คู่รักในสหราชอาณาจักรพบข้อผิดพลาดของ Samsung Galaxy S10 สามารถปลดล็อคโทรศัพท์ได้โดยไม่ใช้ลายนิ้วมือที่ทำการตั้งค่าไว้ เพียงเพราะว่าใช้เคสซิลิโคนป้องกันตัวเครื่องแบบที่ครอบหน้าจอเพื่อกันรอย ทำให้ลายนิ้วมือติดอยู่ที่หน้าจอ เมื่อคนอื่นทำการปลดล็อคหน้าจอ ระบบสแกนลายนิ้วมือเลยจำค่าลายนิ้วมือที่ติดอยู่ที่หน้าจอซิลิโคนตอนตั้งค่าเครื่อง ระบบจึงสับสนทำให้การปลดล็อดผิดพลาด ซึ่งหลังจากที่ได้มีการแจ้งไปยังทาง Samsung มีการแนะนำว่าให้ใช้อุปกรณ์ที่ผ่านการรับรองแล้วของ Samsung เท่านั้น

ซึ่งข้อผิดพลาดนี้เป็นปัญหาเกี่ยวกับการใช้อุปกรณ์ป้องกันหน้าจอที่ไม่ได้มาตรฐานความปลอดภัย ทำให้เซนเซอร์สแกนลายนิ้วมือไม่สามารถสแกนผ่านซิลิโคนไปยังลายนิ้วมือจริงได้

ซึ่งระบบสแกนลายนิ้วมือใต้จอของ Samsung S10 และ S10+ ใช้ระบบอัลตราซาวด์ โดยสร้างแผนที่สามมิติของลายนิ้วมือซึ่งใช้ในการปลดล็อคเครื่องของผู้ใช้

ที่มา : bleepingcomputer และ thesun

ประกาศสำหรับผู้ใช้ Linux พบช่องโหว่ใน Sudo ซึ่งเป็น Command หลักของระบบ Linux โดยช่องโหว่นี้ยอมให้รันคำสั่งในฐานะ root แม้ตั้งค่าใน sudoers configuration ไม่ให้รันได้ โชคดีที่ช่องโหว่นี้ทำงานได้ก็ต่อเมื่อมีการตั้งค่าแตกต่างจากการตั้งค่าปกติเท่านั้น ทำให้ผู้ใช้งาน Linux ทั่วไปจะไม่ได้รับผลกระทบ

การตั้งค่าไม่ปกติดังกล่าวคือ การตั้งค่าให้ผู้ใช้งานสามารถรันคำสั่งเป็นผู้ใช้งานอื่นได้ยกเว้น root เช่น ตั้งค่าใน sudoers configuration ว่า

bob myhost = (ALL, !root) /usr/bin/vi

แปลว่า bob สามารถรันคำสั่ง vi เป็นผู้ใช้งานใดก็ได้ยกเว้น root เช่น สามารถรันคำสั่ง sudo -u#[UID] vi ซึ่งจะทำให้ bob รันคำสั่งเป็นผู้ใช้งานเลข UID ใดๆ ก็ได้

แต่ช่องโหว่ดังกล่าวจะเกิดเมื่อ bob รันคำสั่ง sudo -u#-1 vi หรือ sudo -u#4294967295 vi ซึ่งเมื่อรันด้วยเลข UID -1 หรือ 4294967295 จะทำให้ bob ได้สิทธิ์ root ซึ่งขัดกับที่ตั้งคำสั่งห้ามไว้

ช่องโหว่นี้ได้รับ CVE-2019-14287 พบโดย Joe Vennix ของ Apple Information Security

ผู้ใช้งานควรตรวจสอบว่ามีการตั้งค่าที่เสี่ยงกับช่องโหว่ดังกล่าวหรือไม่และควรอัปเดต sudo ให้เป็น 1.8.28

ที่มา thehackernews redhat และ bleepingcomputer

Symantec ออกมายอมรับวันนี้ว่าอัปเดตล่าสุดของ Symantec Endpoint Protection เป็นสาเหตุทำให้เกิดเหตุการณ์จอฟ้า (Blue Screen of Death - BSOD) ซึ่งตรวจพบกับคอมพิวเตอร์เป็นจำนวนมากรวมไปถึงระบบในประเทศไทยด้วย

