Tags:
Node Thumbnail

นักวิจัยของ FireEye ออกมาเปิดเผยบั๊กร้ายแรงของ Galaxy S5 ที่เปิดช่องว่างให้ผู้ไม่หวังดีสามารถขโมยลายนิ้วมือของผู้ใช้ได้ โดยไม่ต้องแฮกเข้าไปใน TrustZone ซึ่งเป็นที่เก็บลายนิ้วมือ แต่อ่านจากตัวสแกนลายนิ้วมือโดยตรงแทน

จากรายงานดังกล่าวระบุว่านักวิจัยค้นพบวิธีการสร้างมัลแวร์ที่เข้าถึงเพียง system-level (ไม่ต้อง root ด้วยซ้ำ) ของเครื่อง Galaxy S5 จะสามารถเก็บข้อมูลจากตัวสแกนลายนิ้วมือได้โดยตรง โดยที่ไม่ต้องเข้าไปยุ่งกับส่วนที่เก็บข้อมูลที่เรียกว่า TrustZone แต่อย่างใด

Tags:
Node Thumbnail

ข่าวต่อเนื่องจากกสทช. เห็นชอบให้เลื่อนการจ่ายเงินค่าประมูลทีวีดิจิตอล ในการประชุมวันเดียวกันทางกสทช. ก็อนุมัติเงินจากกองทุนวิจัยและพัฒนากิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคม เพื่อประโยชน์สาธารณะ เป็นจำนวนเงินกว่า 47 ล้านบาท โดยผ่านการอนุมัติทั้งหมด 14 โครงการ แต่มีโครงการด้านไอที ทั้งหมด 7 โครงการ ได้แก่

Tags:
Node Thumbnail

ศูนย์ความร่วมมือป้องกันไซเบอร์แห่งนาโต้ (NATO Cooperative Cyber Defence Centre of Excellence - CCDCOE) เริ่มงาน Locked Shields 2015 งานซ้อมป้องกันการโจมตีไซเบอร์ใหญ่ที่สุดครั้งหนึ่งของโลก ปีนี้มีชาติเข้าร่วม 16 ชาติ รวมผู้เชี่ยวชาญกว่า 400 คน

การซ้อมครั้งนี้จะซ้อมป้องกันการโจมตีระดับรัฐ ผู้เข้าร่วมจะได้รับมอบหมายให้ป้องกันโครงสร้างของประเทศสมมติที่ชื่อว่า Berylia อย่างไรก็ดี ความขัดแย้งระหว่างชาตินาโต้และรัสเซียทำให้ผู้เชี่ยวชาญให้ความเห็นว่าการจำลองครั้งนี้น่าจะจำลองจากการโจมตีจากแฮกเกอร์ที่รัฐบาลรัสเซียหนุนหลัง

Tags:
Node Thumbnail

ที่งาน RSA Conference วันนี้ Will Dormann นักวิจัยจาก CERT ที่มหาวิทยาลัย Carnegie Mellon รายงานถึงช่องโหว่การตรวจสอบใบรับรอง SSL ที่มีแอพจำนวนมากเขียนโค้ดอย่างหละหลวม ทำให้ตัวแอพไม่ตรวจสอบใบรับรองทำให้แฮกเกอร์สามารถดักฟังแบบ man-in-the-middle ได้

Dormann ระบุว่าทาง CERT ตรวจสอบแอพกว่าล้านรายการเมื่อต้นปีที่ผ่านมา และพบแอพที่มีช่องโหว่นี้มากถึง 23,667 แอพ ทางทีมงานได้ส่งอีเมลไปแจ้งผู้พัฒนา เกือบทั้งหมดไม่มีการตอบกลับใดๆ บางส่วนแสดงท่าทีว่าอีเมลแจ้งเตือนเป็นเรื่องแย่ มีอีเมลตอบกลับพร้อมแจ้งการแก้ปัญหาเพียง 0.1% เท่านั้น

