Tag Archives: vulnerability

สรุปรายงานช่องโหว่ปี 2017 จาก VulnDB พบเกือบ 8,000 ช่องโหว่ยังไม่มีรหัส CVE

เผยรายงาน VulnDB จาก Risk Based Security พบปี 2017 มีจำนวนช่องโหว่ถูกค้นพบมากถึง 20,832 รายการ เพิ่มขึ้นจากปี 2016 ถึง 31% ในขณะที่มีเพียง 12,932 รายการเท่านั้นที่ถูกกำหนดให้เป็นช่องโหว่อย่างเป็นทางการของ CVE เสี่ยงหลายองค์กรละเลยที่จะป้องกันช่องโหว่ส่วนที่เหลือ

Read More »

พบช่องโหว่บน Grammarly Plugin เสี่ยงถูกแฮ็กเกอร์ขโมยข้อมูล

Tavis Ormandy จาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงระดับสูงบน Plugin สำหรับตรวจสอบไวยากรณ์ภาษาอังกฤษที่ชื่อว่า Grammarly บน Google Chrome และ Firefox ซึ่งช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูลเอกสารได้ ผู้ใช้กว่า 22 ล้านคนต่างได้รับผลกระทบ

Read More »

[PR] ช่องโหว่ Meltdown และ Spectre ในชิปอาจทำให้ข้อมูลในหน่วยความจำรั่วไหล ส่งผลกระทบต่อโปรเซสเซอร์ส่วนใหญ่บนทุกระบบปฏิบัติการ

16 มกราคม 2561 – ไซแมนเทคเปิดเผยรายงานการตรวจพบดังต่อไปนี้สำหรับการพยายามใช้ช่องโหว่เพื่อเจาะข้อมูลบนฮาร์ดแวร์ของซีพียู (CVE-2017-5753/Spectre): ช่องโหว่ที่เพิ่งค้นพบส่งผลกระทบต่อโปรเซสเซอร์ และอาจเปิดโอกาสให้ผู้โจมตีเข้าถึงหน่วยความจำของคอมพิวเตอร์โดยไม่ได้รับอนุญาต  ช่องโหว่ดังกล่าวซึ่งมีชื่อว่า Meltdown และ Spectre ส่งผลกระทบต่อโปรเซสเซอร์รุ่นใหม่เกือบทั้งหมด และสามารถแก้ไขได้ด้วยการติดตั้งแพตช์ของระบบปฏิบัติการเท่านั้น

Read More »

HP ออกอัปเดต BIOS ใหม่ หลังพบอัปเดตเดิมสำหรับแก้ Meltdown และ Spectre มีปัญหา

ก่อนหน้านี้ Dell ออกมาแนะนำให้ลูกค้าหยุดอัปเดต BIOS เพื่อแก้ปัญหาช่องโหว่ Spectre (Variant 2) ชั่วคราวและ Rollback กลับไปใช้เวอร์ชันก่อนหน้า เนื่องจากอาจจะเกิดปัญหาหลายด้านตามมา ล่าสุด HP ได้ประกาศหยุดออกแพตช์สำหรับแก้ปัญหา Meltdown และ Spectre เช่นเดียวกัน

Read More »

พบช่องโหว่ DNS Rebinding บนเกมค่าย Blizzard ผู้เล่นหลายร้อยล้านคนตกอยู่ในความเสี่ยง

Tavis Ormandy นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาเปิดเผยถึงช่องโหว่ DNS Rebinding บนเกมค่าย Blizzard Entertainment ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันโค้ดหรือเข้าควบคุมคอมพิวเตอร์ของผู้ใช้จากระยะไกลได้

Read More »

เตือนช่องโหว่บนแอป Transmission BitTorrent เสี่ยงถูกแฮ็กเกอร์เข้าควบคุมคอมพิวเตอร์

Tavis Ormandy นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่บนแอปพลิเคชัน Transmission BitTorrent ซึ่งช่วยให้แฮ็กเกอร์สามารถรันคำสั่งและเข้าควบคุมคอมพิวเตอร์ของผู้ใช้จากระยะไกลได้ทันที ที่สำคัญคือยังไม่มีแพตช์สำหรับอุดช่องโหว่จากเจ้าของผลิตภัณฑ์

Read More »

พบช่องโหว่บน Intel AMT เสี่ยงคอมพิวเตอร์ถูกแฮ็กได้ภายใน 30 วินาที

F-Secure ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยชื่อดังออกมาแจ้งเตือนถึงช่องโหว่บน Intel AMT ซึ่งช่วยให้แฮ็กเกอร์สามารถบายพาสกระบวนการพิสูจน์ตัวตนและเข้าควบคุมคอมพิวเตอร์จากระยะไกลได้ภายในเวลาเพียง 30 วินาที คอมพิวเตอร์ที่ใช้ชิปประมวลผลของ Intel กว่าหลายล้านเครื่องทั่วโลกต่างได้รับผลกระทบ

Read More »

สรุปคำแนะนำและแพตช์สำหรับ Meltdown และ Spectre จาก Vendors รายต่างๆ

หลังจากที่ Google Project Zero ออกมาแจ้งเตือนถึงช่องโหว่ร้ายแรง 2 รายการ คือ Meltdown และ Spectre บน CPU เกือบทุกรุ่น ซึ่งช่วยให้แฮ็กเกอร์สามารถขโมยข้อมูล เช่น รหัสผ่าน รูปภาพ อีเมล หรือเอกสารสำคัญ ออกไปได้ ล่าสุด ผู้ผลิตระบบปฏิบัติการและซอฟต์แวร์ต่างๆ ได้ออกให้คำแนะนำและอัปเดตแพตช์ผลิตภัณฑ์ของตน ดังนี้

Read More »

พบช่องโหว่ร้ายแรงบน phpMyAdmin เสี่ยงฐานข้อมูลถูกโจมตี

Ashutosh Barot นักวิจัยด้านความมั่นคงปลอดภัยจากอินเดีย ออกมาแจ้งเตือนถึงช่องโหว่ Cross-site Request Forgery (CSRF) บน PhpMyAdmin เวอร์ชัน 4.7.x ซึ่งช่วยให้แฮ็กเกอร์สามารถสั่งการระบบฐานข้อมูลได้จากระยะไกล เพียงแค่หลอกให้ผู้ดูแลระบบกดคลิกลิงค์เท่านั้น

Read More »

พบช่องโหว่ Zero Day ใน vBulletin เปิดให้ผู้โจมตีทำ Remote Code Execution ได้

นักวิจัยด้าน Security ชาวอิตาเลียนจาก TRUEL IT และ SecuriTeam ได้ออกมาเปิดเผยถึงการค้นพบช่องโหว่ Zero Day บน vBulletin ระบบ Webboard ชื่อดังที่มีเว็บไซต์มากกว่าแสนแห่งใช้งานอยู่ทั่วโลก ซึ่งถึงแม้จะมีการแจ้งช่องโหว่ดังกล่าวไปยังทีมพัฒนา vBulletin แล้วแต่ก็ยังไม่มีการออกอัปเดตมาอุดช่องโหว่แต่อย่างใด

Read More »

พบช่องโหว่การเชื่อมต่อ Office 365 และ Azure AD เสี่ยงโดเมนถูกแฮ็ก

ทีมนักวิจัยด้านความมั่นคงปลอดภัยจาก Preempt ออกมาแจ้งเตือนถึงช่องโหว่เมื่อทำการเชื่อมต่อ Microsoft Office 365 กับ Active Directory Domain Services (AD DS) โดยใช้ซอฟต์แวร์ Azure AD Connect ซึ่งช่วยใช้ผู้ใช้ธรรมดาสามารถยกระดับสิทธิ์ตัวเองขึ้นเป็น Admin แบบลับๆ ได้

Read More »

พบบั๊กบน Facebook เสี่ยงถูกลบรูปถ่ายโดยไม่รู้ตัว

Pouya Darabi นักพัฒนาเว็บชาวอิหร่าน ออกมาเปิดเผยถึงช่องโหว่ความรุนแรงระดับสูงบนแพลตฟอร์ม Social Media ชื่อดังอย่าง Facebook ซึ่งช่วยให้แฮ็กเกอร์สามารถลบรูปภาพของใครก็ได้ที่โพสต์ลงไปในนั้น โดยไม่ต้องแฮ็กบัญชีรายชื่อแต่อย่างใด

Read More »

คอมพิวเตอร์และโน๊ตบุ๊คกว่า 900 รุ่นได้รับผลกระทบจากช่องโหว่ Intel ME

หลังจากที่ Intel ออกมายอมรับอย่างเป็นทางการว่า มีช่องโหว่ร้ายแรง 8 รายการบนชิป Intel Management Engine (ME) เมื่อ 3 วันก่อน ล่าสุด ทางเจ้าของผลิตภัณฑ์คอมพิวเตอร์และเซิร์ฟเวอร์ชื่อดังทั้ง Acer, Dell, Fujitsu, HP, Lenovo และ Panasonic ต่างออกมายืนยันแล้วว่า อุปกรณ์ของตนต่างได้รับผลกระทบจากช่องโหว่ทั้งสิ้น

Read More »

Oracle ออกแพทช์ฉุกเฉิน อุดช่องโหว่ JOLTandBLEED ความรุนแรงระดับ Critical

Oracle ผู้ให้บริการระบบจัดการฐานข้อมูลและซอฟต์แวร์เชิงธุรกิจชื่อดัง ประกาศออกแพทช์ฉุกเฉินสำหรับอุดช่องโหว่ JOLTandBLEED รวม 5 รายการ บางช่องโหว่มีความรุนแรงระดับ Critical ซึ่งส่งผลกระทบต่อผลิตภัณฑ์ Middleware ของ Oracle หลายรายการ

Read More »

เตือนช่องโหว่ BlueBorne ส่งผลกระทบ Amazon Echo และ Google Home กว่า 20 ล้านเครื่องด้วยเช่นกัน

หลังจากที่นักวิจัยจาก Armis บริษัทผู้ให้บริการระบบรักษาความมั่นคงปลอดภัยสำหรับอุปกรณ์ IoT ออกมาแจ้งเตือนถึงช่องโหว่ Blueborne บนอุปกรณ์บลูทูธเมื่อเดือนกันยายนที่ผ่านมา ล่าสุดพบว่า Amazon Echo และ Google Home กว่า 20 ล้านเครื่องต่างได้รับผลกระทบจากช่องโหว่นี้ด้วยเช่นกัน

Read More »

พบช่องโหว่บน Maritime Communication System ระบบเครื่องมือสื่อสารและอุปกรณ์ช่วยในการเดินเรือ เสี่ยงต่อการถูกแฮ็คได้ตลอดเวลา

บริษัทที่ปรึกษาด้านความมั่นคงปลอดภัย IOActive ค้นพบช่องโหว่ระดับ Critical ถึง 2 ช่องโหว่ บนระบบ AmosConnect Communication Shipboard Platform เครื่องมือสือสารและอุปกรณ์ช่วยในการเดินเรือของบริษัท Stratos Global ส่งผลให้ระบบของเรือทั้งลำตกอยู่ในภาวะเสี่ยง

Read More »

Microsoft เผยช่องโหว่บายพาส SOP บน Chrome ผู้ใช้ควรทำการอัพเดต

Microsoft ได้ออกมาเปิดเผยถึงรายละเอียดช่องโหว่บน Chrome ที่ทำให้ผู้ไม่ประสงค์ดีสามารถโจมตีแบบ Remote Code Execution ได้ โดยช่องโหว่นี้ถูกค้นพบโดยทีมงานของ Microsoft เอง อย่างไรก็ตาม Google ได้ออกมาแพตซ์ช่องโหว่นี้เมื่อเดือนที่แล้วในเวอร์ชัน 61 ผู้ใช้ควรอัปเดตทันที

Read More »

พบช่องโหว่ PDF Reader บน Google Chrome อีกครั้ง เสี่ยงถูกโจมตีด้วย Code Execution

นักวิจัยจาก Talos ทีม Threat Intelligence ของ Cisco ค้นพบช่องโหว่ off-by-one read/write บน PDFium ซึ่งเป็น PDF Reader ที่เป็นค่าเริ่มต้นของ Google Chrome โดยช่องโหว่นี้ช่วยให้แฮ็คเกอร์สามารถรันโค้ดแปลกปลอม (Code Execution) ได้ผ่านทางรูปภาพ TIFF ที่ฝังมากับเอกสาร PDF ค้นพบใน Google Chome เวอร์ชัน 60.0.3112.101.  

Read More »

เตือนการโจมตีบน MS Office รูปแบบใหม่ ไม่ต้องใช้ Macros

ทีมนักวิจัยด้านความมั่นคงปลอดภัยจาก SensePost ออกมาเปิดเผยถึงเทคนิคการโจมตี Microsoft Office รูปแบบใหม่ซึ่งไม่ต้องใช้ Macros ในการรันโค้ดแปลกปลอมอีกต่อไป ด้าน Microsoft ปฏิเสธ ไม่ใช่ช่องโหว่ด้านความมั่นคงปลอดภัยเพราะมีหน้าต่างแจ้งเตือนแล้ว

Read More »

Microsoft Patch Tuesday ประจำเดือนตุลาคม 2017

Microsoft ประกาศออก Security Advisory ล่าสุดบนระบบปฏิบัติการ Windows ประจำเดือนตุลาคม 2017 ซึ่งประกอบด้วยคำแนะนำและแพทช์สำหรับช่องโหว่รวมทั้งสิ้น 63 รายการ แบ่งเป็นช่องโหว่ความรุนแรงระดับ Critical 28 รายการ และความรุนแรงระดับ Important อีก 35 รายการ หนึ่งในนั้นคือช่องโหว่ Zero-day บน Office Word ซึ่งช่วยให้แฮ็คเกอร์สามารถลอบรันโค้ดแปลกปลอมจากระยะไกลได้

Read More »