Firefox รุ่น 65 ปรับปรุงความสามารถในการแจ้งเตือนการโจมตี Man-in-the-middle

ตั้งแต่ Firefox รุ่น 61 มีเพิ่มความสามารถการแสดงข้อความ error "MOZILLA_PKIX_ERROR_MITM_DETECTED" ที่เตือนว่ามีการรันโปรแกรมเพื่อทำการโจมตี SSL ด้วยวิธีการ man-in-the-middle ซึ่งใน Firefox รุ่น 65 ได้มีการแก้ไขเพิ่มเติมว่าอาจมีโปรแกรมป้องกันไวรัสอาจเป็นสาเหตุของข้อผิดพลาดดังกล่าวได้ด้วย ไม่ใช่มีแต่การถูกโจมตีเสมอไป

Man-in-the-middle (MITM) คือ เทคนิคการโจมตีของแฮคเกอร์ที่จะปลอมเป็นคนกลางเข้ามาแทรกสัญญาณการรับส่งข้อมูลระหว่างผู้ใช้ (เบราว์เซอร์) และเซิร์ฟเวอร์ โดยใช้โปรแกรมดักฟังข้อมูลของเหยื่อ แล้วแฮกเกอร์ก็เป็นตัวกลางส่งผ่านข้อมูลให้ระหว่างเบราว์เซอร์กับเซิร์ฟเวอร์ ทำให้สามารถดักข้อมูล เช่น รหัสผ่าน หรือทำการแก้ไขเนื้อหาข้อมูลก่อนถึงปลายทางได้่
แต่โปรแกรมป้องกันไวรัสหรือโปรแกรม HTTP debugging tool อย่าง Fiddler มีการทำงานที่คล้ายกับการทำ MITM ทำให้เกิดข้อความ error ได้เช่นกัน

Firefox รุ่น 65 จึงมีการปรับปรุงโดยเพิ่มข้อมูลใบรับรองของโปรแกรมที่ทำให้เกิดการแจ้งเตือน ดังนั้นหาก Firefox รุ่น 65 แสดงข้อผิดพลาด MOZILLA_PKIX_ERROR_MITM_DETECTED แสดงว่าผู้ใช้มีโปรแกรมที่พยายามเข้าถึงใบรับรองเพื่อให้สามารถรับฟังการเข้าชมเว็บไซต์ที่เข้ารหัสของคุณได้ ผู้ใช้ควรทำการตรวจสอบว่ามาจากโปรแกรมใด ถ้าใบรับรองไม่ได้มาจากโปรแกรมป้องกันไวรัสแปลว่าอาจมีมัลแวร์บนเครื่อง
แต่ถ้าหากใบรับรองมาจากโปรแกรมป้องกันไวรัส Mozilla แนะนำให้ผู้ใช้ปิดการสแกน SSL หรือ HTTPS และเปิดใช้งานอีกครั้ง เพื่อเพิ่มใบรับรองของโปรแกรมป้องกันไวรัสไปยังที่เก็บใบรับรอง Firefox

ที่มา : bleepingcomputer

โปรแกรมที่มีการอิมพลีเมนต์ฟีเจอร์ SCP (Secure Copy Protocol) ทั้งหมดจาก 36 ปีที่ผ่านมาตั้งแต่ปี 1983 มีความเสี่ยงต่อข้อบกพร่องด้านความปลอดภัย 4 ประเด็น ที่อนุญาตให้เซิร์ฟเวอร์ SCP ที่เป็นอันตรายทำการเปลี่ยนแปลงระบบของผู้ใช้ โดยไม่ได้รับอนุญาตและซ่อนการทำงานที่เป็นอันตรายในเครื่อง

Harry Sintonen นักวิจัยด้านความปลอดภัยจากบริษัท F-Secure บริษัทที่รักษาความปลอดภัยทางไซเบอร์จากประเทศฟินแลนด์ได้ค้นพบช่องโหว่ตั้งแต่เดือนสิงหาคมปีที่ผ่านมา

SCP ทำงานบนโปรโตคอล SSH ที่สนับสนุนกลไกการตรวจสอบสิทธิ์ หรือการพิสูจน์ตัวตนเพื่อความถูกต้องและรักษาความลับสำหรับไฟล์ที่ถูกถ่ายโอนเช่นเดียวกับ นับตั้งแต่เปิดตัวครั้งแรกในปี 2526 SCP ได้ถูกใช้เป็นแอฟพลิเคชั่นภายใต้ชื่อเดียวกัน แต่อยู่ภายในปพลิเคชันอื่นๆ ตัวอย่างเช่น SCP เป็นวิธีการถ่ายโอนไฟล์มาตรฐานสำหรับ OpenSSH, Putty และ WinSCP เป็นต้น

