WordPress ปล่อยเวอร์ชัน 4.8.3 แพตช์ช่องโหว่ SQL injection ร้ายแรง

ทาง WordPress ได้มีการปล่อย WordPress 4.8.3 ซึ่งเป็นเวอร์ชั่นใหม่ โดยในเวอร์ชั่นนี้จะแก้ไขช่องโหว่ SQL injection ที่เกิดขึ้นในเวอร์ชั่นก่อนหน้านี้คือ เวอร์ชั่น 4.8.2 โดยมีรายละเอียดข่าวดังนี้

WordPress เวอร์ชั่น 4.8.2 และเวอร์ชั่นก่อนหน้านี้มีปัญหาที่เกิดจากฟังก์ชัน $wpdb->prepare() ที่ทำให้แฮกเกอร์สามารถสร้างข้อความสำหรับไว้ค้นหาที่ไม่ปลอดภัย นำไปสู่การโจมตีด้วยวิธี SQL injection (SQLi) ได้สำเร็จ ในส่วนของตัวโปรแกรมหลัก WordPress จะไม่ได้รับผลกระทบโดยตรง แต่อาจเกิดจากปลั๊กอินและธีมที่ไม่ปลอดภัยก็สามารถมีความเสี่ยงในการถูกโจมตีได้

สำหรับ WordPress เวอร์ชั่น 4.8.3 นี้ทางทีมก็ได้พัฒนาเพิ่ม hardening เพื่อป้องกันปลั๊กอินและธีม อีกทั้งยังมีการเปลี่ยนเแปลงฟังก์ชั่น สำหรับฟังก์ชัน esc_sql() เพื่อให้มีความปลอดภัยมากขึ้น หากใครที่ใช้งานอยู่ควรรีบทำการอัพเดทแพทช์ทันที

ที่มา : wordpress

Oracle ออกแพตช์แก้ไขช่องโหว่ของ Oracle Identity Manager เป็นช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถเข้าควบคุมระบบจากระยะไกลได้โดยไม่ต้องพิสูจน์ตัวตน

ช่องโหว่นี้มีระดับความรุนแรงตาม CVSS v3 อยู่ที่ระดับ 10 ได้รับรหัส CVE-2017-10151
เวอร์ชันที่ได้รับผลกระทบ คือ 11.1.1.7, 11.1.2.3, 12.2.1.3
แนะนำให้ผู้ใช้รีบทำการอัปเดตแพตช์โดยด่วน

ที่มา : oracle

Node.js ประกาศอัพเดทแพทซ์ ช่องโหว่ CVE‌-2017-14919 มีความเสี่ยงที่จะถูก Remote DoS Attack ได้
Node.js ประกาศแพตช์สำหรับช่องโหว่ล่าสุดที่รหัส CVE‌-2017-14919 โดยผลลัพธ์ของช่องโหว่นี้นั้นอาจทำให้ผู้โจมตีสามารถโจมตีแบบ DoS attack ส่งผลให้ระบบไม่สามารถให้บริการได้ได้
ช่องโหว่นี้อยู่ไลบรารีบีบอัดข้อมูล zlib ซึ่งมีการอัพเดตเป็นเวอร์ชันล่าสุด โดยเป็นผลมาจากการตั้งค่าปริมาณของข้อมูลที่อยู่ในหน่วยความจำเมื่อไลบรารีพยายามบีบอัดข้อมูลที่ไม่ถูกต้อง ซึ่งส่งผลให้เกิดการใช้งานหน่วยความจำที่สูงขึ้นเรื่อยๆ ได้จนระบบไม่มีหน่วยความจำที่เพียงพอสำหรับให้บริการในที่สุด
ผู้ใช้งานสามารถทำการเปลี่ยนการตั้งค่าดังกล่าวได้เองโดยตรวจสอบเพิ่มเติมจากแหล่งที่มา หรือจะทำการดาวโหลดเวอร์ชันที่มีการแก้ไขช่องโหว่แล้วก็ได้ โดยสำหรับเวอร์ชั่นที่ทำการแก้ไขช่องโหว่แล้วมีดังนี้
Node.

