Tor ได้ประกาศเปิดตัว Oniux ซึ่งเป็นเครื่องมือแบบ command-line tool ตัวใหม่สำหรับการกำหนดเส้นทางการเชื่อมต่อของแอปพลิเคชันบน Linux ให้ผ่านเครือข่าย Tor อย่างปลอดภัย เพื่อให้การเชื่อมต่อผ่านเครือข่ายแบบไม่ระบุตัวตน

แตกต่างจากวิธีคลาสสิกอย่างเช่น torsocks ซึ่งอาศัยเทคนิค user-space โดย Oniux จะใช้ namespaces ของ Linux เพื่อสร้าง isolated network ที่แยกออกมาสำหรับแต่ละแอปพลิเคชัน โดยจะช่วยป้องกันข้อมูลรั่วไหลได้ แม้ว่าแอปพลิเคชันนั้นเป็นอันตราย หรือกำหนดค่าไม่ถูกต้องก็ตาม

Linux namespaces เป็น kernel feature ที่ช่วยให้กระบวนการต่าง ๆ ทำงานในสภาพแวดล้อมที่แยกออกจากกันได้ โดยแต่ละกระบวนการจะมี specific system resources เช่น networking, processes หรือ file mounts

Oniux ใช้ Linux namespaces เพื่อแยกแอปพลิเคชันออกจากกันในระดับเคอร์เนล ทำให้ traffic ทั้งหมดของแอปถูกบังคับให้วิ่งผ่านเครือข่าย Tor เท่านั้น

Tor ระบุในบล็อกโพสต์ว่า "เรารู้สึกตื่นเต้นที่จะแนะนำ oniux เป็น command-line utility ที่ช่วยแยกเครือข่าย Tor สำหรับแอปพลิเคชันของบริษัทที่ใช้ Linux namespaces"

โดย oniux สร้างขึ้นบนพื้นฐานของ Arti และ onionmasq ซึ่งจะสามารถแยกโปรแกรม Linux ออกมาอยู่ใน namespace ของตัวเอง และบังคับให้ส่งข้อมูลผ่านเครือข่าย Tor และลดความเสี่ยงที่ข้อมูลอาจจะรั่วไหลออกไป

เครื่องมือนี้ทำงานโดยการวางแต่ละแอปไว้ใน network namespace ของตัวเอง ซึ่งจะไม่มีสิทธิ์เข้าถึงอินเทอร์เฟซของโฮสต์ และแทนที่ด้วยการเชื่อมต่อผ่านอินเทอร์เฟซเสมือนที่ชื่อว่า onion0 ซึ่งจะเชื่อมต่อผ่าน Tor โดยใช้ onionmasq

นอกจากนี้ยังใช้ namespaces เพื่อ inject ไฟล์ /etc/resolv.

Google กำลังทยอยเปลี่ยนแปลง Chromium โดย "ลดระดับสิทธิ์ (de-elevates)" ของ Google Chrome เพื่อไม่ให้เบราว์เซอร์ทำงานในโหมดของผู้ดูแลระบบ ซึ่งเป็นการเพิ่มความปลอดภัยบนระบบปฏิบัติการ Windows (more…)

House of Dior หรือที่รู้จักกันในชื่อ Dior ได้เปิดเผยว่าเกิดเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ ที่อาจส่งผลให้ข้อมูลของลูกค้าถูกเปิดเผย

โฆษกของบริษัทให้ข้อมูลกับ BleepingComputer โดยระบุว่า เหตุการณ์นี้ส่งผลกระทบต่อลูกค้ากลุ่ม Dior Fashion และ Accessories ซึ่งในขณะนี้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์กำลังสืบสวน และตรวจสอบเหตุการณ์ดังกล่าวเพื่อประเมินขอบเขตของผลกระทบ

โฆษกของ Dior ระบุว่า "เราเพิ่งตรวจพบเมื่อไม่นานมานี้ว่ามีบุคคลภายนอกที่ไม่ได้รับอนุญาตเข้าถึงข้อมูลบางส่วนที่เราเก็บรักษาไว้สำหรับกลุ่มลูกค้า Dior Fashion และ Accessories ของเรา"

“เราได้ดำเนินการตามมาตรการทันทีเพื่อจำกัดขอบเขตของเหตุการณ์นี้ ทีมงานของ Dior พร้อมด้วยผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ชั้นนำ ยังคงดำเนินการตรวจสอบ และรับมือกับเหตุการณ์ดังกล่าวที่เกิดขึ้น”

Dior ได้ชี้แจงกับ BleepingComputer โดยระบุว่า เหตุการณ์ครั้งนี้ไม่ได้ทำให้รหัสผ่านบัญชี หรือข้อมูลบัตรเครดิตของผู้ใช้งานรั่วไหล เนื่องจากข้อมูลเหล่านี้ถูกเก็บไว้ในฐานข้อมูลอื่นที่ไม่ได้รับผลกระทบ

“ไม่มีรหัสผ่าน หรือข้อมูลการชำระเงินใด ๆ รวมถึงข้อมูลบัญชีธนาคาร หรือบัตรเครดิต อยู่ในฐานข้อมูลที่ได้รับผลกระทบจากเหตุการณ์นี้”

“เรากำลังดำเนินการแจ้งหน่วยงานกำกับดูแลที่เกี่ยวข้อง และลูกค้าตามที่กฎหมายกำหนด”

“การรักษาความลับ และความปลอดภัยข้อมูลของลูกค้าเป็นสิ่งสำคัญสูงสุดสำหรับ House of Dior เราขอแสดงความเสียใจอย่างจริงใจต่อความกังวล หรือความไม่สะดวกที่อาจเกิดขึ้นกับลูกค้าของเราจากเหตุการณ์นี้”

