Apple ประกาศแพตช์ด้านความปลอดภัยเมื่ออาทิตย์ที่ผ่านมา โดยแพตช์ซึ่งออกมานั้นมีการปิดการโจมตีช่องโหว่ zero-day ทั้ง 3 รายการใน iOS ซึ่งตรวจพบว่าถูกใช้โดยผู้ไม่ประสงค์ดีแล้วโดย Google Project Zero

Google Project Zero ตรวจพบว่ามีผู้ไม่ประสงค์ดีกำลังใช้ช่องโหว่ 3 รายการได้แก่ CVE-2020-27930, CVE-2020-27932 และ CVE-2020-27950 ในการโจมตีจริง ช่องโหว่แรกนั้นเป็นช่องโหว่ memory corruption ในไลบรารี FontParser ซึ่งทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากไฟล์ฟอนต์แบบพิเศษได้ สองช่องโหว่ที่เหลือเป็นช่องโหว่สำหรับยกระดับสิทธิ์ และช่องโหว่ที่ช่วยข้ามผ่านมาตราการด้านความปลอดภัย

อุปกรณ์ที่ได้รับการแพตช์ได้แก่ iOS, iPadOS, macOS และ watchOS ซึ่งสามารถทำได้อัปเดตได้ทันทีจากหน้าต่างการตั้งค่าของอุปกรณ์ ขอให้ทำการอัปเดตทันทีเพื่อลดความเสี่ยงจากช่องโหว่

ที่มา: thehackernews

เเฮกเกอร์ทำการเข้ายึดบัญชี Twitter อย่างเป็นทางการของ Apple, Kanye, Gates, Bezos และหลายๆ คนดัง หลังจากนั้นเเฮกเกอร์ได้ทำการทวีตข้อความโดยสัญญาว่าจะมอบเงินบิทคอยน์เป็นจำนวนมากถึง 5,000 BTC (ประมาณ 1,436,024,782 บาท) สำหรับผู้ที่โอนเงินระหว่าง 0.1 BTC (ประมาณ 28,720 บาท) ถึง 20 BTC (ประมาณ 5,739,539 บาท) ไปยังที่อยู่บัญชีที่อยู่ในข้อความที่ทวีต

หลังจากพบความผิดปกติ Twitter ได้ทำการล็อคบัญชีที่ถูกแฮกไว้อย่างรวดเร็วและทำการลบทวีตปลอมทั้งหมด ล่าสุด Twitter ได้ทำการเเถลงว่าการที่ Twitter อย่างเป็นทางการของคนดังทั้งหลายที่ทำการทวีตข้อความเพื่อหลอกให้โอนเงินนั้น เกิดจากบัญชีของพนักงานของ Twitter โดนโจมตีโดยการใช้ Social Engineering และทำการเจาะจงบัญชีของพนักงานที่ตกเป็นเหยื่อ จึงทำให้แฮกเกอร์สามารถเข้าถึงระบบและเครื่องมือของ Twitter ได้

ขณะนี้ Twitter ได้ทำการล็อคบัญชีที่ถูกบุกรุกและทำการดำเนินการสอบสวนถึงสาเหตุที่เเท้จริง ซึ่งก็จะมีการอัพเดตเพิ่มเติมอย่างเป็นทางการต่อไป

ที่มา: bleepingcomputer  twitter

Apple ปล่อยอัพเดทสำหรับ iOS และ iPad OS ซึ่งเป็นการอัพเดทในส่วนของ Exposure Notification API, FaceTime, การปลดล็อคหน้าจอตอนใส่หน้ากากด้วย Face ID และอื่นๆ โดยเป็นอัปเดตสำหรับ iPhone 6s และใหม่กว่า, iPad Air 2 และใหม่กว่า, iPad mini 4 และใหม่กว่าและ iPod touch รุ่นที่ 7 โดยผู้ใช้สามารถไปเช็คการอัพเดตได้ที่ Settings > General > Software Update

ช่องโหว่นี้มีการแก้ไขที่สำคัญอย่างหนึ่งคือการแพตช์ช่องโหว่ซึ่งเปิดช่องทางนำไปสู่การเกิดขึ้นของเจลเบรค "unc0ver" ได้ แนะให้ผู้ให้ทำการอัพเดทเพื่อลดความเสี่ยงในการถูกโจมตี การเจลเบรคเกิดขึ้นได้เพราะปัญหาด้านความปลอดภัย ดังนั้นการใช้อุปกรณ์ซึ่งสามารถเจลเบรคได้จึงไม่ใช่การอุปกรณ์ที่มีความปลอดภัยที่เหมาะสม

ที่มา: macrumors.

