Security

นักวิจัยพบช่องโหว่บน Word 2016 สามารถรันโค้ดมัลแวร์ผ่านวิดิโอที่ฝังในเอกสาร

By nismod

on 5 November 2018 - 15:22 Tag: Microsoft Word, Microsoft, Security

Microsoft Word

นักวิจัยของบริษัท Cymulate บริษัทที่ให้บริการโซลูชันด้านความปลอดภัยได้โพสต์บล็อกเกี่ยวกับการค้นพบช่องโหว่บน Microsoft Word 2016 และเก่ากว่า ผ่านฟีเจอร์ Online Video ที่เปิดให้แฮกเกอร์สามารถรันสคริปต์ผ่านวิดิโอที่ฝังมาบน Word ได้

นักวิจัยระบุว่าช่องโหว่นี้เกิดจาก Word 2016 หรือเก่ากว่า ยอมรันโค้ดจาวาสคริปต์ใดๆ ที่ใส่ไว้ใน attribute embeddedHtml โดย attribute นี้มีไว้เพื่อเก็บค่า iframe จาก YouTube

นักวิจัยสาธิตการโจมตีด้วยการสร้างสตริง base64 ที่สั่งให้รัน Internet Explorere Download Manager ขึ้นมาได้สำเร็จ (ดูคลิปได้จากบล็อกของ Cymulate)

Workplace by Facebook ย้ายโดเมนเนมใหม่ เหตุลูกค้าไม่มั่นใจแบรนด์ Facebook ทำข้อมูลหลุด

By mk

on 1 November 2018 - 21:55 Tag: Workplace by Facebook, Security, Privacy, Facebook

Workplace by Facebook

บริการ Workplace by Facebook หรือ Facebook เวอร์ชันสำหรับองค์กรธุรกิจที่เปิดตัวในปี 2016 เตรียมย้ายออกจากโดเมน facebook.com ไปใช้โดเมน workplace.com ด้วยเหตุผลเรื่องแบรนด์ Facebook ที่มีชื่อเสียด้านข้อมูลหลุด

ปัจจุบันเว็บไซต์ workplace.com เป็นหน้าโฆษณาบริการ Workplace by Facebook อยู่แล้ว แต่ยังถูกใช้เพื่อการโฆษณาเพียงอย่างเดียว การเปลี่ยนแปลงจะเริ่มเห็นในปี 2019 แต่ไม่ระบุช่วงเวลาแน่ชัด

กูเกิลปรับนโยบายความปลอดภัย ต้องเปิด JavaScript ถึงจะล็อกอิน Google Account ได้

By mk

on 1 November 2018 - 21:07 Tag: Google, Security, JavaScript

Google

กูเกิลปรับนโยบายความปลอดภัยของการใช้งานบัญชี Google Account โดยบังคับว่าเบราว์เซอร์ต้องเปิดใช้งาน JavaScript ตอนล็อกอินเสมอ

เหตุผลของกูเกิลเป็นเรื่องความปลอดภัย โดยระบบตรวจสอบความเสี่ยงขณะยืนยันตัวตนของกูเกิล จำเป็นต้องใช้ JavaScript ในการทำงาน กรณีของคนส่วนใหญ่คงไม่มีปัญหาและไม่ต้องเปลี่ยนแปลงอะไร แต่กูเกิลก็ให้ข้อมูลว่ามีผู้ใช้ประมาณ 0.1% ที่ปิด JavaScript ในเบราว์เซอร์

ไมโครซอฟท์เผยผลสำรวจ พีซีเกือบทุกเครื่องที่ไม่ได้ซื้อจากดีลเลอร์ในไทย มาพร้อมมัลแวร์

By nismod

on 1 November 2018 - 12:10 Tag: Microsoft, Thailand, Security

Microsoft

Digital Crime Unit ของไมโครซอฟท์เอเชียในสิงคโปร์ ได้เผยผลสำรวจจากสุ่มทดลองซื้อพีซีใหม่จากร้านค้าที่ไม่ใช่ตัวแทนจำหน่ายอย่างเป็นทางการ (อาทิ ร้านตู้) ใน 9 ประเทศได้แก่อินเดีย มาเลเซีย สิงคโปร์ เกาหลีใต้ ไต้หวัน ฟิลิปปินส์ เวียดนาม อินโดนีเซียและไทย ปรากฎว่า 83% ของพีซีที่ซื้อมาใน 9 ประเทศนี้มาพร้อมซอฟต์แวร์ผิดลิขสิทธิ์ ที่ส่วนใหญ่จะติดมัลแวร์มาด้วยอีกทอด