เกาหลี และจีน ยืนยันว่าได้รับผลกระทบดังกล่าว

แม้ว่า Dior จะไม่ได้ระบุจำนวนลูกค้า หรือภูมิภาคที่ได้รับผลกระทบอย่างชัดเจน แต่มีการแจ้งเตือนยืนยันว่าเว็บไซต์ของ Dior ในประเทศเกาหลีใต้ได้รับผลกระทบ และยังมีรายงานว่าลูกค้าชาวจีนบางรายได้รับการแจ้งเตือนเกี่ยวกับเหตุการณ์ข้อมูลรั่วไหลจากแบรนด์แฟชั่นดังกล่าว

จากภาพหน้าจอของการแจ้งเตือนที่ถูกเผยแพร่ทางออนไลน์ เหตุการณ์นี้ถูกตรวจพบเมื่อวันที่ 7 พฤษภาคม โดยมีการเข้าถึงข้อมูลจากบุคคลที่ไม่ได้รับอนุญาต และข้อมูลที่ถูกเปิดเผยมีรายละเอียดดังต่อไปนี้ :

ชื่อ-นามสกุล
เพศ
หมายเลขโทรศัพท์
ที่อยู่อีเมล
ที่อยู่ไปรษณีย์
ประวัติการสั่งซื้อ

ประกาศที่โพสต์บนเว็บไซต์ของร้าน Dior ในเกาหลีใต้ ได้ระบุวันที่เกิดเหตุการณ์ข้อมูลรั่วไหลว่าเป็นวันที่ 7 พฤษภาคม 2025 ซึ่งแสดงให้เห็นว่าเป็นเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ที่อาจส่งผลกระทบในระดับนานาชาติ

อย่างไรก็ตาม ในกรณีดังกล่าว ข้อมูลที่ถูกเปิดเผยมีเฉพาะข้อมูลการติดต่อ, ข้อมูลการสั่งซื้อ และข้อมูลความชื่นชอบที่ลูกค้าเคยแจ้งไว้กับแบรนด์เท่านั้น

ขณะเดียวกัน สื่อเกาหลีใต้รายงานว่า Dior กำลังเผชิญกับการตรวจสอบทางกฎหมาย เนื่องจากไม่ได้แจ้งหน่วยงานที่เกี่ยวข้องทั้งหมดในประเทศเกี่ยวกับการรั่วไหลของข้อมูล

Dior แนะนำให้ลูกค้าเฝ้าระวังอีเมล หรือข้อความหลอกลวง (phishing) ที่พยายามขอข้อมูลส่วนตัว และขอให้ติดต่อบริษัททันทีหากพบว่ามีการแอบอ้างใช้ชื่อของแบรนด์ดังกล่าว

ในขณะนี้ รายละเอียดเกี่ยวกับจำนวนลูกค้า และประเทศที่ได้รับผลกระทบยังไม่ได้ถูกเปิดเผยต่อสาธารณะ

ที่มา : bleepingcomputer

Samsung ออกแพตช์อัปเดตซอฟต์แวร์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ใน MagicINFO 9 Server ซึ่งกำลังถูกใช้ในการโจมตีอย่างแพร่หลาย

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2025-4632 (คะแนน CVSS 9.8) โดยถูกระบุว่าเป็นช่องโหว่ path traversal

คำแนะนำสำหรับช่องโหว่ดังกล่าวระบุว่า "การจำกัด Pathname ไปยัง Directory อย่างไม่ถูกต้องใน Samsung MagicINFO 9 Server ก่อนเวอร์ชัน 21.1052 ทำให้ผู้โจมตีสามารถเขียนไฟล์โดยใช้สิทธิ์ของ system ได้"

ที่น่าสังเกตก็คือ CVE-2025-4632 เป็นช่องโหว่ patch bypass จาก CVE-2024-7399 ซึ่งเป็นช่องโหว่ path traversal อีกรายการในผลิตภัณฑ์เดียวกันที่ Samsung ได้ทำการแก้ไขไปแล้วในเดือนสิงหาคม 2024

ช่องโหว่ CVE-2025-4632 ได้ถูกนำไปใช้ในการโจมตีจริงแล้วหลังจากที่มีการเผยแพร่ proof-of-concept (PoC) โดย SSD Disclosure เมื่อวันที่ 30 เมษายน 2025 ในบางกรณีถูกใช้เพื่อติดตั้ง Mirai botnet อีกด้วย

แม้ในตอนแรกจะมีการสันนิษฐานว่าการโจมตีดังกล่าวมุ่งเป้าไปที่ช่องโหว่ CVE-2024-7399 แต่บริษัทด้านความมั่นคงปลอดภัยทางไซเบอร์ Huntress ได้เปิดเผยเมื่อสัปดาห์ที่แล้วถึงการพบช่องโหว่ใหม่ที่ยังไม่ได้รับการแก้ไข หลังจากตรวจพบสัญญาณการโจมตีบน MagicINFO 9 Server ที่ใช้งานเวอร์ชันล่าสุด (21.1050)

ในรายงานที่เผยแพร่เมื่อวันที่ 9 พฤษภาคม Huntress เปิดเผยว่า เกิดเหตุการณ์โจมตีที่ม่เกี่ยวข้องกันสามเหตุการณ์โดยใช้ช่องโหว่ CVE-2025-4632 โดยผู้โจมตีที่ไม่เปิดเผยตัวตนได้เรียกใช้ชุดคำสั่งเหมือนกันเพื่อดาวน์โหลด payload เพิ่มเติม เช่น "srvany.