Tags:
Node Thumbnail

ตามปกติแล้ว ไมโครซอฟท์มีนโยบายการออกแพตช์วินโดวส์ทุกวันอังคารที่สองและสี่ของเดือน หรือที่เรียกกันว่า Patch Tuesday แต่เดือนนี้ไมโครซอฟท์แหวกธรรมเนียมเล็กน้อย โดยออก Patch Tuesday รอบใหม่ตั้งแต่วันอังคารที่สามของเดือน

Patch Tuesday รอบนี้จัดมาชุดใหญ่ 34 ตัว โดยกระจายตามวินโดวส์เวอร์ชันต่างๆ (Windows 7 โดนไป 6 ตัว ส่วน Windows 8.1 อาจมากถึง 20 ตัว) แพตช์ทั้งหมดมีความสำคัญแบบ optional คือจะลงหรือไม่ลงก็ได้ไม่บังคับ บางแพตช์ก็ไม่ได้กระทบผู้ใช้ทุกคน จำกัดเฉพาะฮาร์ดแวร์บางชิ้นเท่านั้น

ผู้สนใจสามารถดูรายการแพตช์ทั้งหมดได้จาก Microsoft ส่วนผู้ใช้งานทั่วไปก็อัพเดตกันตามปกติครับ

Tags:
Node Thumbnail

WordPress ออกเวอร์ชัน 4.1.2 เพื่อแก้ปัญหาช่องโหว่ระดับร้ายแรง (critical) ที่อาจทำให้เว็บไซต์โดนบุคคลภายนอกแฮ็กได้โดยไม่ต้องมีบัญชี WordPress ด้วยซ้ำ (ผ่าน cross-site scripting)

ช่องโหว่ข้างต้นมีผลกระทบกับ WordPress ทุกเวอร์ชัน ดังนั้นใครที่มีเว็บไซต์ทำด้วย WordPress ควรอัพเดตกันด่วน นอกจากนี้ยังมีปลั๊กอินหลายตัวที่ออกแพตช์แก้ประเด็นเดียวกันมาแล้ว ตามอัพเดตปลั๊กอินกันด้วยครับ

WordPress 4.1.2 ยังปิดช่องโหว่อื่นอีก 3 จุดที่เกี่ยวกับเรื่อง SQL injection และชื่อไฟล์ที่อาจไม่ปลอดภัย

ที่มา - WordPress.org

Tags:
Node Thumbnail

FireEye รายงานการโจมตีของกลุ่ม APT 28 ที่มีฐานอยู่ในรัสเซีย เจาะเครื่องของเหยื่อเพื่อเข้าควบคุมเครื่องในระดับสิทธิสูงสุด (System Level Privileges) ด้วยช่องโหว่ CVE-2015-1701 ที่ยังไม่เปิดเผยข้อมูลและยังไม่มีแพตช์ในตอนนี้

แฮกเกอร์กลุ่มนี้ เริ่มจากส่งลิงก์ให้เหยื่อผ่านทางเว็บที่ทางกลุ่มควบคุมได้ จากนั้นใช้ HTML และจาวาสคริปต์ส่งไฟล์แฟลชที่เจาะช่องโหว่ CVE-2015-3043 เข้ามารันในเครื่องก่อนแล้วจึงรัน shellcode จากนั้นจึงดาวน์โหลดโปรแกรมเพื่อเจาะ CVE-2015-1701

ช่องโหว่ CVE-2015-3043 นั้นมีแพตช์แล้วทำให้กลุ่มนี้ไม่สามารถเจาะเครื่องที่แพตช์เต็มรูปแบบได้ แต่การที่ทางกลุ่มสามารถเจาะช่องโหว่ที่ยังไม่มีข้อมูลได้ก็แสดงว่าเป็นกลุ่มแฮกเกอร์ที่มีประสิทธิภาพสูง

