Security

พบช่องโหว่ API อ่านจดหมายของไปรษณีย์สหรัฐฯ ใช้สัญลักษณ์ wildcard ดึงข้อมูลคนอื่นได้

By nutmos

on 26 November 2018 - 22:22 Tag: USPS, Security, Data Breach

USPS

USPS หรือไปรษณีย์สหรัฐฯ มีบริการ API สำหรับอำนวยความสะดวกให้ผู้ใช้บริการที่รับจดหมายจากไปรษณีย์ แต่มีนักวิจัยค้นพบว่า API นี้มีช่องโหว่ที่เปิดให้ใครก็ได้ค้นข้อมูลของคนอื่นได้โดยใช้สัญลักษณ์ wildcard

API ที่เป็นปัญหาของ USPS ชื่อว่า InformedDelivery เป็นเครื่องมือให้ผู้ใช้อ่านจดหมายก่อนจะมาส่งถึงบ้าน และให้ API นี้เชื่อมต่อจดหมายเข้ากับบริการบางอย่างได้ด้วย แต่มีนักวิจัยความปลอดภัยที่ไม่เปิดเผยตัวตนค้นพบว่า API นี้เปิดให้ผู้ใช้สามารถค้นหาข้อมูลโดยใช้สัญลักษณ์ wildcard ซึ่งจะทำให้ผู้ใช้เห็นข้อมูลของคนอื่นด้วย โดยจากการทดลองพบว่าสามารถดึงข้อมูลได้นับล้าน record

แอคเคาท์ไมโครซอฟท์รองรับการล็อกอินด้วยคีย์ FIDO และ Windows Hello แล้ว

By nismod

on 21 November 2018 - 08:47 Tag: Microsoft, Security, FIDO, Windows 10, Windows Hello

Microsoft

ไมโครซอฟท์ประกาศว่าแอคเคาท์ไมโครซอฟท์รองรับการล็อกอินด้วยคีย์ FIDO2 และ Windows Hello แล้ว โดยจะใช้ได้เฉพาะบน Windows 10 (October 2018) ขึ้นไปและเฉพาะบน Microsoft Edge เท่านั้น

การตั้งค่าต้องเข้าไปที่หน้าแอคเคาท์ไมโครซอฟท์ เลือก Security และ More Security Options แล้วกด Windows Hello and Security Keys เพื่อตั้งค่า

ที่มา - Microsoft

แอปเปิลยืนยันชิป T2 ทำให้ต้องนำเครื่องไปซ่อมกับแอปเปิลและตัวแทนเท่านั้น

By nismod

on 19 November 2018 - 13:21 Tag: Apple, Security

Apple

งานเปิดตัวผลิตภัณฑ์ใหม่ของแอปเปิลเมื่อเดือนที่แล้วมาพร้อมกับชิปความปลอดภัย T2 ที่ไม่เพียงดูแลเรื่อง Touch ID หรือการเข้ารหัสข้อมูลในเครื่องเท่านั้น แต่ยังตรวจสอบฮาร์ดแวร์ในเครื่องหลังการซ่อม ว่ามาจากแอปเปิลหรือตัวแทนที่ได้รับการรับรองหรือไม่ด้วย

แอปเปิลยืนยันประเด็นนี้กับ The Verge ระบุว่ามีผลกับอุปกรณ์แมครุ่นใหม่ๆ และกับชิ้นส่วนบางชิ้นอย่างโลจิคบอร์ดหรือ Touch ID แต่ก็ไม่ได้เปิดเผยข้อมูลชิ้นส่วนอื่นๆ ว่าเข้าข่ายแค่ไหน ขณะที่การทำงานของชิปคือจะตรวจสอบว่าชิ้นส่วนที่ถูกเปลี่ยนมานั้น ผ่านการรันด้วยซอฟต์แวร์ Apple Service Toolkit 2 ที่มีเฉพาะแอปเปิลและตัวแทนที่ได้รับการรับรองเท่านั้น

