Security

ทีมวิจัยวิเคราะห์ Smart Contract บน Ethereum พบช่องโหว่กว่า 30,000 สัญญา

By lew

on 7 March 2018 - 01:20 Tag: Ethereum, Security

Ethereum

ทีมวิจัยจากมหาวิทยาลัยแห่งชาติสิงคโปร์ (NUS) วิเคราะห์ smart contract บน Ethereum เพื่อหาช่องโหว่ต่างๆ จากทั้งหมดกว่าล้านสัญญา และพบว่ากว่าสามหมื่นสัญญาน่าจะมีช่องโหว่

ช่องโหว่ของ smart contract แบ่งออกเป็น 3 ประเภทหลักๆ ได้แก่

เหมาะกับทุกวัย, Kali Linux ลง Windows App Store แล้ว

By lew

on 7 March 2018 - 00:53 Tag: Kali, Windows, Linux, Security, WSL

Kali

หลังไมโครซอฟท์ออก Windows Subsystem for Linux (WSL) ก็ทำให้ลินุกซ์ดิสโทรต่างๆ สามารถกลายเป็นแอปหนึ่งบน Windows App Store ล่าสุดดิสโทรสำหรับแฮกเกอร์และผู้ทดสอบความปลอดภัยอย่าง Kali Linux ก็ลง Windows App Store เป็นทางการแล้ว

กูเกิลปล่อยแพตช์ความปลอดภัย Pixel/Nexus รอบมีนาคม 2018

By tekkasit

on 6 March 2018 - 22:27 Tag: Android Oreo, Security, Google Pixel, Google Nexus, Google, Android

Android Oreo

พบกันเป็นประจำทุกเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนมีนาคม 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 มี.ค. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 มี.ค. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 มี.ค. มาด้วย)

สำหรับแพตช์ 1 มี.ค. แก้ช่องโหว่ด้านความปลอดภัย 16 จุด (CVE) เป็นระดับร้ายแรง (critical) 8 จุด ซึ่งเป็นเรื่องของ Mediaserver เจ้าเก่าถึง 4 จุด ส่วนแพตช์ 5 มี.ค. แก้เพิ่มอีก 21 จุด ส่วนมากแก้ปัญหาช่องโหว่บนไดรเวอร์ของผู้ผลิตฮาร์ดแวร์อย่าง NVIDIA, Qualcomm โดยมีระดับร้ายแรง 3 จุด

เฟซบุ๊กเปิดใช้งานระบบแก้ลิงก์ให้เป็น HTTPS กับทั้งเฟซบุ๊กและอินสตาแกรม

By nismod

on 6 March 2018 - 16:33 Tag: Facebook, Instagram, HSTS, HTTPS, Security

Facebook

เฟซบุ๊กเริ่มผลักดันการใช้งานเว็บไซต์ที่เข้ารหัส SSL/TLS กับเขาบ้างแล้ว จากการประกาศล่าสุดที่ระบุว่า เฟซบุ๊กจะเปิดใช้งานระบบแก้ลิงก์ ซึ่งจะแก้ลิงก์ที่ไม่เป็น HTTPS สำหรับเว็บที่รองรับ HSTS ให้เป็น HTTPS ทั้งบนทั้งบนเฟซบุ๊กและอินสตาแกรม

วิศวกรของเฟซบุ๊กระบุว่าบริษัทจะตรวจสอบเว็บไซต์จาก HSTS Preload List ที่เบราว์เซอร์ส่วนใหญ่ซัพพอร์ทอยู่แล้ว ขณะเดียวกันถึงแม้เว็บที่ไม่ได้อยู่ใน Preload List แต่ให้บริการเป็น HTTPS ทางเฟซบุ๊กก็จะแก้ไขให้เองด้วยเช่นกัน

ซัมซุงปลดระวาง หยุดอัพเดตแพตช์ให้ Galaxy A3, J1, J3 รุ่นปี 2016

By mk

on 5 March 2018 - 09:49 Tag: Samsung Galaxy, Samsung, Galaxy A, Galaxy J, Security, Mobile

Samsung Galaxy

ซัมซุงถอดมือถือที่ออกขายในปี 2016 บางรุ่นออกจากรายชื่อมือถือที่จะได้อัพเดตแพตช์ความปลอดภัย ได้แก่ Galaxy A3 (2016), Galaxy J1 (2016), Galaxy J3 (2016) มือถือทั้งสามรุ่นนี้วางขายช่วงปลายปี 2015 ถึงต้นปี 2016 ถือว่ามีอายุประมาณ 2 ปีพอดี

