พบช่องโหว่ร้ายแรงสามารถเข้าควบคุมเราเตอร์ D-Link ได้

ทีมนักวิจัยจากมหาวิทยาลัย Silesian ในประเทศโปแลนด์ได้พบช่องโหว่หลายรายการซึ่งส่งผลกระทบกับเราเตอร์ D-Link หลายรุ่นประกอบด้วย DWR-116, DWR-111, DIR-140L, DIR-640L, DWR-512, DWR-712, DWR-912 และ DWR-921 โดยช่องโหว่ร้ายแรงสามารถทำให้แฮกเกอร์เข้าควบคุมอุปกรณ์ได้เลยทีเดียว

หนึ่งในช่องโหว่เป็น Directory Traversal (CVE-2018-10822) ส่งผลให้ผู้โจมตีสามารถเข้ามาอ่านไฟล์ผ่าน HTTP Request ได้ ซึ่งก่อนหน้านี้ช่องโหว่เคยถูกรายงานมาแล้ว (CVE-2017-6190) แต่ทางผู้ผลิตล้มเหลวในการแก้ไขช่องโหว่ที่เกิดขึ้นบนผลิตภัณฑ์ของตนเองหลายรุ่น นอกจากนี้ยังมี

CVE-2018-10824 เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเข้าถึงไฟล์เก็บรหัสผ่านของ Admin ที่พบว่าไม่มีการเข้ารหัสด้วย โดยนักวิจัยไม่ได้เผยที่ตั้งไฟล์เพราะเกรงว่าจะเป็นการชี้ช่องทาง
CVE-2018-10823 เป็นช่องโหว่ที่ทำให้เกิดการรันคำสั่งและสามารถเข้าควบคุมอุปกรณ์ได้อย่างสมบูรณ์ หลังจากทำการ authenticate สำเร็จแล้ว

แม้ว่าทางบริษัทผู้ผลิตจะได้รับการแจ้งเตือนช่องโหว่ต่างๆ ตั้งแต่เดือนพฤษภาคมและให้สัญญาว่าจะออกแพตช์สำหรับเราเตอร์รุ่น DWR-116 และ DWR-111 พร้อมแจ้งเตือนสำหรับผลิตภัณฑ์ที่เก่าจนไม่ได้รับการรองรับแล้ว แต่จนบัดนี้ทาง D-Link ก็ยังไม่มีแพตช์ใดๆ ออกมาจนทำให้นักวิจัยตัดสินใจเผยรายละเอียดต่อสาธารณะ สำหรับผู้ใช้งานที่ได้รับผลกระทบควรไปตั้งค่าปิดการเข้าถึงเราเตอร์ผ่านอินเทอร์เน็ต

เช่นเดียวกับการค้นพบช่องโหว่ใน Linksys E-Series เร้าเตอร์ โดยนักวิจัยจาก Cisco Talos เป็นข้อผิดพลาดใน Injection Command ของระบบปฏิบัติการ ส่งผลให้สามารถเข้าถึงเครื่องและติดตั้งมัลแวร์ได้ ซึ่งข้อแตกต่างจากช่องโหว่ในผลิตภัณฑ์ D-Link คือสามารถโจมตีสำเร็จได้เมื่อทำการ authenticate แล้วเท่านั้น และได้มีการออกแพทช์เรียบร้อยแล้ว

ที่มา:securityweek

GitHub ได้นำเสนอความสามารถใหม่เพื่อช่วยสแกนโทเค็นใน repository สาธารณะและแจ้งเตือน