Mozilla เปิดโครงการปริญญาเอกสร้างอุปกรณ์ IoT ปลอดภัย เรียนพร้อมเงินเดือน

By lew

on 1 November 2018 - 07:31 Tag: Mozilla, Education, Security

Mozilla

มอซิลล่าผู้ดูแลโครงการเบราว์เซอร์ไฟร์ฟอกซ์ได้รับทุนจากสหภาพยุโรปมาสร้างหลักสูตรปริญญาเอก OpenDoTT ร่วมกับมหาวิทยาลัย Dundee เพื่อให้นักวิจัยมาศึกษาการออกแบบอุปกรณ์ IoT ที่มีความปลอดภัยและเชื่อถือได้

ทุนนี้มีระยะเวลา 3 ปี โดยปีแรกจะศึกษาการออกแบบงานวิจัยอยู่ที่มหาวิทยาลัย Dundee จากนั้นไปทำงานร่วมกับมอซิลล่าในเบอร์ลินอีก 18 เดือนก่อนจะกลับมาทำวิจัยที่มหาวิทยาลัยอีก 6 เดือน

เผยกูเกิลเขียนในสัญญา บังคับผู้ผลิต Android อัพเดตแพตช์ความปลอดภัย ขั้นต่ำปีละ 4 ครั้ง

By mk

on 25 October 2018 - 11:05 Tag: Android, Security, Google

Android

ปัญหาผู้ผลิตฮาร์ดแวร์ไม่ยอมอัพเดตแพตช์ Android เป็นเรื่องเรื้อรังมานาน ล่าสุดเว็บไซต์ The Verge ได้เอกสารสัญญาระหว่างกูเกิลกับผู้ผลิตรายหนึ่ง และพบว่ากูเกิลกำหนดเงื่อนไขไว้ในสัญญาโดยตรง ว่าผู้ผลิตต้องอัพเดตแพตช์ความปลอดภัยอย่างน้อย 4 ครั้งในปีแรกที่วางขาย ส่วนปีที่สองระบุว่าต้องอัพเดตแพตช์แต่ไม่ระบุจำนวนครั้ง

การออกแพตช์ยังมีกำหนดเวลาบังคับว่า อุปกรณ์จะต้องปิดช่องโหว่ที่มีอายุเกิน 90 วัน นั่นแปลว่าผู้ผลิตสามารถทิ้งช่วงการออกแพตช์ให้ช้ากว่ารอบแพตช์ของกูเกิลได้ประมาณ 3 เดือน เท่ากับเฉลี่ยแล้วหนึ่งปีต้องออกแพตช์อย่างน้อยไตรมาสละ 1 ครั้ง

Cathay Pacific ถูกแฮกข้อมูลตั้งแต่เดือนมีนาคม กระทบผู้โดยสาร 9.4 ล้านราย

By lew

on 25 October 2018 - 05:31 Tag: Data Breach, Security, Privacy

Data Breach

สายการบิน Cathay Pacific รายงานถึงการสอบสวนการเข้าถึงข้อมูลผู้โดยสารโดยไม่ได้รับอนุญาตตั้งแต่เดือนมีนาคมที่ผ่านมา รวมผู้โดยสารที่อาจได้รับผลกระทบ 9.4 ล้านคน ทั้งของ Cathay Pacific เอง และสายการบิน Hong Kong Dragon

ข้อมูลที่ได้รับกระทบได้แก่ ชื่อผู้โดยสาร, สัญชาติ, วันเกิด, เบอร์โทรศัพท์, อีเมล, ที่อยู่, หมายเลขหนังสือเดินทาง, หมายเลขบัตรประชาชน, หมายเลขสะสมไมล์, โน้ตจากศูนย์บริการลูกค้า, หมายเลขบัตรเครดิต, และประวัติการเดินทาง

Pixel 3 ได้ฟีเจอร์ Android Protected Confirmation ใช้ฮาร์ดแวร์ยืนยันการทำธุรกรรม

By nismod

on 24 October 2018 - 10:44 Tag: Google Pixel 3, Google, Security, Android Pie

Google Pixel 3

Android Pie มาพร้อมกับ Android Protected Confirmation ฟีเจอร์ด้านความปลอดภัยในการทำธุรกรรม ซึ่ง Google เพิ่งเผยรายละเอียดเรื่องนี้ โดยมี Pixel 3 เป็นมือถือรุ่นแรกที่รองรับฟีเจอร์นี้

