Adobe Flash และ Flash Player
บริษัทความปลอดภัย Malwarebytes รายงานว่าในรอบสัปดาห์ที่ผ่านมา (นับตั้งแต่ 28 ก.ค.) มีแฮ็กเกอร์ใช้เครือข่ายโฆษณาของ Yahoo เผยแพร่มัลแวร์ครั้งใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์วงการไอที
Malwarebytes ตรวจสอบพบว่าแฮ็กเกอร์รายนี้เช่าเซิร์ฟเวอร์ Azure บวกกับเซิร์ฟเวอร์ของตัวเอง แล้วลงโฆษณาผ่านระบบของ Yahoo ให้อยู่ในรูปไฟล์ Flash โดยฝังโค้ดประสงค์ร้ายไว้ในโฆษณา ถ้าหากผู้ใช้ที่โชคร้ายเปิดมาพบโฆษณาชุดนี้ และ Flash Player ในเครื่องไม่ได้อัพเดตเป็นเวอร์ชันล่าสุด ก็จะโดนเจาะผ่านช่องโหว่ของ Flash ทันที
Twitch เป็นผู้ให้บริการวิดีโอออนไลน์รายล่าสุด ที่เริ่มเปลี่ยนระบบจาก Flash เป็น HTML5
การเปลี่ยนผ่านของ Twitch ยังไม่สมบูรณ์ 100% เพราะเป็นแค่เปลี่ยนตัวควบคุมการเล่น (control) เป็น HTML5 เท่านั้น ส่วนตัววิดีโอยังเป็น Flash อยู่ แต่บริษัทก็ประกาศชัดเจนว่าเป้าหมายคือเปลี่ยนเป็น HTML5 ให้ได้ทั้งหมด
ตอนนี้ตัวควบคุมวิดีโอแบบใหม่ของ Twitch จะแสดงเฉพาะบนเพจของช่องเท่านั้น และจะค่อยๆ ขยายให้ครบผู้ใช้ทุกคนในอนาคต
จากกรณีช่องโหว่ Flash ที่ค้นพบจากเอกสารของ Hacking Team จนสุดท้าย Adobe ต้องออก Flash เวอร์ชัน 18.0.0.209 มาแก้ไข ทางโครงการ Project Zero ของกูเกิลก็ออกมาอธิบายว่า Flash เวอร์ชันนี้ได้ปรับปรุงเทคนิคด้านหน่วยความจำหลายอย่าง ช่วยให้ Flash ปลอดภัยมากขึ้น
เทคนิคด้านหน่วยความจำเหล่านี้เป็นผลงานร่วมกันของกูเกิลกับ Adobe ทำให้มีเฉพาะ Chrome เท่านั้นที่ได้ประโยชน์จากเทคนิคเหล่านี้อย่างเต็มที่ (เพราะ Chrome ใช้ Flash เวอร์ชันพิเศษของตัวเอง) ส่วนเบราว์เซอร์ตัวอื่นๆ จะใช้ได้เฉพาะเทคนิคของฝั่ง Adobe บางอันเท่านั้น
ฟีเจอร์เด่นอย่างหนึ่งของ Chrome คือแสดงสัญลักษณ์บนแท็บที่กำลังใช้งานอุปกรณ์เสียง ตอนนี้ฟีเจอร์นี้กำลังจะตามมาใน Firefox บ้างแล้ว
ตอนนี้ Firefox รุ่นทดสอบสามารถแสดงแท็บที่กำลังเล่นเสียงอยู่ได้เฉพาะกรณีที่เป็น HTML5 เท่านั้น แต่ยังไม่สามารถใช้กับเสียงจาก Flash ได้ เนื่องจากการทำงานของ Firefox จะมองเห็นว่าไฟล์ Flash กำลังทำงานอยู่ แต่ไม่รู้ว่าภายในไฟล์กำลังทำงานอะไรบ้าง ไม่สามารถบอกได้ว่ามีเสียงหรือไม่ (กรณีของ Chrome ใช้ Flash เวอร์ชันพิเศษที่ผนวกมากับ Chrome ทำให้ไม่มีปัญหานี้)
ปัญหาเรื่องความปลอดภัยของ Flash ในรอบหลายวันที่ผ่านมา และความล่าช้าของ Adobe ในการออกแพตช์แก้ ส่งผลให้ค่าย Firefox ตัดสินใจบล็อคการทำงานของ Flash ทุกเวอร์ชัน (นับตั้งแต่ 18.0.0.203 ลงไป) โดยขึ้นข้อความเตือนว่าปลั๊กอินมีปัญหาความปลอดภัย (This plugin has security vulnerabilities) และไม่ปลอดภัยในการใช้งาน (unsafe) แต่ผู้ใช้ยังสามารถกดเปิดใช้งานปลั๊กอินได้เอง
