Tags:
Node Thumbnail

ThyssenKrupp ระบุว่าถูกแฮกโดยกลุ่มที่มีต้นทางมาจากเอเชียตะวันออกเฉียงใต้ เพื่อขโมยข้อมูลเทคโนโลยีและผลการวิจัยของบริษํท

อย่างไรก็ตาม ระบบควบคุมของบริษัทไม่ได้ถูกโจมตี และข้อมูลของบริษัท ThyssenKrupp Marine ที่สร้างเรือรบและเรือดำน้ำ ไม่ได้รับผลกระทบจากการแฮกครั้งนี้

ฝ่ายรักษาความปลอดภัยระบบไอทีของบริษัทตรวจพบการแฮกครั้งนี้ขณะที่แฮกเกอร์กำลังโจมตี และหยุดการโจมตีได้ แต่ยังไม่ยืนยันว่าข้อมูลใดรั่วไหลออกไปบ้าง แต่ระบุเพียงว่ามีข้อมูลหลุดออกเป็นบางส่วน และแฮกเกอร์ไม่ได้เข้าไปแก้ไขหรือทำลายข้อมูลของบริษัท

ที่มา - Rappler

Tags:
Node Thumbnail

รัฐบาลสิงคโปร์เตือนประชาชนผู้ใช้บริการภาครัฐผ่านระบบออนไลน์ ให้เซ็ตอัพการล็อกอินบัญชีสองขั้นตอน (2-factor authentication - 2FA) ภายในวันที่ 15 มกราคมนี้ หลังจากเตือนครั้งแรกมาตั้งแต่กลางปีที่ผ่านมา

ระบบบัญชีกลางบริการภาครัฐสิงคโปร์ หรือ SingPass เริ่มบังคับให้ผู้ใช้เซ็ตอัพ 2FA ตั้งแต่กลางปี โดยผู้ที่ล็อกอินครึ่งปีหลังมานี้จะถูกบังคับให้เซ็ตอัพ 2FA ภายใน 30 วันหลังการล็อกอินรอบล่าสุด และการเตือนรอบนี้เป็นรอบเก็บตกสุดท้าย เพราะหลังจากวันที่ 15 มกราคมนี้ ระบบ SingPass จะไม่ยอมรับบัญชีที่ไม่เซ็ตอัพ 2FA อีกต่อไป

SingPass เป็นบัญชีรวมของรัฐบาลสิงคโปร์ที่ประชาชนใช้เข้าถึงบริการภาครัฐได้กว่า 100 รายการ รวมถึงการยื่นแบบฟอร์มภาษี

Tags:
Node Thumbnail

Private Internet Access (PIA) บริษัทผู้ให้บริการ VPN ประกาศออกทุนในการตรวจสอบโค้ด OpenVPN 2.4 ให้กับ Matthew Green ผู้ช่วยศาสตราจารย์จาก Johns Hopkins Information Security Institute

ตอนนี้ OpenVPN 2.4 ยังอยู่ในสถานะเบต้า ทาง PIA ขอให้ดร. Green ตรวจสอบโค้ดตั้งแต่ตอนนี้ และเมื่อถึงเวอร์ชั่นสุดท้ายแล้วจะมีการเปรียบเทียบ และตรวจสอบอีกครั้ง โครงการจึงสมบูรณ์

รายงานทั้งหมดจะแชร์ให้กับโครงการ OpenVPN เพื่อให้แก้ปัญหาก่อน ทาง PIA ระบุว่าจะไม่เปิดเผยรายงานจนกว่าทาง OpenVPN จะแก้ไขปัญหาเสร็จ

ทาง PIA ระบุว่าบริษัทเลือกจะไม่ระดมทุนทางใดๆ แต่ออกทุนจากบริษัทเองโดยตรงเพราะความปลอดภัยของ OpenVPN มีผลสำคัญต่อชุมชนและต่อบริษํทเองอยู่แล้ว

Tags:
Topics: 
Node Thumbnail

ทีมนักวิจัยความปลอดภัยจาก Newcastle University เผยแพร่วิธีการแฮ็กบัตรเครดิตออนไลน์ โดยที่รู้ข้อมูลหน้าบัตร และสามารถ "เดา" เลข CVV หลังบัตรได้ โดยอาศัยจุดอ่อนในระบบของบัตร Visa

