Tag Archives: vulnerability

พบ Collision Attack บนอัลกอริธึมแฮช ส่อแววจุดจบของ SHA-1

นักวิจัยจาก Centrum Wiskunde & Information ประเทศเนเธอร์แลนด์, Inria ประเทศฝรั่งเศส และมหาวิทยาลัย Nanyang Technological ประเทศสิงคโปร์ ได้ทำการเผยแพร่งานวิจัยล่าสุดที่ระบุว่า พบช่องโหว่บนฟังก์ชันแฮช SHA-1 ที่ก่อให้เกิดการชนกันของข้อมูล (Collision Attack) เรียกว่า Freestart Collision

Read More »

Cisco ออกอัพเดทอุดช่องโหว่บน AnyConnect Secure Mobility Client

Cisco ผู้ให้บริการโซลูชันเครือข่ายครบวงจร ได้ออกเวอร์ชันอัพเดทของ Cisco AnyConnect Secure Mobility Client เพื่ออุดช่องโหว่ความรุนแรงสูง ที่ช่วยให้แฮ็คเกอร์สามารถยกระดับสิทธิ์ของตนเองเป็น Root หรือ System บนระบบปฏิบัติการ Windows, Linux และ Mac OS X ได้ แนะนำให้ผู้ที่ใช้งานแอพพลิเคชันดังกล่าวรีบอัพเดทโดยทันที

Read More »

พบช่องโหว่ใหม่บน WinRAR ส่งผลกระทบต่อผู้ใช้กว่า 500 ล้านคน

มีการประกาศค้นพบช่องโหว่ความรุนแรงสูงบนเวอร์ชันล่าสุดของโปรแกรมบีบอัดข้อมูลชื่อดังอย่าง WinRAR ส่งผลให้แฮ็คเกอร์สามารถรันโค้ดโจมตีบนเครื่องของเหยื่อที่ติดตั้งโปรแกรมดังกล่าวจากระยะไกลได้ (Remote Code Execution)

Read More »

Cisco ออกแพทช์ อุดช่องโหว่ DoS บน IOS และ IOS XE

Cisco ผู้ให้บริการโซลูชันเครือข่ายครบวงจร ได้ทำการออกแพทช์เพื่ออุดช่องโหว่ DoS และการ Bypass ระบบพิสูจน์ตัวตนผ่าน SSH บนอุปกรณ์ที่ใช้ซอฟต์แวร์ IOS และ IOS EX

Read More »

พบบั๊คบน Android 5 ช่วยแฮ็คเกอร์ปลดล็อครหัสผ่าน

หน่วยงาน Information Security Office (ISO) แห่ง University of Texus at Austin ได้ออกมาประกาศค้นพบช่องโหว่ใหม่บนสมาร์ทโฟนและแท็บเล็ตที่ใช้ระบบปฏิบัติการ Android 5 ทุกเวอร์ชันยกเว้น 5.1.1 ซึ่งช่วยให้แฮ็คเกอร์สามารถปลดล็อคอุปกรณ์ที่ใช้รหัสผ่าน (Password-protected) เพื่อเข้าเครื่องได้ทันที โดยมีหมายเลข CVE คือ CVE-2015-3860

Read More »

Adobe ปล่อย 2 Patch สำหรับ Shockwave Player Vulnerability ที่นำไปสู่ Remote Code Execution ได้

มาให้ Patch กันอีกครั้งกับ Adobe โดยคราวนี้เป็นทีของ Adobe Shockwave Flash Player บน Windows ที่ออก Patch มาสำหรับช่องโหว่ CVE-2015-66880 และ CVE-2015-6681 ซึ่งเป็นช่องโหว่ที่เกิดจากบั๊กที่ทำให้เกิด Memory Corruption และเปิดโอกาสให้มีการโจมตีแบบ Remote Execution Code ได้

Read More »

อัพเดตแนวโน้มทางด้าน Advanced Persistent Threat ในประเทศไทย และคำแนะนำจาก Kaspersky ในการป้องกันภัยเหล่านี้ในองค์กร

