Vulnerability and Risk Management

FDA และ Homeland Security หน่วยงานด้านความมั่นคงปลอดภัยของสหรัฐฯ ออกมาแจ้งเตือนถึงช่องโหว่บนเครื่องกระตุ้นไฟฟ้าหัวใจ (Pacemaker) ของ Abbott (หรือ St. Jude Medical) รวมแล้วกว่า 465,000 เครื่องที่อยู่ในร่างกายของผู้ป่วยขณะนี้ ชี้อาจเสี่ยงถูกแฮ็คผ่านคลื่นวิทยุเพื่อเข้าควบคุมอุปกรณ์ได้

Instagram บริการแชร์รูปภาพในเครือของ Facebook ที่มีผู้ใช้มากกว่า 700 ล้านคน ออกแถลงการณ์แจ้งเตือนผู้ใช้งาน หลังพบแฮ็คเกอร์สามารถเจาะช่องโหว่ของระบบเพื่อเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้ ไม่ว่าจะเป็นอีเมลและเบอร์โทรศัพท์ได้

นักวิจัยด้านความมั่นคงปลอดภัยจาก Cisco Talos Security Intelligence ได้ออกมาเปิดเผยถึงการค้นพบช่องโหว่บน LabVIEW ระบบซอฟต์แวร์ชื่อดังสำหรับการออกแบบเครื่องจักร ซึ่งทำให้ผู้โจมตีสามารถสร้างไฟล์ VI (Virtual Instrument) ที่มีนามสกุล .vi สำหรับใช้โจมตีช่องโหว่ นำไปสู่ความเสี่ยงที่จะถูกยึดเครื่องได้

Gartner, Inc บริษัทวิจัยและให้คำปรึกษาชื่อดังของสหรัฐฯ ออกมาพยากรณ์ถึงแนวโน้มด้านความมั่นคงปลอดภัยสารสนเทศ ระบุว่า ในปี 2017 นี้ ทั่วโลกจะลงทุนเพิ่มขึ้นจากเดิมถึง 7% ซึ่งคิดเป็นจำนวนเงินสูงถึง $86,400 ล้าน หรือประมาณ 2.9 ล้านล้านบาท และจะแตะถึงระ $93,000 ล้านในปีหน้า

Joomla! ประกาศออกรุ่น 3.7.5 ออกมาแล้วอย่างเป็นทางการ โดยแก้บั๊กให้กับการอัปเดตด้านความมั่นคงปลอดภัยที่เพิ่มเติมเข้ามาให้กับ 3.7.4 เป็นหลัก

Drupal ได้ออกอัปเดตรุ่น 8.3.7 ซึ่งเป็น Maintenance Release ออกมาสำหรับอุดช่องโหว่ด้านความมั่นคงปลอดภัยโดยเฉพาะ

PostgreSQL ได้ออก Security Patch สำหรับรุ่น 9.6.4, 9.5.8, 9.4.13, 9.3.18 และ 9.2.22 มาด้วยกันทั้งสิ้น 3 รายการ โดยเป็นช่องโหว่เกี่ยวกับประเด็นด้านรหัสผ่านและสิทธิ์ของผู้ใช้งานทั้งสิ้น ดังต่อไปนี้

SAP ได้ออกอัปเดตด้านความมั่นคงปลอดภัยมาด้วยกันทั้งสิ้น 16 รายการ โดย 3 รายการในนั้นมีความรุนแรงระดับสูง

ทีมนักวิจัยจาก University of Washington ได้สาธิตการพัฒนา Malware สำหรับเข้าควบคุมเครื่องคอมพิวเตอร์บนข้อมูลของสาย DNA ได้สำเร็จ

ใน Patch รอบเดือนสิงหาคม 2017 นี้ ทาง Microsoft ได้ทำการออก Patch อุดช่องโหว่ด้วยกันทั้งสิ้น 48 รายการ โดยในนี้มีช่องโหว่ความรุนแรงสูงสุดทั้งสิ้น 25 รายการ และ 3 ช่องโหว่ในนี้ได้เคยถูกเปิดเผยสู่สาธารณะมาก่อนรอบ Patch นี้แล้ว

กองทัพสหรัฐได้มีคำสั่งไปยังกำลังพลทั้งหมดให้หยุดการใช้งาน Drone จาก DJI หรือ Da-Jiang Innovation ผู้ผลิต Drone ชั้นนำจากประเทศจีนทันที เนื่องจากกังวลถึงช่องโหว่ทางด้านความมั่นคงปลอดภัย

