นักวิจัยด้านความปลอดภัย Alex Birsan และ Justin Gardner ได้มีการเผยแพร่เทคนิคการโจมตีใหม่ภายใต้ชื่อ Dependency Confusion ซึ่งอาศัยช่องโหว่ของการดาวน์โหลดและติดตั้งแพ็คเกจของนักพัฒนาในการลักลอบนำแพ็คเกจซึ่งเป็นอันตรายไปรันใน Environment ภายในของนักพัฒนา วิธีการนี้ถูกใช้ทดสอบกับกว่า 35 บริษัท Tech ซึ่งรวมไปถึง Microsoft, Apple, PayPal, Shopify, Netflix, Yelp, Tesla, และ Uber และสามารถใช้โจมตีได้จริง

คีย์หลักของการโจมตีนั้นอยู่ในจุดที่ว่า หากผู้โจมตีทราบถึงชื่อของไลบรารีหรือแพ็คเกจที่นักพัฒนาจะใช้งานภายในกระบวนการพัฒนาแอป ผู้โจมตีจะใช้ข้อมูลดังกล่าวในการนำไปสร้างเป็นไลบรารีหรือแพ็คเกจที่มีชื่อเหมือนกันใน Public repository แทนและสอดแทรกโค้ดที่เป็นอันตรายเข้าไปในลักษณะที่คล้ายกับ Supply-chain attack การโจมตีในลักษณะนี้ส่วนหนึ่งเกิดขึ้นได้เนื่องจากพฤติกรรมของ Package manager ที่จะใช้ความสำคัญกับแพ็คเกจที่อยู่บน Public repository มากกว่าที่อยู่ในระบบภายใน

สองนักพัฒนาได้ทำการทดสอบช่องโหว่นี้กับ Package manager อย่าง npm, RubyGems, PyPI, JFrog และ NuGet พบว่าสามารถใช้การโจมตีนี้ได้ทั้งหมด

การค้นพบช่องโหว่ดังกล่าวนำไปสู่การแจ้งเตือนยังบริษัทที่ได้รับผลกระทบ และส่งผลให้นักวิจัยทั้งสองได้รับรางวัลจากโครงการ Bug Bounty ไปกว่า 130,000 ดอลลาร์สหรัฐฯ หรือประมาณเกือบ 4 ล้านบาท

หลังจากมีการแจ้งช่องโหว่ ไมโครซอฟต์ได้มีการจัดทำ Whitepaper ขึ้นมาเพื่อให้คำแนะนำและระบุความเสี่ยงของเทคนิคการโจมตีนี้ เราขอแนะนำให้นักพัฒนาศึกษารายละเอียดเพิ่มเติมจาก azure เพื่อลดความเสี่ยงในการถูกโจมตี

บล็อกงานวิจัยต้นฉบับ: medium

ที่มา: zdnet, bleepingcomputer

TikTok ได้ประกาศเข้าร่วมโครงการ bug bounty ร่วมกับแพลตฟอร์ม HackerOne เพื่อเปิดโอกาสให้แฮ็กเกอร์และนักวิจัยด้านความปลอดภัยสามารถทำการให้ค้นหาช่องโหว่ในเว็บไซต์หลักซึ่งรวมถึงโดเมนย่อยต่างๆ และแอปพลิเคชันบน Android และ iOS

โดยช่องโหว่และข้อบกพร่องที่มีความรุนแรงสูง TikTok จะจ่ายให้กับผู้ค้นพบเป็นเงินรางวัลตั้งเเต่ 1,700 ถึง 6,900 ดอลลาร์(ประมาณ 53,074 ถึง 215,418 บาท) ทั้งนี้ช่องโหว่ที่มีความสำคัญและมีความรุนเเรงสูงผู้ค้นพบจะสามารถได้รับรางวัลสูงถึง 14,800 ดอลลาร์ (ประมาณ 461,959 บาท) ซึ่งจะพิจารณาจากคะแนนความรุนเเรง CVSS ของช่องโหว่

Luna Wu จากทีม TikTok Global Security ได้กล่าวว่าความร่วมมือในการหาช่องโหว่และข้อบกพร่องครั้งนี้จะช่วยให้ TikTok ได้รับข้อมูลเชิงลึกจากนักวิจัยด้านความปลอดภัยชั้นนำของโลก, นักวิชาการและผู้เชี่ยวชาญอิสระเพื่อเปิดเผยภัยคุกคามและช่องโหว่ที่อาจเกิดขึ้นได้ในแอปพลิเคชัน ซึ่งจะทำให้การป้องกันความปลอดภัยของ TikTok แข็งแกร่งยิ่งขึ้น

ที่มา: securityweek.

กระทรวงกลาโหมสิงคโปร์ (MINDEF) ได้มีการประกาศเชิญชวนเหล่าแฮกเกอร์ทั่วโลกให้มาทำการเจาะระบบในโครงการ bug bounty ซึ่งจะกินเวลา 2 อาทิตย์ โดยจำกัดจำนวนผู้เข้าร่วมถึง 300 คน

ภายใต้โครงการดังกล่าว MINDEF ได้มีการประกาศผ่านทางแพลตฟอร์ม bug bounty ชื่อดัง HackerOne โดยระบุรายละเอียดไว้ว่า โครงการ bug bounty นี้นั้นจะมุ่งไปที่เป้าหมายที่เป็นระบบของทางภาครัฐและระบบด้านความมั่นคงที่สามารถเข้าถึงได้จากอินเตอร์เน็ต โดยมีมูลค่ารางวัลตั้งแต่ 110-15,000 ดอลลาร์สหรัฐฯ ตามความร้ายแรงและคุณภาพของช่องโหว่ที่เจอ

การแข่งขันจะเริ่มตั้งแต่วันที่ 15 มกราคมจนถึง 4 กุมภาพันธ์ 2018 และสามารถตรวจสอบรายละเอียดการแข่งขันเพิ่มเติมได้ที่ https://www.

ในปี 2010 Google ได้เริ่มโครงการแจกรางวัลให้ผู้ค้นพบบั้คทางด้านความปลอดภัย (bug bounty program) ใน Chrome และได้ขยายการแจกเงินรางวัลมายัง Chrome OS ในปี 2012 และล่าสุด Google ได้ประกาศขยายโครงการอีกรอบ โดยรอบนี้จะรวมถึงส่วนเสริม (extension) และแอพ (Chrome apps) รายการส่วนเสริมจาก Chrome Web Store ที่สร้างโดย Google เอง โดย Google กล่าวว่าส่วนเสริมหลายตัวอย่าง Hangouts หรือ Gmail Checker ที่มีผู้ใช้งานเป็นหลักล้านคน ถ้ามีบั้คความปลอดภัย อาจจะมีโอกาสสูงที่จะส่งผลกระทบต่อผู้ใช้จำนวนมาก ดังนั้น Google จึงตัดสินใจขยายโครงการ bug bounty ให้ครอบคลุมในส่วนนี้ โดย Google กำหนดอัตราการจ่ายเงินรางวัลอยู่ที่ 500 - 10,000 ดอลลาร์ โดยเงินรางวัลขึ้นอยู่กับความยาก-ง่ายของบั้คที่เจอและผลกระทบที่เกิดจากบัคนั้นๆ ถ้าหากผู้ใดพบปัญหาด้านความปลอดภัย สามารถแจ้งได้ที่ (https://www.