บริษัทสื่อสารในแคลิฟอร์เนียเปิดฐานข้อมูล Elasticsearch ออกสู่สาธารณะ ใช้ดู SMS ได้เกือบเรียลไทม์

By nutmos

on 17 November 2018 - 15:48 Tag: Security, Data Breach, SMS, Telecom

Security

บริษัท Voxox ผู้ให้บริการสื่อสารที่มีสำนักงานอยู่ในรัฐแคลิฟอร์เนียถูกค้นพบว่าไม่ได้ล็อกรหัสผ่านเซิร์ฟเวอร์ฐานข้อมูลไว้ เปิดให้ใครก็ได้เข้าใช้งานและเก็บข้อความ SMS ได้ทันทีในระดับเกือบเรียลไทม์

Sébastien Kaul นักวิจัยความปลอดภัยระบุว่า เขาพบเซิร์ฟเวอร์นี้จาก Shodan เสิร์ชเอนจินที่ค้นหาฐานข้อมูลและอุปกรณ์ที่เข้าถึงได้จากสาธารณะ และเซิร์ฟเวอร์นี้ถูกผูกเข้ากับซับโดเมนของ Voxox ด้วย

Mozilla จัดอันดับของขวัญอุปกรณ์อัจฉริยะที่ถูกใจผู้รับ แต่อาจไม่ปลอดภัยต่อข้อมูลส่วนตัว

By sunnywalker

on 16 November 2018 - 12:23 Tag: Mozilla, Security, Privacy

Mozilla

ในยุคนี้ อุปกรณ์ไอทีกลายเป็นของขวัญสำคัญในช่วงเทศกาล ไม่ว่าจะเป็นอุปกรณ์อัจฉริยะ เครื่องเกม ที่ผู้รับจะรู้สึกยินดีที่ได้ ล่าสุด Mozilla ทำการจัดอันดับไอเดียของขวัญที่เป็น gadget อุปกรณ์ไอที 70 ชิ้น ที่ถูกใจผู้รับ แต่ก็เก็บรวบรวมข้อมูลของผู้ใช้ไปมากเช่นกัน

ผู้อ่านสามารถเข้าไปลองดูในเว็บไซต์และกดดูอุปกรณ์แต่ละชิ้นว่าอยู่ในระดับไหน พอรับได้ไหมเรื่องความปลอดภัย มีโอกาสมากเท่าไรที่เราจะถูกสอดแนม ล้วงข้อมูลจากอุปกรณ์ชิ้นนี้ และสามารถถูกขโมยข้อมูลได้จากทางไหนบ้าง เช่น กล้อง ไมโครโฟน พิกัดสถานที่ เป็นต้น และจะมีระบุด้วยว่าอุปกรณ์ชิ้นนี้มีการเข้ารหัสหรือไม่ แชร์ข้อมูลให้ภายนอกหรือไม่ ผู้อ่านยังสามารถไปโหวตได้ว่า เมื่อได้รู้รายละเอียดเรื่องความปลอดภัยแล้ว จะให้คะแนนความปลอดภัยในระดับไหน

Mozilla เพิ่มฟีเจอร์แจ้งเตือนหากเข้าเว็บไซต์ที่มีประวัติข้อมูลรั่วบน Firefox

By nutmos

on 15 November 2018 - 23:41 Tag: Mozilla, Firefox, Security, Data Breach

Mozilla

Mozilla ประกาศอัพเดตฟีเจอร์ใหม่เพิ่มให้ Firefox Monitor ระบบแจ้งเตือนผู้ใช้หากเว็บไซต์มีการรั่วไหลของข้อมูล โดยเพิ่มให้ Firefox Monitor รองรับอีกหลายภาษา และเพิ่มระบบแจ้งเตือน Firefox Monitor ให้แจ้งเตือนผู้ใช้ผ่านเบราว์เซอร์ Firefox ได้เลย

ผู้ใช้งาน Apple ID บางส่วนถูกล็อกบัญชี และบังคับให้เปลี่ยนรหัสผ่านใหม่

By nuttdam

on 14 November 2018 - 13:01 Tag: Apple, Security

Apple

มีผู้ใช้ Apple ID บางส่วนประสบปัญหาบัญชีถูกล็อก และบังคับเปลี่ยนรหัสใหม่โดยไม่มีสาเหตุ