ในโอกาสเดียวกัน ซัมซุงก็เพิ่มมือถือรุ่นใหม่ๆ ในรายชื่อมือถือที่จะได้อัพเดตแพตช์คือ Galaxy A8 (2018), A8+ (2018), J2 (2018) รายชื่อทั้งหมดดูได้จากหน้า Android Security Updates ของซัมซุง

DigiCert ประกาศ revoke ใบรับรองรวดเดียว 23,000 ใบ หลังพบหลักฐานว่ากุญแจหลุด อาจมีเพิ่มอีก

By lew

on 1 March 2018 - 01:33 Tag: Digital Certificate, Security

Digital Certificate

Jeremy Rowley จาก DigiCert แจ้งเตือนในกลุ่ม mozilla.dev.security.policy ว่าบริษัทกำลังประกาศยกเลิก (revoke) ใบรับรองรวดเดียวจำนวน 23,000 ใบ หลังยืนยันได้ว่ากุญแจสำหรับใบรับรองเหล่านั้นหลุดออกไปยังผู้อื่นแล้วจริง

อีเมลของ Rwoley ระบุว่าใบรับรองเหล่านี้ขายผ่านบริษัทตัวแทน Trustico ที่แจ้งขอยกเลิกใบรับรองเหล่านี้มาตั้งแต่ต้นเดือนกุมภาพันธ์แต่กลับสื่อสารผิดพลาดจึงไม่เดินหน้าไปไหน โดยทาง DigiCert ขอหลักฐานว่ากุญแจรั่วไหลออกไปแล้วจริง

1Password เปิดให้บริการตรวจสอบรหัสผ่านรั่วไหล ใช้ฐานข้อมูลที่เก็บจากการรั่วของรหัสผ่านหลายครั้ง

By nutmos

on 24 February 2018 - 09:30 Tag: 1Password, Password, Security, Password Manager

1Password

บริการจัดการรหัสผ่าน 1Password ได้เพิ่มฟีเจอร์ใหม่เพื่อตรวจสอบว่ารหัสผ่านของผู้ใช้รั่วออกไปหรือยัง โดยใช้บริการของ Troy Hunt ผู้เชี่ยวชาญด้านความปลอดภัยที่มีชื่อว่า Pwned Passwords โดยบริการนี้มีฐานข้อมูลรหัสผ่านเก็บได้จากการรั่วไหลจำนวนกว่า 500 ล้านรหัส

พบช่องโหว่บน uTorrent แฮกเกอร์สามารถสั่งรันโค้ดระยะไกล หรือดูประวัติการดาวน์โหลดได้

By nutmos

on 22 February 2018 - 09:54 Tag: uTorrent, BitTorrent, Security, Bug, Project Zero

uTorrent

Tavis Ormandy นักวิจัยจาก Project Zero ของ Google รายงานว่าซอฟต์แวร์ uTorrent บน Windows มีช่องโหว่ที่สามารถใช้เพื่อทำการรันโค้ดระยะไกล, ดาวน์โหลดมัลแวร์ใส่ไว้ในโฟลเดอร์สตาร์ทอัพของ Windows (เพื่อให้รันตอนรีบู๊ตครั้งถัดไป), คัดลอกไฟล์ที่ดาวน์โหลดมาแล้วและดูประวัติการดาวน์โหลดได้

Ormandy ค้นพบว่าช่องโหว่ของ uTorrent นี้เป็นช่องโหว่จาก DNS rebinding ทำให้ผู้บุกรุกเข้า resolve web domain บนคอมพิวเตอร์ของผู้ใช้และเก็บกุญแจเพื่อใช้เข้าถึงได้ โดยตอนนี้ช่องโหว่ดังกล่าวได้รับการแก้ไขจาก BitTorrent เรียบร้อยแล้ว

Project Zero แฮก Edge ข้ามการป้องกันการวางโค้ดใหม่ลงในโปรเซสได้สำเร็จ, ไมโครซอฟท์แก้ไม่ทัน 90 วันทำให้ช่องโหว่ถูกเปิดเผย

By lew

on 20 February 2018 - 02:17 Tag: Project Zero, Google, Microsoft Edge, Security

Project Zero

Project Zero เผยแพร่ช่องโหว่ของ Edge ระดับความร้ายแรงปานกลาง ที่สามารถข้ามกระบวนการป้องกัน Arbitrary Code Guard (ACG) ของไมโครซอฟท์ได้สำเร็จ

