Breaking News

Microsoft แพตช์เดือนกันยายนอุดช่องโหว่ร้ายแรง 17 รายการและช่องโหว่ Zero-day แนะควรอัปเดต

Microsoft ได้ทำการปล่อยแพตช์ประจำเดือนและเป็นไปตามคาดคือแก้ไข Zero-day ที่เกี่ยวกับ Task Scheduler APLC ซึ่งเริ่มมีการประยุกต์ใช้งานจริงแล้วในกลุ่มแฮ็กเกอร์ นอกจากนี้ยังมีการแก้ไขช่องโหว่ร้ายแรงอีกกว่า 17 รายการที่ส่งผลกระทบกับผลิตภัณฑ์อย่าง IE, .Net Framework, Microsoft Edge, Microsoft Office และอื่นๆ ดังนั้นแนะนำผู้ใช้ควรรีบอัปเดตด่วน

Credit: alexmillos/ShutterStock

ช่องโหว่ที่น่าสนใจซึ่งถูกแก้ไขในแพตช์ประจำเดือนกันยายน 2018 มีดังนี้

  • CVE-2018-8440 หรือช่องโหว่ Zero-day ที่ถูกเปิดเผยโค้ด PoC ก่อนหน้านี้ซึ่งเกิดขึ้นกับ Task Scheduler APLC ทำให้เกิดการยกระดับสิทธิ์ได้
  • CVE-2018-8475 ช่องโหว่ที่กระทบกับ Windows 10 ในทุกเวอร์ชันไปจนถึง Windows Server คือแฮ็กเกอร์สามารถสร้างไฟล์รูปภาพอันตรายที่ทำให้เกิดการรันโค้ดได้เมื่อถูกเปิดไฟล์
  • CVE-2018-8457 คือสามารถทำให้เกิด Remote Code Execution ภายใต้บริบทของผู้ใช้ที่ล็อกอินอยู่ซึ่งเกิดจากกลไกการจัดการ Script ที่เกี่ยวกับหน่วยความจำใน Microsoft Browser (Scripting Engine Memory Corruption)
  • CVE-2018-0965 และ CVE-2018-8439 ที่ส่งผลกระทบกับ Windows และ Hyper-V ที่ทำให้แฮ็กเกอร์สามารถเข้าถึง Guest VM เพื่อรันโค้ดบน OS ได้
  • CVE-2018-8461 ช่องโหว่ใน IE 11 ที่ทำให้เกิด Remote Code Execution จากเว็บไซต์อันตรายได้

อย่างไรก็ตามแนะนำผู้ใช้งานควรรีบอัปเดตเนื่องจากช่องโหว่อย่าง CVE-2018-8475 และ CVE-2018-8457 มีการเปิดเผยสู่สาธารณะแล้วเพียงแต่ยังไม่มีรายงานการนำไปใช้โจมตีเท่านั้นเอง นอกจากนี้ยังมีช่องโหว่อีกหลายรายการที่กระทบกับ Microsoft Office, ส่วนประกอบด้านกราฟฟิค, Kernel และอื่นๆ หากสนใจรายละเอียดเพิ่มเติมของแพตช์สามารถเข้าไปดูรายละเอียดทั้งหมดได้ที่นี่

ที่มา : https://www.bleepingcomputer.com/news/security/microsoft-september-2018-patch-tuesday-fixes-17-critical-vulnerabilities/ และ https://www.securityweek.com/microsoft-patches-windows-zero-day-disclosed-twitter




About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

ร้านค้าปลีกในสหรัฐกว่า 90% สอบตกมาตรฐาน PCI DSS

SecurityScorecard ได้จัดทำการวิเคราะห์ร้านกว่า 1,444 แห่งที่อยู่ในอุตสาหกรรมค้าปลีกระหว่างเดือนตุลาคม 2017 ถึง มีนาคม 2018 พบว่าร้านค้าส่วนใหญ่ไม่ได้มาตรฐาน PCI DSS

ใครคือผู้รับผิดชอบที่แอปพลิเคชัน Third-party สามารถเข้าถึงข้อมูล Gmail ได้

Google ได้แถลงการณ์ยอมรับอย่างเป็นทางการต่อฝ่ายนิติบัญญัติของสหรัฐฯ ว่าตนได้อนุญาตให้แอปพลิเคชัน Third-party เข้าถึงและแชร์ข้อมูลของ Gmail ได้ แต่วันนี้เรามีอีกมุมมองจาก Howtogeek ที่จะมาเจาะลึกถึงเหตุผลว่าแท้จริงแล้วใครคือผู้ที่ต้องรับผิดชอบกันแน่