Google อธิบายว่า Android Protected Confirmation เป็น API ที่เรียกใช้ฮาร์ดแวร์ช่วยคุ้มครองการทำธุรกรรมหรือสั่งงานอุปกรณ์การแพทย์สำคัญๆ (Trusted UI) แยกจาก OS บนสมาร์ทโฟนอย่างสมบูรณ์ ป้องกันกรณีที่ OS ถูกฝังด้วยมัลแวร์และดักข้อมูลธุรกรรมของเราไป

เมื่อแอปสั่งเรียกใช้งาน Protected Confirmation ตัว Trusted UI จะทำงาน ข้อมูลธุรกรรมจะถูกแสดงผลบนหน้าจอ และให้ผู้ใช้กดยืนยันด้วยปุ่มล็อคหน้าจอ

Google เผยเตรียมโอเพนซอร์สเฟิร์มแวร์ชิป Titan M

By nismod

on 24 October 2018 - 10:06 Tag: Google Pixel 3, Google, Security

Google Pixel 3

ชิป Titan M ที่ถอดแบบมาจากชิป Titan บนดาต้าเซ็นเตอร์เป็นหนึ่งในฟีเจอร์หลักด้านความปลอดภัยบน Pixel 3 ที่ดูแล bootloader และการเข้ารหัสทั้งหมดแยกส่วนออกมาจากชิปเซ็ตหลักของสมาร์ทโฟน

Xiaowen Xin ผู้จัดการโปรเจ็คด้านความปลอดภัยของ Google เปิดเผยกับ Wired ว่า Google เตรียมจะเปิดโอเพนซอร์สเฟิร์มแวร์ของ Titan M ภายในไม่กี่เดือนข้างหน้าด้วย เพื่อสร้างความมั่นใจให้นักวิจัยด้านความปลอดภัยว่าเรื่องนี้ Google ทำได้จริงอย่างที่พูด

ไมโครซอฟท์ประเมินช่องโหว่ที่นักวิจัยแจ้งพลาดจนนักวิจัยเปิดช่องโหว่สู่สาธารณะ สุดท้ายไมโครซอฟท์จ่ายรางวัล 15,000 ดอลลาร์

By lew

on 23 October 2018 - 23:49 Tag: Microsoft, Security, Bug Bounty

Microsoft

Matt Nelson นักวิจัยความปลอดภัยอิสระเล่าบทเรียนถึงการรายงานช่องโหว่การข้ามการบล็อค OLE ในไฟล์ Office 2016 ที่เปิดให้แฮกเกอร์ส่งไฟล์ที่ฝังสคริปต์ไว้ภายในแล้วไปรันบนเครื่องของเหยื่อได้ แต่ความผิดพลาดในการสื่อสารทำให้ไมโครซอฟท์ไม่รับบั๊กไว้ จนกระทั่งมีการใช้ช่องโหว่ไปโจมตีผู้ใช้ในที่สุด

ISP ในรัฐวอชิงตันปล่อยข้อมูลใน S3 ออกเป็นสาธารณะ มีข้อมูลเครือข่ายของบริษัทด้วย

By nutmos

on 23 October 2018 - 22:38 Tag: ISP, Security, Data Breach

ISP

บริษัท Pocket iNet ผู้ให้บริการอินเทอร์เน็ตในรัฐวอชิงตันถูกพบว่าปล่อยข้อมูลบน bucket ของ Amazon S3 ออกเป็นสาธารณะ โดยมีข้อมูลรวมทั้งหมด 73GB อยู่ในนั้น

ผู้บริหาร AWS และ Super Micro เรียกร้องให้ Bloomberg ถอนคำพูดเรื่องชิพดักข้อมูลในเซิร์ฟเวอร์

By nutmos

on 23 October 2018 - 08:30 Tag: AWS, Amazon, China, Security, Bloomberg

AWS

หลังจากที่ฝั่ง Apple โดยซีอีโอ Tim Cook ออกมาเรียกร้องให้ Bloomberg ถอนรายงานเกี่ยวกับชิพอันตรายแล้ว ล่าสุดผู้บริหารของบริษัทที่ได้รับผลกระทบเต็ม ๆ อีกสองบริษัทคือ Amazon และ Super Micro ก็ออกมากล่าวถึงเรื่องนี้บ้าง