การสังเกตว่าเหตุการณ์การจอฟ้าที่เกิดขึ้นในช่วงนี้นั้นเป็นสาเหตุมาจากอัปเดตดังกล่าวสามารถทำได้ง่ายๆ โดยการตรวจสอบจากข้อความแจ้งเตือนข้อผิดพลาดเมื่อเกิดการจอฟ้าขึ้น โดยจะเป็นข้อความแสดงข้อผิดพลาดว่า BAD_POOL_CALLER (c2) หรือ KERNEL_MODE_HEAP_CORRUPTION (13A) โดยในกรณีที่สามารถตรวจสอบกับไฟล์ crash dump ได้ จะพบว่าไดร์เวอร์ซึ่งทำให้เกิดการจอฟ้านั้นคือไดร์เวอร์ชื่อ IDSvix86.sys/IDSvia64.sys

ในขณะนี้วิธีการแก้ไขซึ่งทาง Symantec ได้มีการแนะนำคือการพยายามอัปเดต signature ของฟีเจอร์ Intrusion Prevention จากรุ่น 2019/10/14 r61 ซึ่งทำให้เกิดปัญหาไปเป็นรุ่น r62 หรือรุ่นที่เก่ากว่าและใช้งานไปก่อนจนกว่าจะมีขั้นตอนเพิ่มเติม แม้จะไม่มีการระบุรุ่นของระบบปฏิบัติการที่ได้รับผลกระทบในตอนนี้ เราพบว่ารุ่นของระบบปฏิบัติการที่ได้รับผลกระทบโดยส่วนใหญ่คือ Windows 10 รุ่น 1803 และอาจรวมไปถึงรุ่นอื่นๆ ด้วยเช่นกัน

ที่มา : theregister

vBulletin เปิดตัว Patch สำหรับแก้ไขช่องโหว่ RCE (การเรียกใช้ Code จากระยะไกล) CVE-2019-17132 ซึ่งมีผลกระทบต่อ vBulletin 5.5.4 และเวอร์ชั่นก่อนหน้านี้ รวมทั้งช่องโหว่ SQLi CVE-2019-17271 เป็นการเข้าถึงฐานข้อมูลของผู้ดูแลระบบที่ปกติไม่มีสิทธิ์ในการเข้าถึง

RCE เป็นช่องโหว่ในส่วนที่ใช้จัดการการร้องขอเพื่อเปลี่ยนรูปแสดงตัวตนใน Forum (avatar) แต่การโจมตีช่องโหว่จะเกิดขึ้นได้เมื่อมีการเปิดใช้งาน "Save Avatars as Files" ส่งผลให้ผู่ไม่หวังดีสามารถสั่งรัน PHP Code ที่เป็นอันตรายได้จากระยะไกล และได้มีการปล่อยชุดคำสั่งสำหรับทดสอบช่องโหว่ (PoC Exploit Code) ดังกล่าวออกมาแล้ว

SQLi เป็นสองช่องโหว่ที่เกิดจากการทำ SQL Injection ส่งผลให้ผู้ดูแลระบบที่ไม่มีสิทธิ์ในการเข้าถึงฐานข้อมูล สามารถเข้าไปดูข้อมูลสำคัญได้ อย่างไรก็ตามการโจมตีผ่านช่องโหว่นี้จำเป็นจะต้องได้รับสิทธิ์บางอย่างเพิ่มเติมก่อน ดังนั้นจึงไม่ใช่ช่องโหว่ที่จะสามารถถูกโจมตีได้อย่างง่ายดาย

มีการออกแพทช์เพื่อแก้ไขช่องโหว่ไปเมื่อวันที่ 30 กันยาที่ผ่านมา โดยมีการอัพเดตเป็นเวอร์ชั่นใหม่ ดังนี้
vBulletin 5.5.4 Patch Level 2
vBulletin 5.5.3 Patch Level 2
vBulletin 5.5.2 Patch Level 2
แนะนำให้ผู้ดูแลระบบทำการอัพเดตเพื่อป้องกันไม่ให้ข้อมูลผู้ใช้งานของตนเอง ตกไปอยู่ในมือผู้ไม่หวังดี

ที่มา: thehackernews.