GitHub ประกาศคุณลักษณะด้านความปลอดภัยใหม่ๆ เมื่อวันอังคารที่ผ่านมา ซึ่งมีจุดมุ่งหมายเพื่อช่วยให้นักพัฒนาซอฟต์แวร์ปลอดภัยจากช่องโหว่ และช่วยให้เก็บข้อมูลที่สำคัญ เช่น โทเค็นการเข้าถึง และ code ที่ไม่เปิดเผยต่อสาธารณะได้ปลอดภัยขึ้น ล่าสุดบริษัทได้ประกาศความสามารถใหม่ที่จะช่วย scan โทเค็น และ credential ใน repository สาธารณะ ที่ใช้สำหรับบริการของ cloud อย่างเช่น AWS, Azure, Google, Slack และ GitHub เอง โดยอาจจะเป็น private key ที่เกี่ยวข้องกับบัญชีผู้ใช้งานของ GitHub ที่ยังไม่ถูกเข้ารหัส ซึ่งเพิ่มเติมมาจากของเดิมที่ช่วย scan เพียงแค่โทเค็นของ GitHub OAuth และโทเค็นส่วนตัวเท่านั้น

การเปิดเผยโทเค็นไว้ในแหล่งข้อมูลสาธารณะนั้นถือว่าเป็นปัญหาใหญ่มาก เนื่องจากผู้ที่ได้ไปนั้นจะสามารถเข้าถึงข้อมูลที่ไม่ต้องการเปิดเผยได้อย่างง่ายดาย ซึ่งประเด็นนี้ถูกหยิบยกมาพูดถึงหลังจากเมื่อเดือนที่แล้ว Facebook พบกับปัญหาด้านความปลอดภัย ที่ส่งผลให้แฮกเกอร์สามารถขโมยโทเค็นสำหรับเข้าถึงบัญชีไปได้อย่างมากมาย นักพัฒนาซอฟต์แวร์ที่ใช้ GitHub อาจเผลอใส่ข้อมูลโทเค็นสำคัญไว้ใน code ที่เปิดเป็นสาธารณะเอาไว้ เมื่อ scan เจอจะมีการแจ้งให้ผู้ให้บริการของโทเค็นรับทราบ เพื่อสร้างโทเค็นใหม่ และแจ้งให้แก่ผู้ใช้งาน

นอกจากนี้ยังมีการประกาศ Security Advisory API ซึ่งจะรวมข้อมูลความปลอดภัยจากแหล่งต่างๆ และช่วยในการอัพเดตให้หากเป็นปัญหาที่เกี่ยวข้อง Project ต่างๆ บนแพลตฟอร์มของ GitHub โดย API จะช่วยให้ผู้ใช้สามารถทำการอัพเดตความปลอดภัยต่างๆ บน Project ของตนเองได้ง่ายขึ้น นอกจากนี้ยังได้เพิ่มเติมการแจ้งช่องโหว่ด้านความปลอดภัยสำหรับภาษา Java และ .NET ซึ่งก่อนหน้านี้รองรับแค่ JavaScript, Ruby และ Python เท่านั้น

ที่มา:cyberscoop

Oracle ได้ประกาศอัพเดตแพทช์ประจำ Q3 สำหรับช่องโหว่ที่เป็น Critical จำนวน 301 ช่องโหว่ โดยมีการระบุว่าเป็นช่องโหว่ที่ได้รับคะแนน 9.8/10 ทั้งหมด 45 รายการ และช่องโหว่ที่มีคะแนนเต็ม 10 อีก 1 รายการ โดยช่องโหว่เหล่านี้เป็นช่องโหว่ที่สามารถโจมตีได้จากระยะไกล (remote), ช่องโหว่ที่ไม่ต้องการการ authentication รวมทั้งช่องโหว่ที่ไม่ต้องใช้ความสามารถขั้นสูงในการโจมตี โดย Oracle จะค่อยๆ ปล่อยรายละเอียดของแต่ละช่องโหว่ออกมา หลังจากที่ทำการปรับปรุงแอพพลิเคชั่นที่ได้รับผลกระทบเรียบร้อยแล้ว โดยรายละเอียดที่เปิดเผยออกมาคร่าวๆ มีดังนี้

