Security

OWASP ModSecurity CRS 3.0.0 ออกแล้ว รองรับ Drupal และ WordPress เต็มรูปแบบ ไม่มีรายงาน false positive

By lew

on 14 November 2016 - 12:40 Tag: OWASP, Security

OWASP

ModSecurity CRS (Core Rule Set) กฎตรวจจับการบุกรุกสำหรับ ModSecurity ออกเวอร์ชั่น 3.0.0 ปรับปรุงใหม่ให้มีการแจ้งเตือนผิดพลาด (false positive) ต่ำลง พร้อมโหมดใหม่ๆ สำหรับการสำรวจการใช้งาน

CRS ใช้แจ้งเตือนหรือบล็อคการเชื่อมต่อเมื่อมีความพยายามจะบุกรุกด้วยเทคนิคที่พบได้ทั่วไป เช่น SQL injection, PHP injection, Remote Code Execution, หรือการสแกนเว็บ

เว็บหาคู่นอน AdultFriendFinder โดนแฮ็ก ข้อมูลหลุดครั้งใหญ่ 412 ล้านบัญชี

By mk

on 14 November 2016 - 09:36 Tag: Hacking, Security, Data Breach

Hacking

เกิดปัญหาข้อมูลผู้ใช้หลุดครั้งใหญ่อีกรอบ เมื่อบริษัท Friend Finder Network เจ้าของเว็บหาคู่นอน AdultFriendFinder.com และเว็บไซต์สำหรับผู้ใหญ่ Penthouse.com กับ Cams.com โดนแฮ็ก และมีบัญชีมากถึง 412 ล้านบัญชีถูกเผย

บัญชีเหล่านี้เป็นข้อมูลที่ Friend Finder Network สะสมมาตลอด 20 ปี ที่น่าสนใจคือบัญชีที่ลูกค้าสั่งลบข้อมูลตัวเองไปยังค้างอยู่ในฐานข้อมูลจำนวน 15 ล้านบัญชี (และแน่นอนว่าหลุดออกมาด้วย) ตอนนี้ยังไม่มีข้อมูลแน่ชัดว่าแฮ็กเกอร์กลุ่มใดอยู่เบื้องหลังการแฮ็กครั้งนี้

ทีมแฮ็กเกอร์จากจีนโชว์แฮ็ก Google Pixel ภายใน 60 วินาที

By BlackMiracle

on 12 November 2016 - 13:47 Tag: Google Pixel, Security, Hacking, Microsoft Edge, Adobe Flash

Google Pixel

ทีมแฮ็กเกอร์จากจีนในนาม Qihoo 360 โชว์ผลงานการแฮ็กสมาร์ทโฟน Google Pixel ที่งาน PwnFest ณ กรุงโซล ประเทศเกาหลีใต้ ด้วยการใช้ช่องโหว่ zero-day เพื่อรันโค้ดประสงค์ร้ายบนสมาร์ทโฟนดังกล่าว โดยสามารถสั่งเปิด Google Play Store ขึ้นมา พร้อมเปิดเบราว์เซอร์ Google Chrome และแสดงข้อความว่า "Pwned by 360 Alpha Team" โดยทั้งหมดนี้ใช้เวลาไม่ถึง 60 วินาที (ดูภาพได้จากที่มา)

ทีมงานได้รับเงินรางวัลจากการโจมตีดังกล่าวไปถึง 120,000 ดอลลาร์สหรัฐ และต้องส่งรายละเอียดการแฮ็กทั้งหมดให้กูเกิลเพื่อออกแพตช์แก้ไขต่อไป

หลังจากนั้นทีมเดียวกันนี้ก็ไปโชว์แฮ็ก Adobe Flash โดยใช้ช่องโหว่เก่าร่วมกับช่องโหว่เคอร์เนล win32k และสุดท้ายได้แฮ็กเบราว์เซอร์ Microsoft Edge รวมแล้วได้เงินรางวัลกลับไปมากถึง 520,000 ดอลลาร์สหรัฐ หรือราว 18.4 ล้านบาท

ที่มา - The Register

BearSSL ไลบรารี SSL ใหม่ เน้นโปรโตคอลใหม่เท่านั้น, เรียบง่ายระดับที่ไม่มี malloc

By lew

on 10 November 2016 - 15:30 Tag: Open Source, SSL, Security

Open Source

ไลบรารี SSL กลายเป็นจุดโจมตีสำคัญนับแต่ช่องโหว่ Heartbleed เป็นต้นมา ก็มีความพยายามแยกสายการพัฒนาออกมาเป็น LibreSSL โดยทีมงาน OpenBSD หรือ BoringSSL ของกูเกิล ตอนนี้มีโครงการใหม่ในชื่อ BearSSL