บริษัทแลกเปลี่ยนสกุลเงินดิจิทัล Coinbase เปิดเผยว่า มีผู้โจมตีเจาะระบบของบริษัท และขโมยข้อมูลบัญชีของลูกค้าบางส่วนออกไป

บริษัทระบุในแถลงการณ์ว่า "กลุ่มผู้โจมตีมุ่งเป้าไปที่เจ้าหน้าที่ฝ่าย customer support ของเราที่อยู่ในต่างประเทศ พวกเขาใช้ข้อเสนอเป็นเงินสดเพื่อโน้มน้าวกลุ่มคนวงในกลุ่มเล็ก ๆ ให้คัดลอกข้อมูลจากระบบ customer support ของเรา ซึ่งทำให้ส่งผลกระทบกับลูกค้าประมาณ 1% ของผู้ใช้งานที่ทำธุรกรรมรายเดือนกับ Coinbase"

เป้าหมายสุดท้ายของแคมเปญนี้คือการรวบรวมรายชื่อลูกค้า และติดต่อไปโดยแอบอ้างว่าเป็น Coinbase เพื่อหลอกให้ลูกค้าส่ง cryptocurrency assets ของตนให้กับพวกเขา

Coinbase ระบุว่า ผู้โจมตีพยายามเรียกค่าไถ่จากบริษัทจำนวน 20 ล้านดอลลาร์ในวันที่ 11 พฤษภาคม 2025 แต่ไม่ประสบความสำเร็จ โดยผู้โจมตีอ้างว่าตนมีข้อมูลของบัญชีลูกค้าบางราย รวมถึงเอกสารภายใน รวมถึงแถลงการณ์ที่ส่งให้กับ Fortune บริษัท Coinbase ระบุว่า เจ้าหน้าที่ที่มีส่วนเกี่ยวข้องนั้นทำงานอยู่ที่ประเทศอินเดีย และทุกคนถูกไล่ออกแล้ว

Coinbase ย้ำว่า "ไม่มีการเปิดเผยรหัสผ่าน, private keys หรือเงินทุนใด ๆ และบัญชี Coinbase Prime ไม่ได้รับผลกระทบ" โดยสิ่งที่ผู้โจมตีได้ข้อมูลไปมีดังต่อไปนี้ :

ชื่อ, ที่อยู่, เบอร์โทรศัพท์ และอีเมล
หมายเลขประกันสังคมที่ถูกปิดบังไว้ (4 หลักท้ายเท่านั้น)
หมายเลขบัญชีธนาคารที่ถูกปิดบังไว้
รูปภาพบัตรประจำตัวประชาชน (เช่น ใบขับขี่, หนังสือเดินทาง)
ข้อมูลบัญชี (ยอดเงินในบัญชี และประวัติการทำธุรกรรม)
ข้อมูลระดับองค์กรบางส่วน เช่น เอกสาร, สื่อการฝึกอบรม และการสื่อสารที่เปิดให้เจ้าหน้าที่ฝ่าย support เข้าถึงได้

Coinbase ระบุว่า บริษัทจะคืนเงินให้ลูกค้าที่ถูกหลอกให้โอนเงินให้กับผู้โจมตี เนื่องจากการโจมตีด้วยเทคนิค social engineering โดยยังไม่ชัดเจนว่ามีลูกค้าจำนวนเท่าใดที่ตกเป็นเหยื่อ แต่บริษัทแจ้งกับ TechCrunch ว่ามีลูกค้าน้อยกว่า 1% ของลูกค้า 9.7 ล้านรายต่อเดือนที่ได้รับผลกระทบ

บริษัทกำลังบังคับใช้การตรวจสอบ ID เพิ่มเติม สำหรับบัญชีที่ถูกทำเครื่องหมายไว้บางบัญชีเมื่อทำการถอนเงินจำนวนมาก และกำลังเพิ่มความแข็งแกร่งให้กับระบบป้องกันภัยจากภัยคุกคามภายในองค์กร อีกทั้งยังตั้งกองทุนรางวัลมูลค่า 20 ล้านดอลลาร์สำหรับผู้ที่ให้เบาะแสนำไปสู่การจับกุม และดำเนินคดีกับผู้โจมตี

เพื่อเป็นการลดผลกระทบ แนะนำให้ผู้ใช้งานเปิดใช้งานรายการอนุญาตการถอนเงิน เพื่ออนุญาตให้โอนได้เฉพาะที่อยู่ที่ระบุไว้ใน address books ของตนเอง รวมถึงเปิดใช้งานการยืนยันตัวตนแบบสองขั้นตอน (2FA) และระมัดระวังบุคคลที่แอบอ้างเป็นเจ้าหน้าที่เพื่อหลอกให้โอนเงินไปยัง wallet ที่อ้างว่าปลอดภัย

อัปเดต #

Coinbase ได้ออกแถลงการณ์ร่วมกับ Bloomberg โดยระบุว่า ได้เริ่มสังเกตเห็นกิจกรรมที่ผิดปกติจากตัวแทนฝ่ายบริการลูกค้าบางรายตั้งแต่เมื่อเดือนมกราคมที่ผ่านมา นอกจากนี้ Coinbase ยังได้โต้แย้งข้อกล่าวอ้างที่รายงานว่า ผู้โจมตีได้ติดสินบนตัวแทนฝ่ายบริการลูกค้ามากพอที่จะสามารถเข้าถึงข้อมูลลูกค้าของ Coinbase ได้ตามต้องการในช่วง 5 เดือนที่ผ่านมา

Philip Martin หัวหน้าฝ่ายรักษาความปลอดภัยของ Coinbase ระบุว่า "สิ่งที่ผู้โจมตีทำคือค้นหาพนักงาน และ contractors ของ Coinbase ที่อยู่ในอินเดีย ซึ่งเป็นการเอาท์ซอร์สทางธุรกิจ หรือการดำเนินการฝ่าย support ของเรา และติดสินบนพวกเขาเพื่อให้ได้ข้อมูลลูกค้ามา"

"มีเหตุการณ์ติดสินบนเฉพาะเจาะจงจำนวนหนึ่ง ที่ผู้โจมตีอ้างว่าเกี่ยวข้องในช่วงเวลาดังกล่าว แต่พวกเขาไม่ได้เข้าถึงข้อมูลอย่างต่อเนื่องตลอดช่วงเวลาดังกล่าว"

