Tags:
Node Thumbnail

มอซิลล่าประกาศความเปลี่ยนแปลงในเบราว์เซอร์ไฟร์ฟอกซ์เวอร์ชั่น 70 โดยมีความเปลี่ยนแปลงสำคัญที่แถบ URL ที่จะแสดงกระบวนการเข้ารหัสและใบรับรองที่เปลี่ยนไป 3 ประการหลัก ได้แก่

Tags:
Node Thumbnail

Elastic ที่มีซอฟต์แวร์หลัก คือ Elasticsearch หันมาทำตลาดกลุ่มความปลอดภัยไซเบอร์อย่างหนักในช่วงหลัง เปิดตัว Elastic Endpoint ซอฟต์แวร์รักษาความปลอดภัยเครื่องไคลเอนต์

ตัว Endpoint เป็นซอฟต์แวร์ของบริษัท Endgame ที่ Elastic ไปซื้อมาตั้งแต่ช่วงกลางปีที่ผ่านมา โดยตอนนี้ยังเป็นซอฟต์แวร์แยกกับชุดซอฟต์แวร์ Elasticsearch อยู่ แต่ทาง Elastic ระบุว่าในอนาคตจะรวมเป็นชุดเดียวกัน โดยตัว Endpoint จะเข้าเป็นไคลเอนต์ของ Elasticsearch

แม้ทาง Elastic จะเข้าตลาดมาทีหลัง แต่บริษัทก็ชูจุดขายว่า Endpoint จะไม่คิดราคาตามจำนวนเครื่องไคลเอนต์ที่ติดตั้ง แต่ไปคิดค่าไลเซนส์ตามทรัพยากรฝั่งเซิร์ฟเวอร์ที่เก็บข้อมูลแทน

Tags:
Node Thumbnail

The Hacker News รายงานการพบช่องโหว่ CVE-2019-14287 ที่ค่อนข้างร้ายแรง ในคำสั่ง sudo โดยกระทบกรณีที่ผู้ดูแลระบบให้สิทธิ์ผู้ใช้ในการรันคำสั่งแทนผู้ใช้อื่น แต่จำกัดไม่ให้รันในสิทธิ์ root

ช่องโหว่นี้มีผลเมื่อผู้ใช้ที่มุ่งร้าย ระบุเลข user id ให้กับคำสั่ง sudo เป็น -1 หรือ 4294967295 ระบบจะบั๊กแล้วตีความว่าเป็นคำสั่งจาก user 0 ซึ่งเป็นสิทธิระดับ root แม้ว่าไฟล์ sudoer จะระบุไว้ว่าไม่ให้สิทธิ์ก็ตาม

ช่องโหว่นี้กระทบ sudo เวอร์ชัน 1.8.28 ลงไป ซึ่งก็คาดว่าดิสโทรต่าง ๆ น่าจะปล่อยอัพเดตอุดช่องโหว่ให้เร็ว ๆ นี้ ผู้ใช้ลินุกซ์ควรติดตามและรีบอัพเดตเร็วที่สุด

ที่มา - The Hacker News

Tags:
Node Thumbnail

Google เปิดตัว Titan Security Key กุญแจ U2F อีกรุ่นเป็นหัว USB-C จากเดิมที่มีแค่ USB-A/NFC และ Bluetooth โดยรุ่นนี้ไม่ได้มี NFC ติดมาด้วย แต่ก็น่าจะสะดวกกับการใช้งานกับสมาร์ทโฟนหรือแล็บท็อปใหม่ ๆ มากขึ้น

ราคาของรุ่น USB-C อยู่ที่ 40 เหรียญ ผลิตโดย Yubico ทว่าไม่รองรับมาตรฐาน FIDO2 (รองรับแค่ WebAuthn) นอกจากนี้ Google ยังประกาศแยกขายกุญแจ U2F รุ่น USB-A กับ Bluetooth ด้วยจากเดิมที่บันเดิลรวมกัน 50 เหรียญ แยกเป็น USB-A/NFC 25 เหรียญ ส่วน Bluetooth 35 เหรียญ

