Security Patch

ไมโครซอฟท์ออกแพตช์เดือนธันวาคม มีช่องโหว่ที่มีการโจมตีแล้ว

By lew

on 12 December 2019 - 05:08 Tag: Microsoft, Security Patch

Microsoft

ไมโครซอฟท์ออกแพตช์รายเดือนประจำเดือนธันวาคม โดยรวมมีช่องโหว่ได้รับการแก้ไข 36 รายการ เป็นช่องโหว่ระดับวิกฤติ 7 รายการ ระดับสำคัญ 27 รายการ

ช่องโหว่ที่สำคัญในรอบนี้คือ CVE-2019-1458 ช่องโหว่ยกระดับสิทธิ์ เปิดทางให้แฮกเกอร์ล็อกอินอยู่บนเครื่องแล้วสามารถรันโค้ดในเคอร์เนลได้ ช่องโหว่นี้เป็นหนึ่งในช่องโหว่ที่คนร้ายใช้โจมตี Chrome 78 เมื่อเดือนตุลาคมที่ผ่านมา จนทำให้ทีมงาน Chrome ปล่อยแพตช์นอกรอบเป็นกรณีพิเศษ

อินเทลออกแพตช์ซีพียูหลังนักวิจัยสามารถเจาะข้อมูลออกจาก SGX ได้

By lew

on 12 December 2019 - 00:22 Tag: Intel, Security Patch, CPU

Intel

อินเทลออกแพตช์เฟิร์มแวร์ซีพียู หลังนักวิจัยรายงานถึงการโจมตี Plundervolt ที่สามารถอ่านข้อมูลออกจากส่วน Software Guard Extensions (SGX) ได้สำเร็จ

SGX เป็นแยกการทำงานของโค้ดออกจากซีพียูปกติ ทำให้เราสามารถรักษาความปลอดภัยข้อมูลภายในแม้คนร้ายจะถือสิทธิ์ root ของระบบปฎิบัติการหลักก็ตาม การป้องกันนี้มีประโยชน์สำหรับข้อมูลชั้นความลับลึกมากๆ เช่น กุญแจเข้ารหัสเว็บ

Fortinet ใช้กุญแจเข้ารหัส hard code เชื่อมต่อกับคลาวด์ แฮกเกอร์ดักฟังข้อมูลที่ส่งกลับเซิร์ฟเวอร์ได้, ใช้เวลาปีครึ่งออกแพตช์

By lew

on 27 November 2019 - 15:24 Tag: Fortinet, Security Patch

Fortinet

Stefan Viehböck นักวิจัยจากบริษัท SEC Consult รายงานถึงช่อโหว่ของซอฟต์แวร์รักษาความปลอดภัยของบริษัท Fortinet ที่เชื่อมต่อกับเซิร์ฟเวอร์ guard.fortinet.com เพื่อตรวจสอบข้อมูล เช่น URL มุ่งร้ายในบริการ Web Filter, ตรวจอีเมลสแปม, หรือดาวน์โหลดข้อมูลสำหรับการป้องกันไวรัส

การเชื่อมต่อใช้ UDP พอร์ต 53/8888 และ TCP พอร์ต 80 โดยกระบวนการเชื่อมต่อไม่ได้เข้ารหัส แต่ข้อความภายในมีการเข้ารหัสด้วยกุญแจเข้ารหัสที่ hard code แล้วเข้ารหัสโดยนำกุญแจมา XOR กับข้อความ นับเป็นกระบวนการเข้ารหัสที่อ่อนแอ

OnePlus 3, 3T จะได้แพทช์รักษาความปลอดภัยเดือนตุลาคม 2019 เป็นเวอร์ชั่นสุดท้าย

By hinatasenjou

on 19 November 2019 - 16:41 Tag: OnePlus, OnePlus 3, Smartphone, Mobile, Security Patch

