Apple ได้เพิ่มความสามารถของ iMessage ใหม่ โดยเป็น post-quantum cryptographic protocol ในชื่อ PQ3 ซึ่งได้รับการออกแบบมาเพื่อปกป้องการเข้ารหัสจากการโจมตี quantum attacks (more…)

ช่องโหว่ใหม่ใน Bluetooth ทำให้แฮ็กเกอร์สามารถเข้าควบคุมอุปกรณ์ iOS, Android, Linux และ MacOS

ช่องโหว่ในระบบ Bluetooth บน Android, Linux, macOS, iOS และ Windows เป็นเรื่องสำคัญ เนื่องจากแฮ็กเกอร์สามารถใช้ช่องโหว่เหล่านี้เพื่อเข้าถึงอุปกรณ์ที่มีช่องโหว่โดยไม่ได้รับอนุญาต

โดยช่องโหว่ในโปรโตคอล Bluetooth ทำให้ผู้ไม่หวังดีสามารถทำการขโมยข้อมูลที่มีความสำคัญ, ดักฟังการสื่อสารอย่างลับ ๆ และดำเนินการที่เป็นอันตรายได้

โดยล่าสุดผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ 'Marc Newlin' ได้ค้นพบช่องโหว่ใหม่ในระบบ Bluetooth ที่ทำให้ผู้ไม่หวังดีสามารถเข้าควบคุมอุปกรณ์ iOS, Android, Linux และ MacOS ได้

ช่องโหว่ Bluetooth ใน Android, Linux, macOS, iOS

ผู้ไม่หวังดีสามารถใช้ช่องโหว่ใหม่นี้ โดยไม่ต้องมีการการยืนยันจากผู้ใช้ เพื่อที่จะเชื่อมต่อกับ Bluetooth keyboard Emulated และควบคุมการใช้งานคีย์บอร์ด

ทุกช่องโหว่ที่ถูกพบโดยนักวิจัยด้านความปลอดภัย และมีผลกระทบต่อระบบ iOs, Android, Linux, และ macOS มีดังนี้

CVE-2024-0230
CVE-2023-45866
CVE-2024-21306

อุปกรณ์ HID (Human Interface Device) ใช้รายงานสำหรับการสื่อสาร โดยการรวมข้อมูลเข้าไปในหมวดหมู่ต่าง ๆ เช่น รายงานข้อมูล input (keypresses, mouse actions), รายงานข้อมูล output (commands, state changes), และรายงานคุณสมบัติ (device settings)

รายงานเหล่านี้ไม่ขึ้นอยู่กับช่องทางการสื่อสาร เพราะมีการส่งถึงโฮสต์ผ่านทาง USB หรือ Bluetooth โดยระบบ Bluetooth HID ใช้ L2CAP sockets กับพอร์ต 17 สำหรับ HID Control (feature reports, high latency) และพอร์ต 19 สำหรับ HID Interrupt (input/output reports, low latency)

การเชื่อมต่อ Bluetooth HID ที่เป็นที่รู้จัก จำเป็นต้องมีการเชื่อมต่อกับทั้งสองพอร์ต การเชื่อมต่อคีย์บอร์ดไปที่พอร์ต 17 และ 19 นั้นมักเกี่ยวข้องกับการจับคู่ และการสร้างคีย์เชื่อมต่อ (link key) เพื่อการเข้ารหัสข้อมูล โดยการทำ bonding จะทำให้ระบบบันทึกคีย์เพื่อให้สามารถใช้ในครั้งถัดไปได้

ในขณะเดียวกัน การจับคู่นอกย่านความถี่ช่วยให้สามารถจับคู่ และเชื่อมต่อผ่านช่องสัญญาณที่ไม่ใช่ Bluetooth เช่น NFC หรือ USB ความสามารถในการจับคู่มีการตรวจสอบความถูกต้องที่โฮสต์ หรืออุปกรณ์ต่อพ่วง