หลักการเดาเลข CVV นั้นง่ายๆ เพราะใช้วิธี brute force เดาเลขไปเรื่อยๆ จนกว่าจะเดาถูก (เลข 3 หลักคือ 1,000 ครั้ง) ช่องโหว่เกิดจาก Visa มีระบบป้องกันการเดารหัส CVV โดยจำกัดจำนวนครั้งที่ให้ลองป้อนข้อมูล (ประมาณ 10-20 ครั้งต่อเว็บไซต์) แต่กลับไม่มีระบบนับการเดาเลข CVV จากหลายเว็บพร้อมกัน ดังนั้นเราจึงสามารถแบ่งชุดของรหัส CVV ไปลองป้อนกับเว็บไซต์หลายแห่งได้ไม่ยาก (unlimited guesses)

Tags:
Node Thumbnail

พบกันเป็นประจำทุกจันทร์แรกต้นเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนธันวาคม 2016 เดือนนี้กลับมาแยกแพตช์เหลือ 2 ชุด ได้แก่ชุด 1 ธ.ค. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน และชุด 5 ธ.ค. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 ธ.ค.มาด้วย)

ที่สำคัญคือ เป็นการปล่อยอัพเดต Android 7.1 เดิมทีมากับ Pixel เท่านั้น ให้กับผู้ใช้งานอุปกรณ์ในกลุ่ม Nexus ด้วย

ผลิตภัณฑ์ในกลุ่ม Pixel/Nexus ที่ได้รับแพตช์พร้อมกับ Android 7.1.1 จะมีดังนี้ครับ

Tags:
Node Thumbnail

ช่องโหว่การจัดการหน่วยความจำที่เกิดขึ้นบ่อยๆ เช่น use-after-free หรือ buffer overflow กลายเป็นช่องทางไปสู่ช่องโหว่ร้ายแรงกันอยู่เนืองๆ ตอนนี้กูเกิลก็ร่วมกับ Core Infrastructure Initiative เปิดตัว OSS-Fuzz ซอฟต์แวร์สร้างชุดทดสอบเพื่อหาช่องโหว่เหล่านี้โดยอัตโนมัติ

OSS-Fuzz รวมเอาเอนจินสร้างชุดทดสอบหลายตัวไว้ด้วยกัน แล้วสร้างระบบรันการทดสอบแบบขนาน ทำให้การทดสอบทำได้อย่างรวดเร็ว

Tags:
Node Thumbnail

ช่วงนี้มัลแวร์ Mirai ที่เกิดจากการใช้กล้องวงจรปิดและอุปกรณ์ IoT มีช่องโหว่จำนวนมาก กลับมาเป็นข่าวอีกครั้งเพราะมีรายงานการใช้มัลแวร์ Mirai เจาะระบบเราเตอร์จำนวนมาก (เคสล่าสุดก่อนหน้านี้คือยิงถล่ม Dyn DNS)

เมื่อปลายเดือนพฤศจิกายน มีคนสร้าง Mirai เวอร์ชันใหม่ มุ่งเป้าโจมตีเราเตอร์ DSL สองยี่ห้อคือ Arcadyan Technology และ Zyxel ซึ่งเป็นเราเตอร์ที่บริษัท Deutsche Telekom ของเยอรมนีจัดหาให้ลูกค้าอินเทอร์เน็ต DSL จำนวน 900,000 ราย

Tags:
Node Thumbnail

เมื่อเร็วๆ นี้ มีนักวิจัยด้านความปลอดภัยจาก Kryptowire ค้นพบว่ามือถือ Android จำนวนมากแอบส่งข้อมูลกลับประเทศจีน โปรแกรม backdoor ตัวนี้พัฒนาโดยบริษัท AdUps Technology จากเซี่ยงไฮ้ และถูกใช้งานในสมาร์ทโฟนยี่ห้อ BLU ผู้ผลิตมือถือกระแสรองจากสหรัฐอเมริกา (ข่าวเก่า)