พบ Malware ที่ใช้ขุดหาเงินดิจิตอลสกุล Monero ใน Application บน Play Store

ปัจจุบันอาชญากรไซเบอร์กำลังหาวิธีใหม่ในการทำเหมืองเงินดิจิตอล cryptocurrency เพื่อสร้างรายได้ให้ตัวเองโดยใช้ CPU ของเหยื่อในการขุดเหรียญ และตอนนี้นักวิจัยก็พบเช่นเดียวกันใน Application บน Google Play Store ถึง 3 รายการ ได้แก่ Recitiamo Santo Rosario Free, SafetyNet Wireless App และ Car Wallpaper HD โดยพบว่า javascript ที่ใช้นั้นมาจาก CoinHive ซึ่งเป็นผู้ให้บริการสคริปต์สำหรับการขุดเหรียญส่งกลับไปให้เจ้าของเว็ปไซต์

นักวิจัยด้านความปลอดภัยด้านไอทีของ TrendMicro ผู้ค้นพบ Application เหล่านี้กล่าวว่าโปรแกรมมีการใช้ Dynamic JavaScript และ Native Code Injection เพื่อหลีกเลี่ยงการตรวจจับ ภัยคุกคามเหล่านี้ชี้ให้เห็นว่าอุปกรณ์เคลื่อนที่สามารถใช้ขุดเหรียญ cryptocurrency ได้ แม้ว่าจะให้ผลลัพธ์ได้ไม่มากนักก็ตาม นักวิจัยยังได้แนะนำว่าผู้ใช้ควรสังเกตอาการของเครื่องที่แสดงถึงประสิทธิภาพ(Performance) ในการทำงานที่ลดลง ซึ่งอาจเกิดขึ้นหลังจากติดตั้ง Application อย่างไรก็ตามตอนนี้ทาง Google ได้ปิดตัว Application เหล่านั้นแล้ว พร้อมแนะนำว่าควรหลีกเลี่ยงการดาวน์โหลด Application ที่ไม่จำเป็น และไม่น่าเชื่อถือจาก Third Party หรือ Google Play และควรใช้ผลิตภัณฑ์รักษาความปลอดภัยบนมือถือที่เชื่อถือได้

ที่มา: HackRead

FireEye's Innovation and Custom Engineering (ICE) หรือทีมวิศวกรของทาง FireEye ได้พัฒนาเครื่องมือชื่อ GoCrack ซึ่งช่วยให้ทีมที่ทดสอบเจาะระบบสามารถทำการถอดรหัสหรือค่าแฮชได้หลายร้อยค่าได้พร้อมกัน และยังมาพร้อมกับหน้าตา UI ที่มีการใช้งานที่ง่าย เพียงแค่ทำการลงโปรแกรมกับตัว Worker ของเครื่อง จากนั้นระบบจะทำการกระจายงานไปให้กับตัว Worker ต่างๆ เครื่องมือที่ใช้เจาะรหัสผ่านนั้นเป็นสิ่งที่สำคัญมากสำหรับผู้เชี่ยวชาญด้านความปลอดภัย ใช้ในการทดสอบประสิทธิภาพของรหัสผ่าน พัฒนามาตรการในการตั้งรหัส และการ Audit เงื่อนไขของรหัสผ่านของเครื่องมือภายในองค์กร
GoCrack ประกอบไปด้วยสิทธิ์ตามระบบ หรือระบบที่จะควบคุมในส่วนของสิทธิ์การเข้าถึง ซึ่งจะห้ามไม่ให้ผู้ที่ไม่มีสิทธิ์เข้าถึงข้อมูลยกเว้นจะเป็นเจ้าของงานนั้น หรือได้รับอนุญาติให้เข้าถึงได้จากเจ้าของงาน การแก้ไขงาน เข้าถึงรหัสผ่านที่เจาะมาได้ หรือการโหลดไฟล์งาน จะถูกจำกัดสิทธิ์โดย Administrator Engine files หรือไฟล์ที่ถูกใช้โดยตัว Cracking engine เช่น Dictionaries สามารถถูกอัพโหลดเป็น shared file ได้ แต่ผู้ใช้อื่นจะไม่สามารถดาวน์โหลด หรือแก้ไขไฟล์ได้ ทำให้ข้อมูลที่มีความละเอียดอ่อนมีความปลอดภัย GoCrack สามารถลงได้บน Linux server ใดก็ได้ที่มีการลง Docker ไว้แล้ว ในอนาคตมีการวางแผนไว้ว่าจะรองรับ MySQL และ Postgres database engine สำหรับการใช้งานที่จะเพิ่มมากขึ้น

