Security

กูเกิลออกทุนให้ Linux Foundation จ้างนักพัฒนาเต็มเวลาดูแลความปลอดภัยเคอร์เนล

By lew

on 25 February 2021 - 01:25 Tag: Linux Foundation, Google, Security

Linux Foundation

กูเกิลร่วมมือกับ Linux Foundation จัดสรรงบประมาณมาจ้างนักพัฒนามาดูแลความปลอดภัยเคอร์เนลโดยเฉพาะ 2 คน ได้แก่ Gustavo Silva และ Nathan Chancellor

Gustavo Silva ทำงานไล่ตามเก็บบั๊กช่องโหว่ buffer overflow ในเคอร์เนล และตรวจหาบั๊กก่อนที่จะส่งโค้ดเข้า mainline เขาส่งโค้ดอยู่ใน 5 อันดับแรกมาตั้งแต่แต่ปี 2017

Nathan Chancellor ทำงานกับโครงการ Clang/LLVM เป็นหลัก โดยพยายามพอร์ตเคอร์เนลให้ไปคอมไพล์ด้วย LLVM เพื่อใช้ฟีเจอร์ของคอมไพล์เลอร์มาจับช่องโหว่ความปลอดภัย

ประกาศครั้งนี้ไม่ระบุว่ากูเกิลสนับสนุนเงินทุนเท่าใดหรือจะให้ทุนเป็นเงินเดือนนักพัฒนาทั้งสองคนนานเพียงใด

นักวิจัยพบมัลแวร์ตัวใหม่บน Apple M1 ติดแล้วกว่า 3 หมื่นเครื่อง แต่ยังไม่แผลงฤทธิ์อะไร

By nismod

on 23 February 2021 - 09:47 Tag: Apple M1, Apple, Security, macOS

Apple M1

Red Canary นักวิจัยความปลอดภัยค้นพบมัลแวร์ที่เขียนมาสำหรับ Apple M1 ตัวที่ 2 ชื่อว่า Silver Sparrow ปัญหาคือนักวิจัยยังไม่รู้ว่าตัว Sparrow เป็นมัลแวร์ประเภทไหนหรือทำอะไรได้ เพราะมันยังไม่ได้แผลงฤทธิ์ใด ๆ ออกมา เหมือนอยู่เฉย ๆ ในเครื่องเหยื่อรอคำสั่งอีกทีเท่านั้น ซึ่ง Canary บอกว่าน่ากลัวมาก ๆ เพราะมันแสดงถึงความช่ำชองและมากประสบการณ์ของแฮกเกอร์

ซัมซุงขยายระยะเวลาอัพเดตแพตช์ความปลอดภัยจาก 3 เป็น 4 ปี ย้อนไปถึงสินค้าปี 2019

By mk

on 23 February 2021 - 09:14 Tag: Samsung Galaxy, Security, Samsung, Mobile

Samsung Galaxy

ซัมซุงประกาศขยายระยะเวลาการันตีอัพเดตแพตช์ความปลอดภัย จากเดิม 3 ปีเป็น "อย่างน้อย" 4 ปี นับจากวันวางขายมือถือ-แท็บเล็ตรุ่นนั้นๆ

เดิมที ซัมซุงมีนโยบายอัพเดตระบบปฏิบัติการข้ามรุ่น 2 ปี และอัพเดตแพตช์ความปลอดภัย 3 ปี แต่ปีที่แล้วเพิ่งเปลี่ยนเป็นอัพเดตระบบปฏิบัติการอย่างน้อย 3 รุ่น (ซึ่งใกล้เคียงกับอัพเดต 3 ปี เพราะ Android ออกปีละรุ่น) จึงไม่น่าแปลกใจที่ฝั่งแพตช์ความปลอดภัยจะขยายเป็น 4 ปีเพิ่มให้ด้วย

กูเกิลเตรียมสนับสนุนโครงการโอเพนซอร์สให้ย้ายโค้ดมาเป็นภาษา Rust ลดบั๊กหน่วยความจำ