ล่าสุด BLU ออกมาให้ข้อมูลเบื้องหลังเรื่องนี้แล้ว ซีอีโอ Sammy Ohev-Zion เล่าว่าบริษัทเริ่มกิจการในปี 2011 โดยใช้วิธีสั่งฮาร์ดแวร์จากจีนมาขาย และไม่ได้พัฒนาซอฟต์แวร์ของตัวเองในช่วงแรกๆ แต่ภายหลังก็เริ่มพัฒนาซอฟต์แวร์ของตัวเองเข้ามามากขึ้น อย่างไรก็ตาม ซอฟต์แวร์สำคัญตัวท้ายๆ ที่ Blu ไม่ได้ทำเองคือระบบอัพเดตเฟิร์มแวร์ที่พัฒนาโดย Adups เจ้าปัญหานี้เอง

Tags:
Node Thumbnail

ธนาคารกลางรัสเซียได้แถลงเมื่อวันศุกร์ว่า มีแฮกเกอร์ได้ทำการบุกรุกเข้าไปยังระบบ และสามารถขโมยเงินได้กว่า 2 พันล้านรูเบิล หรือคิดเป็นเงินประมาณ 31 ล้านดอลลาร์ ถือเป็นการแฮกองค์กรการเงินครั้งใหญ่อีกครั้งหนึ่งในปีนี้

Artyom Sychyov เจ้าหน้าที่ของธนาคารกลางได้ให้ความเห็นในรายงานของธนาคารที่ออกมาว่า แฮกเกอร์นั้นใช้วิธีเข้าไปยังบัญชีโดยใช้การปลอม credential ของผู้ใช้ โดยในรายงานของธนาคารกลางไม่ได้ให้รายละเอียดของการบุกรุกมากกว่านี้

Tags:
Node Thumbnail

บริษัทความปลอดภัย Zimperium รายงานช่องโหว่ของ AirDroid แอพควบคุมอุปกรณ์จากระยะไกล (remote access) ยอดนิยมของแพลตฟอร์ม Android โดยระบุว่าโพรโทคอลการสื่อสารของ AirDroid ระหว่างอุปกรณ์กับเซิร์ฟเวอร์ ใช้การเข้ารหัสที่ไม่ปลอดภัยเพียงพอ

Zimperium ลองแกะโค้ดของ AirDroid แล้วพบว่าโพรโทคอลมีการเข้ารหัสข้อมูลก่อนส่ง แต่คีย์ที่ใช้เข้ารหัสกลับถูกฝังแบบ hardcode ภายในตัวแอพ เป็นช่องโหว่ให้แฮ็กเกอร์นำคีย์ไปใช้ดักข้อมูลแบบ Man-in-the-Middle (MITM)

Zimperium แจ้งช่องโหว่นี้ไปยัง AirDroid ตั้งแต่เดือนพฤษภาคม แต่ใน AirDroid เวอร์ชันล่าสุด 4.0.1 ที่เพิ่งออกวันที่ 30 พฤศจิกายน ยังพบช่องโหว่อยู่เหมือนเดิม ส่งผลให้ Zimperium ตัดสินใจเปิดเผยข้อมูลต่อสาธารณะ

Tags:
Node Thumbnail

Mozilla ประกาศพบช่องโหว่สำคัญเกี่ยวกับฟังก์ชัน SVG ใน Firefox ซึ่งถูกใช้งานโจมตีเบราว์เซอร์ Tor (ที่พัฒนาขึ้นบน Firefox) เพื่อค้นหาตัวตนของผู้ใช้งานแล้ว

รูปแบบการโจมตีคือแฮ็กเกอร์จะหลอกผู้ใช้ Tor ให้เข้าเว็บเพจที่มีไฟล์ SVG ฝังไว้ ไฟล์นี้จะอาศัยช่องโหว่ตัวนี้เก็บค่า IP และ MAC ของผู้ใช้ ส่งกลับไปยังเซิร์ฟเวอร์ของแฮ็กเกอร์ได้ ทาง Mozilla ระบุว่าการโจมตีลักษณะนี้คล้ายกับเทคนิคที่ FBI เคยใช้ตามหาผู้ใช้ Tor และมีคนตั้งข้อสงสัย (แต่ไม่มีหลักฐาน) ว่าเป็นไปได้ที่คนใช้ช่องโหว่นี้คือ FBI

Tags:
Node Thumbnail

Intel Security (McAfee เดิม) ออกรายงาน McAfee Labs 2017 Threats Predictions พยากรณ์แนวโน้มความปลอดภัยปี 2017 ประเด็นที่น่าสนใจคือ มัลแวร์เรียกค่าไถ่หรือ ransomware มีโอกาสลดน้อยลงในช่วงครึ่งหลังของปี 2017

ปัจจัยที่ทำให้ ransomware ลดลง เป็นเพราะภัยคุกคามจาก ransomware ส่งผลกระทบในวงกว้าง จนทำให้หลายภาคส่วนต้องมาช่วยกันแก้ปัญหา ทั้งในแง่เทคโนโลยี และในแง่การจับกุมผู้กระทำผิด

Intel Security แยกประเภทของ ransomware ว่ามีทั้งขบวนการขนาดใหญ่ที่มีทักษะสูง (เช่น CryptoLocker และ CryptoWall ที่เริ่มมาก่อนใคร) และกลุ่ม ransomware รายย่อยที่หันมาทำธุรกิจนี้เพราะรายได้ดี แต่จากการจับกุมอาชญากรที่เข้มงวด จะส่งผลให้ ransomware รายย่อยเริ่มลดจำนวนลง

Tags:
Node Thumbnail

ต่อจากข่าว ระบบขนส่งมวลชนซานฟรานซิสโกโดน Ransomware ล่าสุดแฮ็กเกอร์ที่เจาะระบบได้ ประกาศเรียกค่าไถ่ข้อมูลเป็นจำนวน 100 bitcoin (73,000 ดอลลาร์ หรือ 2.6 ล้านบาท) เพื่อให้ระบบคอมพิวเตอร์จัดการตั๋วของเมืองทำงานได้เหมือนเดิม

แฮ็กเกอร์ให้ข้อมูลกับเว็บไซต์ Threatpost ของบริษัท Kaspersky ว่าพวกเขาไม่ได้อาศัยอยู่ในสหรัฐอเมริกา และถ้าทางองค์กรขนส่งมวลชนของซานฟรานซิสโก (SFMTA) ไม่ติดต่อกลับไป พวกเขาจะโพสต์ฐานข้อมูลขนาด 30GB ออกสู่สาธารณะ ซึ่งในฐานข้อมูลนี้มีข้อมูลส่วนตัวของพนักงานและลูกค้า SFMTA ด้วย

Tags:
Node Thumbnail

กสทช. เตรียมเปิดระบบเก็บข้อมูลลายนิ้วมือสำหรับการเปิดซิมใหม่ภายในเดือนกุมภาพันธ์ที่จะถึงนี้ โดยเป็นไปตามความสมัครใจของผู้ใช้บริการ

ทางกสทช. ระบุว่าการเก็บลายนิ้วมือเช่นนี้จะเป็นประโยชน์ต่อผู้ใช้บริการเอง โดยเฉพาะการใช้บริการธนาคารออนไลน์ในอนาคต สำหรับตัวฐานข้อมูลของกสทช. จะพัฒนาโดยคณะวิศวกรรมศาสตร์ มหาวิทยาลัยเกษตรศาสตร์ มีค่าใช้จ่ายในการพัฒนา 15 ล้านบาท ส่วนระบบการยืนยันตัวตนของผู้ใช้นั้น ค่ายมือถือจะต้องเป็นผู้พัฒนาด้วยตัวเอง โดยทางกสทช. อาจจะสนับสนุนค่าใช้จ่ายส่วนนี้ด้วยการลดค่าธรรมเนียมส่วนแบ่งรายได้ลงบางส่วน

Tags:
Node Thumbnail

หนังสือพิมพ์ South China Morning Post อ้างแหล่งข่าวภายในกระทรวงกลาโหมญี่ปุ่น ระบุว่าเครือข่าย Defence Information Infrastructure (DII) ที่เชื่อมต่อระหว่างกระทรวงกลาโหมและกองกำลังป้องกันตัวเองถูกแฮก

แหล่งข่าวระบุว่าแฮกเกอร์ที่เจาะเข้าเครือข่ายมาได้มีความสามารถสูง และเป็นไปได้ว่าจะเป็นกลุ่มแฮกเกอร์ในระดับรัฐ ขณะที่เจ้าหน้าที่ของทางกระทรวงปฏิเสธที่จะแสดงความเห็นในเรื่องนี้

ความเสียหายจากการแฮกครั้งนี้แหล่งข่าวระบุว่ามีข้อมูลบางส่วนหลุดออกไปแล้ว และยังไม่สามารถหาความเสียหายโดยรวมได้ครบ ตอนนี้เจ้าหน้าที่ของกระทรวงและกองกำลังป้องกันตนเองถูกสั่งห้ามไม่ให้ใช้อินเทอร์เน็ตชั่วคราว

Tags:
Node Thumbnail

ระบบคอมพิวเตอร์ของรถไฟฟ้าในซานฟรานซิสโกถูก ransomware โจมตี ทำให้ทางหน่วยงานตัดสินใจเปิดให้บริการฟรีตลอดวันเสาร์ที่ผ่าน

ทาง SFMTA หน่วยงานดูแลรถไฟฟ้าระบุว่า ransomware ไม่ได้กระทบต่อการให้บริการ แต่ทางหน่วยงานตัดสินใจเปิดให้บริการฟรีป้องกันไว้ก่อน

ยังไม่แน่ชัดว่า ransomware แพร่ไปในระบบใดของหน่วยงานบ้าง แต่ระบุว่าระบบอีเมลถูกโจมตี พนักงานบางคนกลัวว่าทางหน่วยงานจะไม่สามารถจ่ายเงินเดือนตามกำหนด

ที่มา - CBS Local

Tags:
Node Thumbnail

Ian Duffy วิศวกรซอฟต์แวร์พบช่องโหว่ของโครงสร้างการอัพเดต Red Hat Enterprise Linux (RHEL) บน Azure

อิมเมจ RHEL บน Azure จะถูกคอนฟิกให้อัพเดตจาก repository ภายในของ Azure เอง โดยค่าเริ่มต้นจะปิดการตรวจสอบแพ็กเกจด้วย gpg เอาไว้ แต่ตรวจสอบการเชื่อมต่อด้วย SSL อย่างเดียว

Ian พบว่าตัวเซิร์ฟเวอร์อัพเดตเปิดให้คนภายนอกเข้าถึง API ได้ และยังมีช่องโหว่ทำให้แฮกเกอร์สามารถอัพโหลดแพ็กเกจใหม่ขึ้นไปได้ ช่องโหว่นี้ทำให้แฮกเกอร์สามารถปลอมแพ็กเกจแล้วส่งเข้าเครื่องที่รัน RHEL บน Azure จำนวนมาก ทันทีที่เครื่องเหล่านั้นสั่ง yum update

Tags:
Node Thumbnail

Oracle เปิดตัวบริการคลาวด์ตัวใหม่ Identity Cloud Service (IDCS) ซึ่งเป็นการนำระบบจัดการตัวตน Identity and Access Management ขึ้นไปรันบนคลาวด์ทั้งหมด 100%

แนวคิดของ Oracle คือตลาดไอทีองค์กรกำลังขยับไปสู่คลาวด์ เดิมทีตลาดระบบจัดการตัวตนแบบ on premise มีผู้เล่นเจ้าตลาดอยู่เยอะแล้ว แต่พอเข้าสู่ยุคคลาวด์ แนวคิดเรื่องความปลอดภัยเปลี่ยนไปจากยุคเก่ามาก เพราะบริการคลาวด์ส่วนใหญ่อยู่นอกไฟร์วอลล์ขององค์กร แนวคิดการใช้ไฟร์วอลล์ป้องกันทุกอย่างเริ่มใช้ไม่ได้อีกแล้ว ต้องหันมาเข้มงวดเรื่องการจำกัดสิทธิการเข้าถึงเป็นรายบุคคลแทน

Tags:
Node Thumbnail

ช่องโหว่ความปลอดภัยคอมพิวเตอร์มีความสำคัญไม่เท่ากัน ที่ผ่านมาระบบการจัดลำดับความสำคัญมักใช้ระบบคะแนน CVSS (Common Vulnerability Scoring System) ที่พิจารณาความเสี่ยงของช่องโหว่ตามความยากง่ายในการโจมตี และผลความเสียหายจาการโจมตี ตอนนี้นักวิจัยเสนอแนวทางใหม่ในการประเมินความเสี่ยงของช่องโหว่โดยอาศัยสภาพแวดล้อมการทำงานจริงเข้ามาคำนวณด้วย

ระบบคะแนน Non-Intrusive and Context-Based Vulnerability Scoring (NCVS) พิจารณาจากการติดตั้งระบบจริง เช่นซอฟต์แวร์บางตัวอาจจะติดตั้งไว้หลังไฟร์วอลล์หลายชั้น และผู้ใช้เข้าถึงผ่านเซิร์ฟเวอร์ตัวอื่นๆ แม้ช่องโหว่จะมีความเสี่ยงสูง แต่ในระบบจริงช่องโหว่ก็ไม่ได้สร้างอันตรายให้กับระบบสูงนัก

Tags:
Node Thumbnail

J. Alex Halderman อาจารย์ด้านความปลอดภัยคอมพิวเตอร์ของมหาวิทยาลัยมิชิแกน เสนอทฤษฎีว่าระบบคอมพิวเตอร์ที่ใช้นับคะแนนเลือกตั้งของสหรัฐอาจมีปัญหา จนเป็นเหตุให้นับคะแนนผิดพลาดจน Hillary Clinton พ่ายแพ้ และเสนอให้นับคะแนนใหม่จากบัตรเลือกตั้งกระดาษ

ระบบการเลือกตั้งในสหรัฐใช้คอมพิวเตอร์เข้าช่วย แม้รูปแบบของแต่ละรัฐแตกต่างกัน แต่แบ่งได้ใหญ่ๆ 2 กลุ่มคือ ลงคะแนนบนกระดาษแล้วนำไปอ่านด้วยเครื่องคอมพิวเตอร์ที่มีสแกนเนอร์เพื่อนับคะแนนเข้าระบบ หรือ ลงคะแนนในคอมพิวเตอร์เลยแต่พิมพ์ยืนยันการโหวตลงกระดาษเป็นหลักฐาน

Tags:
Node Thumbnail

บริษัทความปลอดภัยไซเบอร์ Group-IB ระบุว่ากลุ่มอาชญากรที่มุ่งโจมตีตู้เอทีเอ็มด้วยมัลแวร์ให้จ่ายเงินออกมาเริ่มบุกหลายธนาคารในยุโรป

ทางบริษัทไม่ได้ระบุชื่อธนาคารที่ได้รับผลกระทบ แต่ระบุว่ากลุ่มอาชญากรโจมตีในยุโรป เช่น สหราชอาณาจักร, สเปน, รัสเซีย, โปแลนด์, เนเธอร์แลนด์ นอกจากนี้ยังระบุว่ามาเลเซียก็ถูกโจมตีด้วยเช่นเดียวกัน

ผู้ผลิตตู้เอทีเอ็มรายใหญ่อย่าง Diebold Nixdorf และ NCR ระบุว่าได้แจ้งไปยังธนาคารถึงวิธีการป้องกันการโจมตีแล้ว

การโจมตีตู้เอทีเอ็มด้วยมัลแวร์มีการรายงานครั้งแรกในไต้หวัน ส่วนในไทยธนาคารออมสินเพิ่งถูกโจมตีไปเมื่อเดือนสิงหาคมที่ผ่านมา

Tags:
Node Thumbnail

โครงการหาช่องโหว่ความปลอดภัยแลกรางวัลได้รับความนิยมในหมู่ผู้ผลิตซอฟต์แวร์ และผู้ให้บริการผ่านอินเทอร์เน็ตจำนวนมาก แต่ตอนนี้ผู้ผลิตฮาร์ดแวร์อย่าง Qualcomm ก็หันมาเปิดโครงการเช่นนี้บ้างแล้ว

ทาง Qualcomm จะจำกัดเฉพาะนักวิจัยที่ได้รับเชิญเท่านั้น โดยระบุว่าบริษัทจะเชิญนักวิจัยเข้าร่วมโครงการเพิ่มเติมเรื่อยๆ ตัวโครงการครอบคลุมฮาร์ดแวร์ Snapdragon 400, 615, 801, 808, 810, 820, 821 และโมเด็ม X5, X7, X12, X16 พร้อมกับซอฟต์แวร์ทั้งตัวลินุกซ์เคอร์เนลและเฟิร์มแวร์ ตลอดจนระบบ TrustZone และซอฟต์แวร์อื่นๆ ที่รันในสิทธิ์ root

Tags:
Node Thumbnail

Wordfence ผู้ให้บริการความปลอดภัยสำหรับ WordPress รายงานถึงช่องโหว่ของเซิร์ฟเวอร์ api.wordpress.com ที่มีช่องโหว่นำโค้ดขึ้นไปรันบนเซิร์ฟเวอร์ได้ จนกระทั่งแฮกเกอร์สามารถสั่งเว็บ WordPress ทั่วโลกให้อัพเดตซอฟต์แวร์ที่มุ่งร้ายได้

ช่องโหว่นี้เริ่มต้นจากโค้ด webhook ของ WordPress ที่ใช้เชื่อมต่อไปยัง GitHub โดยเมื่อรับค่าจาก GitHub แล้วจะสั่ง shell_exec แม้ว่าจะมีการตรวจค่าแฮชเพื่อยืนยันว่าข้อมูลมาจาก GitHub แต่ตัว webhook กลับยอมรับค่าแฮชแบบอื่น เช่น crc32 และ adler32 ทั้งที่ GitHub จะส่งค่าแฮชเฉพาะ SHA1 เท่านั้น ทำให้ทาง Wordfence สามารถปลอมค่าแฮช

Tags:
Node Thumbnail

Drupal ออกแพตช์รวมช่องโหว่ความปลอดภัยตามรอบ (ที่สลับเดือนระหว่างการแก้บั๊กและการอุดช่องโหว่ความปลอดภัย) โดยรอบนี้ช่องโหว่มีความร้ายแรงระดับปานปลาง

ช่องโหว่ที่ร้ายแรงสักหน่อยใน Drupal 7 คือการฝัง URL ของหน้าเว็บภายนอกลงในแบบฟอร์มได้ ทำให้ผู้ใช้อาจจะถูกหลอกให้เข้าเว็บปลอมโดยไม่รู้ตัว ขณะที่ Drupal 8 มีช่องโหว่ที่โจมตีแบบให้ล่มได้เมื่อสร้าง URL อย่างจงใจ

แพตช์ชุดนี้มีช่องโหว่รวม 4 ช่องโหว่ อีก 2 ช่องโหว่เป็นช่องโหว่ระดับความร้ายแรงต่ำ อย่างไรผู้ดูแลก็ควรรีบแพตช์กันครับ

ที่มา - Drupal Security

Tags:
Topics: 
Node Thumbnail

IBM Security ประกาศตั้งศูนย์บัญชาการ X-Force Command Centers เพื่อรับมือกับภัยคุกคามด้านความมั่นคงไซเบอร์โดยเฉพาะ

ศูนย์บัญชาการแห่งนี้ตั้งอยู่ที่เมือง Cambridge รัฐแมสซาชูเซตส์ จุดเด่นของศูนย์แห่งนี้คือมีระบบซิมูเลเตอร์ Cyber Range จำลองภัยคุกคามด้านความปลอดภัยไซเบอร์ให้ลูกค้าภาคเอกชนทดสอบ เช่น ลองยิงถล่มหรือแฮกระบบ เพื่อทดสอบความพร้อมของลูกค้า และฝึกฝนเจ้าหน้าที่ฝ่ายความปลอดภัยของลูกค้า ให้รับมือกับภัยคุกคามของจริง ตัวซิมูเลเตอร์ Cyber Range จะใช้ไวรัสหรือมัลแวร์ของจริงเฉกเช่นเดียวกับบรรดาแฮกเกอร์

นอกจากนี้ IBM ยังตั้งหน่วยรับมือภัยคุกคามชื่อ IBM X-Force Incident Response and Intelligence Services (IRIS) คอยให้คำปรึกษากับลูกค้า และช่วยสอบสวนหลักฐานในกรณีโดนแฮกไปแล้ว

Pages