1. ช่องโหว่ที่มีคะแนนความรุนแรงระดับ 10 เป็นช่องโหว่ที่เกี่ยวกับ Oracle GoldenGate ซึ่งเป็น framework สำหรับการสำรองข้อมูลปริมาณมากแบบ real-time โดยจะมีผลกระทบกับ Add-in ของ Oracle GoldenGate ที่ใช้งานบนผลิตภัณฑ์อื่นๆ เช่น Oracle Database Server, DB2, MySQL, Sybase, Terradata และอื่น ๆ เท่านั้น ไม่มีผลต่อผลิตภัณฑ์ Oracle GoldenGate โตยตรง

2. ช่องโหว่ที่มีคะแนนความรุนแรงระดับ 9.8 มีผลต่อผลิตภัณฑ์อย่างเช่น Oracle Database Server, Oracle Communications, Oracle Construction and Engineering Suite, Oracle Enterprise Manager Suite, Oracle Fusion Middleware, Oracle Insurance Applications, Oracle JD Edwards , MySQL, Oracle Retail, Oracle Siebel CRM และ Oracle Sun Systems Products Suite

หากพบว่าผลิตภัณฑ์ที่ตนเองใช้งานอยู่เป็นหนึ่งในรายการดังกล่าวข้างต้น แนะนำให้ทำการอัพเดตแพทช์เป็นเวอร์ชั่นล่าสุดทันที

ที่มา: zdnet

Google ได้เปิดตัว Chrome เวอร์ชัน 70.0.3538.67 สำหรับ Windows, Mac และ Linux

เวอร์ชั่นนี้มีการแก้ไขช่องโหว่ที่ผู้บุกรุกสามารถใช้เพื่อควบคุมเครื่องที่ได้รับผลกระทบด้วย โดยเวอร์ชั่นนี้จะช่วยแก้ปัญหาด้วยความปลอดภัยทั้งหมด 23 รายการ ซึ่งเป็นช่องโหว่ที่ถูกค้นพบโดยนักวิจัยภายนอกทั้งหมด 18 รายการ ประกอบด้วย ช่องโหว่ที่มีความรุนแรงสูง (High) 6 รายการ, ช่องโหว่ที่มีความรุนแรงปานกลาง (Medium) 8 รายการ และช่องโหว่ที่มีความรุนแรงต่ำ (Low) 4 รายการ

ที่มา: us-cert

เว็บเบราเซอร์หลักๆ ทั้ง Google Chrome, Apple Safari, Microsoft Edge, Internet Explorer และ Mozilla Firefox ประกาศยกเลิกการสนับสนุนโปรโตคอลการเข้ารหัสข้อมูล TLS 1.0 และ TLS 1.1 ในเร็วๆ นี้

Transport Layer Security (TLS) เป็นโปรโตคอลการเข้ารหัสที่ใช้เพื่อสร้างช่องทางการสื่อสารที่ปลอดภัยและการเข้ารหัสระหว่างไคลเอ็นต์และเซิร์ฟเวอร์ ซึ่งในขณะนี้มี 4 เวอร์ชัน คือ TLS 1.0, 1.1, 1.2 และ 1.3 (เวอร์ชันล่าสุด) แต่เวอร์ชันเก่ากว่า 1.0 และ 1.1 เป็นที่รู้กันว่ามีความเสี่ยงต่อการโจมตีที่สำคัญ เช่น POODLE และ BEAST

ตามข่าวที่เผยแพร่ จากบริษัท 4 แห่ง Google, Microsoft, Apple และ Mozilla วางแผนที่จะยกเลิกการรองรับ TLS 1.0 และ 1.1 โดยเริ่มต้นในช่วงครึ่งปีแรกของปี 2020 ทั้งนี้ตามมาตรฐาน PCI DSS ได้มีการกำหนดให้เว็บไซต์ต้องหยุดการใช้งาน SSL / TLS 1.0 ตั้งแต่วันที่ 30 มิถุนายน ที่ผ่านมา นอกจากนี้ Gitlab ยังประกาศยกเลิกการสนับสนุน TLS 1.0 และ TLS 1.1 บนเว็บไซต์และ API ภายในปลายปี 2018