ที่มา : Fireeye

TLS 1.3 ยังไม่พร้อมเพราะอุปกรณ์ที่มาอิมพลีเมนต์ไม่รู้จักโปรโตคอล

นักวิจัยด้านความปลอดภัย Hanno Böck ได้เปิดเผยความคืบหน้าของโปรโตคอล TLS 1.3 ใน Bulletproof TLS Newsletter ฉบับล่าสุด โดยระบุว่าแม้ว่าตอนนี้รายละเอียดการทำงานโปรโตคอลจะอยู่ในจุดที่พร้อมใช้งานแล้ว แต่สาเหตุสำคัญที่โปรโตคอลยังไม่ถูกนำมาใช้งานจริงนั้นอยู่ที่อุปกรณืที่มาอิมพลีเมนต์

Hanno Böck อ้างอิงรายงานจาก Eric Rescola ใน TLS Working Group ซึ่งเปิดเผยว่า เมื่อ Google และ Firefox นำ TLS 1.3 มาทำการทดสอบนั้นพบข้อผิดพลาดในการเชื่อมต่อเป็นจำนวนมาก โดยสาเหตุของข้อผิดพลาดนั้นมาจากอุปกรณ์ที่อยู่ตรงกลางนั้นดรอปทราฟิกทิ้งเนื่องจากเมื่ออุปกรณ์พยายามวิเคราะห์ทราฟิกที่ใช้ TLS 1.3 แล้ว อุปกรณ์กลับไม่สามารถระบุประเภทของโปรโตคอลได้ชัดเจน

Hanno Böck ยังกล่าวเพิ่มเติมว่า ถ้า TLS 1.3 ถูกปรับเปลี่ยนให้มีความคล้ายกับ TLS 1.2 ในปัจจุบันมากขึ้นอาจช่วยลดปัญหาดังกล่าวได้ อย่างไรก็ตามการตัดสินใจเปลี่ยนแปลงนี้ยังไม่ได้มีประเด็นชัดเจนมากนัก ซึ่งคงต้องติดตามวิธีการในการแก้ไขปัญหาต่อไป

ที่มา: feistyduck

Official blog ของ jQuery ซึ่งเป็น JavaScript library ยอดนิยมที่เว็บไซต์นับล้านใช้ถูกแฮกโดยแฮ็กเกอร์ที่ใช้นามแฝง "str0ng" และ "n3tr1x"

เว็บไซต์บล็อกของ jQuery (blog.

นักวิจัยด้านความปลอดภัยพบรมัลแวร์บนแอนดรอยด์ Lokibot ซึ่งหากมีความพยายามจะดำเนินการลบมัลแวร์ออกนั้น มันจะทำการล็อคเครื่องแล้วเปลี่ยนตัวเองเป็น ransomware ทันที

เป้าหมายหลักแต่เดิมของ Lokibot คือการขโมยข้อมูลผู้ใช้งานโดยอาศัยการสร้างหน้าล็อกอินปลอมในแอปที่มีชื่อเสียงไม่ว่าจะเป็น Skype, Outlook และ WhatsApp โดยมันจะทำงานเฉพาะบน Android 4.0 ขึ้นไปและต้องอาศัยสิทธิ์ค่อนข้างสูงในระบบเพื่อให้สามารถทำงานได้

อย่างไรก็ตามทีมนักวิจัยจาก SfyLabs มีการค้นพบว่า LokiBot นั้นผิดพลาดในกระบวนการเข้ารหัสอย่างสิ้นเชิ่ง ส่งผลให้ไฟล์ที่ควรจะถูกเข้ารหัสนั้นไม่ได้เกิดการเข้ารหัสขึ้นมาจริงๆ แต่เห็นเป็นเพียงแค่การเปลี่ยนชื่อ แต่แม้ว่ากระบวนการเข้ารหัสไฟล์จะหละหลวม มัลแวร์ก็ยังทำการล็อคหน้าจอเพื่อไม่ให้ผู้ใช้งานเข้าถึงระบบได้อีกด้วย โดยวิธีเดียวที่จะทำให้ผู้ใช้งานสามารถเข้าถึงเครื่องได้อีกครั้งคือการบูตเครื่องเข้าสู่ Safe Mode ทำการลบบัญชีผู้ใช้งานที่มีสิทธิ์ของผู้ดูแลระบบที่ถูกสร้างโดย Lokibot และลบแอป Lokibot ทิ้ง

ขอให้ผู้ใช้งานเพิ่มความระมัดระวังเมื่อต้องดาวโหลดหรือติดตั้งแอปจากที่มาที่ไม่ชัดเจน รวมไปถึงตรวจสอบสิทธิ์ที่แอปร้องขอทุกครั้งเมื่อติดตั้ง

