Drupal ออกแพทช์อัพเดทด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ใน Drupal 7.x, 8.5.x, and 8.6.x. ผู้โจมตีสามารถใช้ช่องโหว่ในการเข้าถึงจากระยะไกลเพื่อควบคุมระบบที่ได้รับผลกระทบ

ช่องโหว่ดังกล่าวเกิดจาก Drupal core ใช้ไลบรารี PEAR Archive_Tar ของ Third-party ซึ่งไลบรารีดังกล่าวได้ออกอัพเดทความปลอดภัย ส่งผลให้กระทบต่อการกำหนดค่า (configuration) บางอย่างของ Drupal (CVE-2018-1000888) และ ช่องโหว่ Remote code execution ของ phar stream wrapper ที่อยู่ใน PHP

แนะนำผู้ใช้ทำการอัพเดทแพทช์เพื่อแก้ไขช่องโหว่ดังนี้

Drupal 8.6.x ให้อัปเกรดเป็น Drupal 8.6.6
Drupal 8.5.x หรือก่อนหน้าให้อัปเกรดเป็น Drupal 8.5.9
Drupal 7.x ให้อัปเกรดเป็น Drupal 7.62

ในส่วนของ Drupal 8 เวอร์ชันก่อนหน้า 8.5.x จะไม่ได้รับการอัพเดทความปลอดภัย

ที่มา: us-cert

Firefox รุ่น 65 ปรับปรุงความสามารถในการแจ้งเตือนการโจมตี Man-in-the-middle

ตั้งแต่ Firefox รุ่น 61 มีเพิ่มความสามารถการแสดงข้อความ error "MOZILLA_PKIX_ERROR_MITM_DETECTED" ที่เตือนว่ามีการรันโปรแกรมเพื่อทำการโจมตี SSL ด้วยวิธีการ man-in-the-middle ซึ่งใน Firefox รุ่น 65 ได้มีการแก้ไขเพิ่มเติมว่าอาจมีโปรแกรมป้องกันไวรัสอาจเป็นสาเหตุของข้อผิดพลาดดังกล่าวได้ด้วย ไม่ใช่มีแต่การถูกโจมตีเสมอไป

Man-in-the-middle (MITM) คือ เทคนิคการโจมตีของแฮคเกอร์ที่จะปลอมเป็นคนกลางเข้ามาแทรกสัญญาณการรับส่งข้อมูลระหว่างผู้ใช้ (เบราว์เซอร์) และเซิร์ฟเวอร์ โดยใช้โปรแกรมดักฟังข้อมูลของเหยื่อ แล้วแฮกเกอร์ก็เป็นตัวกลางส่งผ่านข้อมูลให้ระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ ทำให้สามารถดักข้อมูล เช่น รหัสผ่าน หรือทำการแก้ไขเนื้อหาข้อมูลก่อนถึงปลายทางได้่
แต่โปรแกรมป้องกันไวรัสหรือโปรแกรม HTTP debugging tool อย่าง Fiddler มีการทำงานที่คล้ายกับการทำ MITM ทำให้เกิดข้อความ error ได้เช่นกัน

Firefox รุ่น 65 จึงมีการปรับปรุงโดยเพิ่มข้อมูลใบรับรองของโปรแกรมที่ทำให้เกิดการแจ้งเตือน ดังนั้นหาก Firefox รุ่น 65 แสดงข้อผิดพลาด MOZILLA_PKIX_ERROR_MITM_DETECTED แสดงว่าผู้ใช้มีโปรแกรมที่พยายามเข้าถึงใบรับรองเพื่อให้สามารถรับฟังการเข้าชมเว็บไซต์ที่เข้ารหัสของคุณได้ ผู้ใช้ควรทำการตรวจสอบว่ามาจากโปรแกรมใด ถ้าใบรับรองไม่ได้มาจากโปรแกรมป้องกันไวรัสแปลว่าอาจมีมัลแวร์บนเครื่อง
แต่ถ้าหากใบรับรองมาจากโปรแกรมป้องกันไวรัส Mozilla แนะนำให้ผู้ใช้ปิดการสแกน SSL หรือ HTTPS และเปิดใช้งานอีกครั้ง เพื่อเพิ่มใบรับรองของโปรแกรมป้องกันไวรัสไปยังที่เก็บใบรับรอง Firefox

ที่มา : bleepingcomputer

นักวิจัยด้านความปลอดภัยสามารถหลีกเลี่ยง Linux containers และเรียกใช้งานคำสั่งบน Play with Docker Servers ได้

ผู้โจมตีใช้ประโยชน์จากข้อบกพร่องที่สามารถเข้าถึง Play with Docker (PWD) ด้วยสิทธ์ระดับสูงและยังสามารถเข้าถึง Containers ที่ใช้งานอยู่ทั้งหมดได้ด้วย ซึ่งช่องโหว่นี้ใช้ประโยชน์จาก Containers ทั้งหมดใช้โค้ดใน kernel เดียวกัน