ACG ปิดทางไม่ได้แฮกเกอร์สามารถวางโค้ดลงในโปรเซสด้วยตัวเองได้ และไมโครซอฟท์ก็แยก JIT กับ Content Process ออกจากกัน ทำให้โดยปกติแล้วแฮกเกอร์สามารถวางโค้ดใดๆ เพื่อรันด้วยตัวเองได้ยากมาก

พบช่องโหว่บน Skype เวอร์ชันเดสก์ท็อป ไมโครซอฟท์ยังไม่ออกแพทช์ เพราะต้องแก้โค้ดเยอะ

By cc-sky

on 15 February 2018 - 16:49 Tag: Skype, Microsoft, Security

Skype

มีรายงานว่าพบช่องโหว่บน Skype เวอร์ชันเดสก์ท็อปในส่วนของตัวติดตั้งอัพเดต เมื่อถูกโจมตี จะสามารถทำให้ผู้ใช้งานได้รับสิทธิเข้าถึงระดับ system ในทันที

Stefan Kanthak นักวิจัยที่ค้นพบช่องโหว่นี้บอกว่าตัวติดตั้งอัพเดตของ Skype เรียกใช้งานไฟล์อีกตัวหนึ่งขึ้นมาเพื่อใช้ในการอัพเดต จึงสามารถถูกหลอกให้เรียกใช้โค้ดอันตรายที่อาจแฝงมาด้วยการใช้ DLL hijacking แทนที่จะเรียกใช้ไลบรารีที่ถูกต้องได้

พบช่องโหว่ Telegram บน Windows สามารถปลอมแปลงชื่อไฟล์ที่ส่งในแชทได้

By nutmos

on 14 February 2018 - 20:40 Tag: Telegram, Security

นักวิจัยความปลอดภัยจาก Kaspersky Lab รายงานว่า แอพของ Telegram บน Windows มีช่องโหว่ความปลอดภัยสำคัญที่ทำให้ผู้ไม่ประสงค์ดีสามารถปลอมแปลงชื่อไฟล์ที่ส่งกันภายในระบบแชทได้

เทคนิคดังกล่าวใช้งานผ่านฟอร์แมตพิเศษของยูนิโค้ด U+202E ซึ่งจะทำให้ข้อความที่ปรากฏหลังจากจุดที่กำหนดแสดงจากขวามาซ้าย ทำให้สามารถสั่งเปลี่ยนชื่อไฟล์ได้ เช่น จาก photo_high_regnp.js ให้แสดงเป็น photo_high_resj.png ซึ่งการปลอมแปลงชื่อไฟล์นี้อาจทำให้ผู้ใช้เข้าใจผิดได้ว่าเป็นไฟล์ที่ปลอดภัยทั้งที่จริงอาจเป็นไฟล์โค้ดอันตราย

ไมโครซอฟท์ขยายบริการ Windows Defender ATP ไปยัง Windows 7 และ 8.1

By mk

on 13 February 2018 - 12:47 Tag: Microsoft Defender, Microsoft, Security, Enterprise, Windows 7, Windows 8.1

Microsoft Defender

ไมโครซอฟท์มี 'บริการ' ความปลอดภัยชื่อ Windows Defender Advanced Threat Protection (เรียกย่อๆ คือ Windows Defender ATP) ที่เริ่มนำมาใช้กับ Windows 10 Fall Creators Update

ล่าสุดไมโครซอฟท์ประกาศว่าจะขยาย Windows Defender ATP ไปใช้กับ Windows 7 และ Windows 8.1 ด้วย เพื่อรองรับกลุ่มลูกค้าองค์กรที่ยังมี Windows เวอร์ชันเก่าใช้งานอยู่

กลาโหมสิงคโปร์ประกาศโครงการทหารเกณฑ์ไซเบอร์ ทำงานพร้อมเก็บหน่วยกิตปริญญา

By lew

on 12 February 2018 - 19:53 Tag: Singapore, Security

Singapore

กระทรวงกลาโหมสิงคโปร์ (Ministry of Defence - MINDEF) ประกาศแผนการรับสมัครทหารเกณฑ์ประเภทใหม่ คือทหารไซเบอร์ โดยจะแบ่งเป็นสองระดับ คือการเกณฑ์ไซเบอร์ปกติ หรือ Cyber Operator ประจำหน่วยสองปี และ Cyber Specialist จะยืดระยะเวลาประจำการไปเป็น 3-4 ปี

