นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้เปิดเผยถึงการแก้ไขช่องโหว่ที่ไม่สมบูรณ์ สำหรับช่องโหว่ด้านความปลอดภัยที่เคยได้รับการแก้ไขไปแล้วใน NVIDIA Container Toolkit ซึ่งหากช่องโหว่นี้ถูกโจมตีสำเร็จ อาจทำให้ข้อมูลสำคัญตกอยู่ในความเสี่ยง

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2024-0132 (คะแนน CVSS: 9.0) ซึ่งเป็นช่องโหว่ประเภท Time-of-Check Time-of-Use (TOCTOU) ที่สามารถนำไปสู่การโจมตีแบบ container escape และสามารถทำผู้โจมตีสามารถเข้าถึงระบบโฮสต์โดยไม่ได้รับอนุญาต

แม้ว่าช่องโหว่นี้จะได้รับการแก้ไขจาก NVIDIA ในเดือนกันยายน 2024 แต่การวิเคราะห์ล่าสุดโดย Trend Micro ได้เปิดเผยว่าแพตช์ที่ออกมายังไม่สมบูรณ์ และยังพบช่องโหว่ด้านประสิทธิภาพที่เกี่ยวข้อง ซึ่งส่งผลกระทบต่อ Docker บนระบบปฏิบัติการ Linux และอาจนำไปสู่สถานการณ์ Denial-of-service (DoS) ได้

นักวิจัยจาก Trend Micro, Abdelrahman Esmail ระบุในรายงานใหม่ที่เผยแพร่ในวันนี้ว่า "ปัญหาดังกล่าวอาจทำให้ผู้โจมตีสามารถ escape container เพื่อเข้าถึงทรัพยากรสำคัญบนโฮสต์ และทำให้เกิดการหยุดชะงักในการดำเนินงานได้"

การที่ช่องโหว่ TOCTOU ยังคงมีอยู่หมายความว่า container ที่ได้รับการสร้างขึ้นอย่างเฉพาะเจาะจง สามารถถูกใช้เพื่อเข้าถึง file system {}ของโฮสต์ และดำเนินการคำสั่งต่าง ๆ ด้วยสิทธิ์ของผู้ดูแลระบบ (root) ช่องโหว่นี้ส่งผลกระทบต่อเวอร์ชัน 1.17.4 หากฟีเจอร์ allow-cuda-compat-libs-from-container ถูกเปิดใช้งานเท่านั้น

Trend Micro ระบุว่า "ช่องโหว่เฉพาะนี้พบในฟังก์ชัน mount_files ซึ่งปัญหาเกิดจากการขาดกลไกการ locking ที่เหมาะสมในระหว่างดำเนินการกับอ็อบเจ็กต์ ซึ่งผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อยกระดับสิทธิ์ และรันโค้ดตามต้องการภายใต้บริบทของโฮสต์"

อย่างไรก็ตาม การยกระดับสิทธิ์ผ่านช่องโหว่นี้จะสามารถเกิดขึ้นได้ ก็ต่อเมื่อผู้โจมตีมีความสามารถในการรันโค้ดภายในคอนเทนเนอร์อยู่ก่อนแล้ว

ช่องโหว่นี้มีหมายเลข CVE-2025-23359 (คะแนน CVSS: 9.0) ซึ่งก่อนหน้านี้บริษัทด้านความปลอดภัยบนคลาวด์ Wiz ได้แจ้งเตือนว่า ช่องโหว่นี้ยังสามารถใช้เพื่อ bypass การป้องกันของช่องโหว่ CVE-2024-0132 ได้อีกด้วย โดยรายงานดังกล่าวถูกเปิดเผยเมื่อเดือนกุมภาพันธ์ 2025 โดยช่องโหว่นี้ได้รับการแก้ไขแล้วในเวอร์ชัน 1.17.4

บริษัทด้านความปลอดภัยทางไซเบอร์ระบุว่า ระหว่างการวิเคราะห์ช่องโหว่ CVE-2024-0132 ได้ตรวจพบปัญหาด้านประสิทธิภาพเพิ่มเติม ซึ่งอาจนำไปสู่ช่องโหว่ DoS บนเครื่องโฮสต์ โดยช่องโหว่นี้มีผลกระทบต่อ Docker ที่ใช้งานบนระบบปฏิบัติการ Linux

Esmail อธิบายว่า เมื่อมีการสร้าง container ใหม่พร้อมกำหนดค่าเมาท์หลายรายการที่กำหนดค่าโดยใช้ (bind-propagation=shared) จะมีการสร้างเส้นทาง parent/child หลายรายการ อย่างไรก็ตาม เมื่อ container ถูก terminate รายการเหล่านี้จะไม่ถูกลบออกจาก Linux mount table