ระบบปฏิบัติการ Linux ที่ได้รับผลกระทบ

Ubuntu
Debian
Redhat
Amazon Linux
Fedora
Gentoo
Arch
OpenEmbedded
Yocto
NixOS

อุปกรณ์ที่มีช่องโหว่จะอนุญาตให้ทำการจับคู่ได้โดยไม่ต้องมีการยืนยันจากผู้ใช้ โดยรองรับการจับคู่แป้นพิมพ์ที่ไม่ผ่านการรับรองความถูกต้อง

ความสำเร็จในการบังคับจับคู่ และการกดแป้นพิมพ์ ขึ้นอยู่กับความสามารถในการค้นหาโฮสต์, ความสามารถในการจับคู่ NoInputNoOutput และการเข้าถึง L2CAP ที่เป็นพอร์ต 17 และ 19

Linux และ Android จะเปิดเผยพอร์ตเมื่ออยู่ในโหมด Discoverable ในขณะที่ macOS, iOS, และ Windows จะจำกัดการเข้าถึงอุปกรณ์ที่รู้จักเท่านั้น การโจมตีบน Linux และ Android ส่วนใหญ่สามารถทำงานได้กับอะแดปเตอร์ Bluetooth, ในขณะที่ macOS, iOS, และ Windows จำเป็นต้องใช้อะแดปเตอร์ที่ใช้เทคโนโลยี Broadcom

ที่มา : cybersecuritynews.

Apple ประกาศว่านักวิจัยด้านความปลอดภัยของ iOS สามารถสมัครขอรับ Security Research Device (SRD) หรืออุปกรณ์วิจัยความปลอดภัยได้ภายในสิ้นเดือนตุลาคมนี้

SRD คือ iPhone 14 Pro ที่มีคุณสมบัติด้านความปลอดภัยที่ถูกปิดการใช้งาน และการเข้าถึง shell access ซึ่งทำให้การวิจัยช่องโหว่เป็นไปได้บนแพลตฟอร์มที่ถูกล็อคของ Apple (more…)

Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS, tvOS, watchOS, และ Safari เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยจำนวนมาก ซึ่งรวมไปถึงช่องโหว่แบบ Zero-day ที่กำลังถูกนำมาใช้ในการโจมตีอยู่ในปัจุบัน

โดย Zero-Day ดังกล่าวมีหมายเลข CVE-2023-38606 ซึ่งจะเข้าไปจัดการในส่วนของ kernel และจะอนุญาติให้ Application ที่เป็นอันตรายสามารถแก้ไข kernel state ที่มีความสำคัญได้ โดยทาง Apple ระบุว่าได้ทำการแก้ไขด้วยการปรับปรุง state management

โดย Apple ได้เร่งทำการอัปเดตแพตซ์แก้ไขช่องโหว่นี้ เนื่องจากได้รับรายงานว่าพบการโจมตีอย่างต่อเนื่องตั้งแต่เวอร์ชั่นก่อนหน้า iOS 15.7.1

น่าสังเกตว่า CVE-2023-38606 เป็นช่องโหว่ด้านความปลอดภัยลำดับที่สี่ ที่ถูกพบว่าเกี่ยวข้องกับ Operation Triangulation ซึ่งเป็นแคมเปญจารกรรมทางไซเบอร์บนมือถือที่มีความซับซ้อน ซึ่งกำหนดเป้าหมายไปยังอุปกรณ์ iOS ตั้งแต่ปี 2019 โดยใช้การโจมตีแบบ Zero-click exploit chain ส่วนอีก 2 ช่องโหว่ Zero-Day ที่ได้รับการแก้ไขโดย Apple เมื่อเดือนที่แล้วคือ CVE-2023-32434 และ CVE-2023-32435 ส่วนช่องโหว่ที่สาม CVE-2022-46690 ได้รับการแก้ไขโดยเป็นส่วนหนึ่งของการอัปเดตด้านความปลอดภัยที่เผยแพร่ในเดือนธันวาคม 2022 หกเดือนก่อนหน้าที่จะมีการเปิดเผยรายละเอียดการโจมตีออกสู่สาธารณะ