By lew

on 19 February 2021 - 01:36 Tag: Google, Rust, Security, Open Source

Google

กูเกิลประกาศความร่วมมือกับ ISRG องค์กรแม่ของ Let's Encrypt เตรียมช่วยเหลือโครงการโอเพนซอร์สสำคัญให้อิมพลีเมนต์ใหม่ด้วยภาษา Rust เพื่อแก้ปัญหาช่องโหว่หน่วยความจำ

เมื่อต้นเดือนที่ผ่านมากูเกิลประกาศความร่วมมือรูปแบบนี้โดยเข้าไปสนับสนุนโครงการ mod_tls ของ Apache การประกาศขยายความร่วมมือครั้งนี้ทาง ISRG จะเข้าไปสนับสนุนให้โครงการต่างๆ ให้ค่อยๆ อิมพลีเมนต์เครื่องมือและไลบรารีส่วนต่างๆ เสียใหม่

GitHub เรียกร้องนักพัฒนาใช้ scoped package ลดการโจมตีจากแฮกเกอร์อัพโหลดแพ็กเกจชื่อซ้ำบน npm

By lew

on 17 February 2021 - 12:48 Tag: NPM, GitHub, Security

NPM

หลังจาก Alex Birsan รายงานถึงการโจมตีด้วยการตั้งชื่อแพ็กเกจซ้ำกับแพ็กเกจภายในของบริษัทต่างๆ ทาง GitHub ก็ออกมาเรียกร้องให้นักพัฒนาที่ใช้งานแพ็กเกจภายในว่าควรใช้ scoped package ที่เป็นฟีเจอร์ของ npm

scoped package เป็นฟีเจอร์ของ npm ตั้งแต่ปี 2014 เมื่อประกาศแพ็กเกจแบบ scoped แล้วแพ็กเกจนั้นจะถูกล็อกเข้ากับรีจิสตรีที่นักพัฒนาระบุไว้ ซึ่งอาจจะเป็นเซิร์ฟเวอร์ในองค์กร หรือจะเป็น npm เองที่สามารถตั้งรีจิสตรีแยกสำหรับองค์กรได้

Trend Micro เตือน แอพแชร์ไฟล์ SHAREit บน Android มีช่องโหว่หลายตัว แจ้งบริษัทแล้วไม่สนใจ

By mk

on 17 February 2021 - 11:49 Tag: Trend Micro, Security, Mobile App

Trend Micro

SHAREit เป็นแอพแชร์ไฟล์ข้ามอุปกรณ์ที่ได้รับความนิยมอย่างสูง เดิมทีมันเป็นบริการของ Lenovo แต่ภายหลังก็แยกบริษัทออกมาเป็นเอกเทศในชื่อ Smart Media4U

SHAREit เวอร์ชัน Android มียอดดาวน์โหลดบน Play Store เกิน 1 พันล้านดาวน์โหลด อย่างไรก็ตาม บริษัทความปลอดภัย Trend Micro ก็แจ้งเตือนว่าแอพเวอร์ชัน Android มีช่องโหว่ความปลอดภัยหลายอย่าง ที่อาจเปิดให้แฮ็กเกอร์รันโค้ดจากระยะไกล หรือติดตั้งไฟล์ APK ที่เป็นมัลแวร์ได้ รวมถึงอาจโดน man-in-the-middle (MITM) หลอกดาวน์โหลดไฟล์ได้ด้วย

กูเกิลบริจาคเงิน Python เพิ่มความปลอดภัย PyPI ป้องกันปัญหา Supply-Chain Attack

By mk

on 15 February 2021 - 15:59 Tag: Python, Google, Security

Python

กูเกิลเป็นผู้สนับสนุนมูลนิธิ Python Software Foundation (PSF) มานาน 11 ปี (ล่าสุดเพิ่งอัพเกรดเป็นสปอนเซอร์รายใหญ่ที่สุด ที่เรียกระดับ Visionary Sponsors) ล่าสุดกูเกิลประกาศสนับสนุนเงินเพิ่มอีก 350,000 ดอลลาร์เป็นพิเศษสำหรับเรื่อง supply-chain security ที่กำลังเป็นประเด็นหลังกรณีแฮ็ก SolarWinds