ปกติแล้ว ระบบนี้จะทำงานเมื่อมีปัจจัยที่ส่งผลต่อความปลอดภัยของบัญชี เช่น มีคนพยายามล็อกอินเข้าไปยังบัญชีโดยใช้รหัสที่ผิดเป็นจำนวนหลายๆ ครั้ง เมื่อบัญชีถูกล็อกแล้ว ผู้ใช้ต้องใส่รหัสหรือเปลี่ยนรหัสใหม่ หากไม่ทำจะไม่สามารถใช้งาน iMessage, iCloud และ Apple Music ได้

แอป PayMe ของธนาคาร HSBC รีเซ็ตรหัสด้วยอีเมลอย่างเดียวได้ คนร้ายยึดอีเมลขโมยเงินเหยื่อ 20 ราย

By lew

on 11 November 2018 - 23:04 Tag: Hong Kong, Banking, Phishing, Security, HSBC

Hong Kong

PayMe บริการ e-Wallet ของธนาคาร HSBC ในฮ่องกงถูกโจมตีจากอาชญากรด้วยการหลอกเหยื่อเอารหัสอีเมล เพื่อรีเซ็ตรหัสผ่านตัวแอป และสั่งโอนเงินออกไปจากเหยื่อประมาณ 20 ราย รวมมูลค่าความเสียหาย 100,000 ดอลลาร์ฮ่องกง

เหยื่อเหล่านี้ถูกอีเมล phishing หลอกถามรหัสผ่าน แต่ตัวแอปเองกลับไม่ได้ป้องกันเงินด้วยการล็อกอินสองขั้นตอน แต่ต้องการเพียงรหัสผ่านที่รีเซ็ตด้วยอีเมลได้

กูเกิลรายงานอัตราการติดตั้งแอปอันตรายรายไตรมาส อินโดนีเซียและอินเดียเสี่ยงหนักสุด

By lew

on 10 November 2018 - 13:02 Tag: Android, Security

Android

กูเกิลรายงานถึงอัตราการติดตั้งแอปพลิเคชั่นที่อาจจะมีอันตราย (Potentially Harmful Applications - PHA) โดยระบุว่าหลังจากนี้จะรวมเข้าเป็นส่วนหนึ่งของรายงานความโปร่งใสของกูเกิล

รายงานแสดงให้เห็นว่าการติดตั้งแอปผ่าน Google Play นั้นเสี่ยงน้อยกว่าการโหลดแอพเองประมาณ 9 เท่าตัว และผู้ใช้แอนดรอยด์เวอร์ชั่นใหม่ๆ ก็เสี่ยงติดตั้งแอป PHA น้อยกว่ามาก และเมื่อแยกอัตราการติดตั้งแอปอันตรายเหล่านี้ สามประเทศแรกที่อัตราการติดตั้งสูงสุดคือ อินโดนีเซีย, อินเดีย, และสหรัฐฯ

ไมโครซอฟท์รับทราบช่องโหว่ SSD เข้ารหัส, ออกคำแนะนำวิธีกลับไปใช้ซอฟต์แวร์

By lew

on 7 November 2018 - 14:10 Tag: Microsoft, SSD, Security

Microsoft

ไมโครซอฟท์ออกเอกสารคำแนะนำความมั่นคงปลอดภัย ADV180028 แนะนำกระบวนการปิดการเข้ารหัสด้วยเฟิร์มแวร์ของผู้ผลิต SSD และหันมาใช้ซอฟต์แวร์ของ BitLocker เองโดยตรง หลังจากเมื่อวานนี้มีรายงานถึงช่องโหว่ของกระบวนการเข้ารหัสบนเฟิร์มแวร์ผู้ผลิต SSD

