งาน Pwn2Own 2018 จัดขึ้นโดย Trend Micro Zero Day Initiative ที่ CanSecWest Vancouver ได้มีการเปิดเผยช่องโหว่ด้านความปลอดภัยที่มีอยู่ในผลิตภัณฑ์ยอดนิยมเช่น Apple, Microsoft, Mozilla และ Oracle ซึ่งมีแฮกเกอร์จากทั่วโลกเข้ามาค้นหาช่องโหว่ Zero-day จากผลิตภัณฑ์ดังกล่าว

ในวันแรก (14 มีนาคม 2018) Richard Zhu ได้กำหนดเป้าหมายไปที่ Safari ของ Apple เพื่อหลบหลีกการทำงานของ Sandbox แต่ไม่สามารถบรรลุเป้าหมายในเวลาที่กำหนดไว้ 30 นาทีได้ แต่เมื่อเปลี่ยนเป้าหมายเป็นเบราว์เซอร์ Edge ของ Microsoft โดยใช้ประโยชน์จากข้อบกพร่องด้านความปลอดภัยแบบ use-after-free ทำให้ Zhu สามารถแฮ็กเบราว์เซอร์ได้ ได้รับเงินรางวัลจำนวน 70,000 เหรียญ

ในวันเดียวกัน แฮ็กเกอร์จากทีม phoenhex ได้กำหนดเป้าหมายไปที่ Oracle VirtualBox โดยใช้ช่องโหว่ซึ่งทำให้สามารถรันแอปทะลุ virtualization ได้ ทำให้ได้รับเงินรางวัล 27,000 เหรียญ

แฮ็กเกอร์ Samuel Groß จากทีม phoenhex ใช้ช่องโหว่จาก Safari ทะลุไปจนถึง macOS Kernel ได้ โดยช่องโหว่ที่ใช้เป็น JIT Optimization ที่อยู่บนเบราเซอร์ และ Logic bug ของ macOS ทำให้ได้รับรางวัล 65,000 เหรียญ

ในวันที่สอง (15 มีนาคม 2018) Richard Zhu ได้กลับมาโดยการแฮ็ก Firebox โดยใช้ช่องโหว่ out-of-bounds และ integer overflow ใน Windows kernel และรันโค้ดของเขาด้วยการยกระดับสิทธิ์ สำหรับการแฮ็ก Firefox นั้น Zhu ได้รับเงินรางวัลจำนวน 50,000 เหรียญรวมทั้งรางวัล Master of Pwn โดย Zhu ได้รับเงินรางวัลทั้งหมด 120,000 เหรียญจากการแฮก Microsoft Edge และ Firefox

ทีมสุดท้ายคือ MWR Labs กลุ่มแฮกเกอร์ Alex Plaskett, Georgi Geshev และ Fabi Beterke ได้เล็งเป้าหมายไปที่ Apple Safari ด้วยการหลบหลีกการทำงานของ Sandbox โดยใช้ประโยชน์จาก buffer underflow ของ heap ในเบราว์เซอร์และปัญหา stack uninitialized ใน macOS ทำให้ได้รับเงินรางวัล 55,000 เหรียญ และ 5 Master of Pwn points

สำหรับการประกวดสองวันกลุ่มแฮกเกอร์ได้รับรางวัลรวม 267,000 เหรียญ ในขณะที่แฮกเกอร์ค้นพบข้อบกพร่องของ Mozilla 1 รายการ Oracle 2 รายการ Microsoft 4 รายการและข้อบกพร่องของ Apple รายการ

ที่มา : hackread

Drupal เป็น CMS อีกเจ้าหนึ่งที่มีผู้นิยมใช้เยอะมาก แต่ล่าสุดมีการเปิดเผยว่าพบช่องโหว่ร้ายแรงในส่วนหลักของ Drupal ทำให้เว็บไซด์อาจถูกยึดได้ง่ายๆ

ช่องโหว่ที่พบคือ Remote Code Execution (การสั่งคำสั่งจากระยะไกล) ใน Drupal คือ version 8.0 - 8.3.3 ได้รับผลกระทบคืออาจถูกยึดเครื่องจากระยะไกลได้ โดยได้รับ CVE คือ CVE-2017-6920 ซึ่งมีเว็บไซด์จำนวนมากที่ได้รับผลกระทบ สำหรับใครที่ให้บริการแนะนำให้ทำการ update เป็น version 8.3.4 โดยด่วน

ผลกระทบ: Remote Code Execution
ระบบที่ได้รับผลกระทบ: Drupal 8.0 < 8.3.4
วิธีการแก้ไข: Update เป็น version 8.3.4

ที่มา : securityfocus

การแพร่กระจายนั้นไม่ได้ดังแค่เฉพาะโลกของคน IT เท่านั้น ข่าวนี้ก็คงดังมากๆในเหล่า Ransomware Developer เช่นกัน จนถึงขั้นคนเขียน Ransomware ใน Android นำเอาหน้าตาของ WannaCry มาเป็น theme ของ Ransomware ที่เค้าพัฒนาเลยทีเดียว

Avast พบ Android Ransomware ที่ชื่อว่า WannaLocker (พบครั้งแรกโดยทีม security ของ Qihoo 360)
WannaLocker จะติดไฟล์ที่เก็บใน external storage ของเครื่องที่ติด ซึ่งพบว่ามีการติดในประเทศจีน และมีค่าเรียกค่าไถ่อยู่ที่ 5-6 $ ช่องทางการจ่ายเงินจะแตกต่างจาก Ransomware ใน PC นั่นคือให้จ่ายผ่าน Alipay หรือ WeChat แทนนั่นเอง โดย WannaLocker Ransomware จะกระจายผ่านเว็บไซด์ forum เกมส์ของจีน โดยตัวมันจะปลอมตัวเองเป็น plugin ของเกมส์ King of Glory หลังจากติดตั้ง มันจะทำการซ่อนตัวเองเป็น app drawer และเริ่มทำการเข้ารหัสไฟล์ใน external storage ของเครื่อง WannaLocker ใช้ AES encryption และยกเว้นไฟล์ที่ขึ้นต้นด้วย "." และไฟล์อื่นๆที่มี “DCIM”, “download”, “miad”, ”android” และ “com.

VMware ได้ออกมาแจ้งเตือนถึงการค้นพบช่องโหว่หลายรายการบน vSphere Data Protection (VDP) และออก VMSA-2017-0010 เพื่อรวมประเด็นปัญหาด้านความมั่นคงปลอดภัยเหล่านี้เอาไว้ด้วยกัน พร้อมตั้งระดับความรุนแรงเป็นระดับสูงสุด

สำหรับปัญหาแรกที่พบนั้นก็คือปัญหา VDP Java Deserialization ที่เปิดให้ผู้โจมตีสามารถทำ Remote Command Execution ได้บน VDP ส่วนอีกปัญหาหนึ่งคือการที่ VDP นั้นมีการเก็บ Credential ของ vCenter Server เอาไว้ ทำให้ผู้โจมตีสามารถเข้าถึง Credential ของ vCenter ได้จาก VDP

ทั้งนี้ VMware แนะนำให้ผู้ใช้งานทำการอัปเดต VDP ไปใช้รุ่น 6.0.5 หรือ 6.1.4 ซึ่งแก้ไขช่องโหว่เหล่านี้ไปเรียบร้อยแล้วแทนรุ่นเดิมที่ใช้งานอยู่

ที่มา: techtalkthai , vmware