ที่มา: bleepingcomputer

ในปัจจุบันการยืนยันตัวตนแบบสองขั้นตอนโดยส่วนใหญ่นั้นพึ่งพาการส่งข้อความ SMS ไปยังผู้ใช้งาน อย่างไรก็ตามเมื่อเดือนกรก๓าคมที่ผ่านมา NIST ได้ออกมาประกาศว่าการยืนยันตัวตนสองขั้นตอนที่พึ่งพาการส่งข้อความ SMS นั้นไม่ปลอดภัยอันเนื่องมาจากช่องโหว่ในระบบการสื่อสาร SS7 ที่ส่งผลให้ผู้โจมตีสามารถดักจับข้อมูลที่ส่งมาทางข้อความ SMS ได้

เพื่อเป็นการตอบสนองต่อปัญหาดังกล่าว Google ได้ออกฟีเจอร์ใหม่ภายใต้ชื่อ Google Prompt โดยแทนที่จะใช้การส่งรหัสยืนยันไปทางข้อความ SMS แบบเดิมนั้น Google Prompt จะทำการถามความต้องการว่าผู้ใช้จะทำการเข้าสู่ระบบไหมไปยังโทรศัพท์มือถือแทน ผู้ใช้งานเพียงแค่กดปุ่มเพียงปุ่มเดียวเพื่อยืนยันหรือเพิกเฉยหากไม่ต้องการเข้าสู่ระบบ

Google ยังมีการประกาศว่า Google Prompt จะกลายมาเป็นตัวเลือกแรกแทนการส่งข้อความเร็วๆ นี้ โดยผู้ใช้งานสามารถเปิดใช้งานดังกล่าวได้ที่หน้าตั้งค่าของแต่ละบัญชีผู้ใช้ได้ทันที

ในการใช้งาน Google Prompt ใน มีเงื่อนไขที่จำเป็นในการใช้งานบางข้อที่ผู้ใช้งานควรทราบคือ

-จะต้องมีการเชื่อมต่อรับส่งข้อมูลถึงจะสามารถใช้งานได้

-ในกรณีที่อุปกรณ์ที่จะใช้งานเป็น iOS จะต้องมีการติดตั้งแอป Google (https://itunes.

เมื่อสัปดาห์ที่ผ่านมา Windows ได้ทำการเปิดตัว Windows 10 Fall Creators พร้อมฟีเจอร์ใหม่นี้มีชื่อว่า Controlled Folder Access โดยฟีเจอร์ Controlled Folder Access ช่วยให้ผู้ใช้สามารถควบคุมการอนุญาตเข้าถึงโฟลเดอร์ได้ ทั้งนี้ฟีเจอร์ดังกล่าวตั้งอยู่บนทฤษฎีที่ว่า "การปิดกั้นทุกอย่างโดยปริยาย" จะสามารถช่วยป้องกันมัลแวร์เรียกค่าไถ่(Ransomware) ได้ กล่าวคือหากไม่ได้รับการอนุญาตให้เข้าถึง จะไม่สามารถดำเนินการใดๆกับโฟลเดอร์ดังกล่าวได้(Block) จึงสามารถช่วยป้องกันการเข้ารหัสไฟล์ที่เก็บไว้ในโฟลเดอร์เหล่านั้นได้

BleepingComputer ได้ทำการทดสอบฟีเจอร์ "Controlled Folder Access" ด้วย Ransomware Asasin Locky variant , the Comrade HiddenTear variant และ the Wyvern BTCWare variant โดยผลการทดลองคือโฟลเดอร์ที่ใช้ฟีเจอร์ดังกล่าวสามารถป้องกันการโจมตีจาก Ransomware ได้สำเร็จ

แม้ว่า BleepingComputer แนะนำให้ทุกคนใช้ Controlled Folder Access แต่ก็ไม่อยากให้ยึดถือเป็นฟีเจอร์หลักในการป้องกัน Ransomware ทั้งนี้ Microsoft ได้กล่าวว่าหากเครื่อง Windows 10 ของท่านมีการเปิด Automatically Update เอาไว้ก็ไม่จำเป็นต้องดำเนินการใดๆ ระบบจะทำการอัพเดตให้ท่านเองโดยอัตโนมัติ และในส่วนของขั้นตอนการเปิดใช้งานฟีเจอร์ดังกล่าวสามารถดูได้จาก link ที่มาด้านล่าง

ที่มา: bleepingcomputer