Google เปิดเผยช่องโหว่ Zero-Click ที่อาจส่งผลกระทบต่อการประมวลผลมัลติมีเดียของ Apple

ทีม Google Project Zero ได้เผยเเพร่รายงานการวิจัยว่าพวกเขาได้ทำการค้นพบช่องโหว่ Zero-Click ที่อาจส่งผลกระทบต่อการประมวลผลมัลติมีเดียบนระบบปฏิบัติการของ Apple

ช่องโหว่ที่ค้นพบนี้อยู่ในขั้นตอนการประมวลผลมัลติมีเดียที่ผู้โจมตีสามารถใช้ประโยชน์โดยการส่งรูปภาพหรือวิดีโอที่สร้างขึ้นเป็นพิเศษไปยังอุปกรณ์เป้าหมายถึงแม้ว่าเป้าหมายจะไม่ทำการโต้ตอบกลับหรือที่เรียกว่าการโจมตีแบบ “Zero-Click” ซึ่งหมายความว่าข้อความที่เป็นรูปภาพจาก SMS, อีเมลหรือข้อความจาก IM อาจเป็นช่องทางในการโจมตีได้

นักวิจัยของ Google Project Zero กล่าวว่าพวกเขาได้ทำการวิเคราะห์เฟรมเวิร์ค Image I/O ซึ่งใช้ใน iOS, macOS, tvOS และ watchOS โดยใช้เทคนิค “ fuzzing” เพื่อทำการทดสอบว่า Image I/O ว่าจะสามารถจัดการกับไฟล์มัลติมีเดียที่มีรูปแบบไม่ถูกต้องได้หรือไม่ ผลปรากฏว่าพวกเขาพบช่องโหว่จำนวน 6 ช่องโหว่บน Image I/O และอีก 8 ช่องโหว่บน OpenEXR ซึ่งเป็นไลบรารีโอเพนซอร์ซสำหรับแยกไฟล์ภาพ EXR ที่เป็นส่วนประกอบบน Image I/O

ทีมวิจัยกล่าวว่าข้อบกพร่องและช่องโหว่ทั้งหมดได้รับการแก้ไขแล้วในเเพตซ์ความปลอดภัยในเดือนมกราคมและเดือนเมษายนในขณะที่ช่องโหว่บน OpenEXR ก็ได้รับการเเพตซ์แล้วเช่นกันใน OpenEXR v2.4.1

ที่มา:

zdnet.

ผู้ใช้ iOS โปรดระวัง! พบช่องโหว่ ‘Zero-day’ ในแอปพลิเคชัน Mail บน iOS ที่จะอนุญาติให้ผู้โจมตีสามารถทำการโจมตีเครื่องได้เมื่อเปิดอ่านอีเมล

ผู้เชี่ยวชาญจากบริษัทรักษาความปลอดภัยทางไซเบอร์ ZecOps ได้เปิดเผยถึงช่องโหว่ ‘Zero-day’ ใหม่จำนวนสองรายการในอุปกรณ์ iPhone และ iPad มีผลกระทบกับผู้ใช้ iOS ตั้งเเต่ iOS เวอร์ชัน 6 จนถึง iOS เวอร์ชัน 13.4.1

ช่องโหว่ทั้งสองมีผลกระทบต่อแอปพลิเคชันเมลบน iPhone และ iPad อาจส่งผลทำให้ถูกโจมตีโดยผู้ไม่หวังดีที่ทำการโจมตีจากระยะไกล โดยใน iOS 12 ผู้โจมตีสามารถใช้วิธีการส่งอีเมลที่มีโค้ดอันตรายฝังอยู่ไปหาเหยื่อเพียงแค่เหยื่อคลิกเปิดอ่านอีเมลที่ถูกส่งมา ผู้โจมตีก็จะสามารถเข้าควบคุมระบบได้ แต่ในกรณี iOS 13 การโจมตีสามารถสำเร็จได้โดยที่เหยื่อไม่จำเป็นต้องกดเปิดอ่านอีเมลแต่อย่างใด

ZecOps ได้ทำการตรวจพบว่าการโจมตีนี้มีบุคคลสำคัญตกเป็นเป้าหมายในการโจมตีแล้วหลายคน เช่น บุคคลที่มีชื่อเสียงจาก Fortune 500 ในอเมริกาเหนือ, ผู้บริหารเครือข่ายโทรศัพท์ในญี่ปุ่น, บุคคลสำคัญในเยอรมัน, นักข่าวในยุโรป, MSSP จากซาอุดิอาระเบียและอิสราเอล