ผู้ใช้สามารถปิดใช้งาน TLS เวอร์ชันเก่าบน Google Chrome ด้วยตนเองได้ โดยไปที่
Settings → Advanced Setting → Open proxy settings →คลิกแท็บ 'Advanced ' →ในส่วน ' Security ' ให้เลือก TLS 1.0 และ 1.1 ออก และกด Save

ที่มา: thehackernews

พบช่องโหว่ใหม่ใน iPhone ส่งผลให้สามารถเข้าถึงรูปภาพส่วนตัวบนเครื่องได้

Jose Rodriguez นักวิจัยด้านความปลอดภัยมือสมัครเล่นชาวสเปนได้ออกมาเปิดเผยถึงช่องโหว่บนระบบปฏิบัติ iOS 12 ใหม่ล่าสุดของ Apple ซึ่งช่วยให้แฮกเกอร์สามารถบายพาส Passcode ของ iPhone และเข้าถึงข้อมูลสำคัญภายใน ไม่ว่าจะเป็น รูปภาพ หมายเลขโทรศัพท์ หรืออีเมลได้ แม้แต่ iPhone XS ก็ได้รับผลกระทบ

การบายพาส Passcode ของ iPhone นี้ช่วยให้แฮกเกอร์สามารถเข้าถึงรายชื่อผู้ติดต่อที่เก็บอยู่บนเครื่อง ไม่ว่าจะเป็นหมายเลขโทรศัพท์หรืออีเมล รวมไปถึงสามารถเข้าถึง Camera Roll และโฟลเดอร์รูปถ่ายอื่นๆ ได้อีกด้วย โดยมีเงื่อนไขคือแฮ็กเกอร์ต้องเข้าถึงตัวเครื่อง iPhone ได้ จากนั้นจะใช้ประโยชน์จาก Siri และ VoiceOver เพื่อช่วยในการบายพาสการป้องกันของเครื่อง โดยหากต้องการทดสอบสามารถลองทำตามขั้นตอนต่างๆ ได้ตามลิงก์ที่มา

วิธีบายพาสรหัสผ่านนี้สามารถทำงานได้กับ iPhone ทั้งหมดในปัจจุบันรวมถึงอุปกรณ์ iPhone X และ XS ที่ใช้ระบบปฏิบัติการรุ่นล่าสุดเช่น iOS 12 ถึง 12.0.1 ทั้งนี้ผู้ใช้งานสามารถป้องกันเครื่องตนเองได้โดย "ปิดใช้งาน Siri" ไปก่อนจนกว่าจะมีแพทช์ใหม่จาก Apple ออกมา เพื่อแก้ไขปัญหานี้

ที่มา : thehackernews

Facebook 30 ล้านบัญชีถูกแฮ็ก ตรวจสอบหากคุณเป็นหนึ่งในนั้น

ปลายเดือนที่แล้ว Facebook ประกาศว่ามีการละเมิดความปลอดภัยที่แย่ที่สุดเท่าที่เคยมีมาซึ่งทำให้แฮกเกอร์สามารถขโมยโทเค็นการเข้าถึงข้อมูลของบัญชีผู้ใช้งานนับล้านโดยการใช้ประโยชน์จากความสามารถ 'View As' ในขณะที่การเปิดเผยครั้งแรก Facebook คาดว่าจำนวนผู้ใช้ที่ได้รับผลกระทบจากการละเมิดอาจอยู่ที่ประมาณ 50 ล้านบัญชี แม้ว่าการเปิดเผยล่าสุดจะลดจำนวนลงเหลือ 30 ล้านบัญชี