Sintonen เปิดเผยว่ามีข้อบกพร่องด้านความปลอดภัยที่สำคัญ 4 ตัวที่มีผลต่อการใช้งาน SCP ดังนี้
1. CVE-2018-20685 - แอปไคลเอ็นต์ของ SCP อนุญาตให้เซิร์ฟเวอร์ SCP ระยะไกลสามารถแก้ไขสิทธิ์ของไดเรกทอรีเป้าหมายได้
2. CVE-2019-6111 - เซิร์ฟเวอร์ SCP ที่เป็นอันตรายสามารถเขียนทับไฟล์โดยพลการได้ในไดเรกทอรีของเป้าหมายบนไคลเอ็นต์ SCP หากดำเนินการแบบเรียกซ้ำ (-r) เซิร์ฟเวอร์สามารถจัดการไดเรกทอรีย่อยได้เช่นกัน (เช่นเขียนทับ. ssh / authorized_keys)
3. CVE-2019-6109 - เอาต์พุตเทอร์มินัลไคลเอ็นต์สามารถจัดการผ่านรหัส ANSI เพื่อซ่อนการทำงานที่ตามมา
4. CVE-2019-6110 – คล้ายกับด้านบน

การโจมตีต่างๆที่อาจพยายามโจมตีผ่านช่องโหว่เหล่านี้นั้นขึ้นอยู่กับผู้ที่ประสงค์ร้ายที่จะทำการยึดครองเซิร์ฟเวอร์ SCP หรือทำตัวเป็น Man-in-the-Middle

Recommendation แนะนำให้ผู้ใช้งานอัปเดตโปรแกรม OpenSSH, Putty และ WinSCP ให้เป็นเวอร์ชันใหม่โดยด่วน

ที่มา : zdnet

Mike Bautista นักวิจัยด้านความปลอดภัยจาก Cisco Talos เผยแพร่เครื่องมือฟรีที่สามารถปลดล็อคไฟล์ที่ถูกเข้ารหัสจาก PyLocky ransomware โดยไม่ต้องเสียค่าไถ่

PyLocky Ransomware ถูกค้นพบครั้งแรกโดยนักวิจัยด้านความปลอดภัยจาก Trend Micro เมื่อเดือนกรกฎาคมปีที่แล้ว โดยทำการแพร่กระจายผ่านทาง spam email เช่นเดียวกับแคมเปญมัลแวร์ส่วนใหญ่ อีกทั้งยังมีความสามารถในการหลีกเลี่ยงการตรวจจับจากอุปกรณ์ sandbox

เมื่อเข้าถึงกระบวนการเข้ารหัสไฟล์ Ransomware ดังกล่าวจะทำการเข้ารหัสเฉพาะระบบที่มีหน่วยความจำที่มากกว่าหรือเท่ากับ 4GB เท่านั้น โดยจะแสดงข้อมูลเกี่ยวกับการเรียกค่าไถ่ที่อ้างว่าเป็นตัวแปรของ Locky ransomware ที่รู้จักกันดีซึ่งต้องการค่าไถ่ในรูปแบบ cryptocurrency เพื่อ "กู้คืน" ไฟล์ และอ้างว่าจะเพิ่มค่าไถ่เป็นสองเท่าทุก ๆ 96 ชั่วโมงหากเหยื่อไม่จ่ายเงิน เป้าหมายหลักในการโจมตีของ PyLocky คือธุรกิจในยุโรปเป็นหลัก โดยเฉพาะในฝรั่งเศส และอาจมีเป้าหมายไปที่ประเทศเกาหลีและอิตาลีอีกด้วย

เครื่องมือสำหรับถอดรหัสไฟล์สามารถใช้งานได้กับทุกคน แต่มีข้อจำกัดอย่างมากในการกู้ไฟล์คืน โดยต้องทำการจับ initial network traffic (PCAP file) ระหว่าง PyLocky ransomware และ command-and-control (C2) server โดยสามารถดาวน์โหลดเครื่องมือถอดรหัส PyLocky ransomware จาก GitHub ได้ฟรีและเปิดใช้งานบนคอมพิวเตอร์ Windows

