Security

Tencent รายงานช่องโหว่โมเด็ม Qualcomm ยึดโทรศัพท์แอนดรอยด์ผ่านทาง Wi-Fi

By lew

on 6 August 2019 - 21:49 Tag: Android, Security, Tencent, Qualcomm

Android

ทีมวิจัย Blade Team ของ Tencent รายงานถึงช่องโหว่ระดับวิกฤติในโมดูลเคอร์เนลของ Qualcomm เปิดทางให้แฮกเกอร์สามารถยึดโทรศัพท์แอนดรอยด์ผ่านทางการยิงแพ็กเก็ต Wi-Fi โดยใช้ชื่อช่องโหว่กลุ่มนี้ว่า QualPwn

ช่องโหว่เกิดจากโมดูลเคอร์เนลที่เป็นไดร์เวอร์โมเด็มของ Qualcomm ที่ไม่ตรวจข้อมูลอินพุตจากตัวโมเด็มดีพอ เมื่อแฮกเกอร์ broadcast แพ็กเก็ตมุ่งร้ายที่ออกแบบมาเฉพาะ จะทำให้เคอร์เนลเขียนข้อมูลลงหน่วยความจำโดยเชื่อข้อมูลจากโมเด็มทันที และนำไปสู่การเขียนข้อมูลทับโมดูลเคอร์เนลและนำไปสู่การรันโค้ดในเครื่องของเหยื่อ

LibreOffice พลาดปล่อยแพตช์ความปลอดภัยไม่สมบูรณ์ ต้องแพตช์ใหม่สัปดาห์หน้า

By lew

on 5 August 2019 - 10:21 Tag: LibreOffice, Security

LibreOffice

เมื่อเดือนที่แล้ว LibreOffice ปล่อยแพตช์ตามรอบปกติเป็นรุ่น 6.2.5 โดยส่วนหนึ่งของแพตช์คือการแก้ช่องโหว่ CVE-2019-9848 ที่เปิดทางให้แฮกเกอร์สร้างไฟล์มุ่งร้ายเพื่อรันสคริปต์ยึดเครื่องได้ โดยหลังจากแพตช์ออกมาแล้วช่วงปลายเดือนก็มีการเปิดเผยรายละเอียดช่องโหว่ออกมา แต่พบว่าแพตช์นั้นไม่สามารถอุดช่องโหว่ได้ครบถ้วน ทำให้ต้องการเตรียมแพตช์ใหม่อีกครั้ง

Project Zero ชี้นโยบายเปิดเผยบั๊กใน 90 วันได้ผล ผู้ผลิตออกแพตช์ทันเวลาถึง 95.8%

By lew

on 4 August 2019 - 20:21 Tag: Security, Project Zero

Security

Project Zero ของกูเกิลออกบทความคำถามพบบ่อย (FAQ) ระบุถึงเหตุผลที่ต้องเปิดเผยช่องโหว่ภายใน 90 วันหลังจากรายงาน แม้ผู้ผลิตจะไม่สามารถแก้ไขได้ทันเวลาก็ตาม โดยระบุว่าด้วยนโยบายปัจจุบัน ผู้ผลิตสามารถแก้ไขได้ก่อนที่ Project Zero จะเปิดเผยช่องโหว่คิดเป็น 95.8% หรือตลอดช่วงเวลาตั้งแต่ปี 2015 เป็นต้นมา มีช่องโหว่ถูกเปิดเผยโดยยังไม่ได้แก้ไขเพียง 66 รายการเท่านั้นจากที่มีการรายงาน 1,585 รายการ

Windows Defender มีส่วนแบ่งตลาดแอนตี้ไวรัสเกินครึ่งของผู้ใช้ Windows แล้ว

By mk

on 3 August 2019 - 17:16 Tag: Microsoft Defender, Microsoft, Security, Antivirus

Microsoft Defender

Tanmay Ganacharya ผู้บริหารฝ่ายวิจัยความปลอดภัยของไมโครซอฟท์ เปิดเผยว่า Windows Defender มีส่วนแบ่งตลาดเกิน 50% ของผู้ใช้ Windows ทั้งหมดแล้ว หรือถ้านับเป็นจำนวนอุปกรณ์คือมากกว่า 500 ล้านเครื่อง