จากปัญหาช่องโหว่ Flash และ Java รอบล่าสุดที่เป็นช่องโหว่ร้ายแรง และต้นสังกัดยังไม่ออกแพตช์แก้ ทางออกของผู้ใช้งานที่เป็นไปได้ในตอนนี้คือปิดการทำงานของปลั๊กอินเหล่านี้
สมาชิก Blognone น่าจะปิดปลั๊กอินกันได้ไม่ยาก แต่ผมอ่านจากความเห็นในหลายๆ ที่พบว่ายังมีคนไม่รู้วิธีการปิดปลั๊กอินอีกมาก บทความนี้จึงเขียนเพื่อสอนการปิดปลั๊กอินบนเว็บเบราว์เซอร์ (อย่างละเอียดแบบมีภาพประกอบทุกขั้นตอน) โดยมุ่งเป้าไปยังคนที่ปิดไม่เป็นนะครับ ใครรู้อยู่แล้วข้ามไปได้เลย
Alex Stamos หัวหน้าฝ่ายความปลอดภัย (Chief Security Officer) ของ Facebook ออกมาแสดงความเห็นในประเด็นรูรั่วของ Flash โดยเขาเสนอว่า Adobe ควรมีระบบตั้งเวลาหมดอายุของ Flash ทุกเวอร์ชัน และเมื่อหมดอายุแล้วก็ขอให้เบราว์เซอร์ปิดการทำงานของ Flash อัตโนมัติ
Stamos บอกว่าไม่จำเป็นที่ Flash จะต้องหมดอายุทันทีเมื่อเจอช่องโหว่ แต่อยากให้ Adobe มีนโยบายชัดเจน เช่น หมดอายุ 18 เดือนหลังออกเวอร์ชัน ซึ่งจะช่วยให้กระบวนการอัพเดต Flash ของคนทั้งโลกทำได้ง่ายขึ้น
ประเด็นเรื่องช่องโหว่ Flash Player ที่ค้นพบจากเอกสาร Hacking Team สรุปว่าพบช่องโหว่ 3 ตัว ซึ่ง Adobe อุดแล้วหนึ่ง แต่ เหลืออีก 2 ที่ยังไม่มีแพตช์ (นับถึงเวลาที่เขียนข่าว)
ช่องว่างการอุดแพตช์ zero-day แบบนี้ถือเป็นโอกาสอันดีให้เหล่าแฮ็กเกอร์ใช้โจมตี จากสถิติของบริษัทความปลอดภัย F-Secure ก็พบว่าบรรดาชุดโปรแกรมหารูรั่ว (exploit kit) ยอดนิยมทั้งหลายต่างก็รวมช่องโหว่ของ Flash ชุดนี้เข้ามาเรียบร้อยแล้ว
สัปดาห์ที่ผ่านมา Adobe ออกแพตช์เพื่ออุดช่องโหว่จาก Hacking Team ไปแล้วหนึ่งช่องโหว่ ตอนนี้ @w3bd3vil และ @dummys1337 ก็ออกมาระบุว่าช่องโหว่ยังถูกแก้ไม่หมด
ตอนนี้ยังไม่มีรายละเอียดของช่องโหว่นี้ แต่ภาพแสดงว่าช่องโหว่ยังคงทำงานได้บน Flash รุ่น 18.0.0.203 ที่ Adobe เพิ่งปล่อยออกมาเมื่อสัปดาห์ที่ผ่านมา
ข่าวช่องโหว่ Adobe Flash ของ Hacking Team ออกมาไม่กี่ชั่วโมง ตอนนี้ก็ร้อนไปถึง Adobe ต้องรีบออกมารายงานช่องโหว่นี้ โดยระบุว่าทาง Adobe รับรู้แล้ว และกำลังจะปล่อยแพตช์ออกมาภายในวันพรุ่งนี้ (ตามเวลาสหรัฐฯ)
ช่องโหว่นี้รายงานเข้าไปยังทาง Adobe โดย Project Zero และ Morgan Marquis-Boire จากเดิมที่ก่อนหน้านี้ Firefox เคยประกาศว่าจะให้รางวัลการรายงานช่องโหว่กับผู้ที่รายงานช่องโหว่คนแรก รายงานของ Adobe ทำให้เรารู้ว่าทาง Project Zero กำลังไล่ขุดช่องโหว่ออกมารายงานไปยังผู้ผลิตกันอยู่เช่นกัน