OnePlus

OnePlus จะปล่อยแพทช์รักษาความปลอดภัยเวอร์ชั่นสุดท้ายให้กับสมาร์ทโฟน OnePlus 3, 3T หลังจากเปิดตัวมาเมื่อปี 2016 ที่ผ่านมา อิงตามนโยบายการปรับปรุงซอฟท์แวร์ของทางบริษัท สมาร์ทโฟนของ OnePlus ทุกเครื่องจะได้การอัพเดตซอฟท์แวร์เวอร์ชั่นใหม่ต่อเนื่อง 2 ปี จากนั้นเป็นแพทช์รักษาความปลอดภัยอีก 1 ปี ก่อนที่ทางบริษัทจะหยุดการสนับสนุนลง

โดยแพทช์รักษาความปลอดภัยของเดือนตุลาคม 2019 นี้จะแบ่งเป็นการอัพเดตแอพ GMS ในเครื่อง, แก้ไขบั๊กและเพิ่มประสิทธิภาพให้มือถือด้วย โดยจะอัพเดตแบบ OTA ให้กับผู้ใช้บางส่วนเพื่อทดสอบว่าพบปัญหาระหว่างใช้งานหรือไม่ ก่อนจะปล่อยให้เจ้าของเครื่อง OnePlus 3, 3T ทุกคนในภายหลัง

ที่มา: OnePlus via XDA-Developers

กูเกิลปล่อยแพตช์ Chrome 78 นอกรอบปกติหลังพบช่องโหว่ใหม่ถูกโจมตีแล้ว

By lew

on 1 November 2019 - 14:23 Tag: Chrome, Security Patch

Chrome

กูเกิลปล่อยอัพเดต Chrome 78.0.3904.87 แก้ไขช่องโหว่ระดับความร้ายแรงสูง 2 รายการได้แก่

ไมโครซอฟท์ออกแพตช์ Internet Explorer ระดับวิกฤตินอกรอบ มีการโจมตีแล้ว

By lew

on 24 September 2019 - 09:03 Tag: Internet Explorer, Microsoft, Security Patch

Internet Explorer

ไมโครซอฟท์ออกแพตช์ด่วนหลังได้รับแจ้งการโจมตีช่องโหว่ Internet Explorer (IE) จาก Google Threat Analysis Group โดยเป็นแพตช์รันโค้ดบนเครื่องผู้ใช้ในระดับสิทธิ์เดียวกับผู้ใช้ที่รันเบราว์เซอร์อยู่ ซึ่งหากผู้ใช้รัน IE ด้วยสิทธิ์ผู้ดูแลระบบก็จะเท่ากับคนร้ายยึดเครื่องได้เต็มรูปแบบ

ช่องโหว่ CVE-2019-1367 นี้เกิดจากความผิดพลาดในการจัดการออปเจกต์ในหน่วยความจำของ IE กระทบตั้งแต่ IE 9 ถึง IE 11 ทำให้แฮกเกอร์เพียงหลอกลวงผู้ใช้ให้เข้าเว็บก็สามารถรันโค้ดได้

เดือนนี้ต้องไว ไมโครซอฟท์ปล่อยแพตช์เดือนกรกฎาคม ช่องโหว่เปิดเผยต่อสาธารณะก่อนแพตช์ 6 รายการ, มีการโจมตีแล้ว 2 รายการ

By lew

on 10 July 2019 - 08:38 Tag: Microsoft, Security Patch

Microsoft

ไมโครซอฟท์ปล่อยแพตช์ความปลอดภัยประจำเดือนกรกฎาคม ตามกำหนดวันอังคารที่สองของเดือน โดยรอบนี้มีแพตช์อุดช่องโหว่ระดับวิกฤติ 14 รายการ, ระดับสำคัญ 62 รายการ และปานกลาง 1 รายการ อย่างไรก็ดีมีช่องโหว่ที่มีข้อมูลหลุดสู่สาธารณะก่อนแพตช์ 6 รายการ และมีช่องโหว่ที่ถูกโจมตีไปแล้ว 2 รายการ