พบช่องโหว่การเรียกรันคำสั่งระยะไกล (RCE) ที่มีอายุถึง 7 ปีถูกค้นพบใน iTerm2 ของ macOS - หนึ่งในโอเพนซอร์ซที่ได้รับความนิยมมากที่สุดสำหรับแอพเทอร์มินัลในตัวของ Mac

ช่องโหว่ได้รับ CVE-2019-9535 ถูกค้นพบโดยนักตรวจสอบความปลอดภัยอิสระซึ่งได้รับทุนจากโปรแกรม Mozilla Open Source Support (MOSS) และบริษัท Radically Open Security (ROS) จากการเปิดเผยในวันนี้โดย Mozilla ระบุว่าช่องโหว่ RCE อยู่ในส่วน tmux ของ iTerm2 ซึ่งหากถูกโจมตีจะทำให้สามารถรันคำสั่งที่ต้องการได้ จากวิดีโอที่เผยแพร่ออกมาแสดงให้เห็นว่าการโจมตีสามารถทำงานได้ผ่าน Command-line ของระบบปฏิบัติการได้ ซึ่งต่างจากการโจมตีโดยทั่วไปที่มักต้องมีการโต้ตอบจากผู้ใช้งานด้วย ช่องโหว่ดังกล่าวจึงค่อนข้างน่ากังวล ผู้สนใจสามารถศึกษาได้จากวิดีโอในลิงก์ที่มาได้

ช่องโหว่ดังกล่าวส่งผลกระทบต่อ iTerm2 เวอร์ชั่น 3.3.5 และก่อนหน้า อย่างไรก็ตามช่องโหว่เพิ่งได้รับการแก้ไขด้วยการเปิดตัว iTerm2 3.3.6

ที่มา: thehackernews

พบข้อมูลเครดิตรั่วไหลจากเหตุการณ์การโจมตี TransUnion

จากเหตุการณ์ที่มีบุคคลที่ไม่ได้รับอนุญาตเข้าถึง Web Portal ของ TransUnion Canada และสามารถเข้าถึงข้อมูลเกี่ยวกับเครดิตของผู้ใช้บริการ บริษัทได้มีการส่งอีเมลแจ้งไปยังผู้ใช้บริการที่ถูกเข้าถึงข้อมูลแบบไม่ได้รับอนุญาต โดยรายละเอียดที่แจ้งมีการระบุว่า "พบการเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต เพื่อค้นหาข้อมูลเครดิตของผู้ใช้บริการระหว่างวันที่ 28 มิถุนายน ถึง 11 กรกฎาคม" เมื่อสามารถเข้าถึงได้แล้ว ผู้ไม่หวังดีสามารถที่จะค้นหาข้อมูลโดยใช้ชื่อ, ที่อยู่, วันเกิด หรือเลขประกันสังคม (SIN) หากข้อมูลที่ค้นหาถูกต้อง ไฟล์ข้อมูลเครดิตของผู้ใช้บริการายนั้นจะปรากฎขึ้นมา ซึ่งจะแสดงข้อมูลเงินกู้ และประวัติการชำระหนี้ เป็นต้น แต่จะไม่มีข้อมูลเลขบัญชีที่แท้จริง

เหตุการณ์นี้ส่งผลให้ผู้ใช้บริการบางรายถูกขโมยข้อมูลที่สามารถระบุตัวตน (Identity Theft) ไปได้ จึงมีคำแนะนำให้ผู้ใช้บริการที่คาดว่าจะได้รับผลกระทบ ทำการเฝ้าระวังการใช้งานบัญชีเครดิตของตัวเองที่ผิดปกติ อย่างไรก็ตามผู้ใช้บริการที่ได้รับผลกระทบจะได้รับบริการเฝ้าระวังการใช้งานบัญชีเครดิตที่ผิดปกติจาก TransUnion ได้ฟรี 2 ปี

