เว็บ lolware รายงานถึงบัญชี "HPSupport" ที่ถูกใส่ไว้ในสตอเรจเซิร์ฟเวอร์ตระกูล StoreOnce หรือชื่อเดิม D2D เป็นบัญชีผู้ดูแลระบบที่ไม่ได้แจ้งผู้ใช้ไว้ล่วงหน้าว่ามีปัญชีนี้อยู่
รหัสผ่านของบัญชีนี้ถูกเก็บเป็นค่า SHA1 78a7ecf065324604540ad3c41c3bb8fe1d084c50 โดยตอนนี้ยังไม่พบว่าคำก่อนแฮชคืออะไร แต่หลังจากนี้คงมีการแข่งกันแฮ็กรหัสผ่านนี้ในเร็วๆ นี้
ในรายงานระบุว่าผู้ค้นพบได้รายงานปัญหานี้ไปยังเอชพีก่อนหน้านี้แล้วสามสัปดาห์แต่เอชพีไม่ยอมรับว่ามีปัญหา ทำให้ผู้พบปัญหาสามารถแจ้งสู่สาธารณะได้ทันที
ยังไม่ยืนยันว่ามีบัญชีนี้ในสินค้ารุ่นใดบ้าง ระหว่างนี้ผู้ใช้ควรป้องกันล่วงหน้าด้วยการจำกัดการเข้าถึงพอร์ต SSH ของเซิร์ฟเวอร์ให้อยู่ในวงจำกัด
ที่มา - lolware, The Register
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- Kubernetes คืออะไร [Part 1] เกิดขึ้นมาอย่างไร? ทำไมต้องใช้มัน? | Cloudnone EP.14
- CI/CD ยังไงดี ตั้งเซิร์ฟเวอร์เอง vs เช่าคลาวด์ | Cloudnone EP.13
- รู้จักโน้ตบุ๊กบนคลาวด์ เช่าใช้งาน Jupyter Notebook ที่ไหนดี | Cloudnone Ep.12
- สรุปข่าวใหญ่ปี 23 และคาดการณ์เทรนด์ปี 24 ในวงการ Cloud | Cloudnone EP.11
- สรุปของใหม่และสาระสำคัญจาก AWS re:Invent 2023 | Cloudnone Special EP
Comments
หน้า HP ตรงหัวข้อข่าวมีไม้ไต่คู้เกินมาครับ
Coder | Designer | Thinker | Blogger
ปัญชี => บัญชี
คนขายทำ backdoor เองซะงั้น จะremote support ก็ต้องขออนุญาตลูกค้าก่อนสิครับ ไม่ใช่แอบใส่มาดื้อๆ
ถ้าเครื่องธรรมดาก็ว่าแย่แล้ว เจอเซิร์ฟเวอร์เข้าไปอีก -..-
my blog
ขอถามหน่อยครับ
"ในรายงานระบุว่าผู้ค้นพบได้รายงานปัญหานี้ไปยังเอชพีก่อนหน้านี้แล้วสามสัปดาห์แต่เอชพีไม่ยอมรับว่ามีปัญหา ทำให้ผู้พบปัญหาสามารถแจ้งสู่สาธารณะได้ทันที"
โดยปกติแล้วถ้าเราพบปัญหาในซอฟท์แวร์ เราต้องแจ้งทางผู้พัฒนาก่อนแล้วจึงแจ้งสู่สาธารณะ อันนี้เป็นกฏหรือว่าเป็นจรรยาบรรณอะไรหรือเปล่าครับ เราจะไม่แจ้งผู้พัฒนาแล้วปล่อยสู่สาธารณะเลยได้ไหมครับ
แล้วจากข่าวที่เอชพีไม่ยอมรับว่ามีปัญหา ถ้าเค้ายอมรับว่ามีปัญหา เราไม่สามารถแจ้งสู่สาธารณะได้ใช่ไหมครับ
จริงๆ ไม่มีกฎตายตัวครับ แต่ที่ยอมรับกันคือแนวทางของ US-CERT ระบุให้ติดต่อผู้ให้บริการหรือผู้พัฒนาก่อน และให้เวลาตอบกลับ 45 วัน ถ้าตอบกลับแล้ว อาจจะมีการขอยืดเวลาเพื่อแก้ปัญหาออกไป ก็ต้องให้เวลาตามนั้น (โดยทั่วไปไม่ควรเกิน 45 วันหลังขอยืดเวลา แต่ก็ขึ้นกับกรณี)
ในกรณีที่บอกว่า "ไม่ใช่ปัญหาความปลอดภัย" ในเมื่อไม่ใช่ปัญหาความปลอดภัยก็แจ้งออกสาธารณะได้ครับ เหมือนบั๊กทั่วๆ ไปที่เราไปบ่นที่ไหนก็ได้ ไม่มีแนวทางต้องระวังอะไร
lewcpe.com, @wasonliw
รหัสผ่านเต็มกูเกิ้ลแล้วครับ bad....
แก้ตัวไม่แก้ไข เดี๋ยวรู้เลย
มีในฐานข้อมูล Reverse Lookup เพียบแล้วครับ
b*****5 78a7ecf065324604540ad3c41c3bb8fe1d084c50
hp น่าจะอ่วมแหงมรอบนี้
www.youtube.com/watch?v=EIyixC9NsLI