News

New iPhone Bug Gives Anyone Access to Your Private Photos

พบช่องโหว่ใหม่ใน iPhone ส่งผลให้สามารถเข้าถึงรูปภาพส่วนตัวบนเครื่องได้

Jose Rodriguez นักวิจัยด้านความปลอดภัยมือสมัครเล่นชาวสเปนได้ออกมาเปิดเผยถึงช่องโหว่บนระบบปฏิบัติ iOS 12 ใหม่ล่าสุดของ Apple ซึ่งช่วยให้แฮกเกอร์สามารถบายพาส Passcode ของ iPhone และเข้าถึงข้อมูลสำคัญภายใน ไม่ว่าจะเป็น รูปภาพ หมายเลขโทรศัพท์ หรืออีเมลได้ แม้แต่ iPhone XS ก็ได้รับผลกระทบ

การบายพาส Passcode ของ iPhone นี้ช่วยให้แฮกเกอร์สามารถเข้าถึงรายชื่อผู้ติดต่อที่เก็บอยู่บนเครื่อง ไม่ว่าจะเป็นหมายเลขโทรศัพท์หรืออีเมล รวมไปถึงสามารถเข้าถึง Camera Roll และโฟลเดอร์รูปถ่ายอื่นๆ ได้อีกด้วย โดยมีเงื่อนไขคือแฮ็กเกอร์ต้องเข้าถึงตัวเครื่อง iPhone ได้ จากนั้นจะใช้ประโยชน์จาก Siri และ VoiceOver เพื่อช่วยในการบายพาสการป้องกันของเครื่อง โดยหากต้องการทดสอบสามารถลองทำตามขั้นตอนต่างๆ ได้ตามลิงก์ที่มา

วิธีบายพาสรหัสผ่านนี้สามารถทำงานได้กับ iPhone ทั้งหมดในปัจจุบันรวมถึงอุปกรณ์ iPhone X และ XS ที่ใช้ระบบปฏิบัติการรุ่นล่าสุดเช่น iOS 12 ถึง 12.0.1 ทั้งนี้ผู้ใช้งานสามารถป้องกันเครื่องตนเองได้โดย "ปิดใช้งาน Siri" ไปก่อนจนกว่าจะมีแพทช์ใหม่จาก Apple ออกมา เพื่อแก้ไขปัญหานี้

ที่มา : thehackernews

30 Million Facebook Accounts Were Hacked: Check If You’re One of Them

Facebook 30 ล้านบัญชีถูกแฮ็ก ตรวจสอบหากคุณเป็นหนึ่งในนั้น

ปลายเดือนที่แล้ว Facebook ประกาศว่ามีการละเมิดความปลอดภัยที่แย่ที่สุดเท่าที่เคยมีมาซึ่งทำให้แฮกเกอร์สามารถขโมยโทเค็นการเข้าถึงข้อมูลของบัญชีผู้ใช้งานนับล้านโดยการใช้ประโยชน์จากความสามารถ 'View As' ในขณะที่การเปิดเผยครั้งแรก Facebook คาดว่าจำนวนผู้ใช้ที่ได้รับผลกระทบจากการละเมิดอาจอยู่ที่ประมาณ 50 ล้านบัญชี แม้ว่าการเปิดเผยล่าสุดจะลดจำนวนลงเหลือ 30 ล้านบัญชี

แฮกเกอร์สามารถเข้าถึงข้อมูลส่วนบุคคลจากผู้ใช้ Facebook ได้ถึง 29 ล้านรายแม้ว่าบุคคลเหล่านี้จะไม่มีการเข้าถึงข้อมูลจากแอพฯอื่น (third-party app) รองประธาน Facebook Guy Rosen ได้โพสต์บล็อกเมื่อเช้าวันศุกร์ที่ผ่านมา เพื่อให้รายละเอียดเพิ่มเติมเกี่ยวกับการละเมิดความปลอดภัยจำนวนมากในครั้งนี้ โดยแจ้งว่าแฮกเกอร์ขโมยข้อมูลจากบัญชีที่ได้รับผลกระทบดังต่อไปนี้
1. เหยื่อ 15 ล้านคน : ข้อมูลที่รั่วไหลประกอบด้วยชื่อผู้ใช้งาน และข้อมูลติดต่อ (เบอร์โทร, อีเมล, หรือทั้งคู่)
2. เหยื่อ 14 ล้านคน : ข้อมูลที่รั่วไหลจะเท่ากลุ่มที่ 1 แต่มีข้อมูลอื่นเพิ่มเติม ได้แก่ เพศ, สถานะความสัมพันธ์, ศาสนา, เมืองเกิด, เมืองที่อยู่, วันเกิด, ภาษา, อุปกรณ์ที่ใช้อยู่, การศึกษา, ที่ทำงาน, ตำแหน่งที่เช็คอินหรือถูก tag 10 ตำแหน่งล่าสุด, และข้อความค้นหาล่าสุด 15 ข้อความ
3. เหยื่อ 1 ล้านคน : ไม่มีข้อมูลใดๆ รั่วไหล

ไม่พบว่าข้อมูล Messenger, Messenger Kids, Instagram, WhatsApp, Oculus, Workplace, Pages, ข้อมูลการชำระเงิน, third-party แอพพลิเคชั่น, ข้อมูลการโฆษณาหรือบัญชีที่ใช้พัฒนาซอฟต์แวร์ มีการรั่วไหลแต่อย่างใด

Facebook ได้เปิดช่องทางผ่าน Help Center ให้ผู้ใช้งานสามารถตรวจสอบได้ว่าพวกเขาได้รับผลกระทบจากเหตุการณ์ในครั้งนี้หรือไม่ นอกจากนี้ Facebook จะแจ้งผู้ใช้ 30 ล้านคนที่ได้รับผลกระทบ เพื่อแจ้งว่าข้อมูลใดที่ผู้โจมตีสามารถเข้าถึงได้พร้อมกับขั้นตอนที่ควรทำเพื่อช่วยป้องกันตัวเองจากอีเมลที่น่าสงสัย ข้อความหรือสายโทรศัพท์

จนถึงปัจจุบันเป้าหมายของแฮกเกอร์ยังคงไม่ชัดเจน แต่ Rosen กล่าวว่า Facebook กำลังทำงานร่วมกับ FBI, คณะกรรมาธิการการค้าแห่งสหพันธรัฐแห่งสหรัฐอเมริกา, สำนักงานคณะกรรมการป้องกันข้อมูลไอริชและหน่วยงานอื่น ๆ เพื่อตรวจสอบว่าใครจะอยู่เบื้องหลัง และมีการกำหนดเป้าหมายใดเฉพาะหรือไม่

Help Center : [https://www.

After Google+ data leak, Google changes Play Store policy

Google จะเปลี่ยนนโยบายของ Play Strore หลังจากที่มีการรั่วไหลข้อมูลของ Google+

Google ได้เปิดตัวนโยบาย Play Strore ใหม่ เพื่อป้องกันแอพพลิเคชั่นบนมือถือไม่ให้รวบรวมบันทึกการโทรและข้อความของผู้ใช้
การตัดสินใจเปลี่ยนแปลงนโยบายนี้เกิดขึ้นหลังจากการรั่วไหลของข้อมูล Google+ ซึ่งได้เปิดเผยข้อมูลที่สำคัญของผู้คนนับล้านทั่วโลก การเปลี่ยนแปลงนโยบายในครั้งนี้ส่งผลให้นักพัฒนาที่ก่อนหน้านี้ได้รับอิสระในการจัดการแพลตฟอร์มถูกจำกัดสิทธิ์เพิ่มมากขึ้น

Google กล่าวว่าเฉพาะแอพพลิเคชั่นที่ผู้ใช้เลือกเป็น "แอพพลิเคชั่นเริ่มต้น (default apps)" และมีความสามารถในการเข้าถึงบันทึกการโทรและข้อความเท่านั้นที่จะสามารถขอการเข้าถึงข้อมูลดังกล่าวได้ นโยบายใหม่นี้มีผลบังคับใช้ตั้งแต่เมื่อวันที่ 9 ตุลาคมที่ผ่านมา อย่างไรก็ตาม Google ได้ให้เวลา 90 วันแก่นักพัฒนาเพื่ออัพเดทแอพพลิเคชั่นของตนเองให้เป็นไปตามข้อกำหนดตามนโยบายใหม่แอพพลิเคชั่นใดๆ ก็ตามที่จำเป็นต้องเข้าถึงข้อมูลดังกล่าวโดยตรงจำเป็นที่จะต้องถูกเปลี่ยนไปใช้ API ที่เป็นทางเลือกอื่นๆ เช่น SMS Retriever API, SMS Intent API, Share Intent API หรือ Dial Intent API แทน

นโยบายใหม่ที่ Google ออกมานี้เป็นนโยบายที่พยายามคำนึงถึงผู้ใช้งานเป็นหลักและช่วยปกป้องความเป็นส่วนตัวของพวกเขาขณะที่เพิ่มข้อจำกัด สำหรับนักพัฒนาแอพพลิเคชั่น
ประกาศจาก Google : [https://play.

DoD Weapon Systems Contain Security Vulnerabilities

พบช่องโหว่ความปลอดภัยในระบบอาวุธของกระทรวงกลาโหม สหรัฐอเมริกา

อ้างอิงจากรายงานของ General Accounting Office (GAO) ระบุว่าระบบอาวุธของสหรัฐอเมริกามีความเป็นไปได้ที่จะถูกโจมตีผ่านช่องโหว่ทางไซเบอร์สูงขึ้น จากการที่ระบบดังกล่าวต้องมีการอาศัยซอฟต์แวร์และระบบเครือข่าย

GAO อ้างว่าได้ทดสอบทำการโจมตีระบบอาวุธโดยใช้ผู้ทดสอบ 2 คน ทีมนักทดสอบดังกล่าวสามารถเข้าควบคุมระบบอาวุธได้ภายใน 1 ชั่วโมง และยังมีการทดสอบใช้เครื่องมือพื้นฐานเพื่อแฮ็กระบบ การจัดการรหัสผ่านที่ไม่รัดกุมและไม่ทำการเข้ารหัสข้อมูลระหว่างส่งก็เป็น 2 ปัจจัยที่ทำให้สามารถยึดระบบดังกล่าวได้โดยไม่ถูกตรวจเจอ โดย GAO กล่าวว่าในอนาคตจะทำการทดสอบระบบอาวุธที่สำคัญอื่นๆ ต่อไปในอนาคต

ที่มา : darkreading

VMware has released a security update for AirWatch Console

VMware ได้อัปเดตเพื่อแก้ไขความปลอดภัยบน AirWatch console ที่มีความรุนแรงอยู่ในระดับ Critical โดยเป็นช่องโหว่ของการ Bypass SAML authentication โดยช่องโหว่ดังกล่าวสามารถทำให้ผู้โจมตีควบคุมระบบที่ได้รับผลกระทบ

ผู้ดูแลระบบหรือผู้ใช้งานสามารถศึกษารายละเอียดได้จาก VMware Security Advisory (VMSA-2018-0024) และควรทำการอัปเดตให้เป็นเวอร์ชั่นปัจจุบัน

ที่มา: us-cert

VMware has released a security update for AirWatch Console

VMware ได้อัปเดตเพื่อแก้ไขความปลอดภัยบน AirWatch console ที่มีความรุนแรงอยู่ในระดับ Critical
โดยเป็นช่องโหว่ของการ Bypass SAML authentication
โดยช่องโหว่ดังกล่าวสามารถทำให้ผู้โจมตีควบคุมระบบที่ได้รับผลกระทบ

ผู้ดูแลระบบหรือผู้ใช้งานสามารถศึกษารายละเอียดได้จาก VMware Security Advisory (VMSA-2018-0024) และควรทำการอัปเดตให้เป็นเวอร์ชั่นปัจจุบัน

ที่มา: us-cert

WhatsApp fixes bug that let hackers take over app when answering a video call

ผู้พัฒนา WhatsApp ได้แก้ไขปัญหาทั้งในแอพพลิเคชั่นบน Android และ iOS ที่ส่งผลให้แฮกเกอร์สามารถยึดแอปพลิเคชั่นได้เมื่อรับสายวิดีโอคอล

Natalie Silvanovich นักวิจัยทางด้านความปลอดภัยร่วมกับทีมวิจัยจาก Google (Google's Project Zero) ค้นพบช่องโหว่ของ WhatsApp เมื่อปลายเดือนสิงหาคม Natalie ได้กล่าวว่าปัญหาของช่องโหว่ดังกล่าวจะเกิดขึ้นเมื่อผู้ใช้งาน WhatsApp บน Android และ iOS ทำการรับสายวิดีโอคอลที่มีการดัดแปลง RTP (Real-time Transport Protocol) Package ให้อยู่ในรูปแบบที่ผิดปกติ และช่องโหว่ดังกล่าวไม่มีผลกระทบต่อการใช้งาน WhatsApp ที่อยู่บน web client เนื่องจากใช้งาน WebRTC ไลบรารี่ ซึ่งต่างจากบน Android และ iOS ที่ไม่ได้ใช้งาน WebRTC และได้มีการเผยแพร่ PoC code และวิธีการใช้งานเพื่อทดสอบการโจมตีนี้แล้ว

ยังไงก็ตาม WhatsApp ได้ทำการแก้ไขและปล่อยให้อัพเดทในช่วงวันที่ 28 กันยายนสำหรับ Android และช่วงวันที่ 3 ตุลาคมสำหรับ iOS ที่ผ่านมาแล้ว

ที่มา: zdnet

Microsoft October 2018 Patch Tuesday fixes zero-day exploited by FruityArmor APT

แพทช์ในเดือนนี้จาก Microsoft เป็นการแก้ไขข้อบกพร่องที่แตกต่างกันถึง 50 ช่องโหว่ ช่องโหว่สำคัญ CVE-2018-8453 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ (privilege escalation) ซึ่งช่องโหว่เกือบครึ่งหนึ่งของเดือนนี้เป็นช่องโหว่ที่ผู้โจมตีสามารถสั่งรันคำสั่งได้จากระยะไกล (RCE)

พบว่ามี 3 ช่องโหว่ที่ยังไม่เป็นการโจมตีในตอนนี้ แต่ได้เปิดเผยออกมาแล้ว ได้แก่

CVE-2018-8497 เป็นช่องโหว่การยกระดับสิทธิ์ ที่มีผลกระทบต่อ Windows 10 / Server 2016 และใหม่กว่า
CVE-2018-8423 เป็น RCE ใน Microsoft Engine JET Database Engine และมีผลต่อ Windows เวอร์ชันที่รองรับทั้งหมด
CVE-2018-8531 เป็น RCE อีกตัว เกี่ยวข้องกับการพัฒนาซอฟต์แวร์โดยใช้ Azure IoT Hub Device Client C # SDK

ช่องโหว่ส่วนใหญ่ในเดือนนี้มีผลกับเบราว์เซอร์ (IE และ / หรือ Edge) โดยเฉพาะอย่างยิ่ง IE 11 มี RCE ได้แก่

CVE-2018-8460 และ CVE-2018-8491 : ทั้งสองตัวถูกโจมตีได้จากการเรียกไปยังหน้าเว็บที่เป็นอันตรายได้
CVE-2018-8494 : เป็น Critical RCE ใน MS XML
CVE-2018-8489 และ CVE-2018-8490 : เป็นช่องโหว่ RCE ใน Hyper-V ส่งผลให้ guest สามารถทำการคำสั่งบนโฮสต์ได้ตามต้องการ
นอกจากนี้ยังมีการแก้ไขช่องโหว่อื่นๆ ได้แก่

ช่องโหว่ใน Exchange 3 รายการ เป็น RCE 2 รายการ และอีก 1 รายการเป็นช้องโหว่ตั้งแต่ปี 2010
ช่องโหว่ใน SharePoint เป็นช่องโหว่การยกระดับสิทธิ์ 4 รายการ
ช่องโหว่ใน SQL Server Management Studio เป็นช่องโหว่การเปิดเผยข้อมูล 3 รายการ
ช่องโหว่ใน Office เป็นช่องโหว่ RCE ใน PowerPoint, Excel และ Word ที่เกี่ยวข้องกับวิธีจัดการ Protected View
อย่างไรด็ตามเดือนนี้ไม่มีการแก้ปัญหาด้านความปลอดภัยของ Adobe Flash Player ออกมา แต่ Adobe ได้แก้ไขปัญหาด้านความปลอดภัยสำหรับ Adobe Digital Editions, Framemaker, Experience Manager และ Technical Communications Suite รวมทั้งสัปดาห์ที่ผ่านมามีการอัปเดตสำหรับ Acrobat และ Reader ซึ่งแก้ไขช่องโหว่ทั้งหมด 86 รายการ

ที่มา: zdnet

DHS and GCHQ join Amazon and Apple in denying Bloomberg chip hack story

DHS ของสหรัฐอเมริกาและ GCHQ ของสหราชอาณาจักรเข้าร่วมกับ Amazon และ Apple ปฏิเสธรายงานเรื่องฝังชิปของ Bloomberg

ศูนย์รักษาความปลอดภัยไซเบอร์แห่งชาติ (NCSC) ของสหราชอาณาจักร และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) ของสหรัฐอเมริกา แถลงโต้รายงานจาก Bloomberg ที่กล่าวว่าหน่วยสืบราชการลับของจีน แอบติดตั้งชิปสอดแนมภายในเมนบอร์ดของบริษัท Supermicro ซึ่งถูกใช้สำหรับเซิร์ฟเวอร์ของบริษัทกว่า 30 แห่ง รวมถึง Apple กับ Amazon

