Oracle ได้ออกแพทเพื่อแก้ช่องโหว่ 14 ช่องโหว่ใน Java Standard edition โดย Oracle ได้แนะนำให้ผู้ใช้รีบอัพแพทช์ให้เร็วที่สุดเพราะว่า จาก 14 ช่องโหว่มี 12 ช่องโหว่ที่เป็นช่องโหว่ที่ทำให้แฮคเกอร์สามารถ remote exploit ได้โดยไม่ต้อง authentication การอัพเดตครั้งนี้ได้แก้ช่องโหว่ใน Java development kit (JDK) และ runtime environment (JRE) เวอร์ชั่น 7 update 4 และเวอร์ชั่นก่อนหน้า, JDK และ JRE เวอร์ชั่น 6 update 32 และเวอร์ชั่นก่อนหน้า, JDK และ JRE update 35 และเวอร์ชั่นก่อนหน้า, JDK และ JRE 1.4.2 update 37 และเวอร์ชั่นก่อนหน้า, JavaFX 2.1 และเวอร์ชั่นก่อนหน้า ผู้ใช้สามารถอ่านรายละเอียดเพิ่มเติมได้จากประกาศของ Oracle ใน http://www.
Exploit posted for vulnerable F5 kit
ได้มีการประกาศว่าพบช่องโหว่ใน F5 ตั้งแต่เดือนกุมภาพันธ์โดยโค้ดที่ใช้ในการ exploit ได้มีการโพสลงในเวป Github โดยช่องโหว่นี้เกิดจากการติดตั้ง F5’s BigIP และระบบอื่นๆ ซึ่งจะทำให้แฮกเกอร์สามารถล็อคอินเข้าใช้บัญชีผู้ใช้ root ได้ (บัญชีผู้ใช้ที่คุมเครื่องทั้งหมด) แฮกเกอร์สามารถล็อคอินเข้ามาได้เพราะว่าช่องโหว่นี้จะเปิดเผย SSH private key ของอุปกรณ์นั้นๆ และ F5 ได้ทำการอัพเดตแก้ช่องโหว่นี้เรียบร้อยแล้วในต้นเดือนที่ผ่านมา โดย F5 ได้ระบุว่าช่องโหว่นี้เกิดจากการตั้งค่าที่ผิดพลาดไม่ใช่เกิดจากการลง SSH ช่องโหว่นี้สามารถแก้ได้โดยการอัพเดตแพทป็นเวอร์ขั่นที่ไม่มีช่องโหว่นี้หรือเข้าไปแก้การตั้งค่าใน SSH access
ที่มา : theregister
Adobe Flash update closes several critical holes
Adobe ได้ออกอัพเดต Flash Player สำหรับ วินโดว์, แมค, ลีนุกซ์, แอนดรอยด์ 3.x และ 4.x และ ใน Air runtime การอัพเดตนี้ประกอบไปด้วยช่องโหว่ร้ายแรงที่จะทำให้เกิด memory corruption, stack overflows , integer overflows, security being bypassed, null dereferencing และ binary planting (DLL hijacking) ช่องโหว่ทั้งหมดยกเว้น security bypass สามารถนำไปสู่การทำ code execution ได้ ในวินโดว์ ได้มีการนำ sandbox ใน Firefox มารัน Flash เพื่อให้ยากต่อการแฮกเข้าสู่การทำงานอื่นๆ
Adobe ใน Mac ได้ทำการอัพเดตแบบไม่ให้ผู้ใช้รู้ตัว โดย daemon จะคอยติดต่อไปยังเซิร์ฟเวอร์ของ Adobe ทุกชั่วโมงจนกว่าติดต่อเซิร์ฟเวอร์ของ Adobe ได้ เมื่อมีการตอบสนองมันจะรออีก 24 ชม.แล้วเช็คอีกครั้ง ถ้ามีการอัพเดตมันจะอัพเดตโดยไม่ให้ผู้ใช้รู้ตัว แต่ผู้ใช้สามารถยกเลิกการทำงานนี้ได้ใน Flash Player preferences (พบใน the OS X System Preferences)
Flash Player บน วินโดว์และแมค ควรจะอัพเดตเป็นเวอร์ชั่น 11.3.300.257 และบนลีนุกซ์ควรอัพเดตเป็นเวอร์ชั่น 11.2.202.236 เวอร์ชั่นก่อนหน้านี้ทุกเวอร์ชั่นจะทำให้ระบบมีช่องโหว่ สำหรับแอนดรอยด์ 4.x ผู้ใช้ควรอัพเดตเป็นเวอร์ชั่น 11.1.115.9 และ แอนดรอยด์ 3.x ควรอัพเดตเป็นเวอร์ชั่น 11.1.111.10 โดยสามารถอัพเดตผ่านทาง Google Play store Adobe AIR ควรอัพเดตเป็นเวอร์ชั่น 3.3.0.3610 จาก AIR Download Center บน วินโดว์และแมค และ Google Play store สำหรับแอนดรอยด์ ผู้ใช้กูเกิ้ลโครมควรจะอัพเดตเป็นเวอร์ชั่น 19.0.1084.56 ซึ่งเป็นเวอร์ชั่นที่รวมการอัพเดต Flash เข้าไปด้วย
ที่มา : h-online
64-bit OS & virtualization software running on Intel CPU vulnerable to local privilege escalation
พบช่องโหว่ร้ายแรงในระบบปฏิบัติการแบบ 64 บิทและ virtualization software ที่รันบนซีพียูของ Intel โดยช่องโหว่นี้จะนำไปสู่การเกิดทำ Privilege Escalation หรือ a guest-to-host virtual machine escape (การเข้าถึงทรัพยากรของเครื่องทั้งๆที่ปกติมีการป้องกันการเข้าถึงจากแอพพลิเคชั่นและผู้ใช้) ช่องโหว่นี้มีผลกับระบบปฏิบัติการแบบ 64 บิทของ วินโดว์, ลีนุกซ์ และ Xen hypervisor ช่องโหว่นี้มีผลกับซีพียูของ Intel เท่านั่น ส่วนซีพียูของ AMD และ ARM ดูเหมือนจะไม่ได้รับผลกระทบ
Red Hat ผู้ที่เป็นคนจำหน่ายลีนุกซ์ได้ออกอัพเดต RHSA-2012:0720-1 และ RHSA-2012:0721-1 ออกมาเพื่อแก้ไขช่องโหว่นี้แล้ว เพื่อแก้ไขช่องโหว่นี้ผู้ใช้ควรทำการอัพเดตระบบปฏิบัติการนั้นๆเพื่อความปลอดภัย
ที่มา : ehackingnews
Memory Corruption Vulnerability in Firefox 13
นักวิจัยทางด้านความปลอดภัยชื่อ Ucha Gobejishvili ได้พบช่องโหว่ที่จะทำให้เกิด memory corruption ใน Firefox เวอร์ชั่น 13 ซึ่งเป็นเวอร์ชั่นล่าสุด โดยช่องโหว่นี้สามารถทำได้โดยการใช้ local privileged user accounts และต้องการการตอบสนองผู้ใช้ที่น้อย หรือการรีโมทผ่าน HTTP Request ที่สร้างขึ้นมาและต้องการการตอบสนองจากผู้ใช้ที่มาก
จากรายงานของ Softpedia ได้รายงานว่า นักวิจัยคนนี้ได้บอกช่องโหว่นี้ไปยังทาง Mozilla และ Mozilla ได้ยืนยันการมีอยู่ของช่องโหว่นี้และวางแผนที่จะแก้ช่องโหว่นี้ในเวอร์ชั่นหน้า ใน Proof-of-concept video (POC video) นักวิจัยได้แสดงให้เห็นถึงการสร้างไฟล์ HTML ที่สามารถทำให้ Firefox ตกอยู่ในสภาวะ denial-of-service (DOS) จากช่องโหว่นี้ แฮกเกอร์จะต้องตั้งเวบไซด์ที่ฝัง malicious webpage ขึ้นมาและจะหลอกให้เหยื่อเข้าไปยังเวบไซด์นี้โดยการส่งอีเมล์หรือข้อความไปให้เหยื่อ
ที่มา : ehackingnews
Linkedin Hacked and six Million Passwords leaked
มีรายงานว่ารหัสผ่าน (ที่ถูกเข้ารหัส) ของเว็บไซต์ LinkedIn จำนวน 6.5 ล้านบัญชีหลุดไปโผล่บนเว็บไซต์แฮ็กเกอร์รัสเซีย ตอนนี้ยังไม่มีข้อมูลอย่างเป็นทางการจาก LinkedIn แต่คาดว่าเว็บไซต์โดนเจาะและไม่รู้ว่ามีข้อมูลอะไรหลุดออกมาบ้าง
เนื่องจากสิ่งที่แฮ็กเกอร์นำมาโพสต์มีเพียงรหัสผ่าน เพื่อขอให้ชุมชนแฮ็กเกอร์ช่วยกันถอดรหัส ทาง LinkedIn บอกเพียงแค่จะตรวจสอบเรื่องนี้ ระหว่างนี้ผู้ใช้ LinkedIn ทุกคนก็ควรเข้าไปเปลี่ยนรหัสผ่านกันโดยด่วน และใครที่ใช้รหัสผ่านเดียวกันกับเว็บไซต์อื่นๆ ก็ควรเปลี่ยนด้วยทั้งหมด
ที่มา : ehackingnews
CVE-2012-2122 : Serious Mysql Authentication Bypass Vulnerability
พบช่องโหว่ร้ายแรงใน MariaDB และ MySQL ทุกเวอร์ชั่นจนถึง 5.1.61, 5.2.11, 5.3.5, 5.5.22 โดยเมื่อผู้ใช้งานเชื่อมต่อไปยัง MariaDB หรือ MySQL แล้ว token หรือ SHA ที่ได้จาก password และ string ที่มีการสลับที่อย่างสุ่มๆนั้นมีค่าที่ได้เท่ากันกับค่าที่ระบบต้องการ ถึงแม้ว่า memcmp()มีการรีเทริ์นค่าที่ไม่เป็น 0 ก็ตาม ก็จะส่งผลให้ MariaDB หรือ MySQL เข้าใจว่า password ที่ใส่เข้ามานั้น เป็น password ที่ถูกต้อง (แน่นอนว่าแท้จริงแล้ว password ที่ใส่มานั้นไม่ถูกต้อง) ซึ่งความเป็นไปได้ของบัคดังกล่าวอยู่ที่ 1:256
ดังนั้นเพียงรู้ว่า Username ที่ใช้กับระบบนั้นเป็น Username อะไร (ซึ่งแน่นอนว่า “root” เป็น Username ที่ส่วนใหญ่นิยมใช้กัน) ก็จะสามารถเชื่อมต่อได้ โดยการใช้ password อะไรก็ได้และพยายามเชื่อมต่อเรื่อยๆจนเกิดบัคดังกล่าว กลายเป็นว่าถึงแม้ตั้งรหัสผ่านยากเพียงไหนก็ไม่ต่างอะไรกับรหัสผ่านทั่วๆไปเลย
วิธีป้องกันเบื้องต้น ควรมีการจำกัดการเข้าถึงระบบ กล่าวคือ ควรจำกัดให้มีการเข้าถึงระบบจากการ remote ให้คนที่มีสิทธิ์เท่านั้น หรือถ้าเป็นไปได้ก็ควรให้เป็นการเข้าที่หน้าเครื่องได้เท่านั้น เพราะหากว่าใครๆก็สามารถเข้าถึงได้แล้วนั้น ก็จะง่ายต่อการโจมตีด้วยบัคข้างต้นด้วยเช่นกัน นอกจากนี้ การใช้ Username ที่คาดเดาได้ยากก็เป็นอีกหนึ่งข้อที่ช่วยลดความเสี่ยงได้เช่นกัน โดยเฉพาะ “root” ซึ่งเป็น Username ที่เป็น Default และใช้กันส่วนใหญ่
ที่มา : thehackernews
Six more Carberp scammers arrested by Russian Authorities
เจ้าหน้าที่รัสเซียจับกุมหกผู้ต้องสงสัยว่ามีส่วนเกี่ยวข้องกับการใช้มัลแวร์ที่ชื่อว่า Carberp และ Hodprot ทำการขโมยเงินของผู้ใช้งานผ่านธนาคารออนไลน์ โดยได้เงินประมาณ 3 ล้านเหรียญสหรัฐ จากธนาคารต่างๆ ในรัสเซีย โดยการจับกุมดังกล่าวเจ้าหน้าที่ได้รับความช่วยเหลือจากบริษัทด้าน Security ในการสืบสวนข้อมูล
ที่มา : ehackingnews
XSS Vulnerability found in 4 Antivirus websites
นักวิจัยด้าน Security ชาวอินเดียที่ชื่อ Ankit Sharma พบช่องโหว่ Cross Site scripting บนเว็บไซต์ Antivirus 4 เว็บไซต์ได้แก่ BitDefender, AVG , Avira และ Total Defense Antivirus ที่ทำให้ Attacker สามารถใส่ Input ในลักษณะของ Cross Site scripting ไปยังเว็บไซต์ที่ต้องการหรือหน้า Phishing ได้
ที่มา : ehackingnews
PowerPoint file exploit Flash Vulnerability (CVE-2011-0611)
นักวิจัยของ Trend Micro ได้พบไฟล์ power point ที่เป็นอันตรายโดยบังเอิญ โดยไฟล์นี้จะฝังไฟล์ Flash ที่จะ exploits ช่องโหว่ของ Flash Player (CVE-2011-0611)เพื่อที่จะฝัง backdoor ลงบนระบบของเหยื่อ เมื่อเหยื่อเปิดไฟล์ power point ขึ้นมา มันจะเซฟไฟล์ที่ชื่อ Winword.