ที่มา: bleepingcomputer

 

National Cyber Security Centre (NCSC) ของอังกฤษ เตือนให้ระวังการโจมตีผ่านช่องโหว่ที่มีการเปิดเผยของอุปกรณ์ VPN ต่างๆ โดยการใช้เทนนิคที่ซับซ้อน (Advanced Persistent Threat หรือ APT) เช่น Fortinet, Palo Alto Networks และ Pulse Secure ในการโจมตีพบการกระทำนี้เกิดขึ้นอย่างต่อเนื่อง มีเป้าหมายทั้งในอังกฤษและองค์กรระหว่างประเทศ ครอบคลุมทั้งภาครัฐ กองทัพ สถานบันการศึกษา ภาคธุรกิจและทางการแพทย์

การรายงานกล่าวถึงกลุ่มผู้โจมตีเหล่านี้มีการใช้ช่องโหว่หลายรายการ ประกอบด้วย CVE-2019-11510 (ทำให้สามารถอ่านไฟล์สำคัญโดยไม่ได้รับอนุญาต) และ CVE-2019-11539 ใน Pulse Secure VPN solutions และ CVE-2018-13379 โดย CVE-2018-13379 คือเป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเข้าถึง Directory อื่นๆ นอกเหนือจากที่ถูกจำกัดให้เข้าถึงได้ (Path Traversal) บน Web Portal ของ FortiOS SSL VPN ส่งผลให้สามารถดาวน์โหลด FortiOS system files และสามารถโจมตีเพื่อขโมย credential ของบัญชี administrator ในรูปแบบที่ไม่ถูกเข้ารหัสได้ และยังมีการใช้ CVE-2018-13382, CVE-2018-13383, และ CVE-2019-1579, ในผลิตภัณฑ์ Palo Alto Networks อีกด้วย

ผู้ใช้ผลิตภัณฑ์ VPN เหล่านี้ควรจะต้องมีการตรวจสอบ logs เพื่อหาหลักฐานการบุกรุกนี้ เช่น การเรียกจาก IP Address ที่ผิดปกติ หากว่ายังไม่สามารถติดตั้งแพทช์เพื่อแก้ไข

ที่มา : securityaffairs

พบความพยายามในการติดตั้งมัลแวร์โดยอาศัยช่องโหว่ของ Drupal ที่มีชื่อว่า "Drupalgeddon2" (CVE-2018-7600)

Larry W. Cashdollar นักวิจัยด้านความปลอดภัยของ Akamai เปิดเผยว่าพบแคมเปญใหม่ที่เกิดขึ้นเป็นการพยายามเรียกใช้โค้ดที่ที่ฝังอยู่ในไฟล์ .GIF หรือไฟล์ .txt ที่มี Perl Script จากการวิเคราะห์ไฟล์ที่พบว่าถูกใช้โจมตีไปยังเว็บในประเทศบราซิล เป็นการฝัง PHP Code ที่เข้ารหัสด้วย Base64 เพื่อหลีกเลี่ยงการตรวจจับ นอกจากนี้พบว่าตัวมัลแวร์เองมีความสามารถในการค้นหา credential ที่มีการเก็บไว้บนเครื่อง, ทดลองส่งอีเมลโดยใช้ credential ที่พบ, เก็บข้อมูลไฟล์ config ของ MySQL, เปลี่ยนชื่อหรืออัพโหลดไฟล์ และรัน Web shell เป็นต้น นอกจากนี้ยังพบพฤติกรรมของการทำ DDoS และฝัง Remote Access Trojan (RAT) เพื่อติดต่อไปยัง C&C

ช่องโหว่ดังกล่าวส่งผลกระทบกับ Drupal เวอร์ชั่น 6, 7 และ 8 ผู้ใช้งานควรทำการอัพเดตให้เป็นเวอร์ชั่นล่าสุดเพื่อหลีกเลี่ยงการตกเป็นเหยื่อ