Google Chrome for Android มีอัพเดต แก้ช่องโหว่ลง apk โดยไม่ได้รับอนุญาต มีการโจมตีเป็นวงกว้างแล้ว

By lew

on 10 November 2016 - 14:40 Tag: Chrome, Google, Security, Kaspersky

Chrome

Google Chrome for Android มีอัพเดตในวันนี้แก้ไขช่องโหว่ที่เปิดทางให้แฮกเกอร์สามารถสั่งติดตั้ง apk โดยไม่ได้รับความยินยอมจากผู้ใช้ ทาง Kaspersky คาดว่ามีผู้ถูกโจมตีจากช่องโหว่นี้ไปแล้วกว่าสามแสนราย

ทาง Kaspersky รายงานการโจมตีนี้มาตั้งแต่เดือนสิงหาคมที่ผ่านมาว่ามีการโจมตีโดยส่ง apk มาทางเครือข่ายโฆษณา รวมถึง AdSense ของกูเกิลเอง ตัวมัลแวร์มีความสามารถในการหลอกล่อผู้ใช้ให้ใส่ข้อมูลส่วนตัว ดักรับข้อความ SMS

Tesco Bank กลับมาเปิดบริการตามปกติ คืนเงินทั้งหมดแล้ว รวมค่าเสียหายกว่าร้อยล้านบาท

By lew

on 10 November 2016 - 12:47 Tag: United Kingdom, Banking, Security

United Kingdom

Tesco Bank ประกาศเปิดให้บริการตามปกติหลังปิดบริการไปบางส่วนเมื่อวันจันทร์ที่ผ่านมา รวมค่าเสียหาย 2.5 ล้านปอนด์ หรือราวๆ ร้อยล้านบาท จากทั้งหมด 9,000 บัญชี โดยตอนนี้ทางธนาคารได้คืนเงินไปยังบัญชีผู้เสียหายแล้ว

ตอนนี้ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (National Cyber Security Centre - NCSC) กำลังเข้าสอบสวนเหตุการณ์ครั้งนี้ โดยยังไม่มีรายละเอียดเพิ่มเติมว่าผู้ร้ายนำเงินออกไปได้อย่างไร

ที่มา - Taipei Times

Safe Browsing เพิ่มโทษเว็บที่แพร่มัลแวร์หลายครั้ง ปรับสถานะเป็น Repeat Offenders

By lew

on 10 November 2016 - 12:12 Tag: Google Safe Browsing, Security, Google

Google Safe Browsing

บริการ Safe Browsing ของกูเกิลนับเป็นบริการที่น่ากลัวสำหรับคนทำเว็บ เพราะหากพลาดท่าเว็บกลายเป็นแหล่งแพร่มัลแวร์ กูเกิลจะบล็อคผู้ใช้ไม่ได้เข้าถึงหน้าเว็บพร้อมกับแจ้งเตือนว่าเว็บมีอันตราย ที่ผ่านมาหากแก้ปัญหาได้สำเร็จก็จะจบปัญหาเป็นรอบๆ ไป แต่นโยบายใหม่ของ Safe Browsing จะตรวจสอบว่าเว็บที่เป็นแหล่งแพร่มัลแวร์บ่อยเกินไปหรือไม่ หากบ่อยเกินไปจะถูกปรับสถานะใหม่เป็น Repeat Offenders

เว็บที่ถูกปรับเป็น Repeat Offenders จะไม่สามารถยื่นคำร้องขอให้ Safe Browsing เข้าตรวจสอบเว็บอีกครั้งนานถึง 30 วัน โดยระหว่างนั้นจะมีคำเตือนแสดงให้ผู้ใช้เห็นตลอดเวลา

กูเกิลออกแพตช์ความปลอดภัย Pixel/Nexus รอบเดือนพฤศจิกายน 2016

By tekkasit

on 8 November 2016 - 21:53 Tag: Android, Security, Google Nexus, Google Pixel

Android

พบกันเป็นประจำทุกจันทร์แรกต้นเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนพฤศจิกายน 2016 โดยเดือนนี้พิเศษหน่อย มีแยกแพตช์เป็นถึง 3 ชุด ได้แก่ชุด 1 พ.ย. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 พ.ย. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 พ.ย. มาด้วย) และชุดพิเศษ 6 พ.ย. ที่รวมการแก้ไขช่องโหว่ "Dirty COW" ที่เปิดเผยเร็วๆ นี้