Tags:
Node Thumbnail

กองทัพบกสหรัฐฯ ยอมรับว่ากระบวนการจัดหากำลังพลตามช่องทางปกติไม่สามารถหาคนทำงานด้านไซเบอร์ได้เร็วพอ และมีข้อจำกัดการจ่ายค่าตอบแทนที่ไม่สามารถแข่งขันกับเอกชนได้ ในการแถลงต่อวุฒิสภารอบล่าสุด นายพลสหรัฐฯ ก็ออกมาระบุว่าต้องสร้างช่องทางใหม่ให้กับการดึงตัวพลเรือนมาประจำหน่วยนี้

สหรัฐฯ มีหน่วย Cyber Branch 17 สำหรับกำลังพลของตัวเองอยู่ก่อนแล้ว แต่การหาคนเข้ามาทำงานและดึงตัวไว้ให้ทำงานต่อเนื่องกลับทำได้ยาก ตอนนี้่ทางกองทัพจึงเตรียมหาทางดึงตัวพลเรือนเข้ามาทำงาน พร้อมกับแรงจูงใจใหม่ๆ เช่น การทำการตลาด, จ่ายค่าย้ายที่อยู่, จ่ายโบนัสในกรณีทำงานต่อเนื่อง, และช่วยจ่ายเงินกู้ยืมเพื่อการศึกษา

Tags:
Node Thumbnail

ตลก April Fool's ของกูเกิลปีนี้อันหนึ่งคือเว็บ com.google ที่เปิดเว็บกลับข้างซ้ายเป็นขวา แต่ Netcraft ออกมาเตือนว่าการเล่นแบบนี้กลับสร้างช่องโหว่ใหม่ให้กับระบบ

ปกติแล้วเว็บกูเกิลหน้าสำคัญๆ จะไม่สามารถนำไปแสดงในหน้าเว็บภายนอกผ่าน iframe ได้ เพราะล็อกไว้ด้วย X-Frame-Options แต่ทีมงานกูเกิลสร้างช่องทางปิดล็อกอันนี้เพื่อเล่นตลก April Fool's ด้วยการสร้างออปชั่น igu=2 เพื่อให้เว็บกูเกิลไม่ล็อกการฝังไว้ใน iframe อีกต่อไป

Tags:
Topics: 
Node Thumbnail

IBM Security เปิดฐานข้อมูลด้านความปลอดภัยของตัวเองกว่า 700TB ขึ้นบนอินเทอร์เน็ต ในชื่อโครงการ IBM X-Force Exchange

IBM บอกว่านักวิจัยด้านความปลอดภัยของตัวเองสะสมข้อมูลด้านความปลอดภัย (threat intelligence) ซึ่งประกอบด้วยเว็บไซต์และ URL กว่า 25 พันล้านแห่ง ข้อมูลมัลแวร์ หมายเลขไอพี ช่องโหว่ โดยบริษัทเปิดให้นักวิจัยและผู้สนใจทั่วไปสามารถเข้าถึงข้อมูลเหล่านี้ เพื่อแชร์และศึกษาภัยคุกคามด้านความปลอดภัยระหว่างกัน (ตัวแทนของ IBM เรียกมันว่า "Pinterest for security") และหวังว่าบริษัทด้านความปลอดภัยรายอื่นจะมาร่วมแชร์ข้อมูลแบบเดียวกันด้วย

Tags:
Node Thumbnail

มาตรฐาน PCI-DSS 3.0 ออกมาเมื่อปลายปีที่แล้ว ตอนนี้ก็อัพเดตเป็นรุ่น 3.1 เพื่อรองรับช่องโหว่ที่รู้กันทั่วไป เช่น BEAST และ POODLE ส่งผลให้หน่วยงานที่ได้รับรอง PCI-DSS จะไม่สามารถใช้ SSL ทุกรุ่นและ TLS รุ่นแรกๆ ได้หลังจากวันที่ 30 พฤษภาคม 2016