ผลกระทบจากกรณี Hacking Team ถูกแฮก ยังตามมาอย่างต่อเนื่อง หลังข้อมูลช่องโหว่ของระบบปฏิบัติการถูกเผยแพร่ออกมาส่วนหนึ่ง ก็มีข้อมูลชุดใหม่ตามมาอีก
บริษัทความปลอดภัย Trend Micro ขุดข้อมูลของ Hacking Team แล้วพบช่องโหว่ของ Flash Player สองตัว ตัวหนึ่งถูกแพตช์แก้ไปแล้ว ส่วนตัวที่ค้นพบใหม่ยังไม่มีแพตช์แก้ใดๆ แถมการทดสอบกับ Flash เวอร์ชันล่าสุดก็ยังใช้งานช่องโหว่นี้ได้อยู่
Adobe ออกแพตช์ความปลอดภัยของ Flash Player แก้ช่องโหว่ระดับ "ร้ายแรง" (critical) ที่ถูกใช้โดยกลุ่มแฮ็กเกอร์ชาวจีน APT3
ช่องโหว่หมายเลข CVE-2015-3113 นี้ถูกค้นพบโดยบริษัท FireEye จากร่องรอยการโจมตีของ APT3 ส่งผลให้ Adobe ต้องออก Flash Player เวอร์ชัน 18.0.0.194 (วินโดวส์/แมค) และ 11.2.202.468 (ลินุกซ์) มาแก้ไข
ผู้ใช้ Chrome และ IE บน Windows 8.x ไม่ต้องทำอะไรเพิ่มเพราะ Flash อัพเดตผ่านเบราว์เซอร์อยู่แล้ว ส่วนผู้ใช้เบราว์เซอร์อื่นๆ ก็ตามไปดาวน์โหลด Flash Player เวอร์ชันล่าสุด มาติดตั้งเพื่อความปลอดภัยกันครับ
ปกติแล้วผู้ใช้ Chrome เวอร์ชันเดสก์ท็อปสามารถเลือกได้ว่าจะเปิดการใช้งาน Flash Player หรือไม่ ซึ่งจะเป็นการเปิดหรือปิดการทำงานของไฟล์ Flash ทั้งหมดที่พบเจอ
ล่าสุดกูเกิลออกทางเลือกตรงกลางมาเพิ่มให้ โดย Chrome จะพิจารณาว่าไฟล์ Flash ใดบ้างสมควรต้องเล่น (เช่น วิดีโอ) และถ้าไฟล์ Flash ใดไม่มีความสำคัญมากพอ (เช่น แอนิเมชันบนเว็บเพจ) ก็จะหยุดการเล่นไฟล์นั้นเพื่อประหยัดพลังงานของระบบ ช่วยให้ประหยัดแบตเตอรี่มากขึ้น
ฟีเจอร์นี้ถูกเปิดใช้เป็นดีฟอลต์ใน Chrome Beta แล้ว ใครที่ใช้อยู่ก็ลองทดสอบกันได้ครับ
เมื่อไม่กี่วันก่อน ซัมซุงเพิ่งเปิดตัวหน่วยความจำสำหรับอุปกรณ์พกพาภายใต้มาตรฐาน eMMC 5.1 ไป วันนี้ซัมซุงออกมาเปิดตัวหน่วยความจำอีกแบบในมาตรฐาน Universal Flash Storage 2.0 (UFS 2.0) ซึ่งประสิทธิภาพเหนือชั้นขึ้นไปอีก
สำหรับหน่วยความจำของซัมซุงที่ใช้มาตรฐาน UFS 2.0 นี้จะประสิทธิภาพเหนือกว่า eMMC ในทุกๆ ด้าน และได้ฟีเจอร์ต่างๆ ที่เท่าเทียมกัน โดยมีความเร็วอ่านเขียนต่อเนื่องที่ 350MB/s และ 150MB/s และอ่านเขียนแบบสุ่มได้ถึง 19,000/14,000 IOPS ซึ่งเหนือกว่า eMMC 5.0 ที่ใช้กันทั่วไปถึง 2.7 เท่าด้วยกัน
กูเกิลประกาศว่าโฆษณาแบบ Flash ที่วิ่งอยู่บนระบบโฆษณาของกูเกิล (Google Display Network) สามารถแปลงเป็น HTML5 เพื่อขยายฐานผู้ชมโฆษณาบนอุปกรณ์พกพาได้ด้วย