ช่องโหว่ที่ถูกโจมตีแล้วทั้งสองรายการเป็นช่องโหว่ ยกระดับสิทธิ์ (privilege escalation) ช่องโหว่หนึ่งทำให้แฮกเกอร์ที่รันซฮฟต์แวร์บนเครื่องได้สามารถยกระดับสิทธิ์ของโปรแกรมไปทำงานในโหมดเคอร์เนลได้ ขณะที่ช่องโหว่ระดับวิกฤติเป็นกลุ่มรันโค้ดระยะไกล (remote code execution) ทั้งหมด

Oracle ปล่อยแพตช์ WebLogic อุดช่องโหว่ Zero-Day ระดับวิกฤติ เปิดช่องโจมตีทางไกล

By nismod

on 24 June 2019 - 15:08 Tag: Oracle, WebLogic, Security, Security Patch

Oracle

Oracle ประกาศและแจ้งเตือนลูกค้า Oracle WebLogic ให้อัพเดตแพตช์อุดช่องโหว่ CVE-2019-2729 ซึ่งเป็นช่องโหว่ Zero-Day ที่มีคะแนน CVSS ถึง 9.8 จาก 10 ที่เปิดโอกาสให้แฮกเกอร์สามารถรันโค้ดทางไกลและเข้ายึดเครื่องได้โดยไม่ต้องยืนยันตัวตนใดๆ

Oracle WebLogic เวอร์ชันที่ได้รับผลกระทบคือ 10.3.6.0.0, 12.1.3.0.0, และ 12.2.1.3.0 โดยนักวิจัยด้านความปลอดภัยจาก KnownSec 404 ระบุว่ามีความพยายามโจมตีผ่านช่องโหว่นี้แล้วด้วย

พบช่องโหว่ใหม่ในซอฟต์แวร์ Dell SupportAssist - ออกแพตช์แก้ไขแล้ว

By arjin

on 22 June 2019 - 06:49 Tag: Dell, Security Patch

Dell

มีรายงานช่องโหว่ของซอฟต์แวร์ Dell SupportAssist ที่เป็นซอฟต์แวร์สำหรับช่วยเหลือลูกค้าเดลล์ที่ติดตั้งมาให้กับโน้ตบุ๊กและพีซีของเดลล์อีกครั้ง (CVE-2019-12280) ซึ่งสามารถล็อกอินระยะไกลใช้สิทธิผู้ดูแลระบบได้ ซึ่งเป็นช่องโหว่เพิ่มเติมจากที่เคยมีรายงานเมื่อเดือนก่อน

ทั้งนี้ซอฟต์แวร์ Dell SupportAssist ไม่ได้พัฒนาโดยเดลล์ แต่เป็นซอฟต์แวร์ของ PC Doctor

Firefox ปล่อยแพตช์อุดช่องโหว่ zero-day ระดับวิกฤติที่มีการโจมตีแล้ว เปิดช่องให้ยึดเครื่องได้

By nismod

on 20 June 2019 - 09:57 Tag: Firefox, Security, Security Patch

Firefox

Firefox ออกแพตช์ฉุกเฉินใน Firefox 67.0.3 และ Firefox ESR 60.7.1 เพื่ออุดช่องโหว่ CVE-2019-11707 ซึ่งเป็นช่องโหว่ระดับวิกฤติในฟังก์ชัน .pop() ที่เปิดโอกาสให้แฮกเกอร์รันสคริปต์ JavaScript และเข้าควบคุมเครื่องได้จากทางไกล

ช่องโหว่นี้ถูกค้นพบโดย Samuel Groß จากทีม Google Project Zero และทีมงาน Coinbase Security โดยช่องโหว่นี้ถูกนำไปใช้ผ่านการโจมตีด้วย spear phishing แล้ว ดังนั้นใครใช้ Firefox ควรรีบอัพเดตเบราว์เซอร์ด่วน