ระหว่างนี้ผู้ที่ยังคงใช้ SSL และ TLS รุ่นแรกๆ จะต้องทำแผนลดผลกระทบจากช่องโหว่ของกระบวนการเข้ารหัสเหล่านี้ มีข้อยกเว้นคือ จุดรับจ่ายเงิน (Point of Sale - POS) จะสามารถใช้งานการเข้ารหัสเหล่านี้ได้ต่อไป หากสามารถยืนยันได้ว่าไม่เสี่ยงต่อการโจมตีช่องโหว่ที่เป็นที่รู้กัน

Tags:
Node Thumbnail

เมื่อวันอังคารที่ผ่านมาไมโครซอฟท์ออกแพตช์ชุดใหญ่ และมีบั๊กความร้ายแรงสูง คือ MS15-034 ร่วมอยู่ด้วย ตอนนี้ถ้าใครดูแลเซิร์ฟเวอร์รุ่นที่ได้รับผลกระทบแล้วยังรีรอไม่อัพเดต เซิร์ฟเวอร์ของท่านอาจจะถูกยิงให้แครชทั้งเครื่องได้ง่ายๆ ด้วยคำสั่งเดียว

การส่งคำสั่งด้วย curl เพียงบรรทัดเดียวสามารถทำให้เซิร์ฟเวอร์แครชไปทั้งเครื่องได้ เพราะ HTTP.sys เป็นไดร์เวอร์ระดับเคอร์เนล ช่องโหว่นี้เกิดจากการรับค่าใน HTTP Header ที่ฟิลด์ Range ผิดพลาด หากใส่ค่าใหญ่เกินไปก็สามารถทำให้เคอร์เนลแครชได้ทันที

Tags:
Node Thumbnail

Dropbox ประกาศเปิดโครงการจ่ายเงินรางวัลให้แฮกเกอร์ที่พบบั๊กความปลอดภัย โดยจ่ายเงินรางวัลขั้นต่ำ 216 ดอลลาร์ให้กับบั๊กที่เข้าข่ายได้รับเงินรางวัล

ทาง Dropbox ส่งคำขอบคุณแฮกเกอร์ 26 คนที่รายงานบั๊กมาแล้วจำนวน 27 บั๊กก่อนหน้านี้ พร้อมกับจ่ายเงินรวม 10475 ดอลลาร์เป็นรางวัล บั๊กที่ใหญ่ที่สุดมูลค่าถึง 4913 ดอลลาร์

แอพพลิเคชั่นที่เข้าข่าย ต้องเป็นแอพพลิเคชั่นของ Dropbox เองบนทุกแพลตฟอร์ม รวมถึง Carousel ตัว API แต่หากเป็นช่องโหว่ในแอพพลิเคชั่นภายนอก ทาง Dropbox ระบุว่าทางบริษัทอาจจะจ่ายเงินรางวัลหากช่องโหว่มีความโดดเด่นพอ

ที่มา - Dropbox

Tags:
Node Thumbnail

ออราเคิลออกแพตช์ตามรอบการอัพเดตปกติ เป็นการปล่อยแพตช์ประจำไตรมาสที่สอง ซอฟต์แวร์จำนวนมากมีอัพเดตออกมา

แพตช์ที่ออกมามีระดับความร้ายแรงสูง คะแนน CVSS เกิน 9.0 ขึ้นไปหลายรายการ แต่ที่กระทบกับคนวงกว้าง คือ Java ที่มีช่องโหว่ในส่วนโค้ด 2D เสี่ยงต่อการถูกแฮกสูง มีคะแนน CVSS 10.0 ช่องโหว่นี้ทำให้แฮกเกอร์สามารถวาง Java applet แล้วทะลุ sandbox ออกมาได้ กระทบ Java 5 ขึ้นไป แต่กระทบเฉพาะการติดตั้งแบบไคลเอนต์เท่านั้น

ส่วนช่องโหว่ร้ายแรงสูงอื่น กระจายไปตามซอฟต์แวร์ต่างๆ เช่น MySQL Enterprise Monitor, Cisco MDS Fiber Channel Switch, และ Oracle Exalogic Infrastructure