ผลลัพธ์คือ mount table จะขยายตัวอย่างรวดเร็ว และไม่สามารถควบคุมได้ ส่งผลให้ทรัพยากร file descriptors (fd) ถูกใช้งานจนหมด ซึ่งนำไปสู่ปัญหาที่ Docker ไม่สามารถสร้าง container ใหม่ได้ นอกจากนี้ mount table ที่มีขนาดใหญ่อย่างมาก ยังส่งผลกระทบต่อประสิทธิภาพของระบบ และอาจทำให้ผู้ใช้ไม่สามารถเชื่อมต่อกับเครื่องโฮสต์ได้ เช่น ผ่าน SSH

เพื่อลดปัญหาดังกล่าว มีคำแนะนำให้ดำเนินมาตรการต่าง ๆ ได้แก่ การตรวจสอบ mount table ของ Linux อย่างสม่ำเสมอเพื่อหาการเพิ่มขึ้นที่ผิดปกติ, จำกัดการเข้าถึง Docker API เฉพาะบุคคลที่ได้รับอนุญาต, บังคับใช้นโยบายควบคุมการเข้าถึงที่เข้มงวด, ดำเนินการตรวจสอบการเชื่อมโยงระหว่างไฟล์ระบบของคอนเทนเนอร์กับโฮสต์, volume mounts และ socket connections

ที่มา : thehackernews

 

Microsoft กำลังทดสอบฟีเจอร์ใหม่ใน Defender for Endpoint ที่สามารถบล็อกการรับส่งข้อมูลระหว่าง undiscovered endpoints เพื่อป้องกันไม่ให้ผู้โจมตีสามารถโจมตีต่อไปภายในเครือข่ายได้

(more…)

Palo Alto Networks เปิดเผยว่า ขณะนี้บริษัทกำลังเฝ้าติดตามความพยายามเข้าสู่ระบบด้วยวิธี brute-force ที่มุ่งเป้าไปยัง GlobalProtect gateways บน PAN-OS ซึ่งเกิดขึ้นเพียงไม่กี่วันหลังจากนักวิเคราะห์ด้านภัยคุกคามออกมาเตือนถึงแนวโน้มของการสแกนเพื่อพยายามเข้าสู่ระบบในลักษณะที่ผิดปกติ และมีเป้าหมายไปที่อุปกรณ์ของบริษัทอย่างต่อเนื่อง

โฆษกของ Palo Alto Networks ให้ข้อมูลกับ The Hacker News ว่า ทีมงานตรวจพบพฤติกรรมที่เข้าข่ายการโจมตีด้วยรหัสผ่าน เช่น การพยายามเข้าสู่ระบบแบบ brute-force แต่ยังไม่พบหลักฐานว่ามีการเจาะระบบผ่านช่องโหว่ใดโดยตรง โดยทางบริษัทกำลังติดตามสถานการณ์อย่างใกล้ชิด พร้อมวิเคราะห์พฤติกรรมที่เกี่ยวข้อง เพื่อประเมินผลกระทบที่อาจเกิดขึ้น และพิจารณาความจำเป็นในการใช้มาตรการป้องกันเพิ่มเติม

เหตุการณ์นี้เกิดขึ้นหลังจากบริษัท GreyNoise ซึ่งเชี่ยวชาญด้านข่าวกรองภัยคุกคาม ออกมาแจ้งเตือนถึงการเพิ่มขึ้นอย่างผิดปกติของการสแกนเพื่อพยายามเข้าสู่ระบบในลักษณะที่ผิดปกติ โดยมุ่งเป้าไปยัง GlobalProtect portals บน PAN-OS

GreyNoise ระบุว่า การดำเนินการดังกล่าวเริ่มต้นเมื่อวันที่ 17 มีนาคม 2025 และพุ่งขึ้นถึงจุดสูงสุดด้วยจำนวน IP addresses ไม่ซ้ำกันกว่า 23,958 รายการ ก่อนที่แนวโน้มจะเริ่มลดลงในช่วงปลายเดือน รูปแบบของการดำเนินการนี้สะท้อนให้เห็นถึงความพยายามที่มีการประสานงานกันในการสำรวจระบบเครือข่าย เพื่อค้นหาระบบที่เปิดให้เข้าถึง หรือมีช่องโหว่ที่สามารถใช้โจมตีได้

การสแกนเพื่อพยายามเข้าสู่ระบบในครั้งนี้ มุ่งเป้าไปที่ระบบในสหรัฐอเมริกา, สหราชอาณาจักร, ไอร์แลนด์, รัสเซีย และสิงคโปร์เป็นหลัก

