Joomla! เปิดตัวเวอร์ชันใหม่ 3.8.2 พร้อมแพตช์ด้านความปลอดภัย

Joomla เวอร์ชั่น 3.8.2 ได้เปิดตัวอย่างเป็นทางการแล้ว โดยในรุ่นนี้นั้นนอกจากจะมีการอัพเดตฟีเจอร์ใหม่ ยังมีการปล่อยแพตช์ด้านความปลอดภัยที่มีการอุดช่องโหว่ด้านความปลอดภัย 3 ช่องโหว่หลักและแก้ไขบั๊กที่รายงานหลังจากออก Joomla รุ่นก่อน ๆ จำนวนกว่า 90 บั๊ก

3 ช่องโหว่หลักด้านความปลอดภัยที่ทำการแก้ไขดังนี้

- ช่องโหว่ที่มีความรุนแรงระดับกลาง : ข้อมูลรั่วไหลผ่านฟังก์ชันที่มีการอิมพลีเมนต์โปรโตคอล LDAP (กระทบ 1.5.0 ถึง 3.8.1)

- ช่องโหว่ที่มีความสำคัญระดับกลาง : ข้ามผ่านระบบยืนยันตัวตนแบบสองขั้นตอน (Two-Factor Authentication) (กระทบ 3.2.0 ถึง 3.8.1)

- ช่องโหว่ที่มีความสำคัญระดับต่ำ : ข้อมูลเฉพาะของเว็บไซต์รั่วไหลไปยังผู้ใช้งานที่ไม่มีสิทธิ์เข้าถึง (กระทบ 3.7.0 ถึง 3.8.1)

แนะนำให้ผู้ใช้งานทำการอัพเดตซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดโดยด่วน

ที่มา : joomla

แจ้งเตือนการโจมตีพุ่งเป้ากลุ่มประเทศใน ASEAN ขโมยข้อมูล, ดักฟังและแพร่กระจายมัลแวร์

บริษัทด้านความปลอดภัย Volexity ได้มีการเปิดเผยแคมเปญการโจมตีล่าสุดซึ่งเชื่อกันว่ามีผู้อยู่เบื้องหลังคือกลุ่มแฮกเกอร์เวียดนามภายใต้ชื่อรหัส APT32 หรือ OceanLotus โดยในแคมเปญนี้นั้นมีเป้าหมายโจมตีหลายประเทศในกลุ่มอาเซียน และเน้นไปที่การขโมยและเก็บข้อมูลที่มีความอ่อนไหวสูง

สำหรับประเทศที่มีการตรวจพบการโจมตีแล้วนั้นได้แก่ เวียดนาม, กัมพูชา, ลาว, ฟิลิปปินส์รวมไปถึงประเทศจีน โดยผู้โจมตีมีการเจาะระบบเว็บไซต์ราชการหลายแห่งและใช้เว็บไซต์เหล่านั้นในการแพร่กระจายมัลแวร์ไปยังระบบอื่นๆ ต่อ การโจมตีของแคมเปญการโจมตีนี้เน้นหนักไปที่การเก็บข้อมูลของผู้ใช้งาน เก็บหมายเลขไอพีของผู้เยี่ยมชมเว็บไซต์และฝังแบ็คดอร์ไว้ในระบบต่างๆ เพื่อให้เข้าถึงได้ภายหลัง

แนะนำให้ผู้ดูแลระบบตรวจสอบความผิดปกติในระบบอย่างสม่ำเสมอ รวมไปถึงการเข้าถึงที่ไม่ได้รับอนุญาต การส่งข้อมูลออกไปยังระบบภายนอกที่ต้องสงสัย ผู้อ่านสามารถดูพฤติกรรมการโจมตีของแฮกเกอร์กลุ่มนี้เพิ่มเติมได้จากลิงค์แหล่งที่มา

ที่มา : volexity

ผู้เชี่ยวชาญจาก Positive Technologies ค้นพบเทคนิคที่สามารถใช้ในการโจมตี Intel Management Engine(Intel ME) ผ่านการใช้งาน USB และมีแผนที่จะแสดงให้ดูในงาน Black Hack เดือนธันวาคมนี้