กระบวนการ ให้คอนฟิก Group Policy เพื่อบังคับใช้ซอฟต์แวร์เข้ารหัสเท่านั้น, จากนั้นปิดการเข้ารหัส, และสั่งเปิด BitLocker ใหม่อีกครั้ง ดิสก์ก็เข้ารหัสด้วยซอฟต์แวร์ของ BitLocker โดยตรง ไม่ได้ใช้เฟิร์มแวร์ดิสก์อีกต่อไป

เอกสารย้ำว่าผู้ใช้ไม่ต้องฟอร์แมตดิสก์ใหม่แต่อย่างใด

งานวิจัยพบกระบวนการเข้ารหัสดิสก์ที่ฝังมากับ SSD มักอ่อนแอ พา BitLocker มีช่องโหว่ไปด้วย

By lew

on 6 November 2018 - 22:15 Tag: SSD, Cryptography, Security

SSD

SSD รุ่นสูงๆ หลายรุ่นมักโฆษณาว่ามีความสามารถเข้ารหัสดิสก์ในตัว แต่งานวิจัยล่าสุดจากทีมวิจัย มหาวิทยาลัย Radboud ในเนเธอร์แลนด์ พบว่ากระบวนการเข้ารหัสจากผู้ผลิตดิสก์มักมีอ่อนแอ แฮกเกอร์สามารถกู้กุญแจเข้ารหัสได้โดยง่าย

ทีมงานทดสอบ SSD จำนวน 7 รุ่นจาก Crucial และ Samsung พบว่ามีช่องโหว่จำนวนมาก ดิสก์บางรุ่นไม่ได้เข้ารหัสกุญแจถอดรหัสดิสก์ด้วยรหัสผ่าน เมื่อนักวิจัยรีเซ็ตรหัสผ่านของเฟิร์มแวร์ก็สามารถถอดรหัสดิสก์ได้ทันที

แพตช์ความปลอดภัย Pixel/Nexus พฤศจิกายน 2018 - รุ่นสุดท้ายของ Nexus 5X/6P, Pixel C

By tekkasit

on 6 November 2018 - 15:31 Tag: Android Pie, Android Oreo, Security, Google Pixel, Google Nexus, Android

Android Pie

วันนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนพฤศจิกายน 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 พ.ย. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 พ.ย. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 พ.ย. มาด้วย)

แพตช์ 1 พ.ย. แก้ช่องโหว่ด้านความปลอดภัย 17 จุด (CVE) เป็นระดับร้ายแรง (critical) 4 จุด เป็นเรื่องของ Mediaserver เจ้าเก่าทั้ง 4 จุด ส่วนแพตช์ 5 พ.ย. แก้เพิ่มอีก 19 จุด เกือบทั้งหมดเป็นเรื่องช่องโหว่บนไดรเวอร์ของผู้ผลิตอย่าง Qualcomm เกือบทั้งหมด เป็นช่องโหว่ระดับร้ายแรงถึง 3 จุด

พบบั๊กบน Windows 10 ให้แอป UWP เข้าถึงไฟล์ทั้งหมดในเครื่องโดยไม่ขอ แก้ไขแล้วในอัพเดตเดือนตุลาคม

By nismod

on 6 November 2018 - 10:53 Tag: Windows 10, Security, UWP

Windows 10

Sébastien Lachance นักพัฒนาแอปสายวินโดวส์รายหนึ่งได้พบบั๊กบน Windows 10 ที่กระทบทุกเวอร์ชันก่อน Build 1809 เปิดช่องให้แอป UWP ที่ขอสิทธิ broadFileSystemAccess สามารถเข้าถึงไฟล์ทั้งหมดในเครื่องได้เลย โดยไม่ขึ้นหน้าให้ผู้ใช้กดอนุญาตก่อน

Chrome 71 จะบล็อคโฆษณาทั้งหมดของเว็บไซต์ หากถูกขึ้นบัญชีดำว่าหลอกคลิกโฆษณา

By mk

on 6 November 2018 - 09:11 Tag: Chrome, Google, Security, Browser, Advertising

Chrome

กูเกิลประกาศว่า Chrome 71 ที่มีกำหนดออกในเดือนธันวาคม 2018 จะบล็อคโฆษณาของเว็บไซต์ที่ถูกขึ้นบัญชีดำว่าเป็นเว็บไซต์ที่สร้างประสบการณ์ไม่ดีแก่ผู้ใช้ (กูเกิลใช้คำว่า abusive experience)