ผู้ดูแลระบบที่ใช้ซอฟต์แวร์ออราเคิลควรไปรีวิวกันว่าตัวไหนกระทบ จะได้วางแผนอัพเกรดกันได้ครับ

Tags:
Node Thumbnail

ไมโครซอฟท์ออกอัพเดตตามรอบการออกปกติชุดใหญ่ เป็นบั๊กร้ายแรงที่ทำให้ ไฟล์แฮกเกอร์สามารถรันโค้ดบนเครื่องได้ด้วยช่องทางหลากหลาย ตั้งแต่หน้าเว็บมุ่งร้ายที่โจมตีผ่านเบราว์เซอร์, การยิงผ่านเว็บเซิร์ฟเวอร์, และการเปิดไฟล์หลายประเภท

Tags:
Node Thumbnail

เซิร์ฟเวอร์ที่แชร์กันของตำรวจสี่เมืองและสำนักงานนายอำเภออีกหนึ่งเมืองในรัฐเมนติดมัลแวร์ megacode หลังจากมีผู้ใช้ดาวน์โหลดไฟล์มารันบนเซิร์ฟเวอร์

ทางตำรวจยอมจ่ายเงิน 300 ยูโร หรือ 318 ดอลลาร์ผ่านบิตคอยน์เพื่อจะได้กุญแจถอดรหัสมาทำงานต่อไป

เจ้าหน้าที่ฝ่ายไอทีได้สำรองข้อมูลเอาไว้แล้ว แต่ช่องว่างของการออกแบบระบบสำรองข้อมูลทำให้ข้อมูลในเซิร์ฟเวอร์สำรองถูกเข้ารหัสไปพร้อมกัน ทางฝ่ายไอทีติดตั้งเซิร์ฟเวอร์ใหม่เพื่อให้แน่ใจว่ารอบต่อไปจะสามารถทำงานต่อได้ทันทีในกรณีติดมัลแวร์เช่นนี้

ที่มา - Network World

Tags:
Node Thumbnail

INTERPOL ร่วมมือกับ Digital Crimes Unit (DCU) ของไมโครซอฟท์ ไล่ปิดศูนย์ส่งคำสั่งของบอตเน็ต Simda พร้อมกันทั่วโลก

Simda ตอนนี้ติดคอมพิวเตอร์ถึง 770,000 เครื่อง มันเปิดช่องโหว่ให้แฮกเกอร์เข้ามาควบคุม ระบบการพัฒนาเป็นโมดูลทำให้สามารถโจมตีได้หลายอย่าง เช่น ดึงข้อมูลส่วนตัว, เก็บข้อมูลธนาคาร, ขุดบิทคอยน์, คลิกโฆษณา, ติดตั้งซอฟต์แวร์ที่มีคนจ่ายเงินค่าติดตั้ง

Simda แพร่ระบาดหนักขึ้นเรื่อยๆ ในช่วงต้นปีที่ผ่านมา เฉพาะสองเดือนแรกของปีนี้มีเครื่องติดเพิ่มขึ้นประมาณ 90,000 เครื่อง

Tags:
Node Thumbnail

บริการต่างๆ ของสหรัฐฯ เข้ารหัสอย่างหนาแน่นขึ้นเรื่อยๆ บริการแชตต่างๆ เริ่มเข้ารหัสจากปลายทางถึงปลายทางทำให้ทางการเข้าถึงข้อมูลเหล่านี้ได้ยาก ล่าสุด Michael S. Rogers ผู้อำนวยการ NSA ไปบรรยายที่มหาวิทยาลัยพรินซ์ตัน ระบุว่าเขาต้องการให้บริการเข้ารหัสใส่ "ประตูหน้า" (front door ล้อเลียนกับคำว่า back door ซึ่งเป็นการวางช่องโหว่) เพื่อให้รัฐบาลสามารถเข้าถึงข้อมูลได้เมื่อต้องการ