ผลิตภัณฑ์ในกลุ่ม Pixel/Nexus ที่ได้รับแพตช์จะมีดังนี้ครับ

เปิดศูนย์ไซเบอร์กองทัพบก ฝึกเจ้าหน้าที่หลายด้านทั้งการสแกนเน็ตเวิร์ค, Pentesting, การโฆษณาบนเน็ต

By lew

on 8 November 2016 - 14:08 Tag: Thailand, Security

Thailand

ศูนย์ไซเบอร์กองทัพบกเพิ่งจัดตั้งมาตั้งแต่เดือนตุลาคมที่ผ่านมา ตอนนี้เว็บไซต์กองทัพบกก็เผยแพร่หลักสูตรอบรมต่างๆ ของศูนย์นี้ ทั้งหมด 5 หลักสูตร ได้แก่

Tesco Bank ปิดบริการจ่ายเงินออนไลน์ หลังลูกค้าเงินหายถึง 20,000 บัญชี

By lew

on 8 November 2016 - 08:00 Tag: United Kingdom, Banking, Security

United Kingdom

Tesco Bank ในสหราชอาณาจักรประกาศปิดบริการจ่ายเงินออนไลน์ หลังช่วงเสาร์อาทิตย์ที่ผ่านมามีบัญชีถูกเข้าถึงอย่างน่าสงสัยถึง 40,000 บัญชี และครึ่งหนึ่งถูกโอนเงินออกไปแล้ว

ลูกค้าของ Tesco Bank มีมากถึงกว่าเจ็ดล้านบัญชี ตอนนี้ลูกค้าทั้งหมดสามารถถอนเงินที่สาขา หรือจ่ายผ่านบัตรชิปได้ รวมถึงระบบจ่ายเงินแบบตัดบัญชีก็ยังคงทำงานตามปกติ แต่ไม่สามารถจ่ายเงินซื้อสินค้าออนไลน์ได้

กูเกิลมั่นใจ Android มีระดับความปลอดภัยทัดเทียม iOS และจะดีกว่าในอนาคต

By mk

on 5 November 2016 - 22:41 Tag: Android, Security, Google, iOS

Android

Adrian Ludwig ผู้อำนวยการฝ่ายความปลอดภัยของ Android ให้สัมภาษณ์กับเว็บ Motherboard ถึงประเด็นถกเถียงเรื่อง iOS กับ Android ใครปลอดภัยมากกว่ากัน มุมมองของเขาคือ Android มีระดับความปลอดภัยทัดเทียมกับ iOS ในปัจจุบัน และจะดีกว่าในอนาคต

Ludwig กล่าวถึงฟีเจอร์ด้านความปลอดภัยของแพลตฟอร์ม Android (ที่คนมักไม่ค่อยรู้จักกัน) คือ SafetyNet ระบบสแกนความปลอดภัยของกูเกิล ที่ตรวจสอบอุปกรณ์ 400 ล้านชิ้นต่อวันว่ามีมัลแวร์ฝังอยู่หรือไม่ และกูเกิลสามารถใช้เทคนิคลดความเสี่ยง (exploit mitigation) แบบต่างๆ เข้าช่วยป้องกัน จากสถิติของกูเกิลมีอุปกรณ์เพียง 1% เท่านั้นที่พบมัลแวร์

CVE-2016-6663 ช่องโหว่ยึดระบบฐานข้อมูลได้ทั้ง MySQL, MariaDB, และ Percona

By lew

on 3 November 2016 - 16:06 Tag: MySQL, Security

MySQL

Dawud Golunski นักวิจัยความปลอดภัยรายงานถึงช่องโหว่ race condition ในระบบฐานข้อมูลของ MySQL ทำให้ผู้ใช้ที่มีสิทธิ์เพียงพื้นฐาน เช่น SELECT, INSERT, CREATE สามารถเข้ายึดเซิร์ฟเวอร์ฐานข้อมูลได้ทั้งหมด และมีโอกาสทีแฮกเกอร์จะรันโค้ดด้วยสิทธิ์ระดับเดียวกับเซิร์ฟเวอร์ของ MySQL ได้

Golunski เคยรายงานช่องโหว่ CVE-2016-6662 เมื่อเดือนกันยายนที่ผ่านมา

Canonical โชว์บริการ Livepatch แก้ Dirty COW หลังแพตช์ออกไม่กี่ชั่วโมง ไม่ต้องบูตเครื่อง