พอดีทาง Kaspersky ได้เชิญทีมงาน TechTalkThai ไปฟังการอัพเดตเทรนด์ทางด้านการโจมตีด้วย Advanced Persistent Threat ในระดับองค์กรในประเทศไทย ก็ขอสรุปเอาไว้ให้อ่านกันดังนี้ครับ

Read More »

พบช่องโหว่ XSS บน Salesforce เสี่ยงถูก Phishing เพื่อขโมยรหัสผ่าน

Elastica ผู้ให้บริการโซลูชันความปลอดภัยสำหรับ CASB และ Cloud Application ได้ออกมาเปิดเผยช่องโหว่ความรุนแรงสูงบน Salesforce ซึ่งช่วยให้แฮ็คเกอร์สามารถส่งสคริปต์เข้าไปเพื่อทำการโจมตีแบบ Phishing ส่งผลให้ผู้ใช้งาน Saleforces อาจถูกขโมยข้อมูลล็อกอิน หรือถูกไฮแจ็คชื่อบัญชีได้ อย่างไรก็ตาม ทาง Salesforce ได้ทำการแพทช์เพื่ออุดช่องโหว่ดังกล่าวเรียบร้อยตั้งแต่วันที่ 10 สิงหาคมที่ผ่านมา

Read More »

Adobe ออกแพทช์อุดช่องโหว่จาก Hacking Team

หลังจากที่หลายฝ่ายออกมาวิจารณ์เรื่องการใช้งาน Adobe Flash ในอนาคต ไม่ว่าจะเป็น Facebook ที่ให้ความเห็นว่าควรประกาศยกเลิกการใช้ Flash หรือทาง Firefox ที่ประกาศบล็อกการใช้ Flash จนกว่า Adobe จะออกแพทช์เพื่ออุดช่องโหว่ทั้งหมด ในตอนนี้ ทาง Adobe ได้ทำการออกแพทช์เพื่ออุดช่องโหว่ที่เหลือจาก Hacking Team บน Flash Player, Shockwave Player และ Acrobat and Reader เรียบร้อยแล้ว แนะนำให้ผู้ใช้ทุกคนรีบทำการอัพเดทโดยเร็ว หลังจากนี้ คาดว่าทาง Firefox คงพิจารณายกเลิกการใช้งาน Flash โดย Default ใหม่เร็วๆนี้ ที่มา: http://www.net-security.org/secworld.php?id=18626

Read More »

7 วัน 3 ดอก หรือนี่จะถึงคราวชี้ชะตา Adobe Flash

นับว่าสัปดาห์ที่ผ่านมาเป็นคราวเคราะห์ของ Adobe Flash อย่างแท้จริง เมื่อข้อมูลกว่า 440 GB ที่รั่วไหลออกมาจาก Hacking Team เปิดเผยถึงช่องโหว่บน Adobe Flash ที่ใช้แฮ็คถึง 3 ตัว ได้แก่ CVE-2015-5119, CVE-2015-5122 และ CVE-2015-5123 เหตุการณ์นี้จึงจุดประเด็นให้หลายฝ่ายออกมาตั้งคำถามกันอีกครั้งว่า “เราควรใช้ Adobe Flash ต่อไปดีหรือไม่ ?”

Read More »

พบช่องโหว่การปลอม Certificate บน OpenSSL แนะผู้ดูแลระบบรีบอัพเดทแพทช์

OpenSSL Project ได้ทำการปล่อยแพทช์ Security Update ใหม่สำหรับผู้ที่ใช้งาน OpenSSL เพื่ออุดช่องโหว่ความรุนแรงสูงที่ช่วยให้ผู้ไม่ประสงค์ดีสามารถปลอมแปลง Certificate ได้ โดยแฮ็คเกอร์สามารถเปลี่ยน Certificate ของตนจาก Untrusted Certificate กลายเป็น Trusted Certificate ซึ่งอาจเสี่ยงถูกโจมตีแบบ Man-in-the-middle

Read More »