ที่มา : thehackernews

Microsoft ออก Patch Tuesday ประจำเดือนพฤษภาคม 2025 โดยแก้ไขช่องโหว่ 72 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Days 5 รายการ ที่พบหลักฐานว่ากำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน และช่องโหว่ Zero-Days ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ 2 รายการ

โดย Patch Tuesday ประจำเดือนพฤษภาคม 2025 มีการแก้ไขช่องโหว่ระดับ Critical จำนวน 6 รายการ ซึ่งเป็นช่องโหว่ Remote Code Execution 5 รายการ และช่องโหว่ Information Disclosure 1 รายการ

ช่องโหว่ในแต่ละประเภทมีดังต่อไปนี้ :

ช่องโหว่การยกระดับสิทธิ์ (Privilege Escalation) 17 รายการ
ช่องโหว่การ Bypass คุณสมบัติด้านความปลอดภัย (Security Feature Bypass) 2 รายการ
ช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) 28 รายการ
ช่องโหว่ในการเปิดเผยข้อมูล (Information Disclosure) 15 รายการ
ช่องโหว่ที่ทำให้เกิด DoS (Denial of Service) 7 รายการ
ช่องโหว่ของการปลอมแปลง (Spoofing) 2 รายการ

ทั้งนี้ไม่รวมช่องโหว่ Azure, Dataverse, Mariner และ Microsoft Edge ที่ได้รับการแก้ไขในเดือนพฤษภาคม 2025

5 ช่องโหว่ Zero-Days ที่พบว่ากำลังถูกใช้ในการโจมตี

Patch Tuesday ประจำเดือนพฤษภาคม 2025 มีการแก้ไขช่องโหว่ Zero-days โดยเป็นช่องโหว่ที่กำลังถูกใช้ในการโจมตี 5 รายการ

Microsoft จัดประเภทช่องโหว่ Zero-Days ว่าเป็นช่องโหว่ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะ หรือเป็นช่องโหว่ที่กำลังถูกใช้ในการโจมตีในขณะที่ยังไม่มีการแก้ไขอย่างเป็นทางการ

CVE-2025-30400 - Microsoft DWM Core Library Elevation of Privilege Vulnerability

Microsoft ได้แก้ไขช่องโหว่การยกระดับสิทธิ์ที่ทำให้ Hacker ได้รับสิทธิ์ SYSTEM ที่เกิดจากช่องโหว่ Use after free ใน Windows DWM โดย Microsoft ระบุว่า Microsoft Threat Intelligence Center เป็นผู้ค้นพบช่องโหว่นี้

CVE-2025-32701 - Windows Common Log File System Driver Elevation of Privilege Vulnerability

Microsoft ได้แก้ไขช่องโหว่การยกระดับสิทธิ์ที่ทำให้ Hacker ได้รับสิทธิ์ SYSTEM ที่เกิดจากช่องโหว่ Use after free ใน Windows Common Log File System Driver โดย Microsoft ระบุว่า Microsoft Threat Intelligence Center เป็นผู้ค้นพบช่องโหว่นี้

CVE-2025-32706 - Windows Common Log File System Driver Elevation of Privilege Vulnerability

Microsoft ได้แก้ไขช่องโหว่การยกระดับสิทธิ์ที่ทำให้ Hacker ได้รับสิทธิ์ SYSTEM ที่เกิดจากช่องโหว่ input validation ใน Windows Common Log File System Driver โดย Microsoft ระบุว่า Benoit Sevens จาก Google Threat Intelligence Group และ CrowdStrike Advanced Research Team เป็นผู้ค้นพบช่องโหว่นี้

CVE-2025-32709 - Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability

Microsoft ได้แก้ไขช่องโหว่การยกระดับสิทธิ์ที่ทำให้ Hacker ได้รับสิทธิ์ SYSTEM ที่เกิดจากช่องโหว่ Use after free ใน Windows Ancillary Function Driver สำหรับ WinSock โดย Microsoft ระบุว่าช่องโหว่ดังกล่าวถูกค้นพบโดยนักวิจัย "Anonymous (ไม่เปิดเผยชื่อ)"

CVE-2025-30397 - Scripting Engine Memory Corruption Vulnerability

Microsoft ได้แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ที่ Hacker สามารถโจมตีผ่าน Microsoft Edge หรือ Internet Explorer ที่เกิดจากช่องโหว่การเข้าถึงทรัพยากรโดยใช้ประเภทที่ไม่เข้ากัน ('type confusion') ใน Microsoft Scripting Engine

โดย Hacker จะต้องหลอกล่อให้ผู้ใช้งานที่ผ่านการยืนยันตัวตน คลิกลิงก์ที่สร้างขึ้นมาเป็นพิเศษใน Edge หรือ Internet Explorer เพื่อให้ Hacker ที่ไม่ผ่านการยืนยันตัวตนสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ โดย Microsoft ระบุว่า Microsoft Threat Intelligence Center เป็นผู้ค้นพบช่องโหว่นี้

ทั้งนี้ Microsoft ยังไม่ได้เปิดเผยรายละเอียดใด ๆ เกี่ยวกับวิธีการที่ช่องโหว่เหล่านี้ถูกนำไปใช้ในการโจมตี

ช่องโหว่ Zero-Days ที่ถูกเปิดเผยออกสู่สาธารณะ

CVE-2025-26685 - Microsoft Defender for Identity Spoofing Vulnerability

Microsoft แก้ไขช่องโหว่ใน Microsoft Defender ซึ่งทำให้สามารถโจมตีได้โดยไม่ต้องผ่านการยืนยันตัวตน เพื่อปลอมแปลงบัญชีอื่นได้ ซึ่งเกิดจากการตรวจสอบสิทธิ์ที่ไม่เหมาะสมใน Microsoft Defender for Identity