Play with Docker เป็นแพลตฟอร์มสำหรับผู้ที่ต้องการรันคำสั่ง Docker ได้อย่างรวดเร็ว
นักวิจัย CyberArk เริ่มต้นแฮ็ค ด้วยการเรียนรู้ข้อมูลเกี่ยวกับ host system โดยการรันคำสั่ง 'uname' ซึ่งจะแสดงผล เวอร์ชันเคอร์เนล, สถาปัตยกรรม, ชื่อ, root UUID ( universally unique identifier), และวันที่สร้าง

พวกเขาพยายามติดตั้ง host's root drive ภายใน container แต่การป้องกันแบบ in-place ทำให้การดำเนินการไม่ได้ การใช้ "debugfs" ระบบไฟล์ debugger ทำให้สามารถเข้าถึง root directory หลักของโฮสต์และเข้าถึงแฟ้มเพื่อค้นหาโมดูลเคอร์เนลโดยใช้ 'ฟังก์ชันเคอร์เนล printk'

สิ่งที่ผู้เชี่ยวชาญของ CyberArk ทำได้คือการใช้โมดูล Linux kernel ที่รวบรวมในห้องปฏิบัติการและใส่เข้าไปในเคอร์เนล PWD Nimrod Stoler
โมดูลที่ใช้คือ ceph.

นักวิจัยด้านความปลอดภัยได้เผยแพร่รายละเอียดและรหัสการทดสอบการใช้โปรแกรม (PoC) สำหรับช่องโหว่ของ Windows ที่ยังไม่ได้แก้ไข ซึ่งทำให้ส่งผลกระทบต่อ Windows handles vCard files (VCFs) โดยช่องโหว่ดังกล่าวถูกค้นพบเมื่อปีแล้วโดย John Page (@hyp3rlinx) นักวิจัยด้านความปลอดภัยรายงานไปยัง Microsoft ผ่านทางโปรแกรมการเปิดเผยช่องโหว่ Zero Day Initiative (ZDI) ของ Trend Micro

บริษัทไมโครซอฟท์เปิดเผยว่าเดือนตุลาคมมีการแก้ไขช่องโหว่ VCF และอัพเดท patch การรักษาความปลอดภัยในเร็วๆนี้ ทางผู้ผลิตระบบปฏิบัติวินโด้จะเปลี่ยนชื่อวินโด้เวอร์ชั่นใหม่เป็น Windows v.Next (ชื่อเวอร์ชันหลักถัดไปของระบบปฏิบัติการ Windows ปัจจุบันรู้จักกันในนาม 19H1 ซึ่งจะเปิดตัวในเดือนเมษายน 2019)

นักวิจัยด้านภัยคุกคามทางไซเบอร์สามารถสร้างไฟล์อันตราย VCF ที่จะแสดงการเชื่อมโยงที่เป็นอันตราย เมื่อผู้ใช้คลิกลิ้งจะทำให้เปิดใช้งานและเรียกใช้โค้ดที่เป็นอันตราย ซึ่งข่าวดีก็คือช่องโหว่นี้สามารถนำไปสู่การเรียกใช้โค้ดจากระยะไกลได้ แต่ไม่สามารถใช้ประโยชน์จากการเรียกใช้โค้ดระยะไกลเนื่องจากต้องมีการตอบกลับจากผู้ใช้ก่อนเพื่อให้เป้าหมายเข้าไปที่หน้าเว็บที่เป็นอันตรายหรือเปิดไฟล์ที่เป็นอันตราย แม้ว่าการโจมตีจะต้องอาศัยการโต้ตอบจากผู้ใช้

ที่มา: Zdnet

Oracle ได้ออกแพตช์อัปเดตประจำเดือนมกราคม เพื่อแก้ไขช่องโหว่จำนวน 284 ช่องโหว่ในหลายผลิตภัณฑ์ ซึ่งบางผลิตภัณฑ์มีการแก้ไขช่องโหว่ที่อยู่ในระดับ critical ซึ่งผู้โจมตีสามารถทำการ remote ผ่านช่องโหว่เหล่านี้เพื่อควบคุมระบบได้ แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบ Oracle Critical Patch Update ประจำเดือนมกราคม 2019
ที่มา: Oracle

โปรแกรมที่มีการอิมพลีเมนต์ฟีเจอร์ SCP (Secure Copy Protocol) ทั้งหมดจาก 36 ปีที่ผ่านมาตั้งแต่ปี 1983 มีความเสี่ยงต่อข้อบกพร่องด้านความปลอดภัย 4 ประเด็น ที่อนุญาตให้เซิร์ฟเวอร์ SCP ที่เป็นอันตรายทำการเปลี่ยนแปลงระบบของผู้ใช้ โดยไม่ได้รับอนุญาตและซ่อนการทำงานที่เป็นอันตรายในเครื่อง