By lew

on 2 November 2016 - 12:36 Tag: Canonical, Ubuntu, Security

Canonical

ช่องโหว่ Dirty COW เพิ่งมีรายงานเมื่อปลายเดือนตุลาคมที่ผ่านมา เป็นการรายงานหลังพบการโจมตีทำให้จำเป็นต้องเร่งแก้ไข การแก้ไขเคอร์เนลทำให้เซิร์ฟเวอร์ส่วนมากต้องรีบูตจนเสีย uptime ตอนนี้ทาง Canonical ก็ออกมาระบุว่าผู้ใช้ Ubuntu ที่เปิดบริการ Livepatch ได้รับแพตช์โดยไม่ต้องบูตเครื่องหลังแพตช์ออกเพียงไม่กี่ชั่วโมงเท่านั้น

Canonical Livepatch Service เป็นบริการเฉพาะของ Canonical ที่ต้องสมัครบริการก่อนจึงใช้งานได้ โดยผู้ใช้ทั่วไปสามารถใช้งานได้ 3 เครื่องฟรี (ซื้อเพิ่มเครื่องละ 150 ดอลลาร์ต่อปี) เมื่อสมัครแล้วจะได้ token มาเซ็ตอัพในเครื่อง

ไมโครซอฟท์อัดกูเกิล เผยข้อมูลช่องโหว่เร็วเกินไป, เตรียมออกแพตช์แก้ 8 พ.ย.

By mk

on 2 November 2016 - 10:29 Tag: Security, Google, Project Zero, Windows 10, Microsoft

Security

จากข่าว กูเกิลเปิดเผยช่องโหว่ Windows แฮกเกอร์สามารถเข้าถึงสิทธิ์ระดับสูง หลังแจ้งไมโครซอฟท์ 10 วัน ซึ่งเป็นช่องโหว่ที่พบการโจมตีแล้ว ล่าสุดฝั่งไมโครซอฟท์ออกมาให้ข้อมูลแล้ว

หน่วยเฝ้าระวังด้านความปลอดภัย Microsoft Threat Intelligence อธิบายว่าพบกลุ่มแฮกเกอร์ที่ถูกเรียกว่า STRONTIUM โจมตีผ่านช่องโหว่นี้จริง

กูเกิลประกาศหยุดเชื่อใบรับรองจาก WoSign และ StartCom, เตือนผู้ดูแลเว็บให้เปลี่ยนใบรับรองด่วน

By lew

on 1 November 2016 - 12:19 Tag: Google, WoSign, China, StartCom, Digital Certificate, Security

Google

คดี WoSign ออกใบรับรองผิดพลาดและควบรวมกับ StartCom โดยไม่แจ้งผู้ผลิตเบราว์เซอร์ให้รับทราบใกล้มาถึงบทสรุปเมื่อทางกูเกิลประกาศหยุดเชื่อถือใบรับรองจากทั้งสองบริษัทที่ออกหลังวันที่ 21 ตุลาคมที่ผ่านมา

กูเกิลแจ้งเตือนว่ากระบวนการตรวจสอบเพื่อให้แน่ใจว่าเบราว์เซอร์จะไม่เชื่อถือใบรับรองจากทั้งสองบริษัทที่ออกมาหลังเส้นตายอีกจะหนาแน่นขึ้นเรื่อยๆ ทำให้เว็บที่ใช้ใบรับรองจากหนึ่งในสองบริษัทอาจจะไม่สามารถใช้งานได้อีกหลังจาก Chrome 56 เป็นต้นไป และการเชื่อถือใบรับรองตอนนี้ก็เป็นมาตรการชั่วคราวเพื่อให้เวลากับผู้ดูแลเว็บได้มีเวลาเปลี่ยนใบรับรองเท่านั้น

กูเกิลเปิดเผยช่องโหว่ Windows แฮกเกอร์สามารถเข้าถึงสิทธิ์ระดับสูง หลังแจ้งไมโครซอฟท์ 10 วัน ยังไม่มีแพตช์

By lew

on 1 November 2016 - 12:03 Tag: Google, Security, Windows, Project Zero

Google

กูเกิลเปิดเผยช่องโหว่ของ Windows system call ในไฟล์ win32k.sys ทำให้แฮกเกอร์สามารถยกระดับสิทธิ์เป็นสิทธิ์ระดับสูงเพื่อเจาะออกจาก sandbox ของวินโดวส์

ช่องโหว่นี้เป็นช่องโหว่ชุดเดียวกับที่ Adobe เพิ่งออกแพตช์ไปก่อนหน้านี้ โดยกูเกิลระบุว่าตรวจพบการโจมตีบ้างแล้ว และ__เนื่องจากช่องโหว่มีการโจมตีแล้ว__ กูเกิลใช้นโยบายที่ต่างไปจากการแจ้งช่องโหว่ปกติ โดยจะให้เวลาผู้ผลิตเพียง 7 วันหลังการแจ้งเตือน