โดยนักวิจัยของ Kaspersky Valentin Pashkov, Mikhail Vinogradov, Georgy Kucherin, Leonid Bezvershenko และ Boris Larin ได้รับเครดิตในการค้นพบ และรายงานช่องโหว่ดังกล่าว

อัปเดตนี้สำหรับอุปกรณ์ และระบบปฏิบัติการต่อไปนี้

iOS 16.6 และ iPadOS 16.6 - iPhone 8 และใหม่กว่า, iPad Pro (ทุกรุ่น), iPad Air รุ่นที่ 3 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า และ iPad mini รุ่นที่ 5 และใหม่กว่า
iOS 15.7.8 และ iPadOS 15.7.8 - iPhone 6s (ทุกรุ่น), iPhone 7 (ทุกรุ่น), iPhone SE (รุ่นที่ 1), iPad Air 2, iPad mini (รุ่นที่ 4) และ iPod touch (รุ่นที่ 7)
macOS Ventura 13.5, macOS Monterey 12.6.8 และ macOS Big Sur 11.7.9
tvOS 16.6 - Apple TV 4K (ทุกรุ่น) และ Apple TV HD
watchOS 9.6 - Apple Watch Series 4 และใหม่กว่า

การอัปเดตล่าสุดนี้ Apple ได้แก้ไขช่องโหว่ Zero-days ทั้งหมด 11 รายการ ที่ส่งผลกระทบต่อซอฟต์แวร์ตั้งแต่ต้นปี 2023 นอกจากนี้ยังเกิดขึ้นสองสัปดาห์หลังจากที่ Apple เผยแพร่การอัปเดตฉุกเฉินสำหรับช่องโหว่ที่กำลังถูกนำมาใช้โจมตีใน WebKit ซึ่งอาจนำไปสู่การสั่งรันโค้ดที่เป็นอันตรายตามที่ต้องการ (CVE-2023-37450)

ที่มา : https://thehackernews.

นักวิจัยด้านความปลอดภัยทางไซเบอร์เปิดตัวเครื่องมือใหม่ชื่อว่า 'Snappy' ที่สามารถช่วยตรวจจับจุดเชื่อมต่อ WiFi ปลอม หรือหลอกลวงที่พยายามขโมยข้อมูลที่ถูกติดตั้งจากผู้ไม่หวังดี

โดยผู้โจมตีสามารถสร้างจุดเชื่อมต่อปลอมในซูเปอร์มาร์เก็ต, ร้านกาแฟ และห้างสรรพสินค้า เพื่อหลอกว่าเป็น access points จริงที่ติดตั้งไว้แล้วในสถานที่นั้น ซึ่งเป็นการทำขึ้นเพื่อหลอกให้ผู้ใช้เชื่อมต่อกับจุดเชื่อมต่อที่เป็นอันตราย และส่งต่อข้อมูลที่มีความสำคัญผ่านอุปกรณ์ของผู้โจมตี

ในขณะที่ผู้โจมตีควบคุมเราเตอร์ไว้ ทำให้สามารถดักจับภาพหน้าจอ ทำการวิเคราะห์ข้อมูล และส่งข้อมูลออกไปได้ ผ่านการโจมตีแบบ MiTM (Man-in-the-middle attacks.

เมื่อวันศุกร์ที่ผ่านมา (7 เม.ย. 2566) Apple ออกแพตซ์อัปเดตด้านความปลอดภัยสำหรับ iOS, iPadOS, macOS และเว็บเบราว์เซอร์ Safari เพื่อแก้ไขช่องโหว่ Zero-day สองรายการที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน (more…)

Cybersecurity and Infrastructure Security Agency (CISA) หน่วยงานด้านความมั่นคงทางไซเบอร์สหรัฐ สั่งให้หน่วยงานของรัฐบาลกลาง ทำการอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตีเพื่อติดตั้งสปายแวร์บนอุปกรณ์มือถือ