แฮกเกอร์สามารถเข้าถึงข้อมูลส่วนบุคคลจากผู้ใช้ Facebook ได้ถึง 29 ล้านรายแม้ว่าบุคคลเหล่านี้จะไม่มีการเข้าถึงข้อมูลจากแอพฯอื่น (third-party app) รองประธาน Facebook Guy Rosen ได้โพสต์บล็อกเมื่อเช้าวันศุกร์ที่ผ่านมา เพื่อให้รายละเอียดเพิ่มเติมเกี่ยวกับการละเมิดความปลอดภัยจำนวนมากในครั้งนี้ โดยแจ้งว่าแฮกเกอร์ขโมยข้อมูลจากบัญชีที่ได้รับผลกระทบดังต่อไปนี้
1. เหยื่อ 15 ล้านคน : ข้อมูลที่รั่วไหลประกอบด้วยชื่อผู้ใช้งาน และข้อมูลติดต่อ (เบอร์โทร, อีเมล, หรือทั้งคู่)
2. เหยื่อ 14 ล้านคน : ข้อมูลที่รั่วไหลจะเท่ากลุ่มที่ 1 แต่มีข้อมูลอื่นเพิ่มเติม ได้แก่ เพศ, สถานะความสัมพันธ์, ศาสนา, เมืองเกิด, เมืองที่อยู่, วันเกิด, ภาษา, อุปกรณ์ที่ใช้อยู่, การศึกษา, ที่ทำงาน, ตำแหน่งที่เช็คอินหรือถูก tag 10 ตำแหน่งล่าสุด, และข้อความค้นหาล่าสุด 15 ข้อความ
3. เหยื่อ 1 ล้านคน : ไม่มีข้อมูลใดๆ รั่วไหล

ไม่พบว่าข้อมูล Messenger, Messenger Kids, Instagram, WhatsApp, Oculus, Workplace, Pages, ข้อมูลการชำระเงิน, third-party แอพพลิเคชั่น, ข้อมูลการโฆษณาหรือบัญชีที่ใช้พัฒนาซอฟต์แวร์ มีการรั่วไหลแต่อย่างใด

Facebook ได้เปิดช่องทางผ่าน Help Center ให้ผู้ใช้งานสามารถตรวจสอบได้ว่าพวกเขาได้รับผลกระทบจากเหตุการณ์ในครั้งนี้หรือไม่ นอกจากนี้ Facebook จะแจ้งผู้ใช้ 30 ล้านคนที่ได้รับผลกระทบ เพื่อแจ้งว่าข้อมูลใดที่ผู้โจมตีสามารถเข้าถึงได้พร้อมกับขั้นตอนที่ควรทำเพื่อช่วยป้องกันตัวเองจากอีเมลที่น่าสงสัย ข้อความหรือสายโทรศัพท์

จนถึงปัจจุบันเป้าหมายของแฮกเกอร์ยังคงไม่ชัดเจน แต่ Rosen กล่าวว่า Facebook กำลังทำงานร่วมกับ FBI, คณะกรรมาธิการการค้าแห่งสหพันธรัฐแห่งสหรัฐอเมริกา, สำนักงานคณะกรรมการป้องกันข้อมูลไอริชและหน่วยงานอื่น ๆ เพื่อตรวจสอบว่าใครจะอยู่เบื้องหลัง และมีการกำหนดเป้าหมายใดเฉพาะหรือไม่

Help Center : [https://www.

Google จะเปลี่ยนนโยบายของ Play Strore หลังจากที่มีการรั่วไหลข้อมูลของ Google+

Google ได้เปิดตัวนโยบาย Play Strore ใหม่ เพื่อป้องกันแอพพลิเคชั่นบนมือถือไม่ให้รวบรวมบันทึกการโทรและข้อความของผู้ใช้
การตัดสินใจเปลี่ยนแปลงนโยบายนี้เกิดขึ้นหลังจากการรั่วไหลของข้อมูล Google+ ซึ่งได้เปิดเผยข้อมูลที่สำคัญของผู้คนนับล้านทั่วโลก การเปลี่ยนแปลงนโยบายในครั้งนี้ส่งผลให้นักพัฒนาที่ก่อนหน้านี้ได้รับอิสระในการจัดการแพลตฟอร์มถูกจำกัดสิทธิ์เพิ่มมากขึ้น