พบช่องโหว่บนฟีเจอร์ของ MS Office เสี่ยงถูกฝังมัลแวร์ได้

Kevin Beaumont นักวิจัยด้านความปลอดภัยได้ออกมาเปิดเผยช่องโหว่บน OLE Packager ซึ่งเป็นฟีเจอร์ที่ช่วยให้สามารถฝัง Content ลงบนไฟล์เอกสาร Office ส่งผลให้ผู้ไม่ประสงค์ดีอาจฝังมัลแวร์บนไฟล์เอกสารผ่านช่องทางดังกล่าว เพื่อเข้ามารันในเครื่องของเหยื่อโดยที่โปรแกรมแอนตี้ไวรัสหรือซอฟต์แวร์รักษาความปลอดภัยไม่สามารถตรวจจับได้

Read More »

XARA: ช่องโหว่ Keychain บน OS X และ iOS เสี่ยงถูกขโมยรหัสผ่าน

ทีมนักวิจัยจาก Indiana University Bloomington, Peking University และ Georgia Tech ได้เผยแพร่เอกสารวิชาการเกี่ยวกับช่องโหว่ร้ายแรงที่ค้นพบบนระบบปฏิบัติการ Mac OS X และ Apple iOS ที่ช่วยให้แฮ็คเกอร์สามารถเข้าถึงข้อมูลสำคัญ เช่น ข้อมูลล็อคอิน ผ่านทางแอพพลิเคชันไม่พึงประสงค์ (Malicious App) ได้

Read More »

พบบั๊คบนแอพ Mail ของ Apple iOS เสี่ยงถูกขโมยรหัสผ่านจาก Phishing ได้

นักวิจัยอิสระด้านความปลอดภัย Jan Soucek ประกาศค้นพบบั๊คสำคัญบนแอพพลิเคชัน Mail บน Apple iOS ซึ่งเป็นแอพพลิเคชันสำหรับรับส่งอีเมลล์บน iPhone/iPad ที่ Apple ติดตั้งมาให้ตั้งแต่แรก โดยบั๊คดังกล่าวช่วยให้ผู้ไม่ประสงค์ดีสามารถปลอม Pop-up หน้าต่างล็อกอิน Apple iCloud ที่เหมือนจริงมาก เพื่อดักขโมยชื่อผู้ใช้และรหัสผ่านได้ทันที

Read More »

OpenSSL แพทช์ใหม่ อุดช่องโหว่ Logjam

OpenSSL Project ได้ประกาศออกแพทช์อัพเดท Library ที่เกี่ยวของกับการเข้ารหัสข้อมูล (Open-source Cryptographic Library) เพื่ออุดช่องโหว่ที่ค้นพบในตลอดช่วงเวลาที่ผ่านมา หนึ่งในนั้นคือ LogJam (CVE 2015-4000) ซ่องโหว่ที่ช่วยให้ผู้ไม่ประสงค์ดีสามารถโจมตีแบบ Man-in-the-Middle โดยการแอบดักฟังและแก้ไขข้อมูลที่เข้ารหัสระหว่างเครื่องคอมพิวเตอร์ได้ “LogJam เป็นช่องโหว่บนโปรโตคอล TLS ที่ช่วยให้แฮ็คเกอร์สามารถโจมตีแบบ Man-in-the-Middle ได้ ด้วยการดาวน์เกรดการเชื่อมต่อ TLS ที่ใช้อัลกอริธึมสำหรับแลกเปลี่ยนกุญแจเข้ารหัสแบบ Diffie-Hellman ให้กลายเป็นการเข้ารหัสแบบ 512-bit Export-grade” — OpenSSL Project อธิบายใน Advisory เมื่อวันพฤหัสบดีที่ผ่านมา อ่านรายละเอียดช่องโหว่ Logjam ได้ที่นี่ OpenSSL ได้ทำการเสริมการป้องกันให้แก่ TLS Client ด้วยการบังคับให้ปฏิเสธการทำ Handshake ด้วยการเข้ารหัสแบบ Diffie-Hellman ที่มีความยาวสั้นกว่า 768 bits ซึ่งการจำกัดความยาวนี้จะถูกปรับให้เพิ่มขึ้นเป็น 1024 bits ในอนาคต เพื่อให้การเข้ารหัสมีความแข็งแรงมากยิ่งขึ้น สำหรับผู้ที่ใช้งาน OpenSSL แนะนำว่าให้อัพเกรด OpenSSL เป็นเวอร์ชัน 1.0.2b …