ที่มา : thehackernews

Adobe ประกาศแพตช์ด้านความปลอดภัยแก่แอปพลิเคชันสำหรับการประชุม Adobe Connect ส่งผลกระทบต่อรุ่น 9.8.1 และรุ่นก่อนหน้า

แพตช์ที่ถูกปล่อยโดย Adobe นั้นเป็นแพตช์สำหรับช่องโหว่ CVE-2018-19718 ซึ่งเป็นปัญหาการเปิดเผยสิทธิ์ที่ได้รับผ่านโทเค็นของเซสชัน และช่องโหว่รหัส CVE-2018-12817 ซึ่งกระทบ Adobe Digital Editions รุ่น 4.5.9 และต่ำกว่าในระบบ Windows, macOS, iOS และ Android โดยเป็นช่องโหว่ out-of-bound ผู้โจมตีสามารถโจมตีช่องโหว่นี้เพื่อควบคุมระบบได้

Recommendation แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบคำแนะนำและอัตเดพ patch ด้านความปลอดภัยของ Adobe

ที่มา : zdnet

Google ออกแพตช์ความปลอดภัยให้กับ Android

Google ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ให้กับระบบ Android ในปี 2019 แล้วสองแพตช์คือ 2019-01-01 patch level และ 2019-01-05 security patch level

2019-01-01 patch level มีการแก้ไขช่องโหว่ทั้งหมด 13 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-9583 มีผลกระทบร้ายแรงมาก (critical) เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถโจมตีด้วยการส่งคำสั่งให้ทำงานจากระยะไกลได้

2019-01-05 security patch level มีการแก้ไขช่องโหว่ทั้งหมด 14 ช่องโหว่ โดยช่องโหว่ที่สำคัญคือช่องโหว่ CVE-2018-11847 มีผลกระทบร้ายแรงมาก (critical) เช่นกัน เป็นช่องโหว่ในส่วนของ Qualcomm ที่ทำให้แอปที่มีคำสั่งอันตรายบนเครื่องสามารถรันคำสั่งอันตรายได้

ผู้ใช้งานควรตรวจสอบและทำการอัปเดตรุ่นของระบบ Android ให้เป็นปัจจุบันเพื่อลดความเสี่ยง

ที่มา : securityaffairs

เกม Town of Salem เกิดการรั่วไหลของข้อมูลผู้เล่นเกมกว่า 7.6 ล้านคน

Town of Salem เป็นเกมที่ใช้บนแพลตฟอร์มเบราว์เซอร์ในลักษณะวางแผนและลับสมองซึ่งเป็นที่นิยมมากด้วยจำนวนผู้เล่นมากถึง 8 ล้านคน

BlankMediaGames (BMG) ออกมายืนยันถึงการรั่วไหลของข้อมูล เมื่อวันที่ 28 ธันวาคม โดยเป็นการเข้าถึงฐานข้อมูลผู้เล่นเกมซึ่งมีข้อมูลตามรายการด้านล่างอยู่
- ที่อยู่อีเมล
- ชื่อผู้ใช้งาน
- ที่อยู่ IP
- รหัสผ่าน
- กิจกรรมของเกม
- ข้อมูลการชำระเงินบางส่วน

ข้อมูลที่รั่วไหลออกไปนั้นบางส่วนถูกส่งไปยัง DeHashed เป็นบริการสำหรับตรวจสอบบัญชีผู้ใช้งานจากฐานข้อมูลที่มีการรั่วไหลออกมา

แม้ว่า BMG จะยืนยันว่าไม่มีข้อมูลรั่วไหลของหมายเลขบัตรเครดิต แต่ DeHashed กลับระบุสวนทางว่ามีข้อมูลการเรียกเก็บเงินของผู้เล่นบางคนที่จ่ายเงินสำหรับฟีเจอร์พิเศษบางอย่าง

ด้าน BMG คาดว่าจะเพิ่มขั้นตอนหรือวิธีการที่ปลอดภัยยิ่งขึ้นสำหรับกรณีที่เกิดขึ้น และจะมีการส่งอีเมลจำนวนมากไปยังผู้เล่นเกมที่ได้รับผลกระทบจากการรั่ไหลของข้อมูล โดยให้ความสำคัญคือการ "รีเซ็ตรหัสผ่าน" และยืนยันถึงความปลอดภัยของเซิร์ฟเวอร์

