Mozilla ได้ออกแพทช์ปรับปรุงเพื่อแก้ไขช่องโหว่ต่างๆใน Firefox และ Firefox ESR ผู้โจมตีสามารถใช้ช่องโหว่นี้ในการควบคุมระบบจากระยะไกล

ช่องโหว่ใน Firefox 63 เป็นช่องโหว่ความรุนแรงระดับสูงมาก (critical) 3 รายการ, ช่องโหว่ความรุนแรงระดับสูง (High) 3 รายการ, ช่องโหว่ความรุนแรงระดับกลาง (Moderate) 4 รายการ และช่องโหว่ความรุนแรงระดับต่ำ (Low) 5 รายการ

ช่องโหว่ใน Firefox ESR 60.3 เป็นช่องโหว่ความรุนแรงระดับสูงมาก (critical) 2 รายการ, ช่องโหว่ความรุนแรงระดับสูง (High) 3 รายการ, ช่องโหว่ความรุนแรงระดับกลาง (Moderate) 3 รายการ และช่องโหว่ระดับความรุนแรงต่ำ (Low) 1 รายการ

แนะนำให้ผู้ดูแลระบบและผู้ใช้งาน Mozilla ทำการอัปเดตแพทช์สำหรับ Firefox 63 และ Firefox ESR 60.3 ให้เป็นเวอร์ชั่นล่าสุด

ที่มา:mozilla

ข้อมูลส่วนตัวผู้ใช้สิทธิ์เลือกตั้ง และการลงคะแนนเลือกตั้งกว่า 35 ล้านรายการถูกนำมาขายในเว็บใต้ดิน โดยผู้เชี่ยวชาญจาก Anomaili และ Intel 471 ได้ออกมาให้ข้อมูลนี้

นักวิจัยได้ออกมาวิเคราะห์ตัวอย่างของข้อมูลที่นำมาขาย และพบว่าเป็นข้อมูลที่มีความสำคัญสูง โดยผู้ขายจะทำการอัพเดตข้อมูลของผู้ใช้สิทธิ์แต่ละรัฐในทุกๆ อาทิตย์ โดยข้อมูลที่ถูกเปิดเผยเป็นลำดับแรกมาจาก 3 รัฐใหญ่ ขายอยู่ที่ราคาประมาณ 1300 ถึง 12500 USD โดยข้อมูลต่างๆ ที่ถูกนำมาเปิดเผยถือเป็นสิ่งที่สำคัญอย่างมากสำหรับกลุ่มผู้โจมตี (threat actor) ต่างๆ และได้รับความสนใจจากสมาชิกในฟอรั่มเป็นอย่างมาก เนื่องจากสามารถนำไปใช้ร่วมกับข้อมูลอื่นๆ เพิ่มเติม เพื่อก่อกวนการเลือกตั้งได้

ที่มา:securityaffairs

Drupal ได้เผยแพร่การปรับปรุงความปลอดภัยเพื่อแก้ไขช่องโหว่หลายรายการใน Drupal 7.x และ 8.x ที่ส่งผลให้ผู้โจมตีสามารถเข้าควบคุมเครื่องที่ได้รับผลกระทบจากระยะไกล

แนะนำให้ผู้ใช้และผู้ดูแลระบบตรวจสอบเวอร์ชั่นที่ตนเองใช้งานอยู่ และอัพเดตให้เป็นเวอร์ชั่นล่าสุด

เวอร์ชั่น 7.x จะอัพเดตเป็น 7.60
เวอร์ชั่น 8.6.x จะอัพเดทเป็น 8.6.2
เวอร์ชั่น 8.5.x หรือเก่ากว่านั้น จะอัพเดตเป็น 8.5.8
สำหรับ Drupal เวอร์ชั่น 8 บางเวอร์ชั่นก่อนหน้า 8.5.x จะไม่สามารถอัพเดตได้ ผู้ใช้งานต้องทำการอัพเดตเป็นเวอร์ชั่น 8.5.x ก่อน

ที่มา:drupal

พบช่องโหว่ร้ายแรงสามารถเข้าควบคุมเราเตอร์ D-Link ได้

ทีมนักวิจัยจากมหาวิทยาลัย Silesian ในประเทศโปแลนด์ได้พบช่องโหว่หลายรายการซึ่งส่งผลกระทบกับเราเตอร์ D-Link หลายรุ่นประกอบด้วย DWR-116, DWR-111, DIR-140L, DIR-640L, DWR-512, DWR-712, DWR-912 และ DWR-921 โดยช่องโหว่ร้ายแรงสามารถทำให้แฮกเกอร์เข้าควบคุมอุปกรณ์ได้เลยทีเดียว

หนึ่งในช่องโหว่เป็น Directory Traversal (CVE-2018-10822) ส่งผลให้ผู้โจมตีสามารถเข้ามาอ่านไฟล์ผ่าน HTTP Request ได้ ซึ่งก่อนหน้านี้ช่องโหว่เคยถูกรายงานมาแล้ว (CVE-2017-6190) แต่ทางผู้ผลิตล้มเหลวในการแก้ไขช่องโหว่ที่เกิดขึ้นบนผลิตภัณฑ์ของตนเองหลายรุ่น นอกจากนี้ยังมี