Google กล่าวว่าเฉพาะแอพพลิเคชั่นที่ผู้ใช้เลือกเป็น "แอพพลิเคชั่นเริ่มต้น (default apps)" และมีความสามารถในการเข้าถึงบันทึกการโทรและข้อความเท่านั้นที่จะสามารถขอการเข้าถึงข้อมูลดังกล่าวได้ นโยบายใหม่นี้มีผลบังคับใช้ตั้งแต่เมื่อวันที่ 9 ตุลาคมที่ผ่านมา อย่างไรก็ตาม Google ได้ให้เวลา 90 วันแก่นักพัฒนาเพื่ออัพเดทแอพพลิเคชั่นของตนเองให้เป็นไปตามข้อกำหนดตามนโยบายใหม่แอพพลิเคชั่นใดๆ ก็ตามที่จำเป็นต้องเข้าถึงข้อมูลดังกล่าวโดยตรงจำเป็นที่จะต้องถูกเปลี่ยนไปใช้ API ที่เป็นทางเลือกอื่นๆ เช่น SMS Retriever API, SMS Intent API, Share Intent API หรือ Dial Intent API แทน

นโยบายใหม่ที่ Google ออกมานี้เป็นนโยบายที่พยายามคำนึงถึงผู้ใช้งานเป็นหลักและช่วยปกป้องความเป็นส่วนตัวของพวกเขาขณะที่เพิ่มข้อจำกัด สำหรับนักพัฒนาแอพพลิเคชั่น
ประกาศจาก Google : [https://play.

พบช่องโหว่ความปลอดภัยในระบบอาวุธของกระทรวงกลาโหม สหรัฐอเมริกา

อ้างอิงจากรายงานของ General Accounting Office (GAO) ระบุว่าระบบอาวุธของสหรัฐอเมริกามีความเป็นไปได้ที่จะถูกโจมตีผ่านช่องโหว่ทางไซเบอร์สูงขึ้น จากการที่ระบบดังกล่าวต้องมีการอาศัยซอฟต์แวร์และระบบเครือข่าย

GAO อ้างว่าได้ทดสอบทำการโจมตีระบบอาวุธโดยใช้ผู้ทดสอบ 2 คน ทีมนักทดสอบดังกล่าวสามารถเข้าควบคุมระบบอาวุธได้ภายใน 1 ชั่วโมง และยังมีการทดสอบใช้เครื่องมือพื้นฐานเพื่อแฮ็กระบบ การจัดการรหัสผ่านที่ไม่รัดกุมและไม่ทำการเข้ารหัสข้อมูลระหว่างส่งก็เป็น 2 ปัจจัยที่ทำให้สามารถยึดระบบดังกล่าวได้โดยไม่ถูกตรวจเจอ โดย GAO กล่าวว่าในอนาคตจะทำการทดสอบระบบอาวุธที่สำคัญอื่นๆ ต่อไปในอนาคต

ที่มา : darkreading

VMware ได้อัปเดตเพื่อแก้ไขความปลอดภัยบน AirWatch console ที่มีความรุนแรงอยู่ในระดับ Critical โดยเป็นช่องโหว่ของการ Bypass SAML authentication โดยช่องโหว่ดังกล่าวสามารถทำให้ผู้โจมตีควบคุมระบบที่ได้รับผลกระทบ

ผู้ดูแลระบบหรือผู้ใช้งานสามารถศึกษารายละเอียดได้จาก VMware Security Advisory (VMSA-2018-0024) และควรทำการอัปเดตให้เป็นเวอร์ชั่นปัจจุบัน

ที่มา: us-cert