ในแง่จำนวนผู้ใช้ Windows Defender อาจไม่ใช่เรื่องน่าแปลกใจนัก เพราะมาพร้อมกับตัวระบบปฏิบัติการอยู่แล้ว แต่ Ganacharya ก็ให้ข้อมูลว่าการที่ Windows Defender มีส่วนแบ่งตลาดสูงสุด ก็ตกเป็นเป้าโจมตีของไวรัสและมัลแวร์ต่างๆ มากตามไปด้วยเช่นกัน เพราะการเจาะผ่าน Windows Defender สำเร็จมีรางวัลเป็นฐานผู้ใช้จำนวนมากที่สุดนั่นเอง

G Suite รองรับโหมดรักษาความปลอดภัยเข้มข้น บังคับต้องล็อกอินด้วยกุญแจฮาร์ดแวร์

By mk

on 1 August 2019 - 09:42 Tag: G Suite, Google, U2F, Security, Enterprise

G Suite

กูเกิลมีฟีเจอร์รักษาความปลอดภัยระดับสูง Advanced Protection Program เปิดตัวมาตั้งแต่ปี 2017 โดยเปิดให้ผู้ใช้ Google Account ใช้งาน ล่าสุดฟีเจอร์นี้ขยายมายังผู้ใช้ฝั่งองค์กร G Suite เรียบร้อยแล้ว

กูเกิลเริ่มวางขาย กุญแจยืนยันตัวตน Titan Security Keys นอกสหรัฐอเมริกา

By mk

on 1 August 2019 - 09:08 Tag: Google, Security, FIDO, U2F

Google

กูเกิลเริ่มขยายตลาดของ กุญแจยืนยันตัวตน Titan Security Keys ที่เชื่อมต่อกับพีซีหรืออุปกรณ์พกพาผ่าน USB/Bluetooth/NFC ไปยังประเทศอื่นนอกสหรัฐอเมริกาแล้ว

ประเทศชุดที่สองที่ Titan Security Keys วางขายมี 4 ประเทศคือ แคนาดา ฝรั่งเศส ญี่ปุ่น สหราชอาณาจักร โดยยังจำกัดช่องทางการขายผ่านร้านออนไลน์ Google Store ในแต่ละประเทศเท่านั้น

กุญแจ Titan Security Keys ถือเป็นกุญแจยืนยันตัวตนแบรนด์ของกูเกิลเอง ถือเป็นอีกหนึ่งทางเลือกนอกเหนือจากกุญแจยี่ห้อ Yubico ที่นิยมใช้งานกันทั่วไป

ธนาคาร Capital One ถูกแฮก ข้อมูลผู้สมัครบัตรเครดิต 100 ล้านคนรั่วไหล

By lew

on 30 July 2019 - 10:57 Tag: Capital One, Security, Banking, Data Breach

Capital One

ธนาคาร Capital One ออกประกาศว่าเมื่อวันที่ 19 กรกฏาคมที่ผ่านมาทางธนาคารพบว่าระบบถูกแฮกเข้าถึงระบบข้อมูลผู้สมัครบัตรเครดิต ทำให้สามารถเข้าถึงข้อมูลผู้สมัครบัตรที่อยู่ในสหรัฐฯ 100 ล้านคน และจากแคนาดาอีก 6 ล้านคน

ข้อมูลได้แก่ ชื่อ, ที่อยู่, รหัสไปรษณีย์, อีเมล, วันเกิด, ข้อมูลรายได้, คะแนนเครดิต, วงเงิน, ประวัติการจ่ายเงิน, ข้อมูลติดต่อ, และรายการจ่ายเงินบางส่วน รวม 23 วัน นอกจากนี้ยังมีผู้สมัคร 140,000 รายที่ข้อมูลหมายเลขประกันสังคมสหรัฐรั่วไปด้วย และอีก 80,000 รายมีหมายเลขบัญชี ส่วนข้อมูลประกันสังคมแคนาดารั่วไป 1 ล้านเลขหมาย