ที่มา - ThreatPost

Patch Tuesday ล่าสุดอุดช่องโหว่วิกฤติ 21 จุด, กุญแจ Google Titan อาจใช้งานไม่ได้

By nismod

on 13 June 2019 - 12:15 Tag: Microsoft, Windows, Security Patch

Microsoft

ไมโครซอฟท์ปล่อยแพตช์ Patch Tuesday ประจำเดือนมิถุนายนอุดช่องโหว่ทั้งหมด 88 จุด โดยเป็นระดับวิกฤติ (critical) 21 จุด รวมถึงอุดช่องโหว่ zero-day 4 ช่องโหว่ได้แก่

CVE-2019-0973 ช่องโหว่ที่ยกระดับสิทธิใน Windows Installer
CVE-2019-1053 ช่องโหว่ที่ยกระดับสิทธิใน Windows Shell
CVE-2019-1064 ช่องโหว่ที่ยกระดับสิทธิบน Windows
CVE-2019-1069 ช่องโหว่ที่ยกระดับสิทธิใน Task Scheduler

ไมโครซอฟท์แจ้งเตือนช่องโหว่ RDP เปิดทาง Worm ระบาดได้ ออกแพตช์พิเศษให้วินโดวส์ 2003, XP, 7, 2008

By lew

on 15 May 2019 - 09:36 Tag: Windows, Security Patch

Windows

ไมโครซอฟท์แจ้งเตือนช่องโหว่ CVE-2019-0708 ที่เปิดทางให้แฮกเกอร์โจมตีจากระยะไกลผ่านทาง Remote Desktop Protocol (RDP) สามารถรันโค้ดในเครื่องเหยื่อได้ ส่งผลให้วินโดวส์ที่เปิด RDP ไว้เสี่ยงต่อการโจมตีทั้งหมด ความร้ายแรงของช่องโหว่นี้เปิดทางให้แฮกเกอร์สามารถพัฒนาเวิร์มที่สแกนเครื่องต่อๆ ไปได้อัตโนมัติแบบเดียวกับ WannaCry เมื่อหลายปีก่อน

ตอนนี้ไมโครซอฟท์ออกแพตช์รอบพิเศษให้ทั้งวินโดวส์ที่ยังซัพพอร์ตอยู่ ได้แก่ Windows 7, Windows Server 2008 และวินโดวส์ที่หมดซัพพอร์ตไปแล้ว คือ Windows Server 2003 และ XP ขณะที่วินโดวส์รุ่นใหม่ๆ อย่าง Windows 8, Windows 10 ไม่ได้รับผลกระทบจากช่องโหว่นี้

ซอฟต์แวร์ซัพพอร์ตของเดลล์มีช่องโหว่ แฮกเกอร์สามารถสั่งติดตั้งซอฟต์แวร์บนเครื่องเหยื่อหากอยู่บนเน็ตเวิร์คเดียวกัน

By lew

on 3 May 2019 - 13:02 Tag: Dell, Security Patch

Dell

ซอฟต์แวร์ Dell SupportAssist สำหรับให้ความช่วยเหลือลูกค้าเดลล์ที่ติดตั้งไปกับโน้ตบุ๊กและพีซีของเดลล์มีช่องโหว่รันโค้ดระยะไกล โดยโค้ดจาวาสคริปต์ที่มุ่งร้ายสามารถสั่งให้โปรแกรมดาวน์โหลดซอฟต์แวร์มาติดตั้งในเครื่องและสั่งรันซอฟต์แวร์นั้นขึ้นมาได้

แฮกเกอร์ต้องสามารถล่อให้ผู้ใช้เข้าเว็บที่มุ่งร้ายจึงจะโจมตีได้สำเร็จ และนอกจากนี้ยังต้องสามารถปลอม DNS ของโดเมน dell.com ให้ชี้ไปยังเครื่องของคนร้ายได้ (ซึ่งทำได้ไม่ยากหากอยู่บนเน็ตเวิร์คเดียวกัน) แต่ความน่ากังวลคือ SupportAssist รันอยู่ด้วยสิทธิ์ admin หากคนร้ายโจมตีสำเร็จก็เท่ากับยึดเครื่องได้เลย