Tags:
Node Thumbnail

มีรายงานการค้นพบช่องโหว่ใน Bonjour เครื่องมือสำหรับจัดการเครือข่ายของแอปเปิลบน Windows ซึ่งติดตั้งมาพร้อมกับ iTunes และ iCloud for Windows ทำให้มัลแวร์ Bitpaymer สามารถโจมตีโดยเรียกการทำงานของโปรแกรมได้เสมือนเป็นโปรแกรมปกติ

ทั้งนี้แอปเปิลได้ออกอัพเดตล่าสุด iTunes บน Windows เวอร์ชัน 12.10.1 เพื่อปิดช่องโหว่ดังกล่าวแล้ว จึงแนะนำให้ผู้ใช้ iTunes บน Windows อัพเดตซอฟต์แวร์ทันที

เนื่องจากช่องโหว่นี้เป็นการโจมตีผ่าน Bonjour หากผู้ใช้งานเคยลง iTunes หรือ iCloud for Windows แต่ถอนการติดตั้งไปแล้ว ซึ่งจะไม่มีการถอน Bonjour ออกไปให้ด้วย จึงแนะนำให้ลบ Bonjour ออกไปด้วย เนื่องจากแอปเปิลไม่มีแพตช์สำหรับ Bonjour โดยเฉพาะ ต้องทำผ่าน iTunes อีกที

Tags:
Node Thumbnail

Ken Thompson เป็นหนึ่งในผู้สร้างระบบปฎิบัติการยูนิกซ์ ที่เป็นต้นแบบของมาตรฐาน POSIX ที่ไลนัสนำมาสร้างลินุกซ์อีกที เป็นหนึ่งในผู้พัฒนา BSD 3.0 มาตั้งแต่ปี 1980 และซอร์สโค้ดก็อยู่รอดมาจนทุกวันนี้ โดยพบว่ามีไฟล์ /etc/passwd ที่เก็บค่าแฮชรหัสผ่านหลุดมาด้วย ล่าสุดรหัสผ่านของ Thompson ที่มีค่าแฮชเป็น ZghOT0eRm4U9s ก็ถูกถอดรหัสออกมาแล้ว

Tags:
Node Thumbnail

FortiGuard Labs รายงานการค้นพบช่องโหว่ระดับร้ายแรง (CVE-2019-16920) ในเราท์เตอร์ 4 รุ่นได้แก่ DIR-655, DIR-866L, DIR-652, DHP-1565 ซึ่งเปิดโอกาสให้รันโค้ดผ่านทางไกล (RCE) โดยไม่ต้องยืนยันตน

อย่างไรก็ตามทาง FortiGuard Labs ได้รับการติดต่อจาก D-Link แจ้งว่าเราท์เตอร์ทั้ง 4 รุ่นเข้าสู่สถานะ End-of-Life เรียบร้อยแล้ว D-Link ไม่มีการผลิตและจำหน่ายเราท์เตอร์ทั้ง 4 รุ่นที่ออกมาตั้งแต่ปี 2005 นี้อีกแล้ว เลยไม่ได้ซัพพอร์ทและแพตช์ช่องโหว่ดังกล่าวให้ ทว่า Tom's Guide ระบุว่ายังพบการขายเราท์เตอร์ทั้ง 4 รุ่นอยู่ในช่องทางออนไลน์ โดยในประเทศไทยเท่าที่ผมเจอคือรุ่น DIR-655 ที่ยังขายอยู่ผ่าน JIB (แต่ขึ้น out of stock)

Tags:
Node Thumbnail

กูเกิลปล่อยแพตช์ความปลอดภัยประจำรอบเดือนตุลาคม 2019 (2019-10-05) ซึ่งถือเป็นแพตช์ชุดแรกของ Android 10 ที่ออกตัวจริงในช่วงต้นเดือนกันยายน

แพตช์ตัวนี้ถือว่ามีความสำคัญ เพราะฟีเจอร์ใหม่ของ Android 10 คือ Project Mainline ทำให้กูเกิลสามารถอัพเดต "บางส่วน" ของตัว OS ผ่าน Google Play Store ได้เหมือนกับการอัพเดตแอพทั่วไป แพตช์ตัวนี้ถือเป็นครั้งแรกที่กูเกิลปล่อยอัพเดตความปลอดภัยผ่านระบบใหม่ที่ว่านี้