SingPass ระบบล็อกอินกลางรัฐบาลสิงคโปร์ เปิดให้ล็อกอินด้วยลายนิ้วมือหรือ FaceID ผ่านแอพ

By lew

on 23 October 2018 - 01:51 Tag: Singapore, Security, Biometric

Singapore

SingPass บริการล็อกอินกลางของรัฐบาลสิงคโปร์ที่รวบรวมบริการออนไลน์ภาครัฐแทบทั้งหมดเข้าไว้ในล็อกอินเดียว เปิดตัวแอพ SingPass Mobile แอพล็อกอินแทนการใส่รหัสผ่าน เปิดทางให้สามารถใช้ PIN, ลายนิ้วมือ, หรือ FaceID (เฉพาะ iOS) แทนได้

กระบวนการติดตั้งแอพครั้งแรกยังต้องใช้รหัสผ่านและ one-time password เป็นการยืนยันสองขั้นตอนเช่นเดิม เมื่อยืนยันตัวตนเรียบร้อยแล้วจะสามารถตั้ง PIN และเปิดใช้งานการยืนยันตัวตนด้วยลายนิ้วมือหรือ FaceID ได้

ระบบกลางซื้อประกันสุขภาพสหรัฐฯ ถูกแฮก ข้อมูลผู้ใช้ 75,000 คนรั่วไหล

By lew

on 23 October 2018 - 00:49 Tag: USA, Hacking, Security, Data Breach

USA

Direct Enrollment pathway ระบบจัดซื้อประกันสุขภาพผ่านรัฐบาลกลางของสหรัฐฯ ถูกแฮก และแฮกเกอร์เข้าถึงข้อมูลของผู้ใช้รวม 75,000 คน หลังจากพบความผิดปกติในการใช้งานตั้งแต่วันที่ 13 ตุลาคมที่ผ่านมา และยืนยันได้ว่ามีการบุกรุกในวันที่ 16 ตุลาคม

Centers for Medicare & Medicaid Services (CMS) หน่วยงานผู้ดูแลระบบช่องทางการซื้อประกันสุขภาพตามกฎหมาย Affordable Care (โอบามาแคร์) ยืนยันว่าพลเมืองสหรัฐฯ จะยังสามารถซื้อประกันสุขภาพผ่านทางช่องทางอื่นๆ ได้แก่ HealthCare.org หรือ Marketplace Call Center แต่ตอนนี้ช่องทาง Direct Enrollment นั้นถูกปิดไปแล้ว และจะเปิดกลับมาใน 7 วันข้างหน้า

นักวิจัยพบช่องโหว่ร้ายแรงบนเราท์เตอร์ D-Link เข้าควบคุมเครื่องได้, ยังคงไร้แพตช์

By nismod

on 21 October 2018 - 22:22 Tag: D-Link, Router, Security

D-Link

Błażej Adamczyk นักวิจัยด้านความปลอดภัยชาวโปแลนด์จากมหาวิทยาลัยเทคโนโลยี Silesian ได้ค้นพบช่องโหว่ระดับวิกฤติ 3 ช่องโหว่ที่กระทบกับเราท์เตอร์ D-Link 6 รุ่นได้แก่ DWR-116, DWR-140L, DWR-512, DWR-640L, DWR-712, DWR-912, DWR-921, และ DWR-111

Adamczyk ติดต่อไปยัง D-Link หลังค้นพบช่องโหว่ในเดือนพฤษภาคม โดยได้รับคำตอบกลับมาว่าจะแพทช์ 2 รุ่น ส่วนที่เหลือเข้าสู่สถานะ EOL แล้ว ทว่าเวลาผ่านไปก็ยังคงไม่มีแพตช์ออกมา ทำให้ Adamczyk ตัดสินใจเปิดเผยช่องโหว่นี้ออกสู่สาธารณะดังนี้

Google Play ตรวจสอบไฟล์ APK ที่แชร์ระหว่างเครื่องว่าของแท้หรือไม่ แม้ไม่ได้ต่อเน็ต

By mk

on 21 October 2018 - 20:58 Tag: Google Play, Android, Security

Google Play

กูเกิลเคยประกาศเอาไว้ว่า จะเพิ่มข้อมูล metadata ลงในไฟล์ APK ของแอพบน Play Store เพื่อยืนยันว่าเป็นไฟล์ที่เคยเผยแพร่ผ่าน Play Store จริงๆ

