หรือ Remote Code Execution (RCE) ได้ ผู้ใช้งานควรอัปเดตโดยด่วน

นับเป็นอีกครั้งที่ทุกระบบปฏิบัติการต้องออก Patch มาอุดช่องโหว่ที่เกิดจาก CPU ของ Intel และ AMD แต่ในครั้งนี้ออกจะประหลาดไปเสียหน่อย เมื่อในเชิงเทคนิค CPU นั้นไม่ได้ทำผิดอะไร แต่เอกสารอธิบายการทำงานของคำสั่งบน CPU นั้นกลับสร้างความสับสน ทำให้เหล่านักพัฒนาตีความผิดไปตามๆ กัน และเกิดเป็นช่องโหว่ทั้งบน Windows, macOS, Linux, FreeBSD, VMware และ Xen

Microsoft ประกาศออกแพทช์ด้านความมั่นคงปลอดภัยประจำเดือนพฤษภาคา 2018 ล่าสุดบนระบบปฏิบัติการ Windows อุดช่องโหว่รวมทั้งสิ้น 67 รายการ ทั้งบน IE, Edge, ChakraCore, .NET Framework, Exchange Server, Windows Host Compute Service Shim, Office และอื่นๆ โดยมี 2 รายการเป็นช่องโหว่ Zero-day

Trou Mursch นักวิจัยด้านความมั่นคงปลอดภัยจากสหรัฐฯ ออกมาแจ้งเตือนถึงแคมเปญ Cryptojacking ซึ่งกำลังพุ่งเป้าเว็บไซต์ที่ใช้ Drupal CMS อยู่ในขณะนี้ โดยลอบฝัง In-browser Miner ผ่านช่องโหว่เพื่อหวังสร้างรายได้เมื่อมีผู้ใช้เข้าชมเว็บดังกล่าว แนะนำให้ผู้ดูแลเว็บไซต์รีบอัปเดตแพตช์โดยด่วน

นิตยสาร c’t ของเยอรมนีได้ออกมาเปิดเผยถึงการรายงานช่องโหว่ที่นักวิจัยด้านความปลอดภัยหลายคนค้นพบบน Intel CPU อีก 8 รายการ และตั้งชื่อให้ว่า Spectre Next Generation (NG) และข้อมูลช่องโหว่เหล่านี้จะถูกเปิดเผยสู่สาธารณะหลังจากวันที่ 7 พฤษภาคม 2018 นี้เป็นต้นไป

Sans Institute ได้ออกมารายงานถึงการโจมตี Oracle WebLogic เพื่อมุ่งเน้นเจาะช่องโหว่ที่ Oracle เพิ่งออก Patch มาเมื่อเดือนเมษายน 2018 ที่ผ่านมา พร้อมทั้งยังหาทางโจมตีเจาะช่องโหว่เว็บไซต์ที่ใช้ Oracle WebLogic ด้วยวิธีการอื่นๆ เพิ่มเติมด้วย

ผู้เชี่ยวชาญจาก vpnMentor ได้ออกมาเผยถึงช่องโหว่บนเราเตอร์ที่ให้บริการอินเทอร์เน็ต Fiber ยี่ห้อ Dasan ที่ผลิตในเกาหลีใต้ โดยช่องโหว่มี 2 รายการและเมื่อผสมผสานการใช้งานอาจทำให้ผู้โจมตีสามารถเข้าควบคุมตัวอุปกรณ์ได้อย่างสมบูรณ์

Tenable บริษัทผู้เชี่ยวชาญด้านการรักษาความมั่นคงปลอดภัยได้ค้นพบช่องโหว่แบบ Remote Code Execution ที่ส่งผลกระทบต่อผลิตภัณฑ์ ICS ของ Schneider อย่าง Indusoft Web Studio v8.1 และเวอร์ชันก่อนหน้า รวมถึง InTouch Machine Edition 2017 v8.1 และเวอร์ชันก่อนหน้า โดยช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถก่อกวนหรือหยุดการปฏิบัติการภายในอุตสาหกรรมที่ใช้งานผลิตภัณฑ์

Ezequiel Fernandez นักวิจัยด้านความมั่นคงปลอดภัยชาวอาเจนติน่าได้ออกเครื่องมือที่สามารถสกัด Credential ที่เป็น Plaintext ของ DVR หลายยี่ห้อออกมาได้และทำให้แฮ็กเกอร์เข้าถึงระบบและหน้าจอดูวีดีโอได้

นักวิจัยจาก Computest บริษัทให้บริการด้านความมั่นคงปลอดสัญชาติเนเธอแลนด์ได้ค้นพบช่องโหว่บนระบบ In-Vehicle infotainment (IVI หรือ ระบบที่รวมเครื่องมือในการใช้ข้อมูลและสื่อสาร เช่น วิทยุ เครื่องเล่นซีดี การเชื่อมต่อกับมือถือด้วย hands-free ระบบสั่งการด้วยเสียง) ซึ่งระบบนี้ถูกใช้กับรถของ Volkswagen Golf GTE และ Audi A3 Sportback โมเดล e-tron