ช่องโหว่ Remote code execution(RCE) สำคัญที่ได้รับรหัสเป็น CVE-2017-5689 นี้ ถูกค้นพบเมื่อเดือนมีนาคมที่ผ่านมา ซึ่งพบบน Remote Management Feature ของ Intel Chipset ที่ใช้ในการอำนวยความสะดวกให้ผู้ดูแลระบบสามารถจัดการเครื่องภายในองค์กรได้จากระยะไกล เริ่มถูกใช้ในคอมพิวเตอร์รุ่นต่างๆตั้งแต่ 9 ปีที่แล้ว(2008) มีผลกระทบครอบคลุมกับ Intel Management Engine(Intel ME) บน Firmware ของระบบที่มีการใช้ Active Management Technology (AMT), Small Business Technology (SBT) และ Intel Standard Manageability (ISM) ทำให้ผู้โจมตีสามารถเข้ายึดเครื่องที่มีช่องโหว่ได้จากระยะไกล

เทคนิคที่เพิ่งถูกค้นพบในการโจมตีด้วยช่องโหว่นี้ จะเป็นการใช้ Joint Test Action Group (JTAG) ซึ่งเป็น Hardware Debugging บน Intel ME เพื่อให้มีสิทธิ์เข้าถึงอุปกรณ์บน PCH(Platform Control Hub) โดยการใช้ Direct Connect Interface(DCI) ผ่าน USB
ที่มา securityaffairs

พบช่องโหว่ของ pfSense เวอร์ชั่นต่ำกว่า 2.3.1_1 ลงไปได้รับผลกระทบจากช่องโหว่จาก OS command injection ในขั้นตอนการ Authetication ควรอัพเกรดเป็น pfSense เวอร์ชันล่าสุด 2.3.1_5 หรือลดผลกระทบด้วยการจำกัดการเข้าถึง Firewall GUI โดยการกำหนด Firewall Rule และไม่ให้ผู้ใช้ที่ไม่น่าเชื่อถือมีบัญชีที่มีสิทธิ์การเข้าถึง GUI ด้วย

ที่มา Cxsecuticy

เมื่อวันจันทร์ที่แล้ว Amazon ออกฟีเจอร์ด้านความปลอดภัย 5 รายการ บน Simple Storage Service (S3) เพื่อช่วยให้ลูกค้าสามารถจัดเก็บและจัดการข้อมูลได้อย่างปลอดภัยมากขึ้น

ฟีเจอร์ใหม่นี้จะช่วยให้สามารถจัดการสถานะการเข้ารหัสและสิทธิ์การเข้าถึง S3 buckets ซึ่งประกอบด้วย :
1. Default encryption
สามารถกำหนดให้ Object ทั้งหมดที่อยู่ใน Bucket ถูกเก็บในรูปแบบที่มีการเข้ารหัสจากการติดตั้ง bucket encryption configuration โดยมีทางเลือกที่ใช้สำหรับเข้ารหัสฝั่งเซิร์ฟเวอร์ได้ 3 แบบสำหรับ S3 objects คือ : SSE-S3 (จัดการคีย์โดย S3), SSE-KMS (จัดการคีย์โดย AWS KMS) และ SSE-C (จัดการคีย์โดยผู้ใช้งาน)

2. Permission checks
S3 Console จะมีการแสดง Indicator ของแต่ละ Bucket ที่สามารถถูกเข้าถึงได้จากภายนอก และจะมีการแจ้งเตือนโดยเร็วที่สุด หากพบว่ามีการเปลี่ยนแปลง Bucket Policies และ ACL ที่อาจส่งผลกระทบ

3. Cross-region replication ACL overwrite
ลูกค้า AWS มักใช้เครื่องมือ Cross-Region ของ S3 เพื่อคัดลอก objects และข้อมูลที่มีความสำคัญไปยังบัญชีปลายทางที่เป็นคนละบัญชี กระบวนการนี้จะช่วยคัดลอก ACL และ Tag ที่เชื่อมโยงกับแต่ละ Object ให้ด้วย สำหรับในฟีเจอร์ใหม่นี้ เมื่อมีการ Replicate Object ข้าม Account ผู้ใช้งานสามารถระบุได้ว่า account ที่ย้ายไปให้นั้น จะมีสิทธิ์เต็มใน Object หรือไม่ ซึ่งช่วยให้สามารถจัดการเรื่องความเป็นเจ้าของของ Object เดิมและใหม่ได้