Harry Sintonen นักวิจัยด้านความปลอดภัยจากบริษัท F-Secure บริษัทที่รักษาความปลอดภัยทางไซเบอร์จากประเทศฟินแลนด์ได้ค้นพบช่องโหว่ตั้งแต่เดือนสิงหาคมปีที่ผ่านมา

SCP ทำงานบนโปรโตคอล SSH ที่สนับสนุนกลไกการตรวจสอบสิทธิ์ หรือการพิสูจน์ตัวตนเพื่อความถูกต้องและรักษาความลับสำหรับไฟล์ที่ถูกถ่ายโอนเช่นเดียวกับ นับตั้งแต่เปิดตัวครั้งแรกในปี 2526 SCP ได้ถูกใช้เป็นแอฟพลิเคชั่นภายใต้ชื่อเดียวกัน แต่อยู่ภายในปพลิเคชันอื่นๆ ตัวอย่างเช่น SCP เป็นวิธีการถ่ายโอนไฟล์มาตรฐานสำหรับ OpenSSH, Putty และ WinSCP เป็นต้น

Sintonen เปิดเผยว่ามีข้อบกพร่องด้านความปลอดภัยที่สำคัญ 4 ตัวที่มีผลต่อการใช้งาน SCP ดังนี้
1. CVE-2018-20685 - แอปไคลเอ็นต์ของ SCP อนุญาตให้เซิร์ฟเวอร์ SCP ระยะไกลสามารถแก้ไขสิทธิ์ของไดเรกทอรีเป้าหมายได้
2. CVE-2019-6111 - เซิร์ฟเวอร์ SCP ที่เป็นอันตรายสามารถเขียนทับไฟล์โดยพลการได้ในไดเรกทอรีของเป้าหมายบนไคลเอ็นต์ SCP หากดำเนินการแบบเรียกซ้ำ (-r) เซิร์ฟเวอร์สามารถจัดการไดเรกทอรีย่อยได้เช่นกัน (เช่นเขียนทับ. ssh / authorized_keys)
3. CVE-2019-6109 - เอาต์พุตเทอร์มินัลไคลเอ็นต์สามารถจัดการผ่านรหัส ANSI เพื่อซ่อนการทำงานที่ตามมา
4. CVE-2019-6110 – คล้ายกับด้านบน

การโจมตีต่างๆที่อาจพยายามโจมตีผ่านช่องโหว่เหล่านี้นั้นขึ้นอยู่กับผู้ที่ประสงค์ร้ายที่จะทำการยึดครองเซิร์ฟเวอร์ SCP หรือทำตัวเป็น Man-in-the-Middle

Recommendation แนะนำให้ผู้ใช้งานอัปเดตโปรแกรม OpenSSH, Putty และ WinSCP ให้เป็นเวอร์ชันใหม่โดยด่วน

ที่มา : zdnet

Mike Bautista นักวิจัยด้านความปลอดภัยจาก Cisco Talos เผยแพร่เครื่องมือฟรีที่สามารถปลดล็อคไฟล์ที่ถูกเข้ารหัสจาก PyLocky ransomware โดยไม่ต้องเสียค่าไถ่

PyLocky Ransomware ถูกค้นพบครั้งแรกโดยนักวิจัยด้านความปลอดภัยจาก Trend Micro เมื่อเดือนกรกฎาคมปีที่แล้ว โดยทำการแพร่กระจายผ่านทาง spam email เช่นเดียวกับแคมเปญมัลแวร์ส่วนใหญ่ อีกทั้งยังมีความสามารถในการหลีกเลี่ยงการตรวจจับจากอุปกรณ์ sandbox

เมื่อเข้าถึงกระบวนการเข้ารหัสไฟล์ Ransomware ดังกล่าวจะทำการเข้ารหัสเฉพาะระบบที่มีหน่วยความจำที่มากกว่าหรือเท่ากับ 4GB เท่านั้น โดยจะแสดงข้อมูลเกี่ยวกับการเรียกค่าไถ่ที่อ้างว่าเป็นตัวแปรของ Locky ransomware ที่รู้จักกันดีซึ่งต้องการค่าไถ่ในรูปแบบ cryptocurrency เพื่อ "กู้คืน" ไฟล์ และอ้างว่าจะเพิ่มค่าไถ่เป็นสองเท่าทุก ๆ 96 ชั่วโมงหากเหยื่อไม่จ่ายเงิน เป้าหมายหลักในการโจมตีของ PyLocky คือธุรกิจในยุโรปเป็นหลัก โดยเฉพาะในฝรั่งเศส และอาจมีเป้าหมายไปที่ประเทศเกาหลีและอิตาลีอีกด้วย