ล่าสุดกูเกิลขยายผลจากข้อมูลนี้แล้ว โดยแอพที่แชร์ไฟล์แบบ P2P ผ่านโปรแกรมจำพวก SHAREit หรือ Google Files Go จะมีการแจ้งเตือนว่าเป็นไฟล์แอพแท้หรือไม่ แม้ว่าอุปกรณ์ที่ใช้งานจะไม่ได้เชื่อมต่อเน็ตก็ตาม

Firefox Nightly เป็นเบราว์เซอร์แรกที่รองรับ ESNI ป้องกันการแอบดูว่าเรากำลังเข้าเว็บอะไร

By lew

on 20 October 2018 - 12:52 Tag: Firefox, Privacy, Security

Firefox

ไฟร์ฟอกซ์เริ่มรองรับมาตรฐาน ESNI ในรุ่น Nightly ล่าสุดแล้ว หลังทดสอบมาตรฐานเมื่อกลางปีที่ผ่านมา และ CloudFlare เริ่มเปิดให้บริการเต็มรูปแบบ

Google อธิบายการทำงานชิป Titan M บน Pixel 3 ดูแลความปลอดภัยตั้งแต่ bootloader ถึงการทำธุรกรรม

By nismod

on 20 October 2018 - 11:37 Tag: Google Pixel 3, Security, Google

Google Pixel 3

Google ทยอยเขียนบล็อกอธิบายความสามารถใหม่ๆ บน Pixel 3 ก่อนหน้านี้เป็นเรื่องของกล้องและ AI ล่าสุด Google เขียนอธิบายเรื่องชิปความปลอดภัย Titan M ที่มีฟีเจอร์ลักษณะเดียวกับชิป Titan บนดาต้าเซ็นเตอร์

Titan M ดูแลความปลอดภัยตั้งแต่ระดับ bootloader ตรวจสอบว่าแอนดรอยด์ถูกบูตขึ้นมาแบบปลอดภัย (secure boot), รันแอนดรอยด์เวอร์ชันที่ถูกต้องและป้องกันมัลแวร์มาปลดล็อค bootloader

libssh มีช่องโหว่ร้ายแรง ล็อกอินได้ไม่ต้องยืนยันตัวตน (ไม่เกี่ยวกับ OpenSSH)

By lew

on 18 October 2018 - 01:06 Tag: Security Patch, Security

Security Patch

libssh ไลบรารีสำหรับพัฒนาแอพที่ให้บริการผ่าน โปรโตคอล Secure Shell (GitHub ที่สามารถ clone ผ่าน SSH ได้ก็ใช้ไลบรารีตัวนี้) ประกาศช่องโหว่ CVE-2018-10933 ที่ผู้ใช้สามารถล็อกอินได้สำเร็จทันที เพียงแค่ส่งแมสเสจ SSH2_MSG_USERAUTH_SUCCESS แทนที่จะส่ง SSH2_MSG_USERAUTH_REQUEST ตามปกติ

ถึงจุดอวสาน PHP 5.x เพราะ PHP 5.6 ตัวสุดท้าย หมดระยะซัพพอร์ตสิ้นปี 2018

By mk

on 15 October 2018 - 12:39 Tag: PHP, Security

PHP

เรื่องใหญ่ที่ผู้ดูแลระบบเว็บต้องเตรียมพร้อมรับมือกันในเร็วๆ นี้คือ PHP 5.6 รุ่นสุดท้ายในซีรีส์ PHP 5.x จะหมดระยะซัพพอร์ตในวันที่ 31 ธันวาคม 2018

นั่นแปลว่าเมื่อขึ้นปี 2019 เป็นต้นไป PHP 5.x จะไม่มีแพตช์ความปลอดภัยอีกแล้ว หากมีช่องโหว่ใหม่ถูกค้นพบ ก็เป็นความเสี่ยงอย่างมากที่จะถูกโจมตี

โครงการ PHP พยายามจะหยุดการซัพพอร์ต PHP 5.x ตั้งแต่ปี 2017 แต่เนื่องจาก PHP 5.6 ยังเป็นเวอร์ชันที่ได้รับความนิยมสูงสุด จึงขยายเวลาให้มาจนถึงสิ้นปี 2018 ซึ่งเราใกล้เดินทางไปถึงจุดนั้นแล้ว

Subscribe to Security