เงินก้อนนี้จะถูกนำไปใช้

นักวิจัยอัพโหลดแพ็กเกจไลบรารีเลียนแบบชื่อไลบรารีภายใน ส่งโค้ดเข้าไปรันใน Apple, Microsoft, Netflix, Uber สำเร็จ

By lew

on 11 February 2021 - 12:22 Tag: Security, NPM, Python, Ruby, JavaScript

Security

Alex Birsan รายงานถึงการโจมตีองค์กรขนาดใหญ่จำนวนมากด้วยการสร้างแพ็กเกจไลบรารีเลียนแบบชื่อไลบรารีในองค์กรแล้วไปวางตามบริการดาวน์โหลดไลบรารีไม่ว่าจะเป็น RubyGems, npm, หรือ PyPI

องค์กรขนาดใหญ่จำนวนมากมักมีไลบรารีเฉพาะทางของตัวเองใช้งานภายในเป็นเรื่องปกติ และหลายครั้งชื่อไลบรารีเหล่านี้ก็หลุดออกมาสู่โลกภายนอก เช่น Paypal เคยทำไฟล์ package.json ที่ใช้ภายในหลุดออกมาอยู่บน GitHub ทำให้รู้ว่าบริษัทมีการใช้งานไลบรารีภายในเช่น pplogger, auth-paypal, wurfl-paypal, analytics-paypal เป็นต้น หรือแม้แต่แอปเปิลก็เคยทำรายชื่อแพ็กเกจเหล่านี้หลุดออกมาเช่นกัน

เจอปีชง CD Projekt เผยถูกโจมตีเข้าถึงเครือข่ายภายใน ถูกขโมยข้อมูลบางส่วน

By nismod

on 9 February 2021 - 15:41 Tag: CD Projekt, Hacking, Security

CD Projekt

CD Projekt บริษัทแม่ของสตูดิโแ CD Projekt RED เปิดเผยว่าตกเป็นเป้าหมายโจมตีไซเบอร์และคนร้ายเข้าถึงเครือข่ายภายใน ได้ข้อมูลบางส่วนของบริษัทไป พร้อมทิ้งโน้ตเรียกค่าไถ่เอาไว้ด้วย

CD Projekt ยืนยันว่าข้อมูลบางส่วนขององค์กรมีการเข้ารหัสเอาไว้และส่วนที่แบ็คอัพไว้ก็ไม่ได้รับผลกระทบ และทีมงานก็ได้แก้ข่องโหว่และกู้คืนข้อมูลจากแบ็คอัพแล้ว พร้อมยืนยันว่าข้อมูลที่ถูกเข้าถึงไม่มีข้อมูลส่วนตัวของผู้เล่นหรือลูกค้าบริษัท

CD Projekt บอกด้วยว่าจะไม่ยอมทำตามข้อเรียกร้องของแฮกเกอร์แน่นอน และจะบรรเทาผลกระทบจากข้อมูลที่หลุดออกไป รวมถึงติดต่อหาผู้ที่ได้รับผลกระทบ

พบแอปแอนดรอยด์ Barcode Scanner ที่ให้บริการฟรีมาหลายปีแปลงร่างเป็นมัลแวร์

By lew

on 8 February 2021 - 13:24 Tag: Android, Security

Android

Malwarebytes รายงานถึงแอป Barcode Scanner ของ Lavabird LTD แอปเก่าที่ให้บริการมานานหลายปี และมีผู้ติดตั้งไปแล้วกว่า 10 ล้านครั้ง กลับอัพเดตแอปเมื่อเดือนธันวาคมที่ผ่านมาเพื่อแปลงตัวเองกลายเป็นมัลแวร์ประเภท Adware

หลังจากอัพเดตแล้วโทรศัพท์ที่ติดตั้ง Barcode Scanner จะเปิดเว็บโดยผู้ใช้ไม่ได้สั่งพร้อมกับขึ้นโฆษณาให้ผู้ใช้ติดตั้งแอปรักษาความปลอดภัยในเครื่อง