Apple ได้รับทราบปัญหาแล้วตั้งเเต่เมื่อวันที่ 19 กุมภาพันธ์ และ Apple ได้ทำการเผยแพร่แพตช์การแก้ไขสำหรับช่องโหว่นี้ในวันที่ 15 เมษายนด้วยการเปิดตัว iOS 13.4.5 เบต้า แนะนำให้ผู้ใช้ ควรงดใช้แอปพลิเคชันเมลที่ติดตั้งมาพร้อมเครื่อง โดยเปลี่ยนไปใช้แอปพลิเคชันเมลอื่นๆ เช่น Gmail หรือ Outlook ก่อนจนกว่าจะมีแพตช์การแก้ไขเพื่อความปลอดภัยจากการถูกโจมตีจากผู้ไม่หวังดี

ที่มา: zdnet

เบราว์เซอร์จะเริ่มต้นบล็อกการเข้าถึงเว็บไซต์ HTTPS ที่ใช้ TLS 1.0 และ 1.1 ในเดือนนี้

เว็บเบราว์เซอร์ อาทิ Firefox และ Google Chrome จะเริ่มแสดงข้อความแจ้งเตือนหากผู้ใช้งานมีการพยายามเข้าถึงเว็บไซต์ผ่านโปรโตคอล HTTPS เวอร์ชั่นเก่าในเดือนนี้ สืบเนื่องมาจากความพยายามในการผลักดันให้เว็บไซต์พยายามใช้โปรโตคอลใหม่ ที่มีความปลอดภัยสูงกว่า

บริษัท Netcraft เปิดเผยว่าเว็บไซต์กว่า 850,000 แห่งยังคงใช้โปรโตคอล TLS 1.0 และ 1.1 ซึ่งมีกำหนดการลบออกจากเบราว์เซอร์หลักส่วนใหญ่ในปลายเดือนนี้ TLS 1.0 และ 1.1 ต่างเป็นที่รู้จักกันในเรื่องของช่องโหว่และปํญหาในการโจมตี ซึ่งอาจนำไปสู่การดักอ่านข้อมูลเข้ารหัสได้

ด้วยเหตุนี้เองเจ้าตลาดยักษ์ใหญ่อย่าง Microsoft, Google, Apple และ Firefox จึงเป็นแกนนำผลักดันการยกเลิกใช้โปรโตคอลดังกล่าวมาระยะหนึ่งแล้ว โดยเริ่มต้นจากการแสดง Not Secure มาตั้งแต่ปีที่แล้วหลัง TLS 1.3 ออกมาในปี 2018 และในปลายเดือนนี้เบราว์เซอร์ส่วนใหญ่จะแสดงคำเตือนที่ซ่อนอยู่ เพื่อแสดงข้อผิดพลาดเมื่อผู้ใช้เข้าถึงเว็บไซต์ที่ใช้ TLS 1.0 หรือ TLS 1.1 ทันที