ช่องโหว่ดังกล่าวทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตน สามารถเข้าถึงได้ผ่านการเข้าถึง LAN โดย Microsoft ระบุว่า Joshua Murrell จาก NetSPI เป็นผู้ค้นพบช่องโหว่นี้

CVE-2025-32702 - Visual Studio Remote Code Execution Vulnerability

Microsoft แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล ซึ่งทำให้ Hacker ที่ไม่ต้องผ่านการยืนยันตัวตน สามารถโจมตีผ่าน Visual Studio ได้ โดยเกิดจากการจัดการ special elements อย่างไม่เหมาะสมใน command ('command injection')

Microsoft ยังไม่ได้เปิดเผยว่าใครเป็นผู้ค้นพบช่องโหว่นี้

การอัปเดตด้านความปลอดภัยจากบริษัทอื่น ๆ

นอกจาก Microsoft ได้ออกแพตซ์อัปเดต Patch Tuesday ประจำเดือนพฤษภาคม 2025 แล้ว ยังมีบริษัทอื่น ๆ ที่ออกแพตซ์อัปเดตด้านความปลอดภัยเช่นกัน ได้แก่ :

Apple ออกแพตซ์อัปเดตความปลอดภัยสำหรับ iOS, iPadOS และ macOS
Cisco ออกแพตซ์อัปเดตช่องโหว่ระดับ Critical ในซอฟต์แวร์ IOS XE สำหรับ Wireless LAN Controllers
Fortinet ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับผลิตภัณฑ์จำนวนมาก รวมถึงการโจมตีช่องโหว่ Zero-Day ที่ถูกใช้ในการโจมตี FortiVoice
Google ออกแพตซ์อัปเดตด้านความปลอดภัยประจำเดือนพฤษภาคม 2025 สำหรับ Android โดยแก้ไขช่องโหว่ zero-click FreeType 2 code execution ที่กำลังถูกใช้ในการโจมตี
Intel เปิดเผย CPU microcodes สำหรับช่องโหว่ชื่อ "Branch Privilege Injection" ซึ่งรั่วไหลข้อมูลจาก privileged memory
SAP ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับผลิตภัณฑ์หลายรายการ รวมถึงช่องโหว่ RCE ระดับ Critical
SonicWall ออกแพตซ์อัปเดตแก้ไขช่องโหว่ Zero-Day ที่กำลังถูกนำไปใช้ในการโจมตี

ที่มา : bleepingcomputer

เมื่อวันพุธที่ 14 พฤษภาคม 2025 ที่ผ่านมา Google ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยจำนวน 4 รายการในเว็บเบราว์เซอร์ Chrome ซึ่งรวมถึงช่องโหว่หนึ่งในนั้นที่บริษัทพบว่ามีการนำไปใช้ในการโจมตีจริงแล้ว

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2025-4664 (คะแนน CVSS: 4.3) ถูกระบุว่าเป็นกรณีของการบังคับใช้ insufficient policy ในส่วนประกอบที่เรียกว่า Loader

ตามคำอธิบายของช่องโหว่ดังกล่าว ถูกระบุว่า "การบังคับใช้ Insufficient policy ในส่วน Loader ของ Google Chrome ในเวอร์ชันก่อนหน้านี้ 136.0.7103.113 ทำให้ผู้โจมตีจากภายนอกสามารถทำให้เกิดการรั่วไหลของ cross-origin data ผ่าน HTML page ที่ถูกสร้างขึ้นมาเป็นพิเศษได้"

Google ได้ให้เครดิตกับ Vsevolod Kokorin (@slonser_) นักวิจัยด้านความปลอดภัย ที่เป็นผู้เปิดเผยรายละเอียดของช่องโหว่ดังกล่าวบน X เมื่อวันที่ 5 พฤษภาคม 2025 พร้อมระบุว่าบริษัททราบแล้วว่า มีการนำช่องโหว่ CVE-2025-4664 ไปใช้ในการโจมตีจริง

Kokorin ระบุบน X เมื่อต้นเดือนนี้ว่า "แตกต่างจากเบราว์เซอร์อื่น ๆ เพราะ Chrome ทำการประมวลผล Link header บน request ของ sub-resource และปัญหาคือ Link header สามารถกำหนด referrer-policy ได้ ซึ่งเราสามารถระบุค่า unsafe-url และดักจับ query parameters ทั้งหมดได้"

นักวิจัยระบุเพิ่มเติมว่า Query parameters อาจมีข้อมูลสำคัญที่สามารถนำไปสู่การยึดครองบัญชีของผู้ใช้ทั้งหมดได้ และข้อมูลของ Query parameter เหล่านี้สามารถถูกขโมยผ่านรูปภาพจากแหล่งภายนอกได้

ยังไม่ชัดเจนว่าช่องโหว่นี้ถูกนำไปใช้ในบริบทที่เป็นอันตรายนอกเหนือจากการสาธิตแบบ Proof-of-Concept (PoC) นี้หรือไม่ ช่องโหว่ CVE-2025-4664 นี้นับเป็นช่องโหว่รายการที่สองต่อจาก CVE-2025-2783 ที่ถูกพบว่ามีการนำไปใช้ในการโจมตีจริง

เพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้น ขอแนะนำให้ผู้ใช้ทำการอัปเดตเบราว์เซอร์ Chrome ของตนให้เป็นเวอร์ชัน 136.0.7103.113/.114 สำหรับ Windows กับ Mac และเวอร์ชัน 136.0.7103.113 สำหรับ Linux นอกจากนี้ ผู้ใช้เบราว์เซอร์อื่น ๆ ที่พัฒนาบนพื้นฐาน Chromium เช่น Microsoft Edge, Brave, Opera และ Vivaldi ก็ควรอัปเดตแพตช์ทันทีเมื่อมีการปล่อยการอัปเดตออกมาเช่นกัน