หลังจากที่ Nmap เปิดให้ดาวน์โหลดเวอร์ชัน 7.5 ไปเมื่อไม่กี่เดือนที่ผ่านมา วันนี้ทาง Nmap ได้ออกอัปเดตเวอร์ชันใหม่ คือ Nmap 7.60 ซึ่งนอกจากจะแก้ไขบั๊กต่างๆ แล้ว ยังเพิ่มฟีเจอร์ใหม่เข้าไปอีกหลายรายการ เช่น รองรับการแคร็กรหัสผ่าน SSH ผ่านการ Brute Force ตรวจสอบวิธีการพิสูจน์ตัวตนของเซิร์ฟเวอร์ และรองรับการล็อกอินเข้าไปเพื่อรันคำสั่งตามที่ต้องการ นอกจากนี้ยังเพิ่มสคริปต์ NSE ใหม่เข้าไปอีก 14 รายการอีกด้วย

ในงาน DEF CON ได้มีการออกมาเปิดเผยช่องโหว่ใหม่บน SMBv1 ที่มีชื่อว่า SMBLoris ซึ่งสามารถทำ DoS ใส่เครื่อง Windows ได้อย่างง่ายดาย แต่ทาง Microsoft ปฏิเสธที่จะออก Patch สำหรับอุดช่องโหว่นี้ในเวลานี้

การนำระบบปฏิบัติการ Linux มาใช้งานภายในองค์กรนั้นได้รับความนิยมสูงขึ้นเรื่อยๆ ในปัจจุบัน ด้วยการเติบโตของ Data Center ที่รวดเร็ว และการพัฒนาเทคโนโลยีใหม่ๆ บน Linux สำหรับตอบโจทย์การใช้งานภายในองค์กรนั้นมีมากขึ้นเรื่อยๆ อีกทั้งเทคโนโลยีสมัยใหม่จำนวนมากเองนั้นก็ยังถูกพัฒนาบน Linux เป็นหลัก ไม่ว่าจะเป็น Cloud, Big Data, Artificial Intelligence (AI) หรือ Machine Learning ก็ตาม ทาง SUSE ซึ่งถือเป็นหนึ่งในผู้พัฒนาระบบ Linux สำหรับใช้งานภายในองค์กรโดยเฉพาะเองก็มีโซลูชันที่น่าสนใจอยู่ไม่น้อย และบทความนี้ก็จะขอแนะนำโซลูชัน IT Infrastructure สำหรับองค์กรจากทาง SUSE ให้ได้รู้จักกัน 5 โซลูชัน ดังนี้ครับ

Microsoft ได้ออกมาอัปเดตโครงการ Bug Bounty Program หรือเงินรางวัลสำหรับผู้ที่แจ้งช่องโหว่ภายในผลิตภัณฑ์ของ Microsoft ให้ทาง Microsoft ได้ทราบ โดยเพิ่มเงินรางวัลสูงสุดเป็น 250,000 เหรียญหรือราวๆ 8.75 ล้านบาทเลยทีเดียว

หลังจากที่ฝั่ง Android ประกาศออก Patch อุดช่องโหว่จำนวนมากที่เกิดขึ้นจาก Broadcom Wi-Fi Chipset ไปแล้ว คราวนี้ก็ถึงคราวของ Apple ที่ออก Patch มาอุดช่องโหว่เดียวกันนี้แล้วใน iOS 10.3.3 เป็นที่เรียบร้อย และแนะนำให้ผู้ใช้งาน iPhone 5-7, iPad 4th Generation และ iPod Touch 6th Generation ทำการอัปเกรดกันทันที

นักวิจัยด้านความมั่นคงปลอดภัยสำหรับระบบ Internet of Things (IoT) โดยเฉพาะจาก Senrio ได้ค้นพบช่องโหว่ใน Open Source Library ที่มีชื่อว่า gSOAP toolkit ซึ่งมีอุปกรณ์ IoT และกล้อง CCTV ทั่วโลกนำไปใช้มากมายนับล้านอุปกรณ์ โดยช่องโหว่นี้อาจนำไปใช้เพื่อแอบสอดส่องข้อมูลในกล้อง CCTV หรือโจมตีให้อุปกรณ์เหล่านี้หยุดทำงานได้ พร้อมตั้งชื่อให้กับช่องโหว่นี้ว่า Devil’s Ivy

นักวิจัยด้านความมั่นคงปลอดภัยจาก Trend Micro ได้ออกมาเตือนถึง Malware ใหม่ภายใต้ชื่อ SHELLBIND ที่ทำการโจมตีโดยมุ่งเป้าไปที่ Network-Attached Storage (NAS) ซึ่งใช้ระบบปฏิบัติการ Linux ผ่านทางช่องโหว่ SambaCry