โดยช่องโหว่ที่ CISA แนะนำให้รีบทำการอัปเดต ถูกพบว่าเป็นส่วนหนึ่งของแคมเปญการโจมตีที่มุ่งเป้าหมายไปที่ผู้ใช้งาน Android และ iOS ที่ถูกค้นพบโดยทีมนักวิจัย Threat Analysis Group (TAG) ของ Google

ซึ่งพบการโจมตีครั้งแรกในเดือนพฤศจิกายน 2022 ต่อมาได้พบการมุ่งเป้าการโจมตีไปยังผู้ใช้งาน Android ของ Samsung ที่ใช้ Samsung Internet Browser รวมไปถึงแคมเปญการโจมตีไปยัง Android เพื่อถอดรหัส และขโมยข้อมูลจากแอปแชท และเบราว์เซอร์

โดยทาง CISA ได้เพิ่มช่องโหว่ห้าในสิบรายการที่ถูกใช้ในแคมเปญการโจมตีด้วยสปายแวร์สองรายการในแคตตาล็อก Known Exploited Vulnerabilities (KEV):

CVE-2021-30900 ช่องโหว่ใน Apple iOS, iPadOS และ macOS
CVE-2022-38181 ช่องโหว่ใน Arm Mali GPU Kernel Driver Use-After-Free
CVE-2023-0266 ช่องโหว่ใน Linux Kernel Use-After-Free
CVE-2022-3038 ช่องโหว่ใน Google Chrome Use-After-Free
CVE-2022-22706 ช่องโหว่ในArm Mali GPU Kernel Driver

ทั้งนี้ CISA ได้ให้เวลาหน่วยงานกลาง Federal Civilian Executive Branch Agencies (FCEB) เป็นเวลา 3 สัปดาห์ เพื่อทำการอัปเดตเพื่อแก้ไขช่องโหว่ 5 รายการที่ได้เพิ่มไปใน KEV ตามคำสั่งการปฏิบัติงานที่มีผลผูกพัน BOD 22-01 ที่ออกในเดือนพฤศจิกายน 2021 ซึ่งกำหนดไว้ว่าหน่วยงาน FCEB จะต้องรักษาความปลอดภัยเครือข่ายของตนจากช่องโหว่ทั้งหมดที่เพิ่มเข้าไปในรายการช่องโหว่ของ CISA ซึ่งเป็นช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี รวมไปถึงประกาศขอความร่วมมือให้หน่วยงาน องค์กร และบริษัทต่าง ๆ รีบทำการอัปเดตช่องโหว่เพื่อป้องกันการถูกโจมตีด้วยเช่นกัน

ที่มา : bleepingcomputer

Apple ได้เผยแพร่อัปเดตเพื่อแก้ไขช่องโหว่ด้านความปลอดภัยหลายรายการบน iOS และ macOS รวมถึง Zero-Day ที่กำลังถูกนำมาใช้ในการโจมตีอย่างแพร่หลายในปัจจุบัน

ซึ่งช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-32917 (CVSS: 8.4) เป็นข้อผิดพลาดภายใน OS kernel ที่ทำให้ malicious app สามารถรันโค้ดที่เป็นอันตรายได้ด้วยสิทธิของ Kernel privileges

และนอกจากช่องโหว่ดังกล่าว ทาง Apple ก็ยังได้มีการออกแพตช์อัปเดตความปลอดภัยของช่องโหว่อื่น ๆ อีก 7 รายการ ดังนี้

CVE-2022-22587 (IOMobileFrameBuffer) – Malicious Application สามารถรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-22594 (WebKit Storage) - เว็บไซต์สามารถเข้าถึงข้อมูลที่มีความสำคัญของผู้ใช้งานได้
CVE-2022-22620 (WebKit) – การเข้าใช้งานเว็ปไซต์ที่เป็นอันตรายที่ถูกสร้างขึ้นเป็นพิเศษ อาจทำให้ถูกสั่งรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-22674 (Intel Graphics Driver) – Application สามารถอ่านข้อมูลในหน่วยความจำของ Kernel ได้
CVE-2022-22675 (AppleAVD) – Application สามารถรันโค้ดได้ตามต้องการโดยใช้สิทธิ Kernel privilege
CVE-2022-32893 (WebKit) - การเข้าใช้งานเว็ปไซต์ที่เป็นอันตรายที่ถูกสร้างขึ้นเป็นพิเศษ อาจทำให้ถูกสั่งรันโค้ดที่เป็นอันตรายได้ตามต้องการ
CVE-2022-32894 (Kernel) - Application สามารถรันโค้ดได้ตามต้องการโดยใช้สิทธิ Kernel privilege