ถึงขั้นประกาศภาวะฉุกเฉิน รัฐหลุยเซียนาพบโรงเรียนจำนวนมากโดนมัลแวร์โจมตี

By mk

on 29 July 2019 - 22:44 Tag: USA, Malware, Cybersecurity, Security

USA

John Bel Edwards ผู้ว่าการรัฐลุยเซียนา (Louisiana) ของสหรัฐอเมริกา ใช้อำนาจผู้ว่าการรัฐประกาศภาวะฉุกเฉิน (Emergency Declaration) หลังพบว่าโรงเรียนในสังกัดรัฐบาลจำนวนมาก ติดมัลแวร์จนไม่สามารถดำเนินการเรียนการสอนตามปกติได้

ตอนนี้ยังไม่มีข้อมูลว่ามัลแวร์ตัวนี้คืออะไร และมีรูปแบบการโจมตีอย่างไร แต่ในแถลงการณ์ของ Edwards ระบุว่าต้องประกาศภาวะฉุกเฉิน เพื่อให้มีผลทางกฎหมาย สามารถสั่งการให้หน่วยงานที่เกี่ยวข้อง ทั้งตำรวจ หน่วยงานด้านบริการไอทีภาครัฐ และผู้เชี่ยวชาญด้านความปลอดภัยจากหลายส่วน เข้ามาช่วยกันแก้ปัญหาได้โดยเร็ว

Sephora ประกาศข้อมูลบนเว็บรั่วไหล กระทบลูกค้าในไทยด้วย

By lew

on 29 July 2019 - 16:51 Tag: Data Breach, Security

Data Breach

Sephora ประกาศพบการเข้าถึงข้อมูลบนเว็บขายสินค้าออนไลน์ในโซนเอเชียตะวันออกเฉียงใต้ กระทบลูกค้าใน สิงคโปร์ มาเลเซีย อินโดนีเซีย ไทย ฟิลิปปินส์ ฮ่องกง ออสเตรเลีย และนิวซีแลนด์ โดยเบื้องต้นได้ยกเลิกรหัสผ่านและแจ้งลูกค้าให้รีเซ็ตรหัสใหม่แล้ว

ทาง Sephora พบการรั่วไหลตั้งแต่สองสัปดาห์ที่ผ่านมา โดยข้อมูลที่รั่วไหลได้แก่ ชื่อต้น, นามสกุล, วันเกิด, เพศ, อีเมล, รหัสผ่านแบบเข้ารหัส, และข้อมูลเกี่ยวกับความพึงพอใจด้านความงาม โดยไม่มีการเข้าถึงข้อมูลบัตรเครดิตแต่อย่างใด

Android Enterprise ผ่านมาตรฐานความปลอดภัยข้อมูล ISO 27001

By mk

on 26 July 2019 - 09:46 Tag: Android, Enterprise, Security, Google

Android

กูเกิลประกาศข่าว Android Enterprise ผ่านการรับรองมาตรฐาน ISO 27001 ด้านความปลอดภัยของข้อมูล ทำให้หน่วยงานที่ต้องการนำ Android ไปใช้งานภายใน มั่นใจได้มากขึ้นว่ามีระดับความปลอดภัยที่ดีพอ

VLC โวย ช่องโหว่แก้ไปตั้งแต่ปีที่แล้ว, นักวิจัยไม่ตอบคำถาม, MITRE ออกเลข CVE โดยไม่ติดต่อโครงการ

By lew

on 24 July 2019 - 17:50 Tag: VLC, Security

VLC

เมื่อเช้านี้มีข่าว VLC มีช่องโหว่ร้ายแรงถึงระดับรันโค้ดได้โดยไม่มีแพตช์ ตอนนี้ทาง VLC ก็แถลงผ่านทวิตเตอร์ ระบุว่าเป็นช่องโหว่ของไลบรารี libebml ที่แก้ไขไปแล้วประมาณปีครึ่ง และทาง VLC ก็ใช้ไลบรารีเวอร์ชั่นล่าสุดแล้ว โดยเวอร์ชั่นที่แก้ปัญหานั้นมาพร้อมกับ VLC 3.0.3 ตั้งแต่ปีที่แล้ว

[ทางโครงการปฎิเสธข่าวแล้ว] ช่องโหว่ VLC เปิดทางไฟล์ mkv มุ่งร้ายรันโค้ดในเครื่องเหยื่อ ยังไม่มีแพตช์

By lew

on 24 July 2019 - 11:32 Tag: VLC, Security

VLC

update: ทางโครงการออกมาปฎิเสธข่าวแล้ว

เมื่อเดือนที่แล้วมีรายงานถึงบั๊กของโครงการ VLC ที่ไฟล์ mkv ที่ออกแบบมาเฉพาะสามารถทำให้ VLC แครช และแสดงให้เห็นว่ามีบั๊ก buffer overflow นำไปสู่การรันโค้ดในเครื่องของเหยื่อในที่สุด

ผู้ใช้ที่ใช้ชื่อว่า topsec รายงานช่องโหว่นี้ทางช่องทางแจ้งบั๊กปกติ โดยไม่ได้ใช้ช่องทางรายงานช่องโหว่ความปลอดภัย ทำให้ข้อมูลช่องโหว่นี้อยู่บนเว็บ Trac ของโครงการ VLC เพิ่มความเสี่ยงเพราะข้อมูลช่องโหว่ออกสู่สาธารณะก่อนที่จะมีแพตช์

Rust มาแรง? ผลทดสอบประสิทธิภาพ Rustls พบเร็วกว่า OpenSSL 5-40% ไมโครซอฟท์ระบุน่าสนใจสำหรับงานต้องการความปลอดภัย

By lew

on 22 July 2019 - 00:12 Tag: Rust, Programming, Security

Rust

ภาษา Rust เป็นภาษาโปรแกรมที่เพิ่งสร้างขึ้นมาเมื่อปี 2010 โดยมอซิลล่า ผู้สร้างเบราว์เซอร์ไฟร์ฟอกซ์ ตอนนี้ได้รับความสนใจขึ้นมาอีกครั้ง เมื่อ Joseph Birr-Pixton ทีมงาน Rustls ทดสอบการส่งข้อมูลเข้ารหัส เทียบกับ OpenSSL ไลบรารีเข้ารหัสที่แทบจะเป็นมาตรฐานกลางสำหรับการเข้ารหัสในซอฟต์แวร์โอเพนซอร์ส แล้วพบว่าสามารถเอาชนะได้แทบทุกการทดสอบ ตั้งแต่ประสิทธิภาพไปจนถึงการใช้หน่วยความจำ

ผลทดสอบ TLS 1.3 TLS_AES_256_GCM_SHA384 นั้น ประสิทธิภาพการส่งข้อมูล Rustls เร็วกว่า OpenSSL อยู่ 13% ขณะที่ฝั่งรับเร็วกว่า 5.8% ขณะที่การใช้หน่วยความจำน้อยกว่า 54%

คาซัคสถานเตรียมดักฟังอินเทอร์เน็ตทั้งประเทศ เชื่อมต่ออินเทอร์เน็ตต้องติดตั้ง root CA รัฐบาล อ้างความปลอดภัยผู้ใช้

By lew

on 19 July 2019 - 16:11 Tag: Internet, Security, Kazakhstan

Internet

ผู้ให้บริการอินเทอร์เน็ตในคาซัคสถานเริ่มแจ้งเตือนผู้ใช้ให้ติดตั้งใบรับรอง root CA ของทางรัฐบาล โดยระบุเหตุผลว่าเพื่อความปลอดภัยของผู้ใช้งานธนาคารในประเทศ และการส่งข้อมูลจากแฮกเกอร์

ผู้ใช้ได้รับคำแนะนำให้ติดตั้งใบรับรอง root CA ของรัฐบาลบนเว็บ qca.kz โดยเว็บเป็น HTTP ไม่เข้ารหัส

โปรแกรมเมอร์ไมโครซอฟท์ถูกจับจากข้อหาใช้ซอฟต์แวร์จำลองเป็นลูกค้าซื้อบัตรของขวัญจากระบบไปขาย รวมมูลค่า 10 ล้านดอลลาร์

By lew

on 19 July 2019 - 14:12 Tag: Microsoft, Security

Microsoft

กระทรวงยุติธรรมสหรัฐฯ ออกจดหมายข่าวแถลงการจับกุม Volodymyr Kvashuk อดีตโปรแกรมเมอร์ชาวยูเครนที่ทำงานกับไมโครซอฟท์ในสหรัฐฯ โดยระบุว่าเขาใช้บัญชีจำลองลูกค้า สั่งซื้อบัตรของขวัญมูลค่ารวม 10 ล้านดอลลาร์

บัญชีจำลองใช้สำหรับทดสอบระบบ แม้จะสั่งสินค้าได้จริง แต่เมื่อสั่งสำเร็จแล้วสินค้าจะไม่ถูกส่งจริง แต่ระบบกลับไม่ได้ป้องกันการสั่งบัตรของขวัญ ทำให้ผู้ที่เข้าถึงบัญชีจำลองสามารถสั่งซื้อบัตรออกไปขายภายนอกได้

Slack รีเซ็ตรหัสผ่านผู้ใช้ กระทบประมาณ 1 แสนบัญชี เหตุจากการถูกแฮกเมื่อ 4 ปีก่อน

By arjin

on 18 July 2019 - 23:35 Tag: Slack, Security

Slack

Slack ประกาศว่าได้ทำการรีเซ็ตรหัสผ่านของผู้ใช้งาน จำนวนประมาณ 1% ของผู้ใช้งาน ซึ่งหากอ้างอิงตัวเลขจำนวนผู้ใช้ที่ Slack เคยรายงาน จะอยู่ราว 1 แสนบัญชี

บัญชีผู้ใช้งานที่ได้รับผลกระทบนั้น Slack บอกว่าต้องมีเงื่อนไขตรงกัน 3 ข้อ คือ เป็นบัญชีที่สร้างก่อนมีนาคม 2015 และ ไม่เคยเปลี่ยนรหัสผ่านเลย และ ไม่ถูกกำหนดให้ต้องล็อกอินผ่าน single-sign-on (SSO)

Apple ออกแพตช์ macOS เพิ่มเติม เพื่อลบ web server จากซอฟต์แวร์พาร์ทเนอร์ของ Zoom

By arjin

on 17 July 2019 - 10:59 Tag: Zoom, Security, Apple, macOS

Zoom

แอปเปิลได้ออกแพตช์ลบซอฟต์แวร์สำหรับผู้ใช้ macOS ทุกคน เป็นครั้งที่สอง โดยซอฟต์แวร์ที่ถูกถอนออกคือ RingCentral และ Zhumu ซึ่งเป็นแอปประชุมทางวิดีโอที่ใช้เทคโนโลยีของ Zoom ที่มีรายงานช่องโหว่ออกมา และแอปเปิลได้ออกแพตช์ไปก่อนหน้านี้

อัพเดตดังกล่าวเป็นการแพตช์แบบเงียบ ๆ (Silent Update) ผู้ใช้ไม่ต้องทำอะไรเพิ่มเติม ซึ่งจะทำการลบ web server ที่ทั้งสองโปรแกรมลงเพิ่มเติมเข้ามา

ทั้งนี้แอปเปิลชี้แจงว่าแอปเปิลต้องการแก้ไขปัญหาของแอปจาก Zoom ตลอดจนแอปของพาร์ตเนอร์ทั้งหมดให้เรียบร้อย

ธนาคารในเยอรมนี เตรียมเลิกใช้ OTP ผ่าน SMS เพราะไม่ปลอดภัยเพียงพอ

By mk

on 13 July 2019 - 15:05 Tag: Germany, Banking, Authentication, SMS, Security

Germany

ธนาคารของเยอรมนีหลายราย ประกาศแผนการเลิกใช้ระบบยืนยันตัวตนแบบ OTP ผ่าน SMS เนื่องจากเป็นวิธีการยืนยันตัวตนที่ "ไม่ปลอดภัย" ซะแล้ว

การขยับตัวของธนาคารในเยอรมนี เป็นผลมาจากกฎหมาย Payment Services Directive (PSD) ของสหภาพยุโรปที่ออกในปี 2015 และมีผลบังคับใช้ในวันที่ 14 กันยายนปีนี้ ซึ่งกฎหมายระบุว่าธนาคารต้องใช้วิธีการยืนยันตัวตนที่ผ่านมาตรฐาน strong customer authentication (SCA) ที่แข็งแกร่งเพียงพอ

ตัวอย่างวิธีการยืนยันตัวตนที่ผ่านมาตรฐาน SCA คือ การใช้รหัสผ่าน, PIN, passphrase, การตอบคำถามที่อิงกับความรู้, การลากนิ้วเป็นเส้น

แอปเปิลออกแพตช์ลบ web server ของ Zoom ออกจากเครื่องผู้ใช้แล้ว

By BlackMiracle

on 11 July 2019 - 08:27 Tag: Zoom, Apple, Security

Zoom

จากประเด็นอื้อฉาวเรื่องช่องโหว่ของ Zoom เวอร์ชันแมคที่เปิดช่องให้ผู้ไม่ประสงค์ดีแอบล่อให้เหยื่อเข้าสู่การประชุมและเปิดกล้องโดยไม่รู้ตัว

ล่าสุดแอปเปิลได้ออกแพตช์ในฝั่งตัวเองด้วยเพื่อลบ web server ที่ Zoom ติดตั้งไว้เพื่อเป็น "ฟีเจอร์" ให้ผู้ใช้งานเข้าสู่การประชุมได้โดยง่าย โดยแพตช์ดังกล่าวจะถูกอัพเดตสู่เครื่องผู้ใช้แมคทุกคนอย่างเงียบๆ และผู้ใช้ไม่ต้องทำอะไร

ไม่เห็นโลงศพไม่หลั่งน้ำตา Zoom ประกาศอัพเดตถอนเว็บเซิร์ฟเวอร์ในเครื่อง, เพิ่มตัวเลือกปิดวิดีโอก่อนเข้าประชุม

By lew

on 10 July 2019 - 13:36 Tag: Zoom, Security

Zoom

Zoom ประกาศออกแพตช์พิเศษ หลังจากนักวิจัยความปลอดภัยไซเบอร์รายงานช่องโหว่ดึงเหยื่อให้เข้าประชุมแล้วถ่ายทอดสดภาพผู้ใช้ออกไป โดยแพตช์ใหม่จะถอนการติดตั้งเว็บเซิร์ฟวเอร์ออกทั้งหมด และแพตช์ต่อไปในวันศุกร์นี้จะเพิ่มตัวเลือกในการปิดวิดีโอเป็นค่าเริ่มต้น สำหรับการร่วมประชุมในอนาคต

ทาง Zoom ชี้แจงการฝังเว็บเซิร์ฟเวอร์ไว้ในเครื่องผู้ใช้ ว่าทำไปเพื่อหลบเลี่ยงมาตรการความปลอดภัยของ Safari 12 ที่บังคับให้ผู้ใช้ต้องกดยืนยันก่อนเข้าร่วมประชุม และทาง Zoom "รู้สึก" ว่าการบังคับของ Safari ทำให้ประสบการณ์ผู้ใช้ไม่ดี จึงได้สร้างเว็บเซิร์ฟเวอร์ขึ้นมา

Subscribe to Security