Tag Archives: vulnerability

David Leo แฮ็คเกอร์ชื่อดังได้แสดงวิธีการโจมตีช่องโหว่ Address Spoofing บนเว็บเบราเซอร์ Safari ซึ่งช่วยให้แฮ็คเกอร์สามารถหลอกเหยื่อด้วยการโจมตีแบบ Phishing ได้ โดยเหยื่อจะคิดว่าตนเองกำลังเข้าถึงเว็บไซต์ที่ต้องการอยู่ แต่ที่จริงแล้วไม่ใช่ สามารถทดสอบช่องโหว่ได้ที่นี่: http://www.deusen.co.uk/items/iwhere.9500182225526788/

จากที่ไม่กี่วันก่อน WordPress ได้อัพเดทแพทช์เวอร์ชัน 4.1.2 เพื่ออุดช่องโหว่ XSS ไปนั้น ในวันนี้ WordPress เวอร์ชันล่าสุด 4.2 ซึ่งเพิ่งเริ่มให้บริการเมื่อวันพฤหัสบดีที่ผ่านมา ก็ถูกค้นพบว่ามีช่องโหว่ XSS ที่เปิดโอกาสให้แฮ็คเกอร์สามารถยิง Javascript เข้ามาในช่อง Comment ของ WordPress เพื่อโจมตีเว็บไซต์ได้

Cisco แจ้งเตือนช่องโหว่ใหม่บน Cisco ASR 9000 Series Aggregation Services Routers ซึ่งช่วยให้แฮ็คเกอร์สามารถโจมตีแบบ DoS มายังอุปกรณ์เพื่อหยุดการทำงานหรือสั่งให้เกิดการ Reload ของ Network Processor Chip และ Line Card ที่ประมวลผลทราฟฟิคโดยไม่ต้องผ่านการพิสูจน์ตัวตนใดๆ

US-CERT ศูนย์ประสานการรักษาความมั่นคงระบบคอมพิวเตอร์สหรัฐอเมริกา ได้ประกาศแนะนำให้ผู้ดูแลระบบเซิฟเวอร์ DNS ตรวจสอบการตั้งค่าบนเครื่องเซิฟเวอร์ของตนอย่างละเอียดถี่ถ้วน เนื่องจากการตั้งค่าอย่างไม่ถูกต้องในการตอบคำร้องขอ AXFR (Asynchronous Transfer Full Range) อาจทำให้ข้อมูลสำคัญของโดเมนรั่วไหลออกไปได้

จากรายงานช่องโหว่ประจำปี 2014 โดย Secunia ผู้ให้บริการซอฟต์แวร์ด้านความปลอดภัยชั้นนำของเดนมาร์ก พบว่า มีการค้นพบช่องโหว่บนแอพพลิเคชันจำนวน 15,435 รายงาน จาก 3,870 แอพที่พัฒนาโดย 500 ผู้ให้บริการทั่วโลก โดยสามารถแพทช์เพื่ออุดช่องโหว่ภายในวันที่ช่องโหว่เหล่านั้นประกาศสู่สาธารณะได้ถึง 83%

หลังจากที่หลายสำนักออกมาอัพเดทแพทช์เพื่ออุดช่องโหว่ FREAK บนทั้งบนอุปกรณ์คอมพิวเตอร์ สมาร์ทโฟน และแท็บเล็ต FireEye ผู้ให้บริการด้านโซลูชันความปลอดภัยชั้นนำ ได้ทำการทดสอบแอพพลิเคชันยอดนิยมทั้งบน Android และ Apple iOS พบว่า ยังมีแอพพลิเคชันจำนวนมากที่ยังได้รับกระทบจากช่องโหว่ FREAK เนื่องจากแอพเหล่านั้นยังคงใช้งาน OpenSSL และ Secure Transport Libraries เวอร์ชันที่มีปัญหาอยู่

ยังไม่มีรายละเอียดของแพทช์เผยแพร่ออกมา แต่หนึ่งในช่องโหว่ที่จะอุดมีความรุนแรงระดับ “High” เวอร์ชันใหม่ของ OpenSSL พร้อมเปิดให้อัพเดทในวันพฤหัสบดีที่ 19 มีนาคมนี้ ซึ่งเป็นแพทช์สำหรับอุดช่องโหว่ด้านความปลอดภัยหลายรายการ หนึ่งในนั้นถูกรายงานว่าเป็นช่องโหว่ที่มีความรุนแรงสูง

ในช่วง 2 วันที่ผ่านมา มีรายงานการค้นพบช่องโหว่บน Plugin ของ WordPress 2 ตัว คือ Huge IT Slider และ WordPress SEO ซึ่งส่งผลให้แฮ็คเกอร์สามารถโจมตีแบบ SQL Injection และ Cross-Site Request Forgery ได้ ทางทีมงาน TechTalkThai จึงรวบรวมข้อมูลมาสรุปให้ฟังกันครับ

Mac OS X, iOS และ Linux ขึ้นแท่นกลายเป็น 3 ระบบปฏิบัติการที่มีช่องโหว่มากที่สุดในปี 2014 แต่ Internet Explorer ยังคงรั้งอันดับ 1 แอพที่มีช่องโหว่มากที่สุด นอกจากนี้ ยังค้นพบว่า เฉลี่ยแล้วแต่ละวันจะมีการค้นพบช่องโหว่ของระบบรักษาความปลอดภัยสูงถึง 19 ช่องโหว่ อ้างอิงจากการวิเคราะห์ของ GFI Software

