WordPress ปล่อยเวอร์ชัน 4.8.3 แพตช์ช่องโหว่ SQL injection ร้ายแรง

ทาง WordPress ได้มีการปล่อย WordPress 4.8.3 ซึ่งเป็นเวอร์ชั่นใหม่ โดยในเวอร์ชั่นนี้จะแก้ไขช่องโหว่ SQL injection ที่เกิดขึ้นในเวอร์ชั่นก่อนหน้านี้คือ เวอร์ชั่น 4.8.2 โดยมีรายละเอียดข่าวดังนี้

WordPress เวอร์ชั่น 4.8.2 และเวอร์ชั่นก่อนหน้านี้มีปัญหาที่เกิดจากฟังก์ชัน $wpdb->prepare() ที่ทำให้แฮกเกอร์สามารถสร้างข้อความสำหรับไว้ค้นหาที่ไม่ปลอดภัย นำไปสู่การโจมตีด้วยวิธี SQL injection (SQLi) ได้สำเร็จ ในส่วนของตัวโปรแกรมหลัก WordPress จะไม่ได้รับผลกระทบโดยตรง แต่อาจเกิดจากปลั๊กอินและธีมที่ไม่ปลอดภัยก็สามารถมีความเสี่ยงในการถูกโจมตีได้

สำหรับ WordPress เวอร์ชั่น 4.8.3 นี้ทางทีมก็ได้พัฒนาเพิ่ม hardening เพื่อป้องกันปลั๊กอินและธีม อีกทั้งยังมีการเปลี่ยนเแปลงฟังก์ชั่น สำหรับฟังก์ชัน esc_sql() เพื่อให้มีความปลอดภัยมากขึ้น หากใครที่ใช้งานอยู่ควรรีบทำการอัพเดทแพทช์ทันที

ที่มา : wordpress

บริษัทด้านความปลอดภัย Rapid 7 ได้ตรวจพบช่องโหว่ SQL injection บนซอฟต์แวร์ e-commerce "SmartVista" ซึ่งใช้กันอย่างแพร่หลายในสวิตเซอร์แลนด์ อย่างไรก็ตามโลกแห่งความจริงนั้นไม่ได้ง่ายและปลอดภัยเมื่อบริษัทผู้พัฒนาซอฟต์แวร์ BCP Banking ไม่ยอมรับทราบและแก้ปัญหาใดๆ ตั้งแต่เดือนพฤษาภาคม 2017

ช่องโหว่ดังกล่าวเกิดจากระบบไม่ได้มีการตรวจสอบข้อมูลที่ผู้ใช้งานส่งเข้ามาดีพอ ทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่อยู่ฐานข้อมูลได้ผ่านการโจมตี SQL injection
ขณะนี้ CERT/CC กับ SwissCERT ได้ดำเนินการแจ้งไปยังบริษัทผู้พัฒนาซอฟต์แวร์แล้ว เนื่องจากซอฟต์แวร์ดังกล่าวมีการใช้งานอย่างแพร่หลาย ในส่วนของผู้ที่ใช้ซอฟต์แวร์นั้น การใช้ฟีเจอร์ของ WAF ในการป้องกัน SQL injection อาจช่วยลดความเสี่ยงที่จะถูกโจมตีได้บางส่วน

ที่มา: theregister

WordPress 4.8.2 เก็บค่าของ wp_signups.activation_key(Key การเปิดใช้งาน Email เพื่อเข้าใช้งาน Blog) แบบ cleartext ซึ่งอาจทำให้ผู้โจมตีจากระยะไกลสามารถแย่งชิงบัญชีผู้ใช้ที่ไม่ได้เปิด activation โดยใช้ประโยชน์จากการเข้าถึงฐานข้อมูล(เช่นการเข้าถึงที่ได้รับผ่านช่องโหว่ SQL injection)

คำแนะนำการแก้ปัญหา

เนื้อหาภายใน https://core.

นักวิจัยได้พบว่ามีการโจมตี SQL Injection แบบใหม่โดยใช้อุปกรณ์ Smartphone วิธีการนี้ถูกเรียกว่า “Katyusha Scanner” โดยได้รวมเครื่องมือทดสอบการเจาะข้อมูลแบบ Open-Source ชื่อว่า Anarchi Scanner เอาไว้ ส่งผลให้ผู้ไม่หวังดีสามารถสแกนและอัปโหลดรายการเว็บไซต์ที่ต้องการแล้วเปิดการโจมตีหลายๆเป้าหมายพร้อมๆกัน โดยควบคุมการทำงานผ่าน Telegram messenger ปัจจุบันมีรายงานว่ามีผู้ซื้อผลิตภัณฑ์ชิ้นนี้และประสบความสำเร็จในการเข้าถึง Web Server 8 เครื่องภายครึ่งวัน
เมื่อเดือน(June 2017)ที่แล้วมาทีมงานของ Vulnerability and Exposure (VERT) ของ Tripwire ได้ทำการศึกษาซึ่งแสดงให้เห็นว่าผู้พัฒนาสามารถที่จะแก้ไขปัญหาดังกล่าวได้โดยการสแกนหาช่องโหว่ของ Web Application อย่างสม่ำเสมอ และควรได้รับการประเมินความเสี่ยงจากผู้เชี่ยวชาญ และหลีกเลี่ยงการสร้าง Web Application ด้วยเครื่องมือสำเร็จรูป

ที่มา : darkreading

Asaf Orpani นักวิจัยด้านความปลอดภัยจาก Trustwave SpiderLabs พบช่องโหว่ SQL Injection บน Joomla เวอร์ชั่น 3.2 ที่ปล่อยให้ดาวน์โหลดตั้งแต่เดือนพฤศจิกายนปี 2013 ถึงเวอร์ชั่น 3.4.4
ช่องโหว่ดังกล่าวอนุญาตให้ผู้ที่ไม่ประสงค์ดีสามารถยกระดับสิทธิ์ของตัวเองเป็นผู้ดูแลเว็บไซต์ได้อย่างเต็มรูปแบบ

ช่องโหว่นี้ถูกค้นพบในไฟล์ /administrator/components/com_contenthistory/models/history.

นักวิจัยด้านความปลอดภัยชื่อ Brian Krebs ได้ค้นพบบอทเนทชนิดใหม่ที่ชื่อว่า “Advanced Power” โดยบอทเนทตัวนี้จะใช้เครื่องคอมพิวเตอร์ของเราเป็นเครื่องมือในการแพร่กระจายไวรัส หากผู้ใช้มีการใช้งานบราเซอร์ Firefox ในการเข้าถึงเว็บไซต์ต่างๆ มัลแวร์จะอาศัย Add on บน Firefox ที่ชื่อว่า "Microsoft .NET Framework Assistant" เป็นเครื่องมือในการโจมตีเว็บไซต์อื่นๆ ที่ผู้ใช้เข้าถึงด้วยช่องโหว่ SQL injection และยังสามารถขโมยข้อมูลที่สำคัญได้อีกด้วย นักวิจัยกล่าวว่ามีระบบมากกว่า 12,500 ระบบที่ติดไวรัสจากมัลแวร์ดังกล่าวและค้นพบเว็บไซต์อย่างน้อย 1,800 เว็บไซต์ที่เสี่ยงต่อช่องโหว่ SQL Injection

ที่มา : ehackingnews