ที่มา : thehackernews

Adobe ได้ออกอัปเดตความปลอดภัยที่สำคัญ เพื่อแก้ไขช่องโหว่ระดับความรุนแรง High ทั้งหมด 3 รายการ (CVE-2025-30324, CVE-2025-30325, CVE-2025-30326) ใน Photoshop 2024 และ 2025 ซึ่งสามารถทำให้ผู้ไม่หวังดีรันได้โค้ดตามที่ต้องการบนระบบปฏิบัติการ Windows และ macOS

ช่องโหว่เหล่านี้ถูกพบโดยนักวิจัยจากภายนอกชื่อ yjdfy ผ่านโปรแกรม bug bounty บนแพลตฟอร์ม HackerOne ของ Adobe ซึ่งเกี่ยวข้องกับความเสี่ยงด้าน Memory Corruption ที่เกิดจากการจัดการ integer และการเข้าถึง Pointer ที่ยังไม่ได้ถูกกำหนดค่า

แม้ยังไม่พบการโจมตีโดยใช้ช่องโหว่นี้ในทางปฏิบัติ แต่แพตช์ที่ออกเมื่อวันที่ 13 พฤษภาคม 2025 ได้ลดความเสี่ยงจากรูปแบบการโจมตีที่ต้องมีการโต้ตอบของผู้ใช้งานผ่านการเปิดไฟล์ที่เป็นอันตราย

ช่องโหว่เหล่านี้มีศูนย์กลางอยู่ที่การจัดการหน่วยความจำที่ไม่เหมาะสมขณะประมวลผลไฟล์ภาพ

CVE-2025-30324 เกี่ยวข้องกับ error ด้าน Integer Underflow/Wraparound ใน layer compositing engine ของ Photoshop โดยเกิดขึ้นเมื่อค่าที่มากกว่าถูกลบออกจากค่าที่น้อยกว่า ซึ่งเป็นตัวเลขแบบ Unsigned ส่งผลให้เกิดตำแหน่งหน่วยความจำที่ไม่ถูกต้อง

ผู้ไม่หวังดีอาจใช้ใช้ประโยชน์จากช่องโหว่นี้ด้วยการสร้างไฟล์ .PSD แบบพิเศษเพื่อจะทริกเกอร์เงื่อนไข Buffer Underwrite ซึ่งส่งผลให้พื้นที่หน่วยความจำใกล้เคียงเกิด corrupt

CVE-2025-30325 เกิดจากช่องโหว่ Integer Overflow ในโมดูลแปลงค่าสีแบบ CMYK โดยเมื่อมีการใช้ Color Profile ที่ถูกออกแบบพิเศษให้เกินขีดจำกัดของตัวเลข 32 บิต ระหว่างการคำนวณพิกเซล จะทำให้เกิด Heap Buffer Overflow

ทั้งสองช่องโหว่ได้รับคะแนน CVSSv3.1 ที่ 7.8 เนื่องจากเป็นการโจมตีแบบ local ที่ต้องอาศัยการเปิดไฟล์อันตรายโดยผู้ใช้งาน

ช่องโหว่ที่สาม CVE-2025-30326 เกี่ยวข้องกับการจัดการ Metadata Tag แบบเก่าในไฟล์ TIFF ของ Photoshop

การกำหนดค่า Pointer ที่ไม่เหมาะสมในระหว่างการอ่านข้อมูล Exif จาก Header ที่ถูกแก้ไข อาจทำให้ Pointer ไปอ้างอิงตำแหน่งหน่วยความจำที่ผู้ไม่หวังดีควบคุมได้

ประกาศของ Adobe ระบุว่าทั้งสามช่องโหว่สามารถนำไปสู่การรันโค้ดตามที่ต้องการในระดับสิทธิ์ของผู้ใช้งานที่เป็นเป้าหมาย ซึ่งมีความเสี่ยงสูงเนื่องจาก Photoshop จะทำงานด้วยสิทธิ์ที่สูง

การติดตั้งแพตช์ และการลดผลกระทบ

เวอร์ชันที่ได้รับผลกระทบ ได้แก่ Photoshop 2025 (26.5 และเวอร์ชันก่อนหน้า) และ Photoshop 2024 (25.12.2 และเวอร์ชันก่อนหน้า) ทั้งบน Windows และ macOS

การอัปเดตเวอร์ชัน 26.6 สำหรับ Photoshop 2025 และ 25.12.3 สำหรับ Photoshop 2024 ได้เพิ่มความเข้มงวดในการตรวจสอบขอบเขตในกระบวนการ Raster และเพิ่มขั้นตอนการตรวจสอบ Pointer

ผู้ใช้งาน Creative Cloud จะได้รับการอัปเดตโดยอัตโนมัติผ่านบริการ Desktop App’s Background แต่ผู้ดูแลระบบต้องอนุมัติการติดตั้งแพตช์ด้วยตนเองในสภาพแวดล้อมที่มีการจัดการผ่าน Admin Console

องค์กรควรให้ความสำคัญกับการทดสอบความเข้ากันของแพตช์กับปลั๊กอินของ Third-party เนื่องจากการเปลี่ยนแปลงโครงสร้างหน่วยความจำอาจส่งผลกระทบต่อ extension รุ่นเก่า

การลดผลกระทบชั่วคราวสำหรับระบบที่ยังไม่ได้ติดตั้งแพตช์ คือการกำหนด Group Policy (สำหรับ Windows) หรือโปรไฟล์ MDM (สำหรับ macOS) เพื่อจำกัดการเปิดไฟล์จากแหล่งที่ไม่น่าเชื่อถือใน Photoshop

อย่างไรก็ตาม Adobe เน้นย้ำว่าแนวทางเหล่านี้อาจส่งผลกระทบต่อการทำงานของซอฟต์แวร์ และไม่ควรใช้โดยไม่มีการติดตั้งแพตช์ถาวร