พบโค้ดขุดเหรียญ Monero ถูกฝังบนเว็บไซต์จำนวนมาก ใช้วิธีเจาะผ่านปลั๊กอินสำหรับผู้พิการทางสายตา

By nutmos

on 12 February 2018 - 10:26 Tag: Cryptocurrency, Security

Cryptocurrency

มีรายงานจาก The Register และที่ปรึกษาความปลอดภัยในสหราชอาณาจักร Scott Helme เผยว่ามีเว็บไซต์กว่า 4,200 เว็บมีผู้บุกรุกเข้าไปฝังสคริปต์ขุดเหรียญ Monero จาก Coinhive โดยที่น่าสนใจคือมีเว็บไซต์จำนวนมากเป็นเว็บไซต์ของหน่วยงานภาครัฐ

ในรายงานเผยว่า ผู้บุกรุกใช้วิธีกระจายโค้ด JavaScript โดยการแก้ไขปลั๊กอิน Browsealoud ของ Texthelp ซึ่งเป็นตัวช่วยการเข้าถึงสำหรับผู้พิการทางสายตา มีหน้าที่อ่านเว็บไซต์เป็นเสียงให้ฟัง ซึ่งการแก้ไขปลั๊กอินนี้ทำให้ผู้ไม่ประสงค์ดีสามารถเจาะและวางโค้ดสำหรับขุดเหรียญในเว็บไซต์ที่เปิดใช้งาน Browsealoud ได้

Chrome 68 กำหนดออกกรกฎาคมนี้ จะแสดงข้อความกับทุกเว็บ HTTP ว่า "ไม่ปลอดภัย"

By arjin

on 9 February 2018 - 06:12 Tag: Chrome, HTTPS, Security, Browser, HTTP, Google

Chrome

Chrome ผลักดันการใช้งาน HTTPS แทน HTTP มาโดยตลอด ซึ่งที่ผ่านมาจะขึ้นข้อความเตือนว่าไม่ปลอดภัย (Not Secure) หากเว็บนั้นมีแบบฟอร์มกรอกข้อความ หรือเป็นการเชื่อมต่อผ่าน FTP แต่ประกาศล่าสุดนี้จะมีผลกับ HTTP ทุกกรณีแล้ว

โดยกูเกิลประกาศว่า Chrome 68 ซึ่งมีกำหนดออกมาในเดือนกรกฎาคมปีนี้ จะขึ้นแสดงข้อความว่าเว็บนี้ ไม่ปลอดภัย (Not Secure) สำหรับ HTTP ทุกกรณี

อินเทลเริ่มออกแพตช์อุดช่องโหว่ Spectre รอบใหม่ แก้ปัญหาทำเครื่องรีบูตแล้ว

By mk

on 8 February 2018 - 22:54 Tag: Intel, CPU, Security, Skylake

Intel

อินเทลออกแพตช์แก้ปัญหาช่องโหว่ Spectre รอบใหม่ หลังพบปัญหาทำเครื่องรีบูต จนต้องระงับแพตช์ตัวเก่าชั่วคราว

แพตช์รอบสองถูกส่งให้กับผู้ผลิตฮาร์ดแวร์ OEM และพาร์ทเนอร์เรียบร้อยแล้ว โดยยังครอบคลุมเฉพาะซีพียูสองรุ่นคือ Skylake กลุ่ม Core (รหัส H/S) และ Core m (รหัส U/Y) เท่านั้น ส่วนซีพียูรุ่นอื่นๆ ทั้งที่ใหม่กว่าอย่าง Skylake-X กับ Kaby Lake และซีพียูรุ่นเก่ากว่า จะตามมาในอีกไม่กี่วันข้างหน้า

สำหรับผู้ใช้ต้องรออัพเดตเฟิร์มแวร์จากผู้ผลิตอีกทีหนึ่ง หลังจากรับโค้ดของอินเทลเพื่อนำไปอัพเดตเฟิร์มแวร์ของตัวเอง

เลิกล่มรายเดือน ธนาคารแห่งประเทศไทยออกกฎกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ

By lew

on 8 February 2018 - 14:39 Tag: Bank of Thailand, Security

Bank of Thailand

ธนาคารแห่งประเทศไทยออกประกาศหลักเกณฑ์การกำกับดูแลความเสี่ยงด้านเทคโนโลยีสารสนเทศ (information technology risk) ของสถาบันการเงินที่อยู่ในกำกับดูแลของธนาคารแห่งประเทศไทย