Google จ่ายเงินให้นักวิจัยในโครงการ Bug Bounty ปี 2020 ไป 6.7 ล้านดอลลาร์

By arjin

on 6 February 2021 - 12:40 Tag: Google, Bug Bounty, Security

Google

กูเกิลออกรายงานโครงการ bug bounty หรือรายงานการพบช่องโหว่เพื่อรับเงินรางวัลของปี 2020 ซึ่งจ่ายเงินให้กับนักวิจัยไปรวม 6.7 ล้านดอลลาร์ มีนักวิจัยที่ได้รับเงินทั้งหมด 662 คน จาก 62 ประเทศ เพิ่มขึ้นจากปี 2019 ที่จ่ายไป 6.5 ล้านดอลลาร์

กลุ่มผลิตภัณฑ์ Chrome มีการจ่ายเงินรางวัลสูงสุด 2.1 ล้านดอลลาร์ จากช่องโหว่ 300 รายการ ส่วน Android จ่ายเงินไป 1.74 ล้านดอลลาร์, Google Play 2.7 แสนดอลลาร์

เพจ ExploitWareLabs เผยแพร่ฐานข้อมูล Firebase หลุดต่อสาธารณะ คาดเป็นข้อมูลพนักงานไปรษณีย์ไทย

By lew

on 4 February 2021 - 20:06 Tag: Data Breach, Security

Data Breach

เพจ ExploitWareLabs รายงานถึงฐานข้อมูล Firebase จากบัญชี thaipost2-8a5f4 เป็นข้อมูล json ขนาดใหญ่ มีข้อมูลผู้ใช้นับพันราย

ข้อมูลมีชื่อ-นามสกุล, ค่าแฮชรหัสผ่าน, หมายเลขโทรศัพท์, วันเกิด, ชื่อผู้ใช้ (หลายบัญชีดูเหมือนเป็นเลขบัตรประชาชน จากชุดข้อมูลความเป็นไปได้คือระบบนี้เป็นแอปพลิเคชั่นภายในของทางไปรษณีย์ไทยเอง และอาจจะคอนฟิกสิทธิเข้าถึงฐานข้อมูลผิดพลาดจนทำให้กลายเป็นการเปิดต่อสาธารณะ

ทางเพจ ExploitWareLabs ระบุว่าผู้พบฐานข้อมูลคือ Hoang Ang Thai

[ไม่ยืนยัน] SolarWinds โดนแฮ็กระลอกสองจากแฮ็กเกอร์อีกกลุ่ม คาดว่าเป็นแฮ็กเกอร์จีน

By mk

on 4 February 2021 - 14:46 Tag: SolarWinds, Hacking, Security

SolarWinds

ก่อนหน้านี้ ไมโครซอฟท์ตรวจพบว่ามีแฮ็กเกอร์กลุ่มที่สองเข้ามาแฮ็ก SolarWinds ได้สำเร็จ แต่ยังไม่มีรายละเอียดมากนัก ล่าสุด Reuters อ้างแหล่งข่าวที่ยังไม่มียืนยันว่า แฮ็กเกอร์กลุ่มที่สองน่าจะมาจากจีน (แฮ็กเกอร์กลุ่มแรกคาดว่ามาจากรัสเซีย)

แหล่งข่าวของ Reuters ระบุว่ามาจากการสอบสวนของ FBI ที่กำลังตรวจสอบกระทรวงเกษตรของสหรัฐว่าโดนแฮ็กอย่างไร แต่ทางกระทรวงปฏิเสธข่าวการถูกแฮ็ก และ FBI ไม่แสดงความเห็นในเรื่องนี้

พบช่องโหว่ชุดใหม่ของ SolarWinds อีก 3 ตัว, บริษัทออกแพตช์แก้แล้ว

By mk

on 4 February 2021 - 13:52 Tag: SolarWinds, Security

SolarWinds

กรณีของบริษัท SolarWinds ถูกแฮ็กจนลามไปถึงหน่วยงานจำนวนมากยังไม่ทันจางหาย วันนี้มีความเคลื่อนไหวเกี่ยวกับ SolarWinds ออกมาหลายข่าว เริ่มจากการค้นพบช่องโหว่ชุดใหม่ของ SolarWinds

บริษัทที่ปรึกษาด้านความปลอดภัย Trustwave รายงานช่องโหว่ที่ค้นพบใหม่ของซอฟต์แวร์จาก SolarWinds จำนวน 3 ช่องโหว่

ช่องโหว่ตัวแรกเป็นเรื่องการใช้งานระบบส่งข้อความ Microsoft Message Queue (MSMQ) ที่เป็นเทคโนโลยีเก่าของวินโดวส์, ตัวที่สองเป็นการจัดเก็บรหัสผ่านในฐานข้อมูล ที่กลับเปิดสิทธิให้ผู้ใช้ทุกคนในเครื่องเข้าถึงไฟล์ฐานข้อมูลได้, ตัวที่สามเป็นระบบ FTP ที่เปิดให้เพิ่มผู้ใช้แอดมินได้เอง

CDPR เตือนอย่าเพิ่งลงม็อด Cyberpunk 2077 หลังพบช่องโหว่เปิดให้รันโค้ดผ่านไลบรารี่นอก

By nismod

on 3 February 2021 - 13:06 Tag: Cyberpunk 2077, CD Projekt, Security

Cyberpunk 2077

CD Projekt Red ออกมาทวีตเตือนผู้เล่น Cyberpunk 2077 แนะนำว่าหลีกเลี่ยงการลงม็อด, ใช้เซฟไฟล์ที่ถูกปรับแต่งหรือใช้ไฟล์เกมจากภายนอกไปก่อน เพราะทีมงานค้นพบช่องโหว่ร้ายแรงจากไลบรารีที่ตัวเกมใช้จากภายนอก เปิดช่องให้รันโค้ดบนพีซี

CD Projekt Red ระบุว่าจะรีบแก้ไขแล้วจะอัพเดตอีกครั้ง หลังเพิ่งปล่อยเครื่องมือม็อดไปเมื่อสัปดาห์ก่อน

ที่มา - @CDPRED_Support via Kotaku

mod_tls โครงการใหม่มาแทน mod_ssl ของ Apache แต่เขียนด้วย Rust ปลอดภัยขึ้น

By mk

on 3 February 2021 - 10:24 Tag: Apache, Web Server, Rust, TLS, SSL, Security, ISRG

Apache

ผู้ใช้ Apache Web Server คงคุ้นเคยกับ mod_ssl ที่ใช้จัดการ HTTPS โดยโมดูลนี้เขียนด้วยภาษา C ซึ่งมีปัญหาตามมาเรื่องความปลอดภัยที่ระดับตัวภาษา และที่ผ่านมาก็พบช่องโหว่ความปลอดภัยมากมาย

ล่าสุด กูเกิลประกาศสนับสนุนโครงการใหม่ mod_tls ที่ทำงานแบบเดียวกัน แต่เขียนด้วยภาษา Rust ที่ออกแบบมาให้ปลอดภัยมากขึ้น (memory safety)

SonicWall แจ้งเตือนไฟร์วอลล์ตระกูล SMA 100 กำลังถูกโจมตีด้วยช่องโหว่ ยังไม่มีแพตช์แต่ให้เปิด 2FA

By lew

on 2 February 2021 - 19:26 Tag: SonicWall, Security

SonicWall

SonicWall ออกประกาศแจ้งเตือนลูกค้าว่าไฟร์วอลล์ในตระกูล SMA 100 (รวมถึง SMA 200, SMA 210, SMA 400, SMA 410, SMA 500v) ที่ใช้เฟิร์มแวร์เวอร์ชั่น 10.x กำลังถูกแฮกเกอร์ใช้ช่องโหว่ที่ยังไม่มีการเปิดเผยก่อนหน้านี้ไล่โจมตีอยู่ โดยตอนนี้กำลังอยู่ระหว่างการพัฒนาแพตช์