Tags:
Node Thumbnail

ศูนย์ความมั่นคงปลอดภัยไซเบอร์สหราชอาณาจักร (National Cyber Security Centre - NCSC) แจ้งเตือนช่องโหว่รันโค้ดจากระยะไกล (remote code execution - RCE) ของเมลเซิร์ฟเวอร์ Exim ที่ได้รับความนิยมสูงในกลุ่มเซิร์ฟเวอร์โอเพนซอร์ส

ช่องโหว่ในกลุ่มเดียวกันมีรายงานออกมาเรื่อยๆ นับแต่ CVE-2019-10149 ที่รายงานมาตั้งแต่เดือนมิถุนายนที่ผ่านมา, CVE-2019-15846 ที่รายงานต้นเดือนกันยายน, และ CVE-2019-16928 ที่เพิ่งรายงานช่วงปลายเดือนกันยายน ช่องโหว่ทั้งหมดเป็นช่องโหว่ระดับวิกฤติ เปิดทางรันโค้ดจากอินเทอร์เน็ตโดยไม่ต้องล็อกอินสู่ระบบก่อน

Tags:
Node Thumbnail

Google ประกาศเตรียมบล็อคคอนเทนต์ที่เป็น HTTP ภายใต้หน้าเว็บที่เป็น HTTPS เป็นค่าเริ่มต้น ซึ่งจะช่วยเพิ่มความปลอดภัยและความเป็นส่วนตัวให้ผู้ใช้มากยิ่งขึ้น รวมถึงสามารถแสดง UX ที่ชัดเจนกับผู้ใช้ได้ด้วยว่าหน้าเว็บนี้ปลอดภัยจริงหรือไม่

ปัจจุบัน เว็บไซต์กว่า 90% ได้ปรับเปลี่ยนเป็น HTTPS แล้ว และผู้ใช้ Chrome ก็ใช้เวลากว่า 90% ใช้งานเว็บ HTTPS บนแพลตฟอร์มหลักทุกแพลตฟอร์ม แต่ก็ยังมีประเด็นเรื่องคอนเทนต์ภายในหน้าเว็บที่ยังเป็น HTTP ผสมอยู่บ้าง แม้ว่า Chrome จะบล็อคคอนเทนต์ประเภทบางอย่างเช่นสคริปต์หรือ iframe แล้ว แต่ภาพ, เสียง หรือวิดีโอยังคงโหลดได้อยู่ ซึ่งเป็นประเด็นเพราะหน้าเว็บก็ไม่ได้ปลอดภัยเต็มที่

Tags:
Node Thumbnail

กูเกิลออกมาเผยว่าล่าสุด ทีม Project Zero ได้พบช่องโหว่ที่ยังไม่ได้แพทช์และถูกโจมตีแล้ว (0-day) บนแอนดรอยด์หลายรุ่น ซึ่งช่องโหว่นี้สามารถใช้เจาะเข้าถึง Root ของแอนดรอยด์ได้และทีม Threat Analysis Group (TAG) พบการโจมตีช่องโหว่นี้แล้ว

ช่องโหว่นี้เป็นบั๊กที่แก้ไขไปตั้งแต่ปลายปี 2017 แต่กลับพบว่าเคอร์เนลที่ติดตั้งไปกับโทรศัพท์หลายรุ่นกลับมีช่องโหว่นี้อยู่ โดยทีม TAG ระบุว่าได้ข้อมูลว่า บริษัท NSO Group ความปลอดภัยไซเบอร์สัญชาติอิสราเอล ได้ใช้ช่องโหว่นี้แล้ว เนื่องจากช่องโหว่กระทบถึงโค้ดที่รันใน sandbox ของ Chrome ทำให้การโจมตีสามารถทำได้ผ่านเว็บ

โดยสมาร์ทโฟนรุ่นที่เข้าข่ายมีรายชื่อดังนี้:

Tags:
Topics: 
Node Thumbnail

ไม่กี่วันก่อนเอเอ็มดีเปิดตัว Ryzen Pro 3000 สำหรับผู้ใช้ระดับองค์กร ซึ่งโดยทั่วไปจะเพิ่มฟีเจอร์การจัดการระยะไกล แต่ในรุ่นนี้เอเอ็มดีเพิ่มฟีเจอร์ AMD Memory Guard ที่เป็นฟีเจอร์เข้ารหัสหน่วยความจำเข้ามาด้วย

