Vulnerability and Risk Management

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

Jason Geffner และ Jan Bee นักวิจัยด้านความมั่นคงปลอดภัยจาก Google ออกมาเปิดเผยถึงช่องโหว่บนซอฟต์แวร์ Endpoint Antivirus 6 for macOS ของ ESET ซึ่งช่วยให้แฮ็คเกอร์สามารถสั่งรันโค้ดแปลกปลอมบนเครื่องของเหยื่อโดยใช้สิทธิ์ Root จากระยะไกลโดยไม่จำเป็นต้องพิสูจน์ตัวตนได้ แนะให้ผู้ใช้อัปเดตแพทช์ล่าสุดโดยด่วน

เพียงแค่วันเดียวหลังจากที่ Google ประกาศว่า สามารถพัฒนาการโจมตีเพื่อให้ค่าแฮช SHA-1 ของเอกสารที่แตกต่างกัน 2 ชุดมีค่าตรงกันได้ หรือที่เรียกว่า SHA-1 Collision Attack นักพัฒนาจาก WebKit ซึ่งเป็น Web Browser Engine สำหรับใช้ใน Safari, App Store และแอพพลิเคชันอื่นของ Apple ก็ออกมาเปิดเผยถึงปัญหาของ Subversion (SVN) Repositories ที่ใช้เก็บซอร์สโค้ดอันเนื่องมาจากการโจมตีดังกล่าว

Tavis Ormandy นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาเปิดเผยถึงช่องโหว่ Buffer Overflow บน CloudFlare ผู้ให้บริการ CDN และ Web Security ชื่อดัง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์เหล่านั้น ไม่ว่าจะเป็น Passwords, Cookies และ Tokens ที่ใช้ในการพิสูจน์ตัวตนออกไปได้ โดยเรียกช่องโหว่นี้ว่า Cloudbleed

SHA-1 หรือ Secure Hash Algorithm 1 ฟังก์ชันแฮชยอดนิยมเตรียมสาบสูญไปจากโลก หลังจากที่ทีมนักวิจัยจาก Google และสถาบัน Centrum Wiskunde & Information (CWI) ประเทศเนเธอร์แลนด์ ประสบความสำเร็จในการพัฒนาวิธีโจมตีเพื่อให้ค่าแฮช SHA-1 ของเอกสารที่แตกต่างกัน 2 ชุดมีค่าตรงกัน ที่สำคัญคือเร็วกว่าการโจมตีแบบ Brute Force ถึง 100,000 เท่า

สำหรับผู้ที่ไม่อยากลง Kali Linux ไว้บนโน๊ตบุ๊ค เนื่องจากสเป็คคอมไม่เพียงพอ หรือมีปัญหาในการเข้าถึง Kali Linux โดยใช้ IP จริง ปัญหาเหล่านี้สามารถแก้ไขได้ไม่ยากโดยการติดตั้ง Kali Linux บนระบบ Cloud ของ Amazon Web Services (EC2)

Microsoft ออกรายงาน Security Intelligence Report ฉบับที่ 21 ซึ่งเป็นรายงานผลการวิเคราะห์ภาพรวมของภัยคุกคามในประเทศไทยตั้งแต่เดือนมกราคมถึงมิถุนายน 2016 ไม่ว่าจะเป็น การเจาะระบบ ช่องโหว่ หรือมัลแวร์ โดยรวบรวมข้อมูลจาก ISP และคอมพิวเตอร์กว่า 600 ล้านเครื่องทั่วโลก ผู้ที่สนใจสามารถดาวน์โหลดรายงานได้ฟรี

Andrey Konovalov นักวิจัยด้านความปลอดภัย ได้ค้นพบช่องโหว่ Privilege Escalation บน Linux Kernel โดยช่องโหว่นี้มีมาตั้งแต่ปี 2005 แล้ว และส่งผลกระทบต่อทั้ง Redhat, Debian, OpenSUSE และ Ubuntu โดยปัจจุบันมีการออก Patch มาใน Mainline Linux Kernel แล้ว

Alexander Klink และ Timothy Morgan นักวิจัยด้านความมั่นคงปลอดภัยออกมาเปิดเผยถึงช่องโหว่บนภาษา Java และ Python ซึ่งช่วยให้แฮ็คเกอร์สามารถบายพาส Firewall ไม่ว่าจะเป็น Cisco หรือ Palo Alto Networks ได้ผ่านทางการแทรกคำสั่งแปลกปลอมเข้าไปยังคำร้องขอเชื่อมต่อ FTP ได้

Black Hat พร้อมจัดงานประชุม Black Hat Asia 2017 ซึ่งเป็นงานสัมมนาทางด้าน Security ระดับโลกที่ประเทศสิงคโปร์ ผู้ที่สนใจทางด้าน Offensive Security และเทคนิคการเจาะระบบรูปแบบใหม่แนะนำให้รีบลงทะเบียนเข้าร่วมงานทันที

Zcoin ระบบเงิน Digital น้องใหม่คล้าย Bitcoin ออกมาแถลงการณ์ยอมรับว่า เกิดความผิดพลาดในการเขียนโค้ดโปรแกรม ส่งผลให้สูญเสียเงินไปถึง 370,000 Zcoin หรือประมาณ 20,000,0000 บาทแก่แฮ็คเกอร์จากช่องโหว่ที่เกิดขึ้น

ทีมนักวิจัยจาก Vrije University ประเทศเนเธอร์แลนด์ ประสบความสำเร็จในการบายพาสระบบป้องกัน ASLR บนสถาปัตยกรรม Microprocessor มากถึง 22 ราย ไม่ว่าจะเป็น Intel, AMD, ARM, Allwinner, Nvidia และอื่นๆ โดยใช้โค้ดภาษา JavaScript ง่ายๆ เท่านั้น เรียกการโจมตีนี้ว่า ASLR⊕Cache หรือ AnC

สัปดาห์ที่ผ่านมา WordPress แอบออกแพทช์เวอร์ชัน 4.7.2 อุดช่องโหว่ Zero-day ได้แก่ Content Injection และ Privilege Escalation แบบเงียบๆ โดยให้เหตุผลว่าเป็นช่องโหว่อันตรายที่ไม่ควรเผยให้สาธารณะรับทราบ เพราะแฮ็คเกอร์อาจนำไปใช้โจมตีเว็บไซต์ WordPress กว่าล้านเว็บทั่วโลกได้ และวันนี้ ความกลัวนั้นเป็นจริงแล้ว

Cisco ผู้ให้บริการโซลูชันระบบเครือข่ายและ Data Center ชื่อดัง ออกรายงาน Cisco 2017 Annual Cybersecurity Report (ACR) ซึ่งเป็นผลการวิเคราะห์รูปแบบภัยคุกคามและแนวโน้มประจำปี 2016 รวมไปถึงผลสำรวจจากผู้เชี่ยวชาญทั่วโลกกว่า 2,900 คน พร้อมให้คำแนะนำถึงวิธีการรักษาความมั่นคงปลอดภัยในปี 2017 ซึ่งสามารถสรุปได้ดังนี้

Artificial Intelligence (AI) และ Machine Learning กำลังถูกนำมาใช้เพื่อสนับสนุนระบบความมั่นคงปลอดภัยมากยิ่งขึ้น การค้นหาและตรวจสอบช่องโหว่ระบบ IT ที่นับวันจะมีขนาดใหญ่โตขึ้นเรื่อยๆ กลายเป็นความท้าทายของทีมรักษาความมั่นคงปลอดภัย หลายบริษัทจึงเริ่มคาดหวังที่จะนำระบบ AI และ Machine Learning เข้ามาช่วยค้นหาช่องโหว่และวิเคราะห์โค้ดโปรแกรมก่อนที่แฮ็คเกอร์จะหาเจอ

US-CERT ศูนย์ประสานการรักษาความมั่นคงระบบคอมพิวเตอร์สหรัฐอเมริกา ออกมาเปิดเผยถึง Security Advisory สำหรับรับมือกับช่องโหว่ Zero-day บนโปรโตคอล SMBv3 ซึ่งส่งผลกระทบต่อผู้ใช้ระบบปฏิบัติการ Windows หลายเวอร์ชัน ไม่เว้นแม้แต่เวอร์ชันใหม่ๆ อย่าง Windows 10 และ Server 2016

WordPress ผู้ให้บริการ CMS ชื่อดัง แอบออกอัปเดตแพทช์เพื่ออุดช่องโหว่ Zero-day บน WordPress REST API ประกอบด้วยช่องโหว่ Content Injection และ Privilege Escalation ซึ่งช่วยให้แฮ็คเกอร์สามารถแก้ไขหรือลบ Pages และ Posts บน WordPress ได้โดยที่ผู้ใช้ไม่รู้ตัว

เมื่อเช้าที่ผ่านมา OpenSSL ประกาศออกแพทช์อัปเดตใหม่ สำหรับแก้ไขบั๊ก Denial-of-service 3 รายการ ดังนี้

หลังจากที่สัปดาห์ก่อน Tavis Ormandy นักวิเคราะห์ด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่บน WebEx Plug-in สำหรับ Google Chrome ซึ่งช่วยให้แฮ็คเกอร์สามารถลอบส่งโค้ดแปลกปลอมเข้ามารันบนเครื่องจากระยะไกลได้ วันนี้ Cisco ได้ออกแพทช์สำหรับ WebEx Plug-in เวอร์ชัน 1.0.7 ยืนยัน อุดช่องโหว่ได้ 100%

Tavis Ormandy นักวิเคราะห์ด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาเตือนภัยถึงช่องโหว่บน Cisco WebEx Extension ที่ติดตั้งบน Google Chrome ส่งผลให้ผู้ใช้ระบบปฏิบัติการ Windows กว่า 20 ล้านคนอาจถูกโจมตีแบบ Remote Code Execution เมื่อเข้าถึงเว็บไซต์อันตรายที่แฮ็คเกอร์เตรียมไว้ได้