ปัจจุบันยังไม่สามารถยืนยันได้ว่าความพยายามเหล่านี้มีการแพร่กระจายไปในวงกว้างแค่ไหน หรือเกี่ยวข้องกับกลุ่มผู้ผู้โจมตีรายใดเป็นพิเศษ โดย The Hacker News ได้ติดต่อไปยัง Palo Alto Networks เพื่อขอความคิดเห็นเพิ่มเติม และจะมีการอัปเดตเนื้อหาเมื่อได้รับข้อมูลตอบกลับ

ในระหว่างนี้ บริษัทแนะนำให้ผู้ใช้งานตรวจสอบให้แน่ใจว่าระบบกำลังใช้ PAN-OS เวอร์ชันล่าสุด พร้อมทั้งดำเนินมาตรการเสริมเพื่อเพิ่มความปลอดภัย เช่น การบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA), การตั้งค่า GlobalProtect ให้รองรับการแจ้งเตือน MFA, การกำหนดนโยบายด้านความปลอดภัยเพื่อช่วยตรวจจับ และป้องกันการโจมตีแบบ brute-force, รวมถึงการจำกัดการเปิดให้สามารถเข้าถึงระบบจากอินเทอร์เน็ตเท่าที่จำเป็นเท่านั้น

ที่มา : thehackernews

 

 

Microsoft ออกมาแจ้งเตือนเกี่ยวกับกลุ่มแรนซัมแวร์ชื่อ 'RansomEXX' ที่ใช้ช่องโหว่ Zero-day ระดับความรุนแรงสูงใน Windows Common Log File System (CLFS) เพื่อยกระดับสิทธิ์เป็น SYSTEM บนระบบของเหยื่อ

(more…)

Microsoft ออก Patch Tuesday ประจำเดือนเมษายน 2025 โดยแก้ไขช่องโหว่ 134 รายการ ซึ่งรวมถึงช่องโหว่ Zero-days 1 รายการ ที่พบหลักฐานว่ากำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจจุบัน

โดย Patch Tuesday ประจำเดือนมีนาคม 2025 มีการแก้ไขช่องโหว่ระดับ Critical จำนวน 11 รายการ ซึ่งเป็นช่องโหว่ Remote Code Execution ทั้งหมด

(more…)

Adobe ประกาศอัปเดตแพตซ์ความปลอดภัยระดับ Critical สำหรับซอฟต์แวร์ยอดนิยมหลายรายการ โดยมีการแก้ไขช่องโหว่ที่อาจถูกผู้ไม่หวังดีกำลังนำไปใช้ประโยชน์ได้

(more…)

เมื่อวันที่ 21 มีนาคม 2025 ผู้ใช้งานที่ใช้ชื่อ 'rose87168' ได้โพสต์ข้อความบนเว็บไซต์ BreachForums โดยอ้างว่าสามารถเข้าถึงเซิร์ฟเวอร์การเข้าสู่ระบบของ Oracle Cloud ได้ และได้เสนอขายข้อมูลสำคัญ เช่น ข้อมูล Credentials ของระบบ SSO และ LDAP, คีย์ OAuth2 และข้อมูลของลูกค้าในแต่ละ tenant

(more…)

Cisco ได้เปิดเผยช่องโหว่สำคัญใน AnyConnect VPN Server สำหรับอุปกรณ์ Meraki MX และ Z Series ที่สามารถทำให้แฮ็กเกอร์ที่ผ่านการยืนยันตัวตน สามารถโจมตีจนทำให้เกิด Denial-of-Service (DoS) ได้

ช่องโหว่ (CVE-2025-20212) เกิดจากตัวแปรที่ไม่ได้ถูกกำหนดค่าในระหว่างการสร้างเซสชัน SSL VPN และส่งผลกระทบต่อโมเดลฮาร์ดแวร์มากกว่า 20 รุ่นที่ใช้งานในเครือข่ายองค์กร

(more…)

แคมเปญการโจมตีแบบกำหนดเป้าหมายได้ใช้ประโยชน์จากช่องโหว่ Server-Side Request Forgery (SSRF) บนเว็บไซต์ที่โฮสต์อยู่บน AWS EC2 เพื่อดึงข้อมูล EC2 Metadata  ซึ่งอาจรวมถึงข้อมูล Credentials ในส่วนของ Identity และ Access Management (IAM) จากปลายทาง IMDSv1 (more…)

Google ออกแพตช์ความปลอดภัยประจำเดือนเมษายน 2025 สำหรับระบบปฏิบัติการ Android เพื่อแก้ไขช่องโหว่ทั้งหมด 62 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Day 2 รายการที่กำลังถูกใช้ในการโจมตีแบบกำหนดเป้าหมาย (more…)