คำแนะนำ

Apple ได้ออกแพตช์อัปเดตเพื่อแก้ไขปัญหาดังกล่าวเรียบร้อยแล้ว โดยมีรายละเอียดดังนี้

Patch iOS 16 : สำหรับ iPhone 8 ขึ้นไป

Patch iOS 15.7 : สำหรับ iPhone 6s ขึ้นไป และ iPod touch 7 generation

Patch iPadOS 15.7 : สำหรับ iPad Pro ทุกรุ่น, iPad Air 2 ขึ้นไป, iPad 5th generation ขึ้นไป และ iPad mini 4 ขึ้นไป

Patch macOS Big Sur 11.7 และ macOS Monterey 12.6 : อุปกรณ์ Mac ที่มีการใช้งาน Big sur และ Monterey

ที่มา : thehackernews , cybersecurity

แอปพลิเคชัน Instagram และ Facebook จะมีลิงก์เว็บไซต์ และโฆษณาต่าง ๆ มากมายภายในแอป โดยเมื่อผู้ใช้คลิกลิงก์เพื่อเปิดเว็บไซต์ แอปพลิเคชันจะเปิดเว็บไซต์ผ่านเว็บเบราว์เซอร์ของมันเอง ซึ่งจะมีการแทรกโค้ด JavaScript (connect.

รายละเอียดเบื้องต้น

สัปดาห์ที่ผ่านมา บริการแจ้งเตือนการละเมิดข้อมูล Have I Been Pwned (HIBP) ได้เพิ่มบัญชีกว่า 23 ล้านบัญชีของ Mangatoon ซึ่งเป็นแอปบน iOS และ Android ยอดนิยมที่ผู้ใช้หลายล้านคนใช้เพื่ออ่านการ์ตูนมังงะออนไลน์

โดยการเพิ่มฐานข้อมูล Mangatoon เกิดขึ้นหลังจากที่ Troy Hunt เจ้าของ HIBP พยายามติดต่อ Mangatoon แต่ไม่ได้รับการตอบกลับ

ส่วนการโจมตีนั้นเกิดจากกลุ่มแฮ็กเกอร์ที่รู้จักกันในชื่อ pompompurin ทำการโจมตีไปยังเซิร์ฟเวอร์ Elasticsearch ที่เป็น Database ของ Mangatoon ได้สำเร็จเนื่องจากระบบมีการป้องกันได้ไม่ดีพอ จากนั้น pompompurin ได้แชร์ตัวอย่างข้อมูลที่ได้มากับ BleepingComputer และได้รับการยืนยันหลังจากนั้นว่าข้อมูลทั้งหมดเป็นข้อมูลจริง ซึ่งประกอบไปด้วย ชื่อ ที่อยู่อีเมล เพศ บัญชีโซเชียลมีเดีย โทเค็นการตรวจสอบสิทธิ์จากการเข้าสู่ระบบโซเชียล และแฮชรหัสผ่าน MD5 นอกจากนี้จะมีการเผยแพร่ข้อมูลบางส่วนออกสู่สาธารณะเนื่องจากทาง Mangatoon ไม่มีการตอบกลับเรื่องการจ่ายค่าไถ่

pompompurin มีส่วนเกี่ยวข้องกับการโจมตีอื่น ๆ เช่น การส่งอีเมลปลอมเกี่ยวกับเหตุการณ์การโจมตีทางไซเบอร์ผ่าน Portal ของ FBI (LEEP) และการขโมยข้อมูลลูกค้าจาก Robinhood

ที่มา : bleepingcomputer.