4. Cross-region replication with KMS
ลูกค้าสามารถเลือกคีย์ปลายทางเมื่อตั้งค่า cross-region replication ด้วย AWS Key Management Service (KMS) ดังนั้นระหว่าง Replicate จะมีกระบวนการเข้ารหัสข้อมูลให้ผ่านการเชื่อมต่อโดยใช้ SSL ทำให้เมื่อมาถึงปลายทางแล้วข้อมูลสำคัญจะถูกเข้ารหัสด้วย KMS master key ที่ผู้ใช้ระบุไว้ใน replication configuration

5. Detailed inventory report
การออกรายงานของ S3 จะมีการแสดงสถานะการเข้ารหัสของแต่ละ Object นอกจากนี้ผู้ใช้ยังสามารถขอรับการเข้ารหัส SSE-S3 หรือ SSE-KMS สำหรับรายงานที่ออกได้ด้วย

ที่มา Techrepublic

เมื่อเร็ว ๆ นี้นักวิจัยของ Trustwave ค้นพบช่องโหว่สำคัญในเครื่องพิมพ์ Brother ของบริษัทอิเล็กทรอนิกส์ผู้ผลิตอุปกรณ์ไฟฟ้าของญี่ปุ่น

ช่องโหว่ (CVE-2017-16249) อยู่ในส่วนหน้าเว็บแสดงผลของเครื่องพิมพ์ Brother ที่เรียกว่า Debut(Remote un-authenticated DoS in Debut embedded httpd server in Brother printers) สามารถทำให้เกิด Denial of Service (DoS) ผ่านทางเครื่องพิมพ์ของเหยื่อได้ การโจมตีดำเนินการโดยการส่งคำขอ HTTP POST ที่มีรูปแบบไม่ปกติไปยังเครื่อง เมื่อผู้โจมตีได้รับรหัส 500 error code เว็บเซิร์ฟเวอร์จะแสดงผลว่าไม่สามารถเข้าถึงได้และการพิมพ์ทั้งหมดหยุดทำงาน โดยช่องโหว่ดังกล่าวมีผลต่อเครื่องพิมพ์ Brother ทั้งหมด

ปัจจุบันมีอุปกรณ์ที่มีช่องโหว่กว่า 16,000 รายการ ซึ่งทาง Brother ยังไม่มีการแก้ไขใดๆ แม้ทาง Trustwave จะแจ้งเตือนไปหลายครั้งเกี่ยวกับช่องโหว่ที่สำคัญต่างๆ ทำให้ Trustwave ตัดสินใจเปิดเผยช่องโหว่นี้ออกมา ก่อนหน้านี้เครื่องพิมพ์ HP เองก็มีช่องโหว่ที่ผู้ไม่หวังดีสามารถวางไฟล์ที่เป็นอันตรายบนฮาร์ดไดรฟ์ได้ โดยในเดือนกุมภาพันธ์ปีนี้แฮกเกอร์ได้โจมตีเครื่องพิมพ์มากกว่า 150,000 เครื่องทั่วโลกแล้ว พร้อมทั้งมีการส่งคำเตือนของช่องโหว๋ให้ผู้ใช้งานทราบด้วย

ที่มา Hackread

แพตช์ล่าสุดสำหรับ OpenSSL มาแล้ว

โครงการ OpenSSL ได้มีการประกาศแพตช์ด้านความปลอดภัยล่าสุดสำหรับซอฟต์แวร์ OpenSSL ในวันที่ 2 พฤศจิกายนที่ผ่านมา โดยแพตช์ในรอบนี้นั้นปิดช่องโหว่สองช่องโหว่ที่ระดับความรุนแรงปานกลางและต่ำ โดยมีรายละเอียดของช่องโหว่ดังนี้

ช่องโหว่แรกรหัส CVE-2017-3736 เป็นช่องโหว่ในกระบวนการคำนวณหาค่าตัวเลขที่มีขนาดใหญ่อย่างรวดเร็วซึ่งถูกคิดค้นโดย Peter Montgomery ช่องโหว่นี้ถูกรายงานว่าไม่กระทบต่อกระบวนการสร้างคีย์ในอัลกอริธึมที่อยู่บนพื้นฐานของ Elliptic-curve แต่ส่งผลกระทบ "ในระดับที่น้อยมากและเป็นไปได้ยากมากๆ ที่จะโจมตี" กับ RSA และ DSA และจะส่งผลกระทบในระบบที่ใช้โปรเซสเซอร์ที่มีส่วนเสริม BMI1, BMI2 และ ADX อาทิ Intel Broadwell และ AMD Ryzen เท่านั้น