ที่มา: securityweek

 

เมื่อสัปดาห์ที่ผ่านมามีการเผยแพร่รายละเอียดช่องโหว่ของ Joomla (CMS) เวอร์ชั่นตั้งแต่ 3.0.0 ถึง 3.4.6 ซึ่งเป็นเวอร์ชั่นเก่า และได้มีการเผยแพร่ชุดคำสั่งสำหรับทดสอบการโจมตี (POC Exploit Code) ออกมาแล้ว

ช่องโหว่ดังกล่าวเป็นปัญหาในส่วนของ PHP Object ทำให้สามารถรัน Code จากระยะไกล (RCE) ตัวอย่างเช่น สามารถโจมตีผ่าน Login form ของ Joomla CMS และทำให้ผู้โจมตีรันคำสั่งบนเซอร์ฟเวอร์ได้ ซึ่งช่องโหว่นี้คล้ายกับช่องโหว่ที่เคยพบเมื่อปี 2015 (CVE-2015-8562) ซึ่งมีผลกระทบคล้ายกัน จนถึงขณะนี้ยังไม่มีการระบุ CVE ของ Zero Day ตัวใหม่นี้

อย่างไรก็ตามทีมพัฒนาของ Joomla ได้ทำการแก้ไขช่องโหว่ดังกล่าวเรียบร้อยแล้ว โดยให้ทำการอัพเดตเป็นเวอร์ชั่น 3.4.7 หรือใหม่กว่านั้น

ที่มา: zdnet

 

ในปี 2016 Zendesk ซึ่งเป็นบริษัททำซอฟต์แวร์ customer service เกิดเหตุการณ์ข้อมูลหลุดกระทบผู้ใช้งานกว่า 10,000 ราย ซึ่ง Zendesk ถูกใช้โดยหลายองค์กรหลักทั่วโลก รวมถึง Uber Shopify Airbnb และ Slack

ในวันที่ 2 ตุลาคม 2019 Zendesk ได้ออกแถลงการณ์เปิดเผยเหตุการณ์ดังกล่าวว่าได้รับแจ้งจากบุคคลภายนอกรื่องความปลอดภัยที่อาจมีผลต่อ Zendesk Support ผลิตภัณฑ์การแชท และบัญชีลูกค้าของผลิตภัณฑ์เหล่านั้นที่เปิดใช้งานก่อนพฤศจิกายน 2016 กระทบผู้ใช้งานกว่าหมื่นคน

ข้อมูลที่อาจถูกเข้าถึงโดยผู้โจมตีได้แก่ Agent และชื่อผู้ใช้งานที่ถูก hash และ salt, ข้อมูลติดต่อ, Username, รหัสผ่านที่ถูก hash และ salt, Transport Layer Security (TLS) encryption keys และข้อมูลการตั้งค่าแอปที่ลงผ่าน Zendesk app marketplace

พวกเขาตัดสินใจแจ้งผลกระทบทั้งหมดต่อผู้ใช้และแนะนำให้ทำตามขั้นตอนดังนี้

หากคุณติดตั้ง Zendesk Marketplace หรือแอปส่วนบุคคลที่ใช้งานตั้งแต่วันที่ 1 พฤศจิการยน 2016 ที่บันทึกข้อมูลประจำตัวพิสูจน์ตัวตน เช่น API keys หรือ รหัสผ่านขณะติดตั้ง เราแนะนำให้คุณเปลี่ยนข้อมูลประจำตัวสำหรับแอปที่เกี่ยวข้อง

นอกจากนี้หากคุณอัปโหลด TLS certificate ใน Zendesk ก่อนวันที่ 1 พฤศจิกายน 2016 ที่ยังคงใช้ได้อยู่ เราแนะนำให้คุณอัปโหลด certificate ใหม่และยกเลิกตัวเก่า

โดยบัญชีที่มีการใช้งานอยู่และสร้างบัญชีก่อนวันที่ 1 พฤศจิกายน 2016 ควรต้องเปลี่ยนรหัสผ่าน

ที่มา : securityaffairs