รัฐสภาอังกฤษตรวจพบว่าอีเมลบางส่วนถูกเข้าถึงโดยไม่ได้รับอนุญาต ทำให้ตัดสินใจปิดระบบอีเมลไม่ให้เข้าถึงจากภายนอกรัฐสภา โดยระบุว่ามีบัญชีที่ได้รับผลกระทบน้อยกว่า 1% จากทั้งหมดกว่า 9,000 บัญชี สาเหตุที่ถูกแฮกได้เพราะบัญชีเหล่านี้ตั้งรหัสผ่านที่คาดเดาง่ายเกินไป
มาตรฐานการตั้งรหัสผ่านตาม NIST SP 800-63B เวอร์ชั่นใหม่ยกเลิกการบังคับเงื่อนไขการตั้งรหัสผ่านให้ซับซ้อน แต่ก็แนะนำให้ระบบแสดงมิตเตอร์ความซับซ้อนของรหัสผ่านให้ผู้ใช้เห็น พร้อมกับรวบรวมรายการรหัสผ่านต้องห้ามเพื่อไม่ให้ผู้ใช้นำรหัสผ่านเหล่านั้นไปใช้งานและจำกัดปริมาณการล็อกอินที่ล้มเหลว
ตอนนี้ยังไม่มีข้อมูลว่าแฮกเกอร์ได้ข้อมูลอะไรไปบ้าง

ที่มา : theregister

เว็บไซต์ Debian มีรายงานการค้นพบบั๊กร้ายแรงบนซีพียูอินเทลเจเนอเรชั่น 6 และ 7 (Skylake และ Kaby Lake) ทั้งตระกูล Core และ Xeon ที่สามารถทำให้เกิดการทำงานผิดพลาดและการสูญหายของข้อมูลได้ หากมีการเปิดใช้งานระบบ Hyper-Threading อยู่
อินเทลได้เพิ่มรายละเอียดของบั๊กนี้ในเอกสารสเปก (ของซีพียูตระกูล Core รุ่นที่ 6) แล้วเมื่อเดือนก่อน โดยให้รายละเอียดว่า ลูปขนาดเล็กที่มีคำสั่งน้อยกว่า 64 คำสั่ง ที่มีการเรียกใช้รีจิสเตอร์ AH, BH, CH, DH และรีจิสเตอร์ที่เกี่ยวข้อง (RAX, EAX หรือ AX) สามารถทำให้เกิดการทำงานผิดพลาดได้ หาก logical processor ทั้งคู่ทำงานพร้อมกันบน physical processor ตัวเดียวกัน
ทั้งนี้เป็นไปได้ว่าปัญหาดังกล่าวสามารถเกิดบนระบบปฏิบัติการอื่นนอกเหนือจากระบบตระกูลลินุกซ์ได้เช่นกัน แนวทางป้องกันในตอนนี้คือปิดระบบ Hyper-Threading ไปก่อน และรอการอัพเดต UEFI/BIOS จากผู้ผลิตเมนบอร์ด

ที่มา : hexus,debian,blognone

มาตรฐานการยืนยันตัวตน NIST SP 800-63 (มีเอกสารย่อยอีก 4 ฉบับ) เปิดรับฟังความเห็นมาตั้งแต่ปีที่แล้ว ตอนนี้กระบวนการรับฟังความเห็นได้จบลงแล้วและเอกสารตัวจริงออกมาให้องค์กรต่างๆ นำไปใช้งานต่อไป
ความเปลี่ยนแปลงสำคัญในเวอร์ชั่นใหม่ ได้แก่

- เพิ่มแนวทางสำหรับการยืนยันตัวตนแบบแสดงตน (in person): แนะนำให้มีการตรวจข้อมูลชีวภาพ เช่น ใบหน้าและลายนิ้วมือ และขณะตรวจเจ้าหน้าที่จะต้องตรวจสอบเสมอว่าไม่มีสิ่งแปลกปลอมบนส่วนของร่างกายที่ใช้ตรวจสอบนั้น และยอมรับการแสดงตนจากระยะไกล เช่นวิดีโอคอล แต่กำหนดให้บุคคลที่แสดงตนต้องแสดงตนอย่างต่อเนื่อง, ฝั่งหน่วยงานต้องมีเจ้าหน้าที่จริงตอบโต้กับผู้ใช้, สถานที่ที่ใช้ยืนยันตัวตนต้องตรวจสอบการดัดแปลงแก้ไขได้ เช่น ตู้ kiosk ที่ติดตั้งในพื้นที่ปลอดภัย

- การยืนยันตัวตนด้วยความรู้ของผู้ใช้ (knowledge-based verification - KBV) ระบุให้ใช้คำถามที่ตัวผู้ใช้เท่านั้นที่รู้ ข้อมูลที่อาจจะหาได้จากสาธารณะหรือแม้แต่มีขายในตลาดมืดก็ห้ามใช้, ผู้ใช้ต้องขอไม่ใช้งาน KBV ได้ ทำให้องค์กรต้องหาทางอื่นในการยืนยันตัวตน, จำกัดเวลา KBV ไว้ไม่เกิน 2 นาที, ไม่ใช้คำถามที่ไม่เคยเปลี่ยนแปลงคำตอบเลย

- จำกัดการยืนยันตัวตนด้วย SMS: SMS และการโทรศัพท์พื้นฐาน (PSTN) ถูกจัดให้เป็นการยืนยันตัวตนแบบ out-of-band (OOB) ในหมวดจำกัดการใช้งาน (RESTRICTED) หน่วยงานที่จะใช้งานต้องเสนอทางเลือกอื่นให้ผู้ใช้เพิ่มเติม, แจ้งเตือนผู้ใช้ว่าการใช้ SMS มีความเสี่ยงและแนะนำทางเลือกอื่น, วางแนวทางการจำกัดความเสี่ยงจากการใช้ SMS ส่วนการทำ OOB ด้วยอีเมลนั้นไม่ได้รับรองโดยเอกสารอีกเลย
นอกจากการเปลี่ยนแปลงตัวมาตรฐานเอง เอกสารในเวอร์ชั่นนี้ยังปรับรูปแบบใหม่ ขยายความจำต่างๆ ให้ชัดเจนขึ้น และแยกส่วนของข้อมูลทั่วไปออกมาทำให้อ่านง่ายขึ้นมาก

ที่มา : NIST

Cisco ได้ประกาศออก Patch เพื่ออุด 3 ช่องโหว่ที่มีความรุนแรงระดับสูงให้กับ Cisco Prime Infrastructure, Cisco WebEx Network Recording Player และ Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) และอีก 22 ช่องโหว่ในความรุนแรงระดับที่ต่ำกว่า โดยมีรายละเอียดของช่องโหว่ความรุนแรงระดับสูงดังนี้

1. Cisco Prime Infrastructure มีช่องโหว่ XML External Entitiy (XXE) ในรุ่น 1.1 ถึง 3.1.6 ทำให้สามารถถูกโจมตีผ่านไฟล์ XML และผู้โจมตีสามารถเข้ามาอ่าน, เขียน และเรียกใช้คำสั่งต่างๆ ผ่านทางระบบที่ถูกโจมตีได้
2. Cisco WebEx Network Recording Player มีช่องโหว่ Buffer Overflow อันจะนำไปสู่การทำ DoS จนระบบหยุดทำงานและเรียกใช้คำสั่งต่างๆ บนระบบได้
3. Cisco Virtualized Packet Core-Distributed Instance (VPC-DI) สามารถถูกโจมตีผ่าน USP Packet ทำให้เกิดการ DoS ระบบได้

Cisco ได้ออก Patch มาอุดช่องโหว่ของทั้ง 3 ผลิตภัณฑ์นี้แล้ว ส่วนอีก 22 ช่องโหว่นั้นปรากฎอยู่บน Cisco ISE, Cisco IOS XR, Cisco Firepower Management Center, Cisco SolarMiner, Cisco StarOS รวมถึงยังมีการออกอัปเดตเพิ่มเติมสำหรับอุดช่องโหว่บน OpenSSL ด้วย

สำหรับรายละเอียดของช่องโหว่ทั้งหมด สามารถติดตามได้ที่ cisco

ที่มา : techtalkthai , threatpost

Drupal เป็น CMS อีกเจ้าหนึ่งที่มีผู้นิยมใช้เยอะมาก แต่ล่าสุดมีการเปิดเผยว่าพบช่องโหว่ร้ายแรงในส่วนหลักของ Drupal ทำให้เว็บไซด์อาจถูกยึดได้ง่ายๆ

ช่องโหว่ที่พบคือ Remote Code Execution (การสั่งคำสั่งจากระยะไกล) ใน Drupal คือ version 8.0 - 8.3.3 ได้รับผลกระทบคืออาจถูกยึดเครื่องจากระยะไกลได้ โดยได้รับ CVE คือ CVE-2017-6920 ซึ่งมีเว็บไซด์จำนวนมากที่ได้รับผลกระทบ สำหรับใครที่ให้บริการแนะนำให้ทำการ update เป็น version 8.3.4 โดยด่วน

ผลกระทบ: Remote Code Execution
ระบบที่ได้รับผลกระทบ: Drupal 8.0 < 8.3.4
วิธีการแก้ไข: Update เป็น version 8.3.4

ที่มา : securityfocus

OpenVPN เป็น Application ชื่อดังในเรื่องการใช้งานและจัดทำ VPN Server ซึ่งแน่นอนว่าเมื่อมีคนใช้เยอะก็ยิ่งมีคนสนใจในความปลอดภัยของ OpenVPN ด้วยเช่นกัน เมื่อมีการตรวจสอบพบบว่ามีช่องโหว่สำคัญ 4 ช่องโหว่ด้วยกัน
OpenVPN ได้ถูกนำไปตรวจ source code และ fuzzing (การส่งข้อมูลแปลกๆเข้าไป) ในส่วนต่างๆ พบว่ามีช่องโหว่สำคัญที่เป็นการโจมตีจากระยะไกล 4 ช่องโหว่ด้วยกัน ดังนี้

- Remote server crashes/double-free/memory leaks in certificate processing
- Remote (including MITM) client crash, data leak
- Remote (including MITM) client stack buffer corruption
- Remote server crash (forced assertion failure)

จากที่เห็นจะพบว่าช่องโหว่ส่วนใหญ่จะทำให้ระบบไม่สามารถให้บริการได้ (Denial of Service) อีกทั้งมีช่องโหว่ที่ทำให้เกิด Information Leakage ได้ด้วยเช่นกัน ไม่เพียงเท่านี้ ยังพบช่องโหว่อีกมากมายที่เป็นการทำ Local Exploitation อีกด้วย แต่ทั้งนี้ช่องโหว่ทั้งหมดพบใน version 32bit เท่านั้น ดังนั้นหากใครให้บริการหรือใช้งาน OpenVPN Client ที่เป็น 32bit อยู่ แนะนำให้ update

ที่มา: guidovranken.

ข้อมูลส่วนตัวของประชาชนสหรัฐฯ กว่า 200 ล้านคน คิดเป็นเกือบ 62% ของจำนวนประชากรสหรัฐฯ ถูกเก็บอยู่บนคลาวด์เซิร์ฟเวอร์ของ Amazon ใครมีลิงก์ก็สามารถเปิดดูได้ทันที
ข้อมูลขนาดกว่า 1.1 เทราไบต์ ประกอบไปด้วยข้อมูลเบื้องต้นตั้งแต่วันเกิด ที่อยู่ หมายเลขโทรศัพท์ จนไปถึงแนวคิดทางการเมือง มุมมองเกี่ยวกับเรื่องเชื้อชาติ และจุดยืนในประเด็นอ่อนไหวที่ยังมีการถกเถียง เช่น กฎหมายการควบคุมปืน สิทธิ์ในการทำแท้ง และการวิจัยสเต็มเซลล์ ซึ่งข้อมูลถูกรวบรวมมาจากหลายแหล่งตั้งแต่โพสต์ทางการเมืองบน Reddit จนไปถึงงานระดมทุนสนับสนุนพรรค Republican
นักวิเคราะห์ความเสี่ยงทางไซเบอร์เป็นผู้พบข้อมูลไฟล์ spreadsheet เก็บอยู่ในเซิร์ฟเวอร์ของบริษัท Deep Root Analytics ไฟล์มีการอัพเดตเมื่อเดือนมกราคมที่ผ่านมา ซึ่งตรงกับช่วงพิธีสาบานตนเข้ารับตำแหน่งของประธานาธิบดี Trump โดยข้อมูลถูกพบเมื่ออาทิตย์ที่แล้วแต่ยังไม่แน่ชัดว่าถูกเปิดให้เข้าถึงมานานแค่ไหน จากชื่อไฟล์ทำให้ระบุได้ว่าข้อมูลจะถูกนำไปใช้สำหรับองค์กรที่สนับสนุนพรรค Republican

ที่มา: Blognone , BBC

Samsung ถือเป็นหนึ่งในบริษัทชั้นนำเรื่องมือถือในยุคปัจจุบัน แต่กลับปล่อยให้ผู้ใช้จำนวนมากตกเป็นเหยื่อของภัยคุกคาม หลังจากที่ไม่ยอมต่อ domain name สำหรับการแนะนำ Application

หากคุณใช้มือถือ Samsung รุ่นเก่าๆหน่อย คุณจะคงเห็นโปรแกรมที่ชื่อว่า "S Suggest" ติดตั้งอยู่ ซึ่ง Application ดังกล่าวจะเป็น app สำหรับการแนะนำ application/widget อื่นๆที่เหมาะสมกับเครื่องของเรา ซึ่งบริการดังกล่าวนี้ได้หยุดให้บริการไปตั้งแต่ 2014 โดย Application ดังกล่าวจะทำการติดต่อไปยัง ssuggest.

Qualys แสดงความสามารถอีกครั้งด้วยการเปิดเผยช่องโหว่ที่ชือว่า "Stack Clash" ทำให้ user สามารถใช้ช่องโหว่ดังกล่าวเพิ่มสิทธิ์ของตัวเองให้กลายเป็นสิทธิ์สูงสุดหรือ root ได้

Qualys พบช่องโหว่ "Stack Clash" ซึ่งทำให้ได้สิทธิ์ root ใน UNIX System ได้ ทาง Qualys พบช่องโหว่นี้ตั้งแต่เมื่อเดือนที่แล้ว (06/2017) และได้แจ้งให้เหล่า vendor ต่างๆไปก่อนแล้ว เพื่อให้ทาง vendor เหล่านั้นออกมา patch แก้ไขได้ทัน

ช่องโหว่นี้กระทบทั้ง Linux, OpenBSD, NetBSD, FreeBSD, และ Solaris.

Security Researcher จาก PhishLabs พบการโจมตี Phishing ที่พยายามหลอกล่อให้กับ user หลงเข้าไปได้ง่ายขึ้นโดยการใส่ - ยาวๆเข้าไปใน domain โดยมุ่งเป้าไปที่มือถือเป็นหลัก

กลยุทธ์ใหม่นี้จะเน้นหลอกผู้ใช้ browser ในมือถือเป็นหลัก เพราะ Address Bar (ที่ใส่ URL) ในมือถือนั้นสั้นมาก เมื่อเทียบกับ Browser ในคอมพิวเตอร์ ดังนั้นถ้าหากเจอ URL ที่เป็น
hxxp://m.facebook.