เครื่องมือสำหรับถอดรหัสไฟล์สามารถใช้งานได้กับทุกคน แต่มีข้อจำกัดอย่างมากในการกู้ไฟล์คืน โดยต้องทำการจับ initial network traffic (PCAP file) ระหว่าง PyLocky ransomware และ command-and-control (C2) server โดยสามารถดาวน์โหลดเครื่องมือถอดรหัส PyLocky ransomware จาก GitHub ได้ฟรีและเปิดใช้งานบนคอมพิวเตอร์ Windows

ที่มา : thehackernews

Adobe ประกาศแพตช์ด้านความปลอดภัยแก่แอปพลิเคชันสำหรับการประชุม Adobe Connect ส่งผลกระทบต่อรุ่น 9.8.1 และรุ่นก่อนหน้า

แพตช์ที่ถูกปล่อยโดย Adobe นั้นเป็นแพตช์สำหรับช่องโหว่ CVE-2018-19718 ซึ่งเป็นปัญหาการเปิดเผยสิทธิ์ที่ได้รับผ่านโทเค็นของเซสชัน และช่องโหว่รหัส CVE-2018-12817 ซึ่งกระทบ Adobe Digital Editions รุ่น 4.5.9 และต่ำกว่าในระบบ Windows, macOS, iOS และ Android โดยเป็นช่องโหว่ out-of-bound ผู้โจมตีสามารถโจมตีช่องโหว่นี้เพื่อควบคุมระบบได้

Recommendation แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบคำแนะนำและอัตเดพ patch ด้านความปลอดภัยของ Adobe

ที่มา : zdnet

Google ออกแพตช์ความปลอดภัยให้กับ Android

Google ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ให้กับระบบ Android ในปี 2019 แล้วสองแพตช์คือ 2019-01-01 patch level และ 2019-01-05 security patch level

2019-01-01 patch level มีการแก้ไขช่องโหว่ทั้งหมด 13 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-9583 มีผลกระทบร้ายแรงมาก (critical) เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถโจมตีด้วยการส่งคำสั่งให้ทำงานจากระยะไกลได้

2019-01-05 security patch level มีการแก้ไขช่องโหว่ทั้งหมด 14 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-11847 มีผลกระทบร้ายแรงมาก (critical) เช่นกัน เป็นช่องโหว่ในส่วนของ Qualcomm ที่ทำให้แอปที่มีคำสั่งอันตรายบนเครื่องสามารถรันคำสั่งอันตรายได้

ผู้ใช้งานควรตรวจสอบและทำการอัปเดตรุ่นของระบบ Android ให้เป็นปัจจุบันเพื่อลดความเสี่ยง

ที่มา : securityaffairs

เกม Town of Salem เกิดการรั่วไหลของข้อมูลผู้เล่นเกมกว่า 7.6 ล้านคน

Town of Salem เป็นเกมที่ใช้บนแพลตฟอร์มเบราว์เซอร์ในลักษณะวางแผนและลับสมองซึ่งเป็นที่นิยมมากด้วยจำนวนผู้เล่นมากถึง 8 ล้านคน

BlankMediaGames (BMG) ออกมายืนยันถึงการรั่วไหลของข้อมูล เมื่อวันที่ 28 ธันวาคม โดยเป็นการเข้าถึงฐานข้อมูลผู้เล่นเกมซึ่งมีข้อมูลตามรายการด้านล่างอยู่
- ที่อยู่อีเมล
- ชื่อผู้ใช้งาน
- ที่อยู่ IP
- รหัสผ่าน
- กิจกรรมของเกม
- ข้อมูลการชำระเงินบางส่วน

ข้อมูลที่รั่วไหลออกไปนั้นบางส่วนถูกส่งไปยัง DeHashed เป็นบริการสำหรับตรวจสอบบัญชีผู้ใช้งานจากฐานข้อมูลที่มีการรั่วไหลออกมา

แม้ว่า BMG จะยืนยันว่าไม่มีข้อมูลรั่วไหลของหมายเลขบัตรเครดิต แต่ DeHashed กลับระบุสวนทางว่ามีข้อมูลการเรียกเก็บเงินของผู้เล่นบางคนที่จ่ายเงินสำหรับฟีเจอร์พิเศษบางอย่าง

ด้าน BMG คาดว่าจะเพิ่มขั้นตอนหรือวิธีการที่ปลอดภัยยิ่งขึ้นสำหรับกรณีที่เกิดขึ้น และจะมีการส่งอีเมลจำนวนมากไปยังผู้เล่นเกมที่ได้รับผลกระทบจากการรั่ไหลของข้อมูล โดยให้ความสำคัญคือการ "รีเซ็ตรหัสผ่าน" และยืนยันถึงความปลอดภัยของเซิร์ฟเวอร์

ที่มา : thehackernews