ทาง SonicWall แนะนำทางเลือกสำหรับลูกค้าที่ใช้งานไฟร์วอลล์ที่ได้รับผลกระทบไว้ 4 ทาง ได้แก่ 1) เปิดการล็อกอินหลายขั้นตอนและรีเซ็ตรหัสผ่าน 2) บล็อกการเข้าถึงตัวอุปกรณ์โดยตรง 3) ปิดเครื่องรอบริษัทออกแพตช์ 4) ถอยกลับไปใช้เฟิร์มแวร์เวอร์ชั่น 9.x

Project Zero พบช่องโหว่ร้ายแรงใน Libgrcrypt เวอร์ชั่นล่าสุดหลังออกมาเพียงสิบวัน ยังไม่มีการใช้งานวงกว้าง

By lew

on 1 February 2021 - 17:11 Tag: Cryptography, Security

Cryptography

Tavis Ormandy นักวิจัยจาก Project Zero รายงานถึงช่องโหว่ของ Libgcrypt เวอร์ชั่น 1.9.0 ที่เพิ่งออกมาเมื่อวันที่ 19 มกราคมที่ผ่านมา โดยเป็นช่องโหว่ร้ายแรงสูงทำให้แฮกเกอร์สามารถส่งข้อมูลไปให้เหยื่อถอดรหัส แต่กลับถูกแฮกเกอร์รันโค้ดในเครื่องได้

แม้ช่องโหว่นี้จะร้ายแรงมาก แต่เนื่องจากมีเวอร์ชั่นเดียวที่ได้รับผลกระทบและเพิ่งออกมาไม่กี่วันทำให้ผลกระทบจริงๆ ค่อนข้างน้อย โดยเฉพาะผู้ใช้ไลบรารีหลักคือ GnuPG นั้นยังไม่ได้ออกอัพเดตมาใช้ไลบรารีเวอร์ชั่น 1.9 นี้ และตอนนี้เวอร์ชั่นแก้ไข 1.9.1 ก็ออกมาแล้ว

ไมโครซอฟท์คุย ธุรกิจความปลอดภัยโต 40% รายได้ทะลุ 3 แสนล้านบาทต่อปี

By mk

on 30 January 2021 - 11:41 Tag: Microsoft, Security

Microsoft

เมื่อพูดถึงบริษัทที่มีผลิตภัณฑ์หลากหลายมากๆ แบบไมโครซอฟท์ คนมักคิดถึงผลิตภัณฑ์ยอดนิยมอย่าง Windows หรือ Office เป็นอย่างแรกๆ แต่ในงานแถลงผลประกอบการไตรมาสล่าสุด 4/2020 ไมโครซอฟท์เผยว่ามีรายได้จากธุรกิจด้านความปลอดภัยเกิน 1 หมื่นล้านดอลลาร์แล้ว (3 แสนล้านบาท) ในรอบ 12 เดือนล่าสุด เติบโต 40% จากช่วงเวลาเดียวกันของปีก่อน

ไมโครซอฟท์บอกว่ากรณีการแฮ็ก SolarWinds ยิ่งแสดงให้เห็นว่าความปลอดภัยสำคัญขึ้นเรื่อยๆ โดยคุยว่าสิ่งที่ทำให้ไมโครซอฟท์แตกต่างจากบริษัทความปลอดภัยอื่นๆ คือ

Google Cloud เปิดตัว BeyondCorp Enterprise โซลูชันความปลอดภัย แบบไม่ต้องใช้ VPN

By mk

on 30 January 2021 - 07:19 Tag: Google Cloud, Enterprise, Security, VPN

Google Cloud

Google Cloud เปิดตัวบริการความปลอดภัยองค์กร BeyondCorp Enterprise ซึ่งจะมาแทน BeyondCorp Remote Access ที่ออกในปี 2020 โดยครอบคลุมฟีเจอร์มากกว่า

Subscribe to Security