โฆษณา Flash ที่เข้าข่ายจะถูกแปลงเป็น HTML5 อัตโนมัติเมื่ออัพโหลดเข้าสู่ระบบ โดยเครื่องมือที่กูเกิลใช้แปลงคือ Swiffy ของกูเกิลเอง ผู้ที่อยากรู้ว่าโฆษณาของตัวเองแปลงเป็น HTML5 ได้หรือไม่ สามารถอัพโหลดไฟล์ .swf เพื่อทดสอบได้บนหน้าเว็บ Swiffy
จากข่าว Firefox ทดลองฟีเจอร์แปลง SWF เป็น HTML5 ในปี 2013 ล่าสุด Firefox Nightly เริ่มผนวกความสามารถนี้เข้ามาแล้ว
ฟีเจอร์ของ Firefox ตัวนี้เรียกว่า Project Shumway ออกแบบมาเพื่อแก้ปัญหาเปิดเว็บใช้ Flash แต่ไม่มีตัวเล่น Flash Player (เช่นบนอุปกรณ์พกพา) ตอนนี้โครงการยังอยู่ในช่วงทดสอบ โดยใช้ได้เฉพาะกับวิดีโอสินค้าบน Amazon.com เท่านั้น ในอนาคตทีมงานจะค่อยๆ whitelist เว็บที่ Shumway รองรับให้เพิ่มมากขึ้นต่อไป
วันก่อนมีรายงานถึงบั๊ก CVE-2015-313 ของ Adobe Flash ตอนนี้ทาง Adobe ก็ปล่อยแพตช์ออกมาแล้ว และยังแก้บั๊กอื่นๆ อีกนับสิบตัว รวมถึงบั๊กจาก Project Zero ของกูเกิลและบั๊กที่ได้รับจากโครงการให้รางวัลบั๊ก Chromium
ทางฝั่งกูเกิลระบุว่าบั๊กทั้งหมดของ Project Zero ทาง Adobe สามารถแก้ไขได้ภายใน 90 วันตามกำหนดของโครงการ
ที่มา - Adobe, Chris Evans
Symantec รายงานช่องโหว่ใหม่ของ Flash Player (รหัส CVE-2015-0313) และพบการโจมตีผ่านช่องโหว่นี้แล้ว ช่องโหว่นี้มีใน Flash Player ทุกรุ่น รวมถึงรุ่นล่าสุด 16.0.0.296 ที่เพิ่งออกมาไม่กี่วันก่อน
Adobe รับทราบปัญหานี้แล้ว และบอกว่าจะรีบออกแพตช์ภายในสัปดาห์นี้ นั่นแปลว่าผู้ใช้ Flash Player มีความเสี่ยง วิธีป้องกันตัวชั่วคราวคือปิดการทำงานของ Flash Player ไปก่อนจนกว่าจะมีแพตช์ครับ
จากข้อมูลของ Symantec บอกว่าแฮ็กเกอร์เริ่มรันแคมเปญโฆษณาให้ดาวน์โหลดไฟล์มัลแวร์ เพื่อโจมตีคอมพิวเตอร์ผ่านช่องโหว่นี้ ผลกระทบคือทำให้เครื่องแครชและอาจถูกแฮ็กเกอร์ควบคุมเครื่องได้จากระยะไกล
แม้ว่าโลกของสมาร์ทโฟนจะลืม Flash บนเบราว์เซอร์ไปแสนนานแล้ว แต่ก็ปฏิเสธไม่ได้ว่ายังมีความต้องการใช้งานอยู่ในตอนนี้ แม้ว่า Adobe ได้ยุติการสนับสนุน Flash ไปตั้งแต่ช่วงปลายปี 2012 แต่ก็ยังมีนักพัฒนาภายนอกพยายามนำกลับมาอยู่เรื่อยๆ
ล่าสุด Dolphin Browser เบราว์เซอร์สัญชาติจีนอัพเดตเวอร์ชันใหม่พร้อมกับฟีเจอร์เด่นคือการรองรับ Flash อีกครั้ง ที่เจ๋งไปกว่านั้นคือเจ้าเบราว์เซอร์ตัวนี้ยังรองรับการใช้งานบน Android 5.0 Lollipop อีกด้วย จะเรียกว่าเป็นเบราว์เซอร์ตัวแรกที่รองรับ Flash บน Lollipop ก็คงไม่ผิดนัก
Adobe ประกาศอัพเดตแอพในชุด Creative Cloud บนเดสก์ท็อปเป็นครั้งที่สองในรอบปีนี้ (รอบแรกเมื่อเดือน มิ.ย.) โดยใช้ชื่อการอัพเดตรอบนี้ว่า October 2014 Release (หรือบ้างก็เรียก 2014.2)
ของใหม่เท่าที่มีประกาศ
on
on