ที่มา : zdnet

Browsers จะทำการบล็อคการเข้าถึงเว็บไซต์ HTTPS ที่ใช้ TLS 1.0 และ 1.1 เริ่มต้นในเดือนนี้
มากกว่า 850,000 เว็บไซต์ยังคงใช้โปรโตคอล TLS 1.0 และ 1.1 ที่ล้าสมัยจะไม่สามารถเข้าถึงได้จาก Browsers หลักส่วนใหญ่ในปลายเดือนนี้ Netcraft ระบุ
เว็บไซต์กว่า 850,000 นั้นใช้ HTTPS แต่ในเวอร์ชันที่ไม่ปลอดภัย เว็บไซต์เหล่านั้นใช้ HTTPS ผ่าน certificates การเข้ารหัสที่สร้างขึ้นบนโปรโตคอล TLS 1.0 และ TLS 1.1 ซึ่งเป็นโปรโตคอลที่เก่าเเก่ เปิดตัวในปี 1996 และ 2006 ตามลำดับ โปรโตคอลเหล่านี้ใช้อัลกอริธึมการเข้ารหัสที่ไม่ปลอดภัย และมีความเสี่ยงต่อการโจมตีเพื่อถอดรหัสต่างๆ เช่น BEAST, LUCKY 13, SWEET 32, CRIME และ POODLE การโจมตีเหล่านี้ช่วยให้ผู้โจมตีสามารถถอดรหัส HTTPS และเข้าถึง plaintext บน web traffic ของผู้ใช้ เวอร์ชันใหม่ของโปรโตคอลเหล่านี้เปิดตัวในปี 2008 (TLS 1.2) และ 2017 (TLS 1.3) ซึ่งทั้งสองอย่างนี้ ถือว่าดีกว่าและปลอดภัยกว่าการใช้งาน TLS 1.0 และ TLS 1.1
การถอดถอนการใช้งาน TLS 1.0 และ TLS 1.1 ถูกประกาศตั้งแต่เมื่อสองปีที่แล้ว หลังจากการเปิดตัว TLS 1.3 ในฤดูใบไม้ผลิปี 2018 ผู้ผลิตเบราว์เซอร์สี่ราย ได้แก่ Apple, Google, Mozilla และ Microsoft และประกาศร่วมกันในเดือนตุลาคม 2018 ว่ามีแผนที่จะยกเลิกการสนับสนุน TLS 1.0 และ TLS 1.1 ในต้นปี 2020 ขั้นตอนแรกของการถอดถอนการใช้งานนี้เริ่มขึ้นเมื่อปีที่แล้ว เมื่อเบราว์เซอร์เริ่มติดฉลากไซต์ที่ใช้ TLS 1.0 และ TLS 1.1 ด้วยตัวบ่งชี้ "Not Secure" ในแถบที่อยู่ URL และไอคอนแม่กุญแจ เป็นการบอกใบ้แก่ผู้ใช้ว่าการเชื่อมต่อ HTTPS นั้นไม่ปลอดภัยอย่างที่คิด ปลายเดือนนี้เบราว์เซอร์จะเปลี่ยนจากการแสดงคำเตือนที่ซ่อนอยู่ เป็นแสดง errors เต็มหน้าจอเมื่อผู้ใช้เข้าถึงเว็บไซต์ที่ใช้ TLS 1.0 หรือ TLS 1.1 การแสดง errors เต็มหน้าจอเหล่านี้ มีกำหนดการที่จะเปิดตัวในการเปิดตัว Chrome 81 และ Firefox 74 ซึ่งมีกำหนดเวลาปลายเดือนมีนาคม 2020 นี้ Safari ก็มีกำหนดถอดถอนการใช้งาน TLS 1.0 และ 1.1 ในเดือนนี้เช่นกัน Microsoft จะดำเนินการตามความเหมาะสมในช่วงปลายเดือนเมษายนด้วยการเปิดตัว (the Chromium-based) Edge 82

ที่มา : zdnet

 

 

การอัปเดตด้านความปลอดภัยของ Apple ในสัปดาห์นี้กล่าวถึงช่องโหว่มากมายใน macOS Catalina, iOS และ iPadOS, Safari และผลิตภัณฑ์ซอฟต์แวร์อื่น ๆ

macOS Catalina ได้รับแพตช์สำหรับช่องโหว่จำนวนมากที่สุดคือ 52 ส่วน ที่ได้รับผลกระทบมากที่สุดคือ tcpdump โดยมีช่องโหว่ทั้งหมด 32 ช่อง Apple แก้ไขข้อบกพร่องด้านความปลอดภัยโดยอัปเดตเป็น tcpdump เวอร์ชัน 4.9.3 และ libpcap เวอร์ชัน 1.9.1

Apple ยังได้แก้ไขข้อบกพร่องด้านความปลอดภัย 6 รายการใน OpenLDAP โดยอัปเดตเป็นรุ่น 2.4.28 รวมถึงช่องโหว่ 4 ช่องโหว่ในเคอร์เนลผ่านการปรับปรุงการจัดการหน่วยความจำ ส่วนประกอบอื่น ๆ ที่ได้รับการแก้ไข ได้แก่ ATS, Bluetooth, CallKit, CFNetwork Proxies, CUPS, FaceTime, libexpat และความปลอดภัย

ในขณะที่ช่องโหว่ส่วนใหญ่ส่งผลกระทบต่อ macOS Catalina 10.15 เท่านั้น แต่บางช่องโหว่มีผลกับ macOS High Sierra 10.13.6 และ macOS Mojave 10.14.6 เช่นกัน

การอัปเดตที่เผยแพร่สำหรับ iOS และ iPadOS ทำการแก้ไขทั้งหมด 14 ช่องโหว่ ส่วน bug ใน FaceTime ที่อาจนำไปสู่การโจมตีรูปแบบ arbitrary code execution นั้นได้รับการแก้ไขด้วยการเปิดตัว iOS 12.4.4 ซึ่งสำหรับ iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 และ iPod touch รุ่นที่ 6