ไมโครซอฟท์ได้รับแจ้งไปตั้งแต่วันที่ 21 ตุลาคมที่ผ่านมา และตอนนี้กูเกิลก็เปิดเผยช่องโหว่นี้แล้วหลังแจ้งไปยังไมโครซอฟท์ 10 วัน

Chrome ประกาศบังคับใบรับรองทุกใบต้องประกาศ Certification Transparency ภายในตุลาคม 2017

By lew

on 31 October 2016 - 12:25 Tag: Chrome, Google, Digital Certificate, Security

Chrome

กูเกิลผลักดันแนวทางให้ CA ทั้งหลายเปิดเผยการออกใบรับรองมาหลายปี ตอนนี้กูเกิลก็ออกมาประกาศว่าภายในเดือนตุลาคม 2017 จะเริ่มบังคับให้ CA ทุกรายต้องเข้ากระบวนการ CT (Certification Transparency กระบวนการที่ CA เปิดเผยรายการใบรับรองที่ออกสู่สาธารณะ) ทั้งหมด ไม่เช่นนั้น Chrome จะไม่เชื่อถือใบรับรองอีกต่อไป

ช่องโหว่ Flash ในแพตช์ล่าสุดถูกโจมตีก่อนแพตช์ออก แฮกเกอร์เข้าควบคุมเครื่องเหยื่อได้

By lew

on 29 October 2016 - 10:07 Tag: Adobe Flash, Security, Adobe

Adobe Flash

Adobe ออกแพตช์ให้กับ Flash สำหรับวินโดวส์, แมค, และลินุกซ์ แก้ช่องโหว่ CVE-2016-7855 เป็นช่องโหว่ระดับวิกฤติ แฮกเกอร์สามารถเข้าควบคุมเครื่องของเหยื่อได้

แม้ว่าช่องโหว่นี้จะกระทบแพลตทุกฟอร์ม แต่รายงานการโจมตีตอนนี้จำกัดอยู่ที่ Windows 7, 8.1, และ 10 โดยเป็นการโจมตีอย่างเจาะจง

ตอนนี้อัพเดตของแพลตฟอร์มต่างๆ ก็เปิดให้อัพเดตแล้ว ผมได้รับอัพเดต Chrome OS แล้ว ส่วนฝั่งไมโครซอฟท์ก็น่าจะได้รับ Windows Update กันแล้วเช่นกัน

ที่มา - Adobe

Joomla! ออกรุ่น 3.6.4 แก้ช่องโหว่ร้ายแรงระดับวิกฤติ ยึดเว็บได้แม้ไม่รับสมัครสมาชิก

By lew

on 25 October 2016 - 22:48 Tag: Joomla!, Security

Joomla!

Joomla! ออกแพตช์ล่าสุดเมื่อสามทุ่มที่ผ่านมาแก้ไขช่องโหว่ระดับวิกฤติ ทำให้แฮกเกอร์สามารถเข้าควบบคุมเว็บไซต์ได้แม้เว็บไม่ได้เปิดรับสมัครสมาชิกเลยก็ตามที ตอนนี้ทุกคนควรอัพเดตเป็นรุ่น 3.6.4

แพตช์ครั้งนี้ประกอบด้วยช่องโหว่ CVE-2016-8870 ที่ทำให้แฮกเกอร์สามารถสร้างผู้ใช้ใหม่ในเว็บได้แม้จะปิดการลงทะเบียนผู้ใช้ก็ตามที และ CVE-2016-8869 ทำให้แฮกเกอร์สามารถลงทะเบียนผู้ใช้ด้วยสิทธิ์ระดับสูงได้

ขนส่งสหรัฐฯ ออกเอกสารแนะนำกระบวนการรักษาความปลอดภัยไซเบอร์สำหรับรถยนต์

By lew

on 25 October 2016 - 12:56 Tag: USA, Security, Automobile

USA

รายงานการแฮกรถยนต์เพิ่มขึ้นในช่วงหลังที่รถเริ่มมีความสามารถในการเชื่อมต่ออินเทอร์เน็ต ตอนนี้ขนส่งทางบกสหรัฐฯ (National Highway Traffic Safety Administration - NHTSA) ก็ออกเอกสารคำแนะนำการเพิ่มความปลอดภัยไซเบอร์ให้กับผู้ผลิตรถยนต์แล้ว

เอกสารฉบับนี้ยังไม่เป็นข้อบังคับแต่อย่างใดแต่เป็นเพียงคำแนะนำให้ผู้ผลิตทำตาม

Subscribe to Security