เว็บไซต์ที่เข้าข่าย abusive experience คือพยายามล่อให้ผู้ใช้กดโฆษณาบนเว็บไซต์ด้วยวิธีการต่างๆ ทั้งแบนเนอร์ ป๊อปอัพ วิดีโอ หรือหลอกให้ดาวน์โหลดแอพบนมือถือ ตัวอย่างเทคนิคที่ใช้งาน เช่น ปุ่ม x ปิดโฆษณาที่ไม่ได้ปิดโฆษณาจริงๆ หรือแบนเนอร์ที่หน้าตาเหมือนข้อความแจ้งเตือนของ OS

ผู้สร้างมัลแวร์ Mirai ที่ทำ Dyn ล่มในปี 2016 ถูกตัดสินคุมตัวในบ้าน 6 เดือน ปรับ 280 ล้านบาท

By lew

on 5 November 2018 - 21:28 Tag: Crime, Security, Internet of Things

Crime

คดีมัลแวร์ Mirai ที่ติดไปตามอุปกรณ์ IoT จำนวนมาก จนสามารถยิง DDoS ให้เว็บใดๆ ล่มได้ และสามารถล่มบริการ DynDNS ได้ในปี 2016 ตอนนี้คดีสิ้นสุดลงแล้ว เมื่อศาลนิวเจอร์ซีย์กำหนดโทษให้ Paras Jha ให้ถูกกุมขังในบ้านนาน 6 เดือน ปรับ 8.6 ล้านดอลลาร์หรือ 280 ล้านบาท คุมความประพฤติ 5 ปี และทำงานบริการสังคมอีก 2,500 ชั่วโมง

Jha สารภาพเมื่อปลายปี 2017 ว่าร่วมกับ Dalton Norman สร้างมัลแวร์ Mirai และเผยแพร่มัลแวร์ติดเราท์เตอร์และอุปกรณ์ IoT ได้กว่า 100,000 เครื่อง นอกจากจะใช้ยิง DDoS แล้ว ยังใช้คลิกลิงก์หาค่าโฆษณา

นักวิจัยพบช่องโหว่บน Word 2016 สามารถรันโค้ดมัลแวร์ผ่านวิดิโอที่ฝังในเอกสาร

By nismod

on 5 November 2018 - 15:22 Tag: Microsoft Word, Microsoft, Security

Microsoft Word

นักวิจัยของบริษัท Cymulate บริษัทที่ให้บริการโซลูชันด้านความปลอดภัยได้โพสต์บล็อกเกี่ยวกับการค้นพบช่องโหว่บน Microsoft Word 2016 และเก่ากว่า ผ่านฟีเจอร์ Online Video ที่เปิดให้แฮกเกอร์สามารถรันสคริปต์ผ่านวิดิโอที่ฝังมาบน Word ได้

นักวิจัยระบุว่าช่องโหว่นี้เกิดจาก Word 2016 หรือเก่ากว่า ยอมรันโค้ดจาวาสคริปต์ใดๆ ที่ใส่ไว้ใน attribute embeddedHtml โดย attribute นี้มีไว้เพื่อเก็บค่า iframe จาก YouTube

นักวิจัยสาธิตการโจมตีด้วยการสร้างสตริง base64 ที่สั่งให้รัน Internet Explorere Download Manager ขึ้นมาได้สำเร็จ (ดูคลิปได้จากบล็อกของ Cymulate)

Workplace by Facebook ย้ายโดเมนเนมใหม่ เหตุลูกค้าไม่มั่นใจแบรนด์ Facebook ทำข้อมูลหลุด

By mk

on 1 November 2018 - 21:55 Tag: Workplace by Facebook, Security, Privacy, Facebook