ข้อบกพร่องที่เหลือถูกแก้ไขใน iOS 13.3 และ iPadOS 13.3 สำหรับ iPhone 6s , iPad Air 2 , iPad mini 4 iPod touch 7 และรุ่นที่ใหม่กว่า ที่ส่งผลกระทบต่อ CallKit, CFNetwork Proxies, FaceTime, IOSurfaceAccelerator IOUSBDeviceFamily, Kernel, libexpat, Photos, security และ WebKit watchOS 6.1.1 (สำหรับ Apple Watch Series 1 และรุ่นที่ใหม่กว่า) รวมถึงโปรแกรมแก้ไขสำหรับ 10 ช่องโหว่ใน CallKit, CFNetwork Proxies, FaceTime, IOUSBDeviceFamily, เคอร์เนล, libexpat, security และ WebKit tvOS 13.3

Apple ยังกล่าวถึงข้อบกพร่องของ FaceTime ที่ Silvanovich ค้นพบใน watchOS 5.3.4
Safari 13.0.4 ได้ปล่อยแพทช์สำหรับสองช่องโหว่ใน WebKit ที่อาจนำไปสู่การโจมตี arbitrary code execution ขณะที่ Xcode 11.3 มาพร้อมกับการแก้ไขปัญหาใน ld64

ที่มา securityweek

Apple พลาดยกเลิกการแก้ช่องโหว่ที่เคยแก้ไปแล้วใน iOS 12.3 ทำให้ jailbreak ได้บน iOS 12.4
Apple พลาดยกเลิกการแก้ช่องโหว่ที่เคยแก้ไปแล้วใน iOS 12.3 ทำให้ jailbreak ได้บน iOS 12.4 รายงานโดย Motherboard
แฮกเกอร์พบช่องโหว่ในสุดสัปดาห์ที่แล้ว และ Pwn20wnd ได้ปล่อยฟรีโค้ด jailbreak ที่ใช้งานบนอุปกรณ์ iOS เวอร์ชันล่าสุดหรือเวอร์ชั่นที่ต่ำกว่า 12.3 สู่สาธารณะ
Jailbreak code ส่วนใหญ่จะเก็บไว้เป็นความลับเพื่อไม่ให้ Apple แก้ไขมัน นี่จึงเป็นครั้งแรกที่มันปล่อยออกสู่สาธารณะ
นักวิจัยบอกแก่ Motherboard ว่า อาจมีบางคนที่สร้าง spyware จากข้อผิดพลาดของ Apple โดยสร้างแอปที่สามารถหลบหลีก iOS sandbox ที่ป้องกันแอปจากการเข้าถึงข้อมูลของแอปอื่นหรือระบบ ซึ่งเมื่อหลบหลีก sandbox ได้ก็จะขโมยข้อมูลของผู้ใช้ได้
Stefan Esser นักวิจัยความปลอดภัยอีกคนกล่าวว่า ผู้ใช้ควรจะระวังแอปที่ดาวน์โหลดจาก App Store ในช่วงนี้ แอปดังกล่าวอาจมีโค้ด jailbreak แฝงอยู่
Apple ยังไม่ออกแถลงเกี่ยวกับความผิดพลาดในครั้งนี้ แต่คาดว่าจะแก้ปัญหาดังกล่าวเร็วๆ นี้

ที่มา macrumors

Apple ได้ทำการปล่อยอัพเดตแพตช์ด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ในหลายผลิตภัณฑ์ ได้แก่
• watchOS 5.2.1
• Safari 12.1.1
• Apple TV Software 7.3
• tvOS 12.3
• iOS 12.3 และ
• macOS Mojave 10.14.5, Security Update 2019-003 High Sierra, Security Update 2019-003 Sierra
ช่องโหว่ที่มีความรุนแรงสูงสุดที่ถูกแก้ไขในแพตช์นี้สามารถถูกผู้โจมตีใช้ควบคุมเครื่องได้จากระยะไกล ผู้โจมตีสามารถติดตั้งโปรแกรมอยู่กับสิทธิที่เกี่ยวข้องกับผู้ใช้ ดูการเปลี่ยนแปลงหรือลบข้อมูล หรือสร้างบัญชีใหม่ที่มีสิทธิผู้ใช้เต็มรูปแบบ แนะนำให้ผู้ใช้งานทำการอัปเดตแพตช์

ที่มา : us-cert