ประกาศฉบับนี้เน้นความมั่นคงปลอดภัยทางไซเบอร์เป็นหลัก แต่เนื้อหาก็ครอบคลุมความเสี่ยงหลัก 3 ประการของความมั่นคงของระบบไอที คือ ความลับข้อมูล (confidentiality), ความถูกต้องข้อมูล (integrity), และความพร้อมใช้งาน (availability)

Google ออกรายงานโครงการแจ้งช่องโหว่ในปี 2017 เผยจ่ายเงินไปแล้ว 2.9 ล้านดอลลาร์

By nutmos

on 8 February 2018 - 12:19 Tag: Google, Bug Bounty, Security

Google

Google ออกรายงานโครงการแจ้งช่องโหว่รับรางวัลหรือ bug bounty โดยเผยว่าทางบริษัทได้จ่ายเงินไปแล้ว 12 ล้านดอลลาร์ตั้งแต่เปิดตัวโปรแกรมในเดือนพฤศจิกายนปี 2010 และเฉพาะเมื่อปีที่แล้วทางบริษัทได้จ่ายเงินให้นักวิจัยความปลอดภัยไปแล้วกว่า 2.9 ล้านดอลลาร์ ซึ่งน้อยกว่าปีก่อนหน้าที่ 3 ล้านดอลลาร์เล็กน้อย โดยในปีนี้มีนักวิจัยได้เงินรางวัลทั้งหมด 274 คน และผู้รับรางวัลได้บริจาคเงินให้การกุศลรวมกว่า 160,000 ดอลลาร์

สำหรับเรื่องที่น่าสนใจสำหรับโครงการแจ้งช่องโหว่ของ Google ในปี 2017 เช่น

ปลั๊กอิน Grammarly มีช่องโหว่ ทุกเว็บสามารถขโมยโทเค็นไปอ่านเอกสารของผู้ใช้ได้

By lew

on 6 February 2018 - 19:25 Tag: Security, Project Zero, Google

Security

Project Zero รายงานถึงช่องโหว่ของปลั๊กอิน Grammarly สำหรับเบราว์เซอร์โครม ทำให้เมื่อผู้ใช้เปิด editor บนเว็บใดๆ เว็บนั้นๆ จะสามารถดึงข้อมูลล็อกอินออกมาแล้วนำไปล็อกอินเว็บได้

Grammarly เป็นบริการตรวจไวยกรณ์ภาษาอังกฤษ โดยมันจะไปแทนที่ editor บนหน้าจอเว็บต่างๆ รวมถึงอีเมล เพื่อแสดงคำเตือนเมื่อพบการเขียนผิดรูปแบบต่างๆ ทำให้ Grammarly สามารถอ่านข้อความของผู้ใช้จำนวนมาก

ช่องโหว่เปิดทางให้เว็บสามารถวางสคริปต์เพื่ออ่านโทเค็น จากนั้นสามารถนำโทเค็นไปค้นหาเอกสารเก่าที่ผู้ใช้เคยพิมพ์ผ่าน Grammarly ได้ไม่ว่าจะพิมพ์บนเว้บใดๆ

กูเกิลปล่อยแพตช์ความปลอดภัย Pixel/Nexus รอบกุมภาพันธ์ 2018

By tekkasit

on 6 February 2018 - 07:15 Tag: Android Oreo, Security, Google Pixel, Google Nexus, Google, Android

Android Oreo

พบกันเป็นประจำทุกเดือนครับ รอบนี้กูเกิลออกแพตช์ความปลอดภัย Android ประจำเดือนกุมภาพันธ์ 2018 แพตช์รอบนี้เป็นแบบตามปกติมี 2 ชุด ได้แก่ชุด 1 ก.พ. สำหรับพาร์ทเนอร์ที่ต้องการอุดช่องโหว่ก่อน ชุด 5 ก.พ. ที่เป็นแพตช์ชุดสมบูรณ์ (แพตช์ตัวนี้จะรวมเอาแพตช์ 1 ก.พ. มาด้วย)

สำหรับแพตช์ 1 ก.พ. แก้ช่องโหว่ด้านความปลอดภัย 7 จุด (CVE) เป็นระดับร้ายแรง (critical) 1 จุด ซึ่งเป็นเรื่องของ Mediaserver เจ้าเก่า ส่วนแพตช์ 5 ก.พ. แก้เพิ่มอีก 19 จุด ส่วนมากแก้ปัญหาช่องโหว่บนไดรเวอร์ของผู้ผลิตฮาร์ดแวร์อย่าง Qualcomm, HTC, NVIDIA โดยมีระดับร้ายแรง 2 จุด

Subscribe to Security