Cisco Nexus 9000 มีกุญแจ SSH ฝังมาทุกเครื่อง, แฮกเกอร์ล็อกอิน root ได้หากเปิด IPv6 เอาไว้

By lew

on 3 May 2019 - 01:50 Tag: Cisco, Security Patch

Cisco

ซิสโก้ออกแพตช์ระดับวิกฤติให้ Cisco Nexus 9000 เฟิร์มแวร์ต่ำกว่ารุ่น 14.1 (1i) เนื่องจากมีกุญแจสำหรับล็อกอิน SSH เป็นกุญแจเริ่มต้นติดมาทุกเครื่อง โดยแฮกเกอร์สามารถล็อกอินเข้าสวิตช์ได้ทาง IPv6 เท่านั้น แต่เมื่อเข้ามาได้แล้ว จะได้สิทธิ์ root ของ NX-OS สามารถควบคุมเครื่องได้ทั้งระบบ

ตอนนี้แพตช์ออกแล้ว ทุกคนควรอัพเดตโดยเร็ว แม้ยังไม่พบว่ามีการโจมตีแต่อย่างใด

ช่องโหว่ความร้ายแรงตาม CVSSv3 ที่ 9.8 คะแนน ทางซิสโก้ออกแพตช์ให้ฟรีสำหรับผู้ใช้ทุกคน

ที่มา - Cisco

ออราเคิลออกแพตช์นอกรอบให้ WebLogic หลังพบการสแกนช่องโหว่ระดับวิกฤติ

By lew

on 27 April 2019 - 12:10 Tag: Oracle, Security Patch

Oracle

ออราเคิลออกแพตช์แก้ช่องโหว่ CVE-2019-2725 ที่เป็นช่องโหว่รันโค้ดจากระยะไกลใน WebLogic เปิดทางให้แฮกเกอร์รันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องมีสิทธิ์เข้าถึงเซิร์ฟเวอร์

ช่องโหว่นี้รายงานครั้งแรกโดยบริษัท KnownSec 404 ที่รายงานถึงว่ามีการสแกนช่องโหว่นี้ตั้งแต่วันอาทิตย์ที่ 21 เมษายนที่ผ่านมา แต่ยังไม่มีรายงานว่ามีเหยื่อถูกยึดเครื่องจากช่องโหว่นี้จริงๆ

คนทำโฮสติ้งเตรียมแพตช์ Apache แพตช์ช่องโหว่ ผู้ใช้ที่รันสคริปต์ PHP หรือ CGI สามารถยึดเครื่องได้

By lew

on 3 April 2019 - 01:16 Tag: Apache, Security Patch

Apache

วันนี้ Apache httpd ออกอัพเดตรุ่น 2.4.39 แก้ไขช่องโหว่ความปลอดภัย โดยมีช่องโหว่ระดับ "สำคัญ" 3 รายการ ช่องโหว่ที่สำคัญที่สุดคือ CVE-2019-0211 ที่เปิดให้ผู้ใช้ที่รันสคริปต์ภายใต้เว็บเซิร์ฟเวอร์ Apache สามารถยึดเครื่องได้หากตัว httpd รันในสิทธิ์ root

ช่องโหว่นี้ได้รับรายงานจาก Charles Fol นักวิจัยจาก Ambionics Security ตั้งแต่ 22 กุมภาพันธ์ที่ผ่านมา

ช่องโหว่ระดับสำคัญอีกสองรายการ เป็นการตรวจสอบผู้ใช้ ด้วย mod_auth_digest และ mod_ssl ที่บางกรณีผู้ใช้อาจข้ามการจำกัดสิทธิ์ไปได้ นอกจากนี้ยังมีช่องโหว่ระดับต่ำอีกสองรายการ