เมื่อวันพฤหัสบดีที่แล้ว Bloomberg Businessweek อ้างแหล่งข่าวไม่ระบุชื่อจำนวน 17 รายที่เผยว่าหน่วยสืบราชการลับของจีน ได้ลอบติดตั้งชิปสอดแนมขนาดเท่าปลายหัวดินสอ ซึ่งไม่สามารถตรวจสอบได้โดยอุปกรณ์ธรรมดาทั่วไป ในผลิตภัณฑ์ของ Supermicro หนึ่งในบริษัทผลิตเมนบอร์ดรายสำคัญของโลก ซึ่งถูกใช้งานในเครือข่ายของรัฐบาลสหรัฐอเมริกา และสหราชอาณาจักร รวมถึงเซิร์ฟเวอร์ของบริษัทต่างๆ กว่า 30 แห่ง โดยมี Apple กับ Amazon อยู่ในข่ายด้วย จนส่งกระทบต่อมูลค่าหุ้นของ Supermicro โดยตรง ก่อนปิดตลาดเมื่อสุดสัปดาห์ที่ผ่านมา นอกจากทั้ง DHS และ NCSC แล้ว ทั้งสามบริษัทก็ได้แถลงปฏิเสธถึงรายงานดังกล่าวเช่นกัน ว่าอาจเป็นเพราะแหล่งข่าวได้รับข้อมูลที่ผิด หรือเข้าใจผิด หรืออาจเกิดจากความสับสนกับเหตุการณ์ในปี 2016 ซึ่งพบว่ามีไดรเวอร์ที่ติดไวรัสบนเซิร์ฟเวอร์ Super Micro แห่งหนึ่งในแล็บ

เช่นเดียวกับ ก็มีนักวิจัยด้านความปลอดภัยและผู้เชี่ยวชาญด้านสารสนเทศของ Infosec ได้วิจารณ์และตำหนิรายงานดังกล่าวอย่างต่อเนื่อง โดยชี้ให้เห็นว่ารายงานมีข้อผิดพลาด และขาดรายละเอียดด้านเทคนิคที่เพียงพอ

ที่มา : zdnet

Sales intel firm Apollo data breach exposed more than 200 million contact records

บริษัท Apollo ตกเป็นเหยื่อรายล่าสุดที่ถูกเปิดเผยข้อมูลจำนวนมากกว่า 200 ล้านรายการ

บริษัท Apollo เดิมรู้จักกันในชื่อ ZenProspect บริษัทที่รวบรวมข้อมูลจากสื่อสาธารณะอย่าง Twitter และ LinkedIn โดยทางบริษัทจะใช้ข้อมูลดังกล่าวเพื่อช่วยให้พนักงานขายสามารถติดต่อกับผู้ซื้อที่มีศักยภาพได้ จากฐานข้อมูลที่มีถึง 200 ล้านรายใน 10 ล้านบริษัท ประกอบด้วยข้อมูล เช่น ชื่อ ที่อยู่อีเมล และข้อมูลที่ติดต่อบริษัท

เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 23 กรกฎาคม 2018 ทางบริษัท Apollo ได้แจ้งลูกค้าว่าพบการรั่วไหลของข้อมูลเมื่อสัปดาห์ที่ผ่านมา โดยลูกค้าที่ได้รับผลกระทบจะได้รับอีเมลการแจ้งเตือนที่ระบุว่าเหตุการณ์ข้อมูลรั่วไหลครั้งนี้นี้ถูกพบหลังจากมีการอัพเกรดระบบในเดือนกรกฎาคม แต่ข่าวดีก็คือข้อมูลหมายเลขประกันสังคม ข้อมูลทางการเงิน หรือที่อยู่อีเมลและรหัสผ่านนั้นไม่ได้รับผลกระทบ

อย่างไรก็ตามผู้เชี่ยวชาญเตือนว่า บริษัท Apollo อาจเผชิญกับบทลงโทษโดย European GDPR แม้ว่าข้อมูลสำคัญจะไม่ถูกเปิดเผยออกมา แต่เหตุการณ์นี้อาจทำให้ผู้ใช้ตกอยู่ในความเสี่ยงที่จะโดนสแปมหรือการกระทำที่เป็นอันตรายอื่นๆ ได้

ที่มา : securityaffairs