Adobe ได้ออกแพตซ์อัปเดตความปลอดภัย Patch Tuesday ขนาดใหญ่ซึ่งแก้ไขช่องโหว่ที่สำคัญใน Magento และจุดบกพร่องที่สำคัญใน Adobe Connect

รายการผลิตภัณฑ์ Adobe ทั้งหมดที่ได้รับการอัปเดตความปลอดภัยในวันนี้ และจำนวนช่องโหว่ที่แก้ไขแล้วมีดังต่อไปนี้:

APSB21-64 มีการอัปเดตความปลอดภัยสำหรับ Magento
APSB21-66 มีการอัปเดตความปลอดภัยสำหรับ Adobe Connect

โดย Adobe ได้แก้ไขช่องโหว่ 29 รายการด้วยการอัปเดตในครั้งนี้

ช่องโหว่ที่สำคัญเกือบทั้งหมดอาจนำไปสู่การรันคำสั่งที่เป็นอันตรายบนเครื่องคอมพิวเตอร์ที่มีช่องโหว่ได้

จากการอัปเดตความปลอดภัยของ Adobe ที่เผยแพร่ในวันนี้ Magento มีการแก้ไขมากที่สุด โดยมีช่องโหว่มากถึง 26 รายการ

สิ่งที่น่ากังวลเป็นพิเศษคือ 10 ช่องโหว่เกี่ยวกับ pre-authentication ใน Magento ที่สามารถโจมตีได้โดยไม่ต้องมีการล็อกอิน

บางช่องโหว่ของ preauth เหล่านี้ คือการเรียกใช้โค้ดที่เป็นอันตรายได้จากระยะไกล และหลีกเลี่ยงการตรวจจับของระบบรักษาความปลอดภัยได้ ทำให้ผู้โจมตีสามารถควบคุมเว็ปไซต์ และเซิร์ฟเวอร์ของเว็ปไซต์นั้นๆได้

ติดตั้งการอัปเดตทันที

แม้ว่าจะไม่มีช่องโหว่แบบ Zero-day ที่ถูกใช้งานในการโจมตีจริง แต่ Adobe แนะนำให้ผู้ใช้งานอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

เหตุที่ต้องรีบอัพเดทแพตช์เป็นเพราะว่าผู้โจมตีสามารถเปรียบเทียบซอฟต์แวร์เวอร์ชันเก่ากับเวอร์ชันแพตช์ เพื่อตรวจสอบว่าโค้ดใดมีช่องโหว่ และใช้ผลประโยชน์จากช่องโหว่เหล่านั้นได้

ในกรณีส่วนใหญ่ ผู้ใช้สามารถอัปเดตซอฟต์แวร์ได้โดยใช้คุณลักษณะการอัปเดตอัตโนมัติของผลิตภัณฑ์โดยใช้ขั้นตอนต่อไปนี้:

โดยไปที่ Help > Check for Updates
สามารถดาวน์โหลดตัวติดตั้งการอัปเดตได้จาก Download Center ของ Adobe
ให้ผลิตภัณฑ์อัปเดตโดยอัตโนมัติโดยที่ผู้ใช้ไม่ต้องดำเนินการใดๆ เมื่อตรวจพบการอัปเดต

สำหรับการอัปเดต Magento คุณจะต้องดาวน์โหลดแพตช์ และติดตั้งด้วยตนเอง
หากไม่มีการอัปเดตใหม่ผ่านการอัปเดตอัตโนมัติ คุณสามารถตรวจสอบรายละเอียดได้ที่ลิงก์

https://helpx.

Adobe เปิดตัวแพตช์การอัปเดตด้านความปลอดภัยที่แก้ไขช่องโหว่ใน Adobe Creative Cloud Desktop, Adobe Framemaker และ Adobe Connect

โดยรวมแล้วแพตช์อัปเดตด้านความปลอดภัยที่ได้รับการเเก้ไขช่องโหว่มีจำนวน 8 รายการ ซึ่งส่วนใหญ่เป็นช่องโหว่ที่มีความรุนแรงระดับ Critical และเป็นช่องโหว่การเรียกใช้โค้ดโดยไม่ได้รับอนุญาต โดยรายละเอียดของช่องโหว่ที่สำคัญมีดังนี้

ช่องโหว่ใน Adobe Framemaker จำนวน 1 รายการ ติดตามด้วยรหัส CVE-2021-21056 โดยช่องโหว่จะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต ใน Adobe Framemaker เวอร์ชัน 2019.0.8 และต่ำกว่า สำหรับ Windows
ช่องโหว่ใน Adobe Creative Cloud Desktop จำนวน 3 รายการ ติดตามด้วยรหัส CVE-2021-21068, CVE-2021-21078 และ CVE-2021-21069 โดยช่องโหว่ 2 รายการแรกจะทำให้ผู้โจมตีสามารถเรียกใช้โค้ดได้โดยไม่ได้รับอนุญาต และช่องโหว่ที่สามเป็นช่องโหว่นำไปสู่การยกระดับสิทธิ์ของผู้ใช้ ซึ่งช่องโหว่ทั้ง 3 รายการจะส่งผลกระทบกับ Adobe Creative Cloud Desktop เวอร์ชัน 5.3 และเวอร์ชันก่อนหน้า สำหรับ Windows และ Mac OS
ช่องโหว่ใน Adobe Connect จำนวน 4 รายการ ติดตามด้วยรหัส CVE-2021-21085, CVE-2021-21079, CVE-2021-21079 และ CVE-2021-21081 โดยช่องโหว่แรกเป็นช่องโหว่การตรวจสอบอินพุตข้อมูลที่ไม่เหมาะสมและช่องโหว่อีก 3 รายการเป็นช่องโหว่ Cross-Site Scripting (XSS) ซึ่งช่องโหว่จะส่งผลกระทบกับ Adobe Connect เวอร์ชัน 11.0.5 และเวอร์ชันก่อนหน้า