Workplace by Facebook

บริการ Workplace by Facebook หรือ Facebook เวอร์ชันสำหรับองค์กรธุรกิจที่เปิดตัวในปี 2016 เตรียมย้ายออกจากโดเมน facebook.com ไปใช้โดเมน workplace.com ด้วยเหตุผลเรื่องแบรนด์ Facebook ที่มีชื่อเสียด้านข้อมูลหลุด

ปัจจุบันเว็บไซต์ workplace.com เป็นหน้าโฆษณาบริการ Workplace by Facebook อยู่แล้ว แต่ยังถูกใช้เพื่อการโฆษณาเพียงอย่างเดียว การเปลี่ยนแปลงจะเริ่มเห็นในปี 2019 แต่ไม่ระบุช่วงเวลาแน่ชัด

กูเกิลปรับนโยบายความปลอดภัย ต้องเปิด JavaScript ถึงจะล็อกอิน Google Account ได้

By mk

on 1 November 2018 - 21:07 Tag: Google, Security, JavaScript

Google

กูเกิลปรับนโยบายความปลอดภัยของการใช้งานบัญชี Google Account โดยบังคับว่าเบราว์เซอร์ต้องเปิดใช้งาน JavaScript ตอนล็อกอินเสมอ

เหตุผลของกูเกิลเป็นเรื่องความปลอดภัย โดยระบบตรวจสอบความเสี่ยงขณะยืนยันตัวตนของกูเกิล จำเป็นต้องใช้ JavaScript ในการทำงาน กรณีของคนส่วนใหญ่คงไม่มีปัญหาและไม่ต้องเปลี่ยนแปลงอะไร แต่กูเกิลก็ให้ข้อมูลว่ามีผู้ใช้ประมาณ 0.1% ที่ปิด JavaScript ในเบราว์เซอร์

ไมโครซอฟท์เผยผลสำรวจ พีซีเกือบทุกเครื่องที่ไม่ได้ซื้อจากดีลเลอร์ในไทย มาพร้อมมัลแวร์

By nismod

on 1 November 2018 - 12:10 Tag: Microsoft, Thailand, Security

Microsoft

Digital Crime Unit ของไมโครซอฟท์เอเชียในสิงคโปร์ ได้เผยผลสำรวจจากสุ่มทดลองซื้อพีซีใหม่จากร้านค้าที่ไม่ใช่ตัวแทนจำหน่ายอย่างเป็นทางการ (อาทิ ร้านตู้) ใน 9 ประเทศได้แก่อินเดีย มาเลเซีย สิงคโปร์ เกาหลีใต้ ไต้หวัน ฟิลิปปินส์ เวียดนาม อินโดนีเซียและไทย ปรากฎว่า 83% ของพีซีที่ซื้อมาใน 9 ประเทศนี้มาพร้อมซอฟต์แวร์ผิดลิขสิทธิ์ ที่ส่วนใหญ่จะติดมัลแวร์มาด้วยอีกทอด

Mozilla เปิดโครงการปริญญาเอกสร้างอุปกรณ์ IoT ปลอดภัย เรียนพร้อมเงินเดือน

By lew

on 1 November 2018 - 07:31 Tag: Mozilla, Education, Security

Mozilla

มอซิลล่าผู้ดูแลโครงการเบราว์เซอร์ไฟร์ฟอกซ์ได้รับทุนจากสหภาพยุโรปมาสร้างหลักสูตรปริญญาเอก OpenDoTT ร่วมกับมหาวิทยาลัย Dundee เพื่อให้นักวิจัยมาศึกษาการออกแบบอุปกรณ์ IoT ที่มีความปลอดภัยและเชื่อถือได้

ทุนนี้มีระยะเวลา 3 ปี โดยปีแรกจะศึกษาการออกแบบงานวิจัยอยู่ที่มหาวิทยาลัย Dundee จากนั้นไปทำงานร่วมกับมอซิลล่าในเบอร์ลินอีก 18 เดือนก่อนจะกลับมาทำวิจัยที่มหาวิทยาลัยอีก 6 เดือน

Subscribe to Security