พบบั๊กเปิดทางให้ดักฟังใน PuTTY เวอร์ชั่นพัฒนา แก้ไขก่อนออกเวอร์ชั่นล่าสุดแล้ว

By lew

on 20 March 2019 - 05:52 Tag: PuTTY, Security Patch

PuTTY

PuTTY ออกเวอร์ชั่น 0.71 มาแล้วในวันนี้หลังมีการอัพเดตหลายอย่าง แต่จุดสำคัญคือการแก้ไขช่องโหว่ความปลอดภัยตามโครงการรายงานช่องโหว่แลกรางวัลของสหภาพยุโรป ตอนนี้โครงการก็เสร็จสิ้นและมีการแก้ไขตามรายงานแล้ว

ช่องโหว่ที่ร้ายแรงที่สุดคือช่องโหว่ vuln-dss-verify ที่เปิดทางให้แฮกเกอร์สามารถดักฟังการเชื่อมต่อได้ หาก PuTTY จำค่ากุญแจเซิร์ฟเวอร์แบบ DSA ไว้ล่วงหน้า หากเซิร์ฟเวอร์ใช้กุญแจแบบอื่น เช่น ECDSA หรือ Ed25519 จะไม่ได้รับผลกระทบ

ไมโครซอฟท์ปล่อย Patch Tuesday เดือนพฤศจิกายน อุดช่องโหว่ SSD เข้ารหัส, ช่องโหว่เคอร์เนลมีการโจมตีแล้ว

By lew

on 15 November 2018 - 01:24 Tag: Microsoft, Security Patch

Microsoft

ไมโครซอฟท์ปล่อยอัพเดตประจำเดือนพฤศจิกายน รวม 62 ช่องโหว่ และมี 13 รายการที่เป็นช่องโหว่ระดับวิกฤติ โดยช่องโหว่ระดับวิกฤติส่วนมากอยู่บน Chakra Scripting Engine ที่มีช่องโหว่รันโค้ดอยู่ถึง 8 รายการ ช่องโหว่ของ VBScript Engine หนึ่งรายการ

FreeRTOS มีช่องโหว่รันโค้ดระยะไกลในโมดูล TCP/IP กระทบโครงการอื่นอีกหลายแพลตฟอร์ม

By lew

on 23 October 2018 - 03:58 Tag: Internet of Things, Security Patch

Internet of Things

FreeRTOS โครงการระบบปฎิบัติการขนาดเล็กสำหรับอุปกรณ์ IoT ที่มี AWS เป็นผู้นำโครงการหลักในตอนนี้ ได้รับรายงานช่องโหว่รันโค้ดระยะไกลจากบริษัท Zimperium เมื่อหลายเดือนก่อน และตอนนี้ข้อมูลช่องโหว่เพิ่งเปิดเผยออกมา

ช่องโหว่ 13 รายการเป็นช่องโหว่รันโค้ดระยะไกล 4 รายการช่องโหว่ DoS ที่ทำให้เครื่องแครช 1 รายการ และช่องโหว่เปิดเผยข้อมูลอีก 7 รายการ

libssh มีช่องโหว่ร้ายแรง ล็อกอินได้ไม่ต้องยืนยันตัวตน (ไม่เกี่ยวกับ OpenSSH)

By lew

on 18 October 2018 - 01:06 Tag: Security Patch, Security

Security Patch

libssh ไลบรารีสำหรับพัฒนาแอพที่ให้บริการผ่าน โปรโตคอล Secure Shell (GitHub ที่สามารถ clone ผ่าน SSH ได้ก็ใช้ไลบรารีตัวนี้) ประกาศช่องโหว่ CVE-2018-10933 ที่ผู้ใช้สามารถล็อกอินได้สำเร็จทันที เพียงแค่ส่งแมสเสจ SSH2_MSG_USERAUTH_SUCCESS แทนที่จะส่ง SSH2_MSG_USERAUTH_REQUEST ตามปกติ

Subscribe to Security Patch