ที่มา : thehackernews

Cisco ออกแพตช์แก้ไขช่องโหว่ใน Email Security Appliance ผู้โจมตีสามารถโจมตีได้เพียงส่งอีเมลเข้าสู่ระบบ

เมื่อวันที่ 9 มกราคม 2019 ที่ผ่านมา Cisco ออกแพตช์ความปลอดภัยให้กับผลิตภัณฑ์ในเครือ โดยมีการแก้ไขช่องโหว่ทั้งหมด 18 ช่องโหว่ในหลายผลิตภัณฑ์ รวมถึงช่องโหว่ที่สำคัญสองช่องโหว่ใน AsyncOS ที่ถูกใช้ใน Cisco Email Security Appliances คือช่องโหว่ CVE-2018-15453 และช่องโหว่ CVE-2018-15460

ช่องโหว่ CVE-2018-15453 มีความร้ายแรงมาก (critical) อาจจะทำให้เกิดการหยุดทำงานถาวร (permanent DoS) บนอุปกรณ์ที่ถูกโจมตีได้ ช่องโหว่นี้เกิดจากการตรวจสอบข้อมูลของอีเมลที่ใช้ S/MIME ไม่ดีพอ เมื่อได้รับข้อมูลในอีเมลที่ใช้ S/MIME ที่นอกเหนือความสามารถของระบบ จะทำให้ระบบหยุดทำงาน ซึ่งระบบจะพยายามกลับไปทำกระบวนการเดิมที่ทำให้หยุดทำงานซ้ำๆ จนเกิดการหยุดทำงานถาวร (permanent DoS) โดยผู้โจมตีสามารถโจมตีช่องโหว่ดังกล่าวได้เพียงแค่ส่งอีเมลเข้าสู่ระบบ

ช่องโหว่ CVE-2018-15460 เป็นข้อบกพร่องในความสามารถคัดกรองข้อความในอีเมลที่มี URL อยู่ใน whitelist ข้อบกพร่องดังกล่าวทำให้เมื่อผู้โจมตีสามารถส่งอีเมลที่มี URL อยู่ใน whitelist จำนวนมากๆ เข้าสู่ระบบ ทำให้ CPU ของระบบทำงานเต็มที่จนระบบหยุดทำงาน

ทั้งนี้ Cisco ยังไม่พบการโจมตีด้วยช่องโหว่ทั้งสองช่องโหว่ แต่ผู้ดูแลระบบความทำการอัปเดตเพื่อลดความเสี่ยง

ที่มา : threatpost

SAP ปล่อยอัพเดทแพทช์ด้านความปลอดภัยแรกของปี 2019 ครอบคลุมช่องโหว่ 11 รายการ มี 2 รายการที่ต้องได้รับการแก้ไขโดยด่วนที่สุด

ช่องโหว่สำคัญที่ต้องได้รับการแก้ไข ถูกพบในผลิตภัณฑ์ SAP Cloud Connector (CVE-2019-0246 และ CVE-2019-0247) มีค่าความรุนแรง 9.3 หากโจมตีสำเร็จจะส่งผลให้ผู้โจมตีสามารถอ่าน, แก้ไข หรือลบข้อมูลได้ รวมทั้งสามารถเข้าถึงการทำงานในส่วนสำคัญๆ ที่ต้องมีสิทธิ์ admin เท่านั้นได้ด้วย ผู้โจมตีสามารถใช้ช่องโหว่ในการสั่งรันคำสั่งระดับระบบปฏิบัติการ (OS Command) ตามสิทธิ์ของบริการ (SAP Service) ที่ได้รับเมื่อโจมตีสำเร็จ รวมทั้งสามารถเข้าถึง file system สำคัญที่อยู่ใน SAP server และเข้าถึง source code ของแอพพลิเคชั่น และ configuration ได้

ช่องโหว่ถัดมามีความรุนแรง 9.1 (CVE-2019-0249) ถูกพบใน Landscape Management ของ SAP ส่งผลให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่สำคัญของระบบ ซึ่งสามารถถูกนำไปใช้เพื่อโจมตีระบบต่อไปได้

นอกจากนี้มีช่องโหว่อื่นๆ ที่มีความรุนแรงระดับสูง (High) 1 รายการ เป็นช่องโหว่ในส่วนของ Missing Authorization ใน SAP BW / 4HANA นอกเหนือจากนี้เป็นช่องโหว่ความรุนแรงระดับกลาง (Medium) ทั้งหมด

ผู้ใช้งานที่มีการใช้ผลิตภัณฑ์ของ SAP อยู่ควรตรวจสอบข้อมูลจากเว็บไซต์ทางการ และทำการอัพเดทให้เป็นเวอร์ชั่นล่าสุดทันที

ข้อมูลเพิ่มเติม: https://erpscan.