ช่องโหว่ที่สองรหัส CVE-2017-3735 เป็นช่องโหว่ one-byte buffer overread หากมีการกำหนดค่าในฟิลด์ IPAddressFamily ของ certificate แบบ X.509 ที่ไม่เหมาะสม ซึ่งอาจส่งผลกระทบต่อการแสดงข้อมูลเมื่อมีการเรียก certificate มาดูได้

ทั้งสองช่องโหว่สามารถแพตช์ได้ผ่านการอัพเดตซอฟต์แวร์ โดยสำหรับผู้ใช้งานที่ใช้รุ่น 1.1.0 ให้ทำการอัพดตไปเป็น 1.1.0g และสำหรับผู้ใช้งานที่ใช้รุ่น 1.0.2 ให้ทำการอัพเดตไปเป็น 1.0.2m

ที่มา openssl

การดำเนินการเปลี่ยนแปลง Border Gateway Protocol (BGP) บน Ethernet VPN ทำให้เกิดช่องโหว่ในซอฟต์แวร์ IOE XE
Cisco ได้เปิดเผยการปรับปรุงซอฟต์แวร์สำหรับ IOS XE เพื่อแก้ไขปัญหาการโจมตีจากระยะไกลได้ โดยไม่ต้องพิสูจน์ตัวตน ทำให้เกิดข้อผิดพลาดหรือความเสียหายกับ BGP routing table ส่งผลให้เกิดความไม่เสถียรของเครือข่าย ได้รับรหัสเป็น CVE-2017-12319
Cisco กล่าวว่า IOS XE เวอร์ชันก่อนหน้า 16.3 ที่รองรับการใช้งาน BGP บน Ethernet VPN มีความเสี่ยง ผู้บุกรุกสามารถใช้ประโยชน์จากช่องโหว่นี้ได้โดยการส่งแพคเก็ต BGP ที่สร้างขึ้นมาให้กับอุปกรณ์ที่ได้รับผลกระทบ ทำให้ผู้โจมตีสามารถรีโหลด หรือสร้างความเสียหายต่อ BGP routing table ส่งผลให้เกิดการ DoS ได้

ที่มา : Threatpost

นักวิจัยด้านความปลอดภัยจาก Cisco Talos ตรวจพบการโจมตีโดยการใช้ประโยชน์จาก Google search-engine optimization (SEO) สำหรับการค้นหา Keywords ที่เกี่ยวข้องกับสถาบันการเงิน โดยใช้วิธีการยึดเว็บไซต์ และใช้มาโครสคริปส์ที่เป็นอันตรายในการแพร่กระจาย Zeus Panda banking Trojan เพื่อขโมยข้อมูลส่วนตัวของผู้ใช้งาน
ซึ่งก่อนหน้านี้เคยพบการโจมตีโดยใช้ประโยชน์จาก SEO ในการแพร่กระจายมัลแวร์มาก่อนแล้ว แต่กลุ่มนี้มีการพุ่งเป้าไปยังผู้ใช้งานเฉพาะที่ต้องการค้นหาข้อมูลที่เกี่ยวข้องกับสถาบันการเงิน โดยการใช้ประโยชน์จากผลการจัดอันดับที่แสดงบน Google อย่าง SERP (Search Engine Result Page) เพื่อทำให้ผู้ค้นหาเห็นเว็ปไซต์ที่ต้องการเป็นอันดับแรก โดยเป้าหมายหลักในการโจมตีครั้งนี้จะเป็นลูกค้าในสถาบันการเงินอินเดีย, สวีเดน, ออสเตรเลีย และซาอุดิอาระเบีย นอกจากนี้กลุ่มผู้โจมตีได้ทำการกำหนดเป้าหมายไปยังกลุ่มผู้ใช้งานที่กำลังค้นหารายละเอียดเกี่ยวกับระบบ SWIFT ด้วย
อันดับแรกผู้โจมตีจะทำการยึดเว็ปไซต์จริง และทำการ Optimize เพื่อให้ได้ผลลัพธ์การค้นหาเป็นอันดับแรกจากคำค้นหาที่ต้องการ โดยตัวอย่างของคำค้นหา เช่น