CVE-2018-10824 เป็นช่องโหว่ที่ทำให้ผู้โจมตีสามารถเข้าถึงไฟล์เก็บรหัสผ่านของ Admin ที่พบว่าไม่มีการเข้ารหัสด้วย โดยนักวิจัยไม่ได้เผยที่ตั้งไฟล์เพราะเกรงว่าจะเป็นการชี้ช่องทาง
CVE-2018-10823 เป็นช่องโหว่ที่ทำให้เกิดการรันคำสั่งและสามารถเข้าควบคุมอุปกรณ์ได้อย่างสมบูรณ์ หลังจากทำการ authenticate สำเร็จแล้ว

แม้ว่าทางบริษัทผู้ผลิตจะได้รับการแจ้งเตือนช่องโหว่ต่างๆ ตั้งแต่เดือนพฤษภาคมและให้สัญญาว่าจะออกแพตช์สำหรับเราเตอร์รุ่น DWR-116 และ DWR-111 พร้อมแจ้งเตือนสำหรับผลิตภัณฑ์ที่เก่าจนไม่ได้รับการรองรับแล้ว แต่จนบัดนี้ทาง D-Link ก็ยังไม่มีแพตช์ใดๆ ออกมาจนทำให้นักวิจัยตัดสินใจเผยรายละเอียดต่อสาธารณะ สำหรับผู้ใช้งานที่ได้รับผลกระทบควรไปตั้งค่าปิดการเข้าถึงเราเตอร์ผ่านอินเทอร์เน็ต

เช่นเดียวกับการค้นพบช่องโหว่ใน Linksys E-Series เร้าเตอร์ โดยนักวิจัยจาก Cisco Talos เป็นข้อผิดพลาดใน Injection Command ของระบบปฏิบัติการ ส่งผลให้สามารถเข้าถึงเครื่องและติดตั้งมัลแวร์ได้ ซึ่งข้อแตกต่างจากช่องโหว่ในผลิตภัณฑ์ D-Link คือสามารถโจมตีสำเร็จได้เมื่อทำการ authenticate แล้วเท่านั้น และได้มีการออกแพทช์เรียบร้อยแล้ว

ที่มา:securityweek

GitHub ได้นำเสนอความสามารถใหม่เพื่อช่วยสแกนโทเค็นใน repository สาธารณะและแจ้งเตือน

GitHub ประกาศคุณลักษณะด้านความปลอดภัยใหม่ๆ เมื่อวันอังคารที่ผ่านมา ซึ่งมีจุดมุ่งหมายเพื่อช่วยให้นักพัฒนาซอฟต์แวร์ปลอดภัยจากช่องโหว่ และช่วยให้เก็บข้อมูลที่สำคัญ เช่น โทเค็นการเข้าถึง และ code ที่ไม่เปิดเผยต่อสาธารณะได้ปลอดภัยขึ้น ล่าสุดบริษัทได้ประกาศความสามารถใหม่ที่จะช่วย scan โทเค็น และ credential ใน repository สาธารณะ ที่ใช้สำหรับบริการของ cloud อย่างเช่น AWS, Azure, Google, Slack และ GitHub เอง โดยอาจจะเป็น private key ที่เกี่ยวข้องกับบัญชีผู้ใช้งานของ GitHub ที่ยังไม่ถูกเข้ารหัส ซึ่งเพิ่มเติมมาจากของเดิมที่ช่วย scan เพียงแค่โทเค็นของ GitHub OAuth และโทเค็นส่วนตัวเท่านั้น

การเปิดเผยโทเค็นไว้ในแหล่งข้อมูลสาธารณะนั้นถือว่าเป็นปัญหาใหญ่มาก เนื่องจากผู้ที่ได้ไปนั้นจะสามารถเข้าถึงข้อมูลที่ไม่ต้องการเปิดเผยได้อย่างง่ายดาย ซึ่งประเด็นนี้ถูกหยิบยกมาพูดถึงหลังจากเมื่อเดือนที่แล้ว Facebook พบกับปัญหาด้านความปลอดภัย ที่ส่งผลให้แฮกเกอร์สามารถขโมยโทเค็นสำหรับเข้าถึงบัญชีไปได้อย่างมากมาย นักพัฒนาซอฟต์แวร์ที่ใช้ GitHub อาจเผลอใส่ข้อมูลโทเค็นสำคัญไว้ใน code ที่เปิดเป็นสาธารณะเอาไว้ เมื่อ scan เจอจะมีการแจ้งให้ผู้ให้บริการของโทเค็นรับทราบ เพื่อสร้างโทเค็นใหม่ และแจ้งให้แก่ผู้ใช้งาน

นอกจากนี้ยังมีการประกาศ Security Advisory API ซึ่งจะรวมข้อมูลความปลอดภัยจากแหล่งต่างๆ และช่วยในการอัพเดตให้หากเป็นปัญหาที่เกี่ยวข้อง Project ต่างๆ บนแพลตฟอร์มของ GitHub โดย API จะช่วยให้ผู้ใช้สามารถทำการอัพเดตความปลอดภัยต่างๆ บน Project ของตนเองได้ง่ายขึ้น นอกจากนี้ยังได้เพิ่มเติมการแจ้งช่องโหว่ด้านความปลอดภัยสำหรับภาษา Java และ .NET ซึ่งก่อนหน้านี้รองรับแค่ JavaScript, Ruby และ Python เท่านั้น

ที่มา:cyberscoop