โค้ดสำหรับโจมตีช่องโหว่ CVE-2018-8629 บนเว็บเบราเซอร์ Microsoft Edge ถูกเผยแพร่โดยนักวิจัยที่พบช่องโหว่นั้น โดยโค้ดนี้สามารถถูกใช้เพื่อทำการโจมตีจากระยะไกลบนเครื่องที่ยังไม่มีการแพตช์ได้

ช่องโหว่ CVE-2018-8629 กระทบ Chakra ซึ่งเป็น JavaScript engine ภายใน Edge ผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อรันคำสั่งอันตรายด้วยสิทธิเดียวกับผู้ใช้งานที่เข้าสู่ระบบอยู่ ช่องโหว่นี้ถูกระบุว่ามีผลกระทบร้ายแรง (critical) กับระบบปฏิบัติการแทบทุกรุ่นของ Microsoft ยกเว้น Windows Server 2019 และ 2016 ที่ได้รับผลกระทบจากช่องโหว่นี้ระดับปานกลาง (moderate) ซึ่งทาง MIcrosoft ได้แก้ไขช่องโหว่นี้แล้วในแพตช์ปรับปรุงความปลอดภัยของเดือนธันวาคม 2018

Bruno Keith นักวิจัยผู้เป็นคนค้นพบช่องโหว่ได้ปล่อยตัวอย่างโค้ดสำหรับโจมตีช่องโหว่ออกมาเมื่อวันที่ 28 ธันวาคม 2018 โดยโค้ดที่ถูกปล่อยออกมาโดยนักวิจัยสามารถทำให้เกิดการอ่านข้อมูลในหน่วยความจำเกินกว่าที่ควร (out-of-bounds memory read leak) ซึ่งไม่ทำให้เกิดผลกระทบร้ายแรงโดยตรง แต่สามารถถูกผู้ไม่หวังดีนำไปดัดแปลงต่อได้

ผู้ใช้งานและผู้ดูแลระบบควรอัปเดตระบบเพื่อความปลอดภัยจากการโจมตีด้วยช่องโหว่ดังกล่าว

ที่มา : bleepingcomputer

ไมโครซอฟต์แจ้งเตือนช่องโหว่ระดับวิกฤติ รันโค้ดอันตรายจากระยะไกลผ่าน Windows DNS Server

ไมโครซอฟต์ออกประกาศแจ้งเตือนช่องโหว่ระดับวิกฤติสองรายการเมื่อช่วงสัปดาห์ที่ผานมา โดยช่องโหว่หนึ่งที่มีการประกาศออกมานั้นมีผลลัพธ์ร้ายแรงที่สุดทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตราย (Remote Code Execution - RCE) เพื่อโจมตีระบบจากระยะไกลได้ผ่านช่องโหว่ของฟีเจอร์ DNS

ช่องโหว่แรกรหัส CVE-2018-8611 นั้นเป็นช่องโหว่ยกระดับสิทธิ์ในวินโดวส์เคอร์เนลซึ่งทำให้ผู้โจมตีสามารถยกระดับสิทธิ์เป็นสิทธิ์ของระบบได้ ส่วนช่องโหว่ที่สองรหัส CVE-2018-8626 นั้นเป็นช่องโหว่ heap overflow ในฟีเจอร์ Windows DNS ซึ่งทำให้ผู้โจมตีรันโค้ดที่เป็นอันตรายได้จากระยะไกลด้วยสิทธิ์ของระบบเช่นเดียวกัน

Recommendation
ทั้งสองช่องโหว่ได้มีการประกาศแพตช์ด้านความปลอดภัยเฉพาะกิจออกมาแล้ว ขอให้ผู้ใช้งานทำการอัปเดตระบบปฏิบัติการเพื่อรับแพตช์ด้านความปลอดภัยใหม่โดยด่วน

Affected Platform
Windows 10, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019

ที่มา : darkreading