ผลกระทบต่อผู้ใช้งานในสายงานด้าน Creative

ช่องโหว่เหล่านี้สะท้อนให้เห็นถึงความท้าทายอย่างต่อเนื่องในการรักษาความปลอดภัยของซอฟต์แวร์กราฟิกที่มีความซับซ้อนต่อการโจมตีผ่านไฟล์

แม้ว่า Adobe จะมีรางวัลสูงสุดถึง $250,000 สำหรับการรายงานช่องโหว่ระดับ Critical แต่การที่ช่องโหว่นี้ถูกค้นพบโดยนักวิจัยเพียงคนเดียวอาจแสดงให้เห็นถึงช่องโหว่ในการตรวจสอบโค้ดสำหรับช่องโหว่ประเภท Memory Corruption

ทีม PSIRT ของบริษัทได้ขยายโครงสร้างพื้นฐานสำหรับการทดสอบ fuzzing ใน image codec ตั้งแต่ปี 2023 แต่กรณีเฉพาะในไฟล์ฟอร์แมตเก่ายังคงเป็นปัญหา

สำหรับผู้ใช้งาน การอัปเดตครั้งนี้แสดงให้เห็นถึงความสำคัญของการจัดการ Software Lifecycle โดยองค์กรที่ยังใช้ Photoshop 2024 ต้องพิจารณาความเร่งด่วนในการอัปเกรดเทียบกับความเสี่ยงต่อการกระทบกับขั้นตอนการทำงาน

นักวิเคราะห์ด้านความปลอดภัยแนะนำให้ใช้ Sandbox กับซอฟต์แวร์กราฟิกผ่านเทคนิค Virtualization หรือ Containerization โดยเฉพาะการแลกเปลี่ยนไฟล์จากภายนอก

การเปิดเผยข้อมูลอย่างโปร่งใสของ Adobe ยังคงแสดงให้เห็นถึงแนวโน้มที่ดีขึ้นด้านความรับผิดชอบของผู้พัฒนาซอฟต์แวร์ โดยมีการออกแพตช์ภายใน 90 วันหลังจากนักวิจัยรายงานช่องโหว่

เนื่องจากการโจมตีผ่านไฟล์เริ่มมุ่งเป้าไปยังอุตสาหกรรม Creative มากขึ้น เหตุการณ์นี้จึงแสดงให้เห็นถึงความจำเป็นของการแบ่งปันข่าวกรองภัยคุกคามเฉพาะกลุ่มผ่านแพลตฟอร์มอย่างเครือข่าย AIS ของ CISA

การอัปเดตนี้ถือเป็นแพตช์ความปลอดภัยที่สำคัญครั้งที่ 4 ของ Photoshop ในปี 2025 สะท้อนถึงความเข้มข้นของการวิจัยด้านความปลอดภัย และ Attack Surface ที่เพิ่มขึ้นจากฟีเจอร์ที่ขับเคลื่อนด้วย AI

ผู้ใช้งานควรตรวจสอบสถานะการอัปเดตของ Creative Cloud ทันที และตรวจสอบกิจกรรมที่เกี่ยวกับการประมวลผลไฟล์ล่าสุดเพื่อหาความผิดปกติ

แม้ว่ามาตรการปัจจุบันจะลดโอกาสการถูกโจมตีได้ แต่ความซับซ้อนทางเทคนิคของช่องโหว่ด้าน Memory Corruption ทำให้ยังคงมีความเสี่ยงอย่างต่อเนื่องที่ต้องจับตาอย่างใกล้ชิด

ที่มา : gbhackers

นักวิจัยด้านความปลอดภัยได้สาธิตวิธีการ Non-Invasive ที่สามารถ Bypass การเข้ารหัสของ Microsoft BitLocker บนอุปกรณ์ Windows ได้ภายในเวลาเพียง 5 นาที โดยไม่ต้องแก้ไขฮาร์ดแวร์ทาง physical

ช่องโหว่ Bitpixie (CVE-2023-21563) สามารถทำให้ผู้ไม่หวังดีสามารถดึงคีย์การเข้ารหัส BitLocker ออกมาได้ในระยะเวลาสั้น ๆ ซึ่งอาจทำให้ข้อมูลสำคัญบนอุปกรณ์ขององค์กร และข้อมูลของผู้ใช้งานทั่วไปที่ไม่มีการยืนยันตัวตนก่อนบูต (Pre-Boot Authentication) ถูกเปิดเผย

ช่องโหว่ Bitpixie ถูกพบครั้งแรกในปี 2022 และถูกนำเสนอที่งาน Chaos Communication Congress (38C3) โดยนักวิจัยด้านความปลอดภัย Thomas Lambertz ซึ่งใช้ประโยชน์จากช่องโหว่ระดับ Critical ในการเข้ารหัสของ BitLocker บน Windows

ต่างจากการโจมตีแบบ TPM Sniffing ที่ใช้ฮาร์ดแวร์แบบเก่า ที่ต้องใช้ทักษะ และความรู้เฉพาะทาง Bitpixie ใช้การโจมตีด้วยซอฟต์แวร์เพียงอย่างเดียว และไม่ทิ้งร่องรอยทาง physical

นักวิจัย Marc Tanner จาก Compass Security ระบุว่า "การใช้ประโยชน์จากช่องโหว่ Bitpixie นั้นเป็นแบบ "Non-Invasive" ไม่ต้องมีการแก้ไขอุปกรณ์ และไม่จำเป็นต้องสร้างดิสก์อิมเมจ ดังนั้นจึงสามารถเจาะระบบได้อย่างรวดเร็ว (ประมาณ 5 นาที)"

ช่องโหว่นี้มีเป้าหมายเฉพาะระบบที่ใช้ BitLocker โดยไม่มีการยืนยันตัวตนก่อนบูต ซึ่งเป็นการตั้งค่าเริ่มต้นของอุปกรณ์ Windows หลายเครื่อง

Exploits บน Linux และ Windows PE

นักวิจัยด้านความปลอดภัยได้พัฒนาวิธีการโจมตีที่แตกต่างกันสองวิธี โดยแต่ละวิธีมีข้อกำหนด และความสามารถที่แตกต่างกัน

การโจมตีบน Linux ใช้กระบวนการหลายขั้นตอน โดยเริ่มจากการเข้าสู่ Windows Recovery Environment และใช้การบูตเครือข่าย (PXE) เพื่อดาวน์โหลด Windows Boot Manager ที่มีช่องโหว่

จากนั้น Bootloader ที่ถูก downgraded นี้สามารถควบคุมเพื่อดึง BitLocker Volume Master Key (VMK) จากหน่วยความจำของระบบ ซึ่งช่วยให้สามารถถอดรหัสดิสก์ได้ทั้งหมด

สำหรับระบบที่บล็อกส่วนประกอบที่ signed โดย third-party เช่น Lenovo secured-core PCs นักวิจัยได้สร้างเทคนิคการโจมตีที่ใช้ Windows PE ซึ่งใช้เพียงแค่ส่วนประกอบที่ signed โดย Microsoft เท่านั้น

นักวิจัยระบุว่า "วิธีการนี้ใช้เฉพาะ components หลักที่ได้รับการ signed จาก Microsoft และสามารถใช้กับอุปกรณ์ที่ได้รับผลกระทบทั้งหมด ตราบใดที่อุปกรณ์นั้นเชื่อถือ Certificate ของ Microsoft Windows Production PCA 2011"

ทั้งสองวิธีนี้ต้องการเพียงการเข้าถึงแบบ physical access ชั่วคราว, การเชื่อมต่อเครือข่าย และไม่ต้องใช้อุปกรณ์ฮาร์ดแวร์เฉพาะทาง

การป้องกันการโจมตีแบบ BitLocker Bypass

ช่องโหว่หลักของการตั้งค่าเริ่มต้นใน BitLocker เกิดจากการใช้การป้องกัน TPM เพียงอย่างเดียว โดยไม่มีปัจจัยการยืนยันตัวตนเพิ่มเติม

นักวิจัยระบุว่า "ช่องโหว่นี้ยังคงมีอยู่ เนื่องจากข้อจำกัดในการจัดเก็บ Certificate ใน UEFI โดย Certificate Secure Boot ใหม่ คาดว่าจะยังไม่พร้อมใช้งานก่อนปี 2026"

Microsoft พยายามแก้ไขปัญหานี้ แต่เนื่องจากข้อจำกัดเชิงสถาปัตยกรรม และข้อกำหนดความเข้ากันได้ของเวอร์ชันเก่า ช่องโหว่นี้จึงยังสามารถถูกโจมตีได้ผ่านเทคนิค Bootloader downgrade

องค์กรสามารถลดความเสี่ยงได้ด้วยการเปิดใช้งานการยืนยันตัวตนก่อนบูต โดยบังคับให้ผู้ใช้งานต้องใส่ PIN หรือใช้ USB key ก่อนที่ระบบจะเริ่มทำงาน

การอัปเดตความปลอดภัยของ Microsoft KB5025885 ยังช่วยลดความเสี่ยง โดยการเพิ่ม Certificates Secure Boot ใหม่ และเพิกถอน Certificates เก่า

แนวทางป้องกันเพิ่มเติมที่แนะนำ ได้แก่ การปิดใช้งานการบูตผ่านเครือข่ายจากการตั้งค่า BIOS/UEFI และการใช้ BitLocker PIN แบบกำหนดเอง

ทีมวิจัยสรุปว่า "ช่องโหว่ Bitpixie รวมถึงการโจมตีที่ใช้ฮาร์ดแวร์ และซอฟต์แวร์ทั่วไป สามารถลดความเสี่ยงได้โดยการบังคับใช้การยืนยันตัวตนก่อนบูต" พร้อมเน้นย้ำว่าการตั้งค่าเริ่มต้นของ BitLocker ที่ไม่มีความปลอดภัยเพิ่มเติมยังคงเสี่ยงต่อการถูกโจมตี

ที่มา : gbhackers

กลุ่มผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยทางไซเบอร์จากบริษัท Hunters ภายใต้ทีมที่มีชื่อเสียงอย่าง Team Axon ได้เปิดเผยเทคนิคการค้นหาภัยคุกคามขั้นสูงในงานวิจัยที่ล้ำสมัยที่ชื่อว่า “Mastering Azure Managed Identities: Attack & Defense, Part 2” โดยมีเป้าหมายเพื่อระบุ และป้องกันการนำ Azure Managed Identities (MIs) ไปใช้ในทางที่ผิด

ในขณะที่สภาพแวดล้อมคลาวด์ยังคงขยายตัวอย่างต่อเนื่อง MIs ที่ถูกออกแบบมาเพื่อลดความซับซ้อนในการจัดการข้อมูล credential สำหรับบริการ Azure ให้ง่ายขึ้น ได้กลับกลายเป็นดาบสองคม ที่ให้ทั้งความปลอดภัยที่เพิ่มขึ้น และเป็นช่องทางในการโจมตีหากมีการกำหนดค่าผิดพลาด หรือถูกบุกรุก

งานวิจัยล่าสุดนี้ได้เปลี่ยนแนวทางจากการโจมตีเชิงรุก ซึ่งได้กล่าวถึงไปใน Part ที่ 1 มาเป็นการป้องกันเชิงรุก โดยเตรียมเครื่องมือที่ใช้งานได้จริงให้กับทีมรักษาความปลอดภัย เพื่อปกป้อง Azure ecosystems จากภัยคุกคามที่ระบุตัวตนได้

(more…)