ปัญหาใหม่ของหน่วยงานรัฐเมื่อต้องการเข้าถึงข้อมูล บริการจำนวนมากกลับให้บริการเข้ารหัสจากปลายทางถึงปลายทางทำให้เมื่อนำหมายศาลไปยังผู้ให้บริการก็ไม่สามารถให้ข้อมูลใดๆ ได้ อีกทั้งอุปกรณ์รุ่นใหม่ๆ เริ่มเข้ารหัสเป็นค่าเริ่มต้นทั้งแอนดรอยด์และไอโฟน

Tags:
Node Thumbnail

Level 3 ผู้ให้บริการเครือข่ายข้ามทวีปรายใหญ่ (ที่เคยถูกสงสัยว่าเป็นผู้ร่วมมือกับ NSA) ออกมาประกาศความร่วมมือกับ Cisco Talos Group ตรวจสอบพฤติกรรมของเครื่องบนเครือข่ายสองวงต้องสงสัย คือ 103.41.125.0/23 และ 43.255.190.0/23

สองเครือข่ายนี้มีปริมาณข้อมูลเป็น SecureShell (SSH) ถึง 35% ของทั้งโลก และเมื่อทีมงานทดสอบตั้งเครื่องล่อแล้วปล่อยให้สแกนรหัสผ่านสำเร็จ ก็พบพฤติกรรมติดต่อกลับไปยังเครื่องแม่แล้วดาวน์โหลดมัลแวร์มาติดตั้ง

ทาง Level 3 ตรวจสอบอยู่พักใหญ่ก่อนจะตัดสินใจตัดทราฟิกทั้งหมดจากทั้งสองวงในวันที่ 7 เมษายนที่ผ่านมา พร้อมกับติดต่อไปยังผู้ให้บริการรายอื่นๆ ให้ตัดเครือข่ายทั้งสองวงนี้ออกไปด้วย

Tags:
Node Thumbnail

Singtel โอเปอเรเตอร์รายใหญ่ของเอเชียตะวันออกเฉียงใต้ ซื้อหุ้น 98% ของ Trustwave Holdings, Inc. บริษัทความปลอดภัยสัญชาติอเมริกัน ด้วยราคา 810 ล้านดอลลาร์

Trustwave ให้บริการโซลูชันด้านความปลอดภัย (บริษัทใช้คำว่า "ช่วยบริหารความปลอดภัย" หรือ Managed Security Services) กับลูกค้าองค์กร ทั้งด้านภัยคุกคาม ช่องโหว่ และการสอบผ่านมาตรฐาน (compliance) ปัจจุบันบริษัทมีพนักงาน 1,200 คน และมีศูนย์ปฏิบัติการด้านความปลอดภัย security operations centers (SOCs) ทั้งหมด 5 แห่งทั่วโลก หลังการขายกิจการแล้ว Trustwave จะยังแยกการบริหารเป็นอิสระดังเดิม

Tags:
Node Thumbnail

Kaspersky รายงานผลการวิเคราะห์การเข้ารหัสของมัลแวร์ TorLocker หรือชื่อที่ทางบริษัทเรียกคือ Trojan-Ransom.Win32.Scraper โดยตอนนี้พบสองรุ่นที่ระบาดคือ 1.0.1 และ 2.0 มุ่งโจมตีชาวญี่ปุ่น เรียกค่าไถ่ข้อมูลประมาณ 300 ดอลลาร์ โดยตอนนี้สามารถถอดรหัสไฟล์ได้บางส่วนแล้ว

มัลแวร์จะไล่ลบ system recovery point ของระบบ แล้วเข้ารหัสไฟล์รูปภาพ, วิดีโอ, เอกสาร, อิมเมจฮาร์ดดิสก์, และไฟล์บีบอัดแทบทุกสกุล ไปจนถึงไฟล์กุญแจเข้ารหัส จากนั้นจึงดาวน์โหลด Tor เพื่อเชื่อมต่อกับเซิร์ฟเวอร์แล้วเรียกค่าไถ่