"al rajhi bank working hours during ramadan"
"how many digits in karur vysya bank account number"
"free online books for bank clerk exam"
"how to cancel a cheque commonwealth bank"
"salary slip format in excel with formula free download" เป็นต้น

หากผู้ใช้เข้าถึงเว็บไซต์ที่มีการฝั่ง JavaScript ที่เป็นอันตรายเอาไว้ หน้าเว็บจะทำการ Redirect ไปยังหน้าเพจเพื่อทำการดาวน์โหลดไฟล์เอกสารที่เป็นอันตราย โดยผู้โจมตีจะพยายามหลอกให้ผู้ใช้หลงเชื่อเพื่อเปิดใช้งานมาโครสคริปส์ เมื่อผู้ใช้งานเปิดไฟล์เอกสาร และเปิดใช้งานมาโครสคริปส์ จะทำการดาวน์โหลด Zeus Panda มาติดตั้งบนเครื่อง

ที่มา : Hackread

พบ CoreBot Trojan อีกครั้งหลังจากหายไปสองปี นับตั้งแต่การโจมตีลูกค้าธนาคารออนไลน์ครั้งล่าสุด CoreBot Trojan ถูกพบบ่อยในช่วงหน้าร้อน 2015 หลังจากที่เปลี่ยนเป้าหมายมาโจมตีธนาคาร หลังจากมีการระบาดช่วงสั้นๆ CoreBot Trojan ดูเหมือนว่าจะหายไปก่อนจะกลับมาอีกครั้งในช่วงสัปดาห์ที่ผ่านมา นักวิจัยจาก Deep Instinct ออกมาให้รายละเอียดว่าเวอร์ชันใหม่ของ CoreBot กำลังแพร่กระจายผ่านการ Spam Email เพื่อขโมยข้อมูลของลูกค้า ลูกค้าของ TD, Des-Jardins, RBC, Scotia Bank, Banque National ล้วนเป็นเป้าหมายของการโจมตี หากสามารถเจาะเข้ามาสำเร็จจะทำให้ผู้ที่โจมตีได้ข้อมูลสำคัญๆ ของเหยื่อจากการที่เหยื่อล็อกอินเข้าระบบเว็บไซต์เหล่านั้น CoreBot เวอร์ชันใหม่จะมีการแสดงข้อความปลอมว่าขอบคุณที่จ่ายเงินให้เพื่อทำให้เหยื่อตื่นตระหนก และคิดตัวเองได้เสียเงินไปแล้ว
ลิ้งค์ที่อยู่ในอีเมลหากถูกกดเข้าไปแล้วจะเป็นการสั่งเริ่มกระบวนการดาวน์โหลดไฟล์อันตราย ซึ่งแตกตายกับ CoreBot เวอร์ชันเก่าตรงที่เวอร์ชันเก่าจะมีไฟล์อันตรายดังหล่าวอยู่ในเมลแล้ว เวอร์ชันยังมีเทคนิคใหม่เพิ่มขึ้นมาเพื่อหลบหลีกการตรวจจับโค้ดแปลกปลอมในไฟล์ นักวิจัยให้ข้อมูลเพิ่มเติมว่า command and control server domain ได้มีการเปลี่ยน IP จากการโจมตีครั้งก่อน ในขณะเดียวกัน IP ที่ใช้ในการกระจายเมลครั้งนี้ดูเหมือนว่าจะมาจากประเทศฝรั่งเศษ และประเทศแคนนาดา นักวิจัยยังบอกอีกว่า CoreBot เวอร์ชันนี้มีความคล้ายกับ Banking Malware ตัวอื่นๆ แต่ยังไม่ได้บอกว่าตัวไหน Deep Instinct บอกกับ ZDNet ว่าจากการตรวจสอบโค้ด พบว่าอาจมาจากประเทศจีน ปัจจุบันยังคงมีการวิเคราะห์เกี่ยวกับ CoreBot และลูกค้าธนาคารได้รับคำเตือนให้ระวังข้อความแปลกๆ เกี่ยวกับการทำธุรกรรมใดๆ

ที่มา : ZDNet