ทั้งนี้ผู้ใช้ผลิตภัณฑ์ของ Adobe ควรทำการอัปเดตแพตช์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการตกเป็นเป้าหมายของผู้ประสงค์ร้าย

ที่มา: bleepingcomputer

Adobe เปิดตัวแพตซ์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ที่สำคัญ 3 รายการใน Adobe Reader สำหรับ Android และ Adobe Connect

ช่องโหว่ CVE-2020-24442, CVE-2020-24443 เป็นช่องโหว่ Cross Site Scripting (XSS) ที่อยู่ภายใน Adobe Connect โดยช่องโหว่อาจทำให้ผู้โจมตีสามารถเรียกใช้ JavaScript ที่เป็นอันตรายได้
ช่องโหว่ CVE-2020-24441 เป็นช่องโหว่การเปิดเผยข้อมูลสำคัญใน Adobe Reader สำหรับ Android โดยช่องโหว่อาจทำให้ผู้โจมตีสามารถอ่านข้อมูลของผู้ใช้ได้

ทั้งนี้ผู้ใช้ Adobe Connect ควรทำการอัปเดตและติดตั้ง Adobe Connect ให้เป็นเวอร์ชัน 11.0.5 และผู้ใช้ Adobe Reader สำหรับ Android ควรทำการอัปเดตและติดตั้ง Adobe Reade สำหรับ Android ให้เป็นเวอร์ชัน 20.9.0 เพื่อเเก้ไขช่องโหว่และเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ที่มา: bleepingcomputer.

Adobe ประกาศแพตช์ด้านความปลอดภัยแก่แอปพลิเคชันสำหรับการประชุม Adobe Connect ส่งผลกระทบต่อรุ่น 9.8.1 และรุ่นก่อนหน้า

แพตช์ที่ถูกปล่อยโดย Adobe นั้นเป็นแพตช์สำหรับช่องโหว่ CVE-2018-19718 ซึ่งเป็นปัญหาการเปิดเผยสิทธิ์ที่ได้รับผ่านโทเค็นของเซสชัน และช่องโหว่รหัส CVE-2018-12817 ซึ่งกระทบ Adobe Digital Editions รุ่น 4.5.9 และต่ำกว่าในระบบ Windows, macOS, iOS และ Android โดยเป็นช่องโหว่ out-of-bound ผู้โจมตีสามารถโจมตีช่องโหว่นี้เพื่อควบคุมระบบได้

Recommendation แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบคำแนะนำและอัตเดพ patch ด้านความปลอดภัยของ Adobe

ที่มา : zdnet

Adobe ออกแพทช์ด้านความปลอดภัยประจำเดือนพฤษภาคม เพื่อแก้ไขช่องโหว่จำนวนหนึ่ง รวมถึงช่องโหว่ที่ช่วยให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกล ส่งผลกระทบกับผู้ใช้งาน Adobe Creative Cloud Desktop application, Adobe Flash Player และ Adobe Connect

หนึ่งในช่องโหว่ที่ได้รับการแก้ไขคือ ช่องโหว่ที่ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้หากทำการโจมตีได้สำเร็จ(CVE-2018-4944) ส่งผลกระทบกับ Adobe Flash Player Desktop Runtime, Adobe Flash Player สำหรับ Google Chrome , Adobe Flash Player สำหรับ Microsoft Edge , Internet Explorer 11 เวอร์ชัน 29.0.0.140 และเวอร์ชั่นก่อนหน้านี้ที่กระทบระบบปฏิบัติการ Macintosh, Linux, Chrome OS, Windows 10 และ 8.1

ทาง Adobe ได้แก้ไขช่องโหว่อีก 3 ช่องโหว่ในแอปพลิเคชัน Creative Cloud Desktop ได้แก่ ช่องโหว่ CVE-2018-4992, CVE-2018-4991 และ CVE-2018-4873 ส่งผลกระทบต่อ Creative Cloud เวอร์ชั่น 4.5.0.331 ในระบบปฏิบัติการ Windows และ MacOS ส่งผลให้ผู้โจมตีสามารถบายพาสระบบความปลอดภัยและสามารถยกระดับสิทธิ์ในการเข้าถึง

นอกจากนี้ยังครอบคลุมช่องโหว่ที่ทำให้ผู้โจมตีสามารถบายพาสการพิสูจน์ตัวตนใน Adobe Connect เวอร์ชั่น 9.7.5 และก่อนหน้า(CVE-2018-4994) ทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่สำคัญได้

ทาง Adobe แนะนำให้ผู้ใช้ทำการอัพเดทแพทช์ด้านความปลอดภัยโดยด่วน เพื่อป้องกันการโจมตีผ่านช่องโหว่ดังกล่าว

ที่มา : zdnet