Business Storage 2-Bay NAS ของ Seagate ผู้ให้บริการด้านอุปกรณ์จัดเก็บข้อมูลชั้นนำของโลก ถูกตรวจพบเจอช่องโหว่ Zero-day ที่ช่วยให้แฮ็คเกอร์สามารถรันโค้ดจากระยะไกล (Remote Code Execution) ได้ โดยช่องโหว่ดังกล่าวถูกค้นพบโดย OJ Reeves นักวิจัยด้านความปลอดภัยเมื่อวันอาทิตย์ที่ผ่านมา

Onapsis ผู้ให้บริการโซลูชันชั้นนำสำหรับป้องกันแอพพลิเคชันเชิงธุรกิจ ได้เปิดเผย Security Advisories ระบุรายละเอียดเกี่ยวกับช่องโหว่ร้ายแรงของซอฟต์แวร์ SAP BusinessObjects และ SAP HANA ซึ่งประกอบด้วย 3 ช่องโหว่ร้ายแรงที่ยอมให้ผู้ใช้งานที่ไม่ได้ลงทะเบียนสามารถเขียนทับข้อมูลได้ และอีก 2 ช่องโหว่ที่มีความรุนแรงระดับปานกลาง

ไม่กี่วันที่ผ่านมา ได้มีการค้นพบช่องโหว่ร้ายแรงบนอุปกรณ์ฮาร์ดแวร์ของ Cisco สำหรับ Telco และ ISP ที่อาจนำไปสู่การโจมตีแบบ DoS ได้ โดยช่องโหว่นี้ถูกค้นพบโดยการทดสอบภายในของ Cisco เอง และโชคดีที่ยังไม่มีรายงานการโจมตีบนช่องโหว่ดังกล่าว ซึ่งทาง Cisco ได้ให้รายละเอียดพร้อมแพทช์สำหรับอุดช่องโหว่บน Security Advisory เป็นที่เรียบร้อย

จากที่เมื่อต้นสัปดาห์ Symantec ได้รายงานการค้นพบช่องโหว่ Zero-day บน Flash Player (CVE-2015-0313) ซึ่งส่งผลกระทบต่อ Flash Player ทุกเวอร์ชัน ไม่เว้นแต่เวอร์ชันล่าสุด 16.0.0.296 ในวันนี้ Adobe ได้ปล่อย Flash Player เวอร์ชันใหม่ 16.0.0.305 มาเพื่ออุดช่องโหว่ดังกล่าวแล้ว

มีการค้นพบช่องโหว่สำหรับโจมตีแบบ Cross-Site Scripting (XSS) บน Internet Explorer 11 บน Windows 7 และ 8.1 ซึ่งช่วยให้แฮ็คเกอร์สามารถใช้เป็นช่องทางในการโจมตีแบบ Phishing ไปยังผู้ใช้งานอินเตอร์เน็ตได้ โดยช่องโหว่ดังกล่าวถูกค้นพบโดย David Leo ตั้งแต่วันที่ 13 ตุลาคม 2014 แต่ยังไม่มีการออก Patch เพื่ออุดช่องโหว่ดังกล่าวจนถึงปัจจุบัน

ทีมวิจัยของ Qualys บริษัทให้คำปรึกษาด้านความปลอดภัยชื่อดัง ได้ประกาศการค้นพบช่องโหว่ระดับอันตรายบน Linux GNU C Library (gblic) ซึ่งช่วยให้แฮ็คเกอร์สามารถรีโมทเข้ามาควบคุมเครื่องคอมพิวเตอร์ทั้งหมดโดยไม่จำเป็นต้องอาศัยชื่อผู้ใช้หรือรหัสผ่านใดๆของเครื่อง

หลังจากที่ปริมาณช่องโหว่ SQL Injection ใน Software Package ลดลงอย่างต่อเนื่องตั้งแต่ปี 2011 ในปี 2014 ที่ผ่านมา นักวิจัยของ DB Networks บริษัทให้คำปรึกษาด้านความปลอดภัยชื่อดังของสหรัฐฯ ค้นพบว่าปริมาณช่องโหว่ SQL Injection นั้น อยู่ๆก็ได้เพิ่มขึ้นอย่างมีนัยสำคัญ ซึ่งคาดว่าเกิดจากกระบวนการพัฒนาซอฟต์แวร์ในปัจจุบัน ที่เน้นทำให้เสร็จตามเส้นตาย และถูกบีบด้วยปริมาณต้นทุนการผลิต ส่งผลให้ระบบรักษาความปลอดภัยถูกลดความสำคัญลงไป ทั้งๆที่เป็นหนึ่งในปัจจัยสำคัญในปัจจุบัน

OpenSSL Project ได้ทำการปล่อย Update ใหม่สำหรับ OpenSSL ซึ่งเป็น Open-source Library ยอดนิยมในการใช้งานโปรโตคอล SSL และ TLS คือ เวอร์ชัน 1.0.1k, 1.0.0p และ 0.9.8zd ซึ่งแก้ปัญหา 8 ช่องโหว่ของ OpenSSL โดย 2 จาก 8 ช่องโหว่นั้นอาจถูกโจมตีแบบ Denial of Service (DoS) ได้