Read More »

เผยความเป็นไปได้ในการโจมตีระบบ Oracle PeopleSoft

ในงานสัมมนา Hack in the Box ที่เพิ่งจัดขึ้นเมื่อไม่กี่วันที่ผ่านมา Alexey Tyurin หัวหน้าแผนกความปลอดภัย Oracle ของ ERPScan ผู้ให้บริการโซลูชันความปลอดภัยบนระบบ SAP ได้เปิดเผยช่องโหว่ที่ค้นพบบน Oracle PeopleSoft แอพพลิเคชัน ERP ชื่อดังอันดับสองรองจาก SAP ที่มีผู้ใช้งานมากกว่า 7000 บริษัท

Read More »

LogJam HTTPS-Crippling Attack ช่องโหว่ใหม่ในการเข้ารหัส

หลายหมื่นเว็บไซต์ เซิฟเวอร์อีเมลล์ และเซอร์วิสบนระบบอินเตอร์เน็ตที่ใช้ HTTPS กำลังตกเป็นเป้าหมายของแฮ็คเกอร์ เนื่องจากช่องโหว่ในการเข้ารหัสรูปแบบใหม่ เรียกว่า LogJam ช่วยให้ผู้ไม่ประสงค์ดีสามารถโจมตีแบบ Man-in-the-Middle โดยการแอบดักฟังและแก้ไขข้อมูลที่เข้ารหัสระหว่างเครื่องคอมพิวเตอร์ได้

Read More »

พบบั๊ค Address Spoofing บน Safari เปิดโอกาสให้ Phishing ได้

David Leo แฮ็คเกอร์ชื่อดังได้แสดงวิธีการโจมตีช่องโหว่ Address Spoofing บนเว็บเบราเซอร์ Safari ซึ่งช่วยให้แฮ็คเกอร์สามารถหลอกเหยื่อด้วยการโจมตีแบบ Phishing ได้ โดยเหยื่อจะคิดว่าตนเองกำลังเข้าถึงเว็บไซต์ที่ต้องการอยู่ แต่ที่จริงแล้วไม่ใช่ สามารถทดสอบช่องโหว่ได้ที่นี่: http://www.deusen.co.uk/items/iwhere.9500182225526788/

Read More »

WordPress ยังคงเจอช่องโหว่ XSS อย่างต่อเนื่อง

จากที่ไม่กี่วันก่อน WordPress ได้อัพเดทแพทช์เวอร์ชัน 4.1.2 เพื่ออุดช่องโหว่ XSS ไปนั้น ในวันนี้ WordPress เวอร์ชันล่าสุด 4.2 ซึ่งเพิ่งเริ่มให้บริการเมื่อวันพฤหัสบดีที่ผ่านมา ก็ถูกค้นพบว่ามีช่องโหว่ XSS ที่เปิดโอกาสให้แฮ็คเกอร์สามารถยิง Javascript เข้ามาในช่อง Comment ของ WordPress เพื่อโจมตีเว็บไซต์ได้

Read More »

WordPress ออกแพทช์อุดช่องโหว่ XSS

WordPress โปรแกรมสร้าง Blog ยอดนิยม ได้ประกาศแจ้งเตือนให้อัพเดทแพทช์เวอร์ชันล่าสุด 4.1.2 เพื่ออุดช่องโหว่ Cross-site Scripting ที่พบบน Plugin ของ WordPress หลายตัวเมื่อไม่กี่วันก่อน ซึ่งช่องโหว่นี้ช่วยให้แฮ็คเกอร์สามารถเข้ามาโจมตี แก้ไขหน้าเว็บไซต์ของเราได้

Read More »