Tags:
Node Thumbnail

เหตุการณ์ CNNIC ออกใบรับรองให้กับ MCS Holdings นำไปออกใบรับรองของโดเมนอื่นๆ โดยไม่ได้รับอนุญาต ทำให้ทางกูเกิลและมอสซิลล่าประกาศถอด CNNIC ออกจากรายชื่อหน่วยงานรับรองที่เชื่อถือได้ และบังคับให้ CNNIC ต้องยื่นเรื่องสมัครเข้ามาใหม่พร้อมกับยอมรับเงื่อนไขเพิ่มเติม แต่ท่าทีของแอปเปิลและไมโครซอฟท์ตอนนี้ยังคงยอมรับ CNNIC ต่อไป

Tags:
Node Thumbnail

โครงการ Let's Encrypt ประกาศเปิดให้บริการรับรองตัวตนฟรี เพื่อสนับสนุนให้เว็บทั่วโลกเข้ารหัส ตอนนี้ใกล้ถึงเวลาเปิดบริการจริง (ประกาศไว้กลางปี 2015) ทาง The Linux Foundation ก็ประกาศเข้ามาช่วยดูแลโครงการให้

ทาง The Linux Foundation จะเข้ามาช่วยดูแลงานธุรการให้ ตั้งแต่การระดมทุน, การเงิน, สัญญา, การจัดซื้อ, และทรัพยากรบุคคล ขณะที่โครงการ Let's Encrypt จะเป็นโครงการลูกที่ได้รับเงินสนับสนุนโดยตรงจากภายนอก (independently funded)

แนวทางนี้ทำให้เงินที่บริจาคเข้า Let's Encrypt จะเข้าไปพัฒนาซอฟต์แวร์และเตรียมโครงสร้างสำหรับการสร้าง CA โดยตรง แทนที่จะเสียเงินกับงานธุรการไปบางส่วน

Tags:
Node Thumbnail

ไฟร์ฟอกซ์เปิดตัวรุ่น 37 ไปเมื่อสัปดาห์ที่แล้วมีฟีเจอร์สำคัญคือการเข้ารหัสแบบไม่ยืนยันตัวตน แต่ฟีเจอร์ใหม่นี้ทำให้แฮกเกอร์สามารถดักฟังการเชื่อมต่อแบบเข้ารหัสได้ และตอนนี้ไฟร์ฟอกซ์ก็ออกรุ่น 37.0.1 เพื่อปิดฟีเจอร์นี้ไปก่อน

มอสซิลล่าผู้พัฒนาไฟร์ฟอกซ์ไม่ได้เปิดเผยช่องทางการโจมตีโดยตรง แต่ระบุเพียงว่าช่องโหว่นี้เกี่ยวข้องกับข้อมูล Alt-Svc ที่ใช้กับฟีเจอร์นี้ และทางมอสซิลล่าเตรียมจะเปิดฟีเจอร์นี้กลับมาเมื่อตรวจสอบครบถ้วนแล้ว

ตัวบั๊กยังคงอยู่ในช่วงปกปิด หลังจากไฟร์ฟอกซ์ 37.0.1 กระจายไปทั่วแล้วเราคงเห็นข้อมูลเพิ่มเติมกันต่อไป

Tags:
Topics: 
Node Thumbnail

โครงการ NTP ประกาศช่องโหว่สองช่อง ได้แก่ CVE-2015-1798 และ CVE-2015-1799 ทำให้เซิร์ฟเวอร์เทียบเวลาไม่สามารถเทียบเวลาได้ตามปกติ และถูกแก้ไขเวลาจากภายนอกได้

CVE-2015-1798 กระทบ ntp มาจนถึงเวอร์ชั่น 4.2.8p1 ทำให้แฮกเกอร์สามารถส่งข้อมูลที่ไม่มีโค้ดตรวจสอบความถูกต้อง (message authentication code - MAC) แต่ ntp ยังคงรับข้อมูลนั้นเข้ามาใช้งาน ทำให้เวลาอาจจะถูกแก้ไขตามความต้องการของแฮกเกอร์ได้

Pages