ฟีเจอร์ AMD Memory Guard เคยเป็นฟีเจอร์เฉพาะสำหรับซีพียูตระกูลเซิร์ฟเวอร์ EPYC โดยใช้ชื่อ AMD Secure Memory Encryption โดยฟีเจอร์นี้จะป้องกันเครื่องจากการโจมตี cold boot attack ที่คนโจมตีเข้าถึงตัวเครื่องได้ และบูตเครื่องใหม่จากระบบปฎิบัติการของตัวเองเพื่อดูดข้อมูลในแรมออกไป ที่ผ่านมาการป้องกันการโจมตีเช่นนี้ต้องอาศัยการปิดเครื่องอย่างถูกต้องเพื่อให้ระบบปฎิบัติการล้างข้อมูลในแรมออกไปก่อนดับเครื่อง

Tags:
Node Thumbnail

กูเกิลเคยออกส่วนเสริมชื่อ Password Checkup เพื่อเช็ครหัสผ่านที่รั่วจากบริการออนไลน์ต่างๆ และเพิ่งประกาศว่าจะผนวกเข้ามาเป็นส่วนหนึ่งของ Chrome โดยจะเริ่มใน Chrome 78 (ปัจจุบันคือ Chrome 77)

วันนี้กูเกิลประกาศว่า Password Checkup กลายเป็นส่วนหนึ่งของ Password Manager ในหน้าเว็บ Google Account เรียบร้อยแล้ว (เข้าได้จาก passwords.google.com)

Tags:
Node Thumbnail

HackerOne ประกาศความร่วมมือกับ Government Technology Agency (GovTech) ของรัฐบาลสิงคโปร์ เปิดตัวโครงการ Vulnerability Disclosure Programme (VDP) โครงการที่เปิดให้แจ้งบั๊คและช่องโหว่ในทุกบริการของรัฐบาลไม่ว่าจะเว็บหรือแอปพลิเคชัน หลังจากก่อนหน้าคือ HackerOne เคยร่วมมือกับรัฐบาลทำ Government Bug Bounty Programme (BBP) มาแล้ว

โครงการ VDP เป็นเพียงโครงการที่เปิดให้คนทั่วไปรายงานปัญหาต่าง ๆ คนรายงานจะไม่ได้รับค่าตอบแทน แตกต่างจากโครงการ Bug Bounty ที่แฮกเกอร์จะได้เงินค่าตอบแทนตามความร้ายแรงของช่องโหว่ โดย HackerOne และ GovTech จะจัด Government BBP ครั้งที่ 3 ในเดือนพฤศจิกายนนี้

Tags:
Node Thumbnail

ในโอกาสที่เดือนตุลาคม ถือเป็นเดือนแห่งการรณรงค์สร้างความตระหนักรู้เกี่ยวกับความมั่นคงปลอดภัยไซเบอร์ในสหรัฐอเมริกา (National Cybersecurity Awareness Month) ทาง EA ก็ได้มีส่วนร่วมโดยแจกบริการ Origin Access ให้แก่ทุกคนที่เปิดใช้บริการ Two-Factor Authentication หรือที่ EA เรียกว่า EA Login Verification ภายในเดือนตุลาคมนี้ โดยผู้ที่ไม่ได้ใช้บริการ Origin Access อยู่หรือใช้แพคเกจระดับ Basic ก็จะได้ใช้ฟรีไปอีก 1 เดือน แต่สำหรับผู้ที่ใช้งานระดับ Premier ก็จะได้ใช้งานระดับ Premier ฟรีอีก 1 เดือนเช่นกัน โดยจะได้รับสิทธิ์ในวันที่ 1 พฤศจิกายนเป็นต้นไป

Tags:
Node Thumbnail

เมื่อเดือนมิถุนายนที่ผ่านมา ไมโครซอฟท์เปิดตัวฟีเจอร์ใหม่ OneDrive Personal Vault ให้เก็บข้อมูลลับลงในโฟลเดอร์ของ OneDrive โดยต้องใส่รหัสผ่าน, PIN, สแกนลายนิ้วมือหรือใบหน้า จึงจะปลดล็อคได้ ล่าสุดทางบริษัทเริ่มเปิดให้ใช้งานฟีเจอร์นี้แล้ว และจะขยายไปยังผู้ใช้งาน OneDrive ทั้งหมดภายในปี 2019 นี้

Tags:
Node Thumbnail

หลังจากนักวิจัยที่ใช้ชื่อในอินเทอร์เน็ตว่า axi0mX ประกาศช่องโหว่ Checkm8 ที่ใช้เจาะอุปกรณ์ iOS เปิดทางการทำ jailbreak และฝังซอฟต์แวร์ลงในเครื่องแม้จะเป็นระบบปฎิบัติการรุ่นล่าสุด ทาง ArsTechnica ได้ติดต่อสัมภาษณ์ axi0mX เพื่อขอข้อมูลเพิ่มเติม

ทาง ArsTechnica ยืนยันว่าช่องโหว่นี้ กระทบ Apple Watch 1/2/3 ด้วย

ช่องโหว่ Checkm8 เป็นช่องโหว่ระดับ bootrom ซึ่งเป็นโค้ดระดับต่ำสุดของกระบวนการบูตอุปกรณ์ iOS ที่เขียนโค้ดอยู่ในหน่วยความจำที่เขียนทับไม่ได้ (ROM) ทำให้ไม่สามารถแพตช์แก้ไขในอนาคตได้ axi0mX ระบุว่าช่องโหว่ระดับนี้เคยพบครั้งล่าสุดเมื่อปี 2010 ใน iPhone 4

Tags:
Topics: 
Node Thumbnail

ผู้ใช้ทวิตเตอร์ชื่อว่า axi0mX ออกมาประกาศช่องโหว่ checkm8 (อ่านว่า เช็ค-เมด/checkmate) เป็นช่องโหว่ของซอฟต์แวร์ใน bootrom ทำให้แฮกเกอร์สามารถข้ามกระบวนการตรวจสอบความปลอดภัยของอุปกรณ์ที่ใช้ iOS ทั้งไอโฟนและไอแพดจำนวนมาก โดยอุปกรณ์จาก iPhone 4S ที่ใช้ชิป Apple A5 ไปจนถึง iPhone X ที่ใช้ชิป Apple A11

ช่องโหว่ใน bootrom จะเปิดทางให้แฮกเกอร์สามารถเปิดใช้ JTAG เพื่อดีบั๊กระบบ และแฮกซอฟต์แวร์ใดๆ บนเครื่อง หรือสามารถดึงข้อมูล SecureROM ออกมาได้ทั้งชุด เปิดทางอ่านกุญแจเข้ารหัสต่างๆ ของ iOS โดยความเสี่ยงของช่องโหว่นี้ ทำให้หากอุปกรณ์ตกอยู่ในมือคนร้าย คนร้ายจะสามารถฝังซอฟต์แวร์ลงไปในรอมได้

Tags:
Node Thumbnail

เมื่อกลางเดือนกันยายนที่ผ่านมา AdaptiveMobile Security บริษัทวิจัยความปลอดภัยไซเบอร์รายงานถึงช่องโหว่ซอฟต์แวร์ในตัวซิมโทรศัพท์ ที่เปิดทางให้แฮกเกอร์ส่ง SMS เข้าไปรันโค้ดบนซิม ควบคุมการทำงาน เช่น การรายงานตำแหน่งโทรศัพท์ หรือการส่ง SMS แทนคนร้าย ล่าสุด Ginno Security Lab ก็แจ้งมายังเว็บไซต์ Hacker News ระบุว่านักวิจัยได้พบช่องโหว่แบบเดียวกันนี้บนซอฟต์แวร์อีกตัว คือ Wireless Internet Browser (WIB) ที่มีผู้ใช้นับร้อยล้านซิม

Tags:
Node Thumbnail

ไมโครซอฟท์ประกาศเปิดบริการ Azure Sentinel ซึ่งเป็นบริการจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (ในวงการมีชื่อเรียกว่า security information and event management หรือตัวย่อ SIEM)

SIEM เป็นระบบวิเคราะห์ไฟล์ล็อกและข้อมูลอื่นๆ แบบเรียลไทม์ เพื่อตรวจจับว่าเกิดการโจมตีหรือมีข้อมูลรั่วออกไปหรือไม่ องค์กรจะได้มีเวลารับมืออย่างทันท่วงที ในตลาดเองมีผลิตภัณฑ์ SIEM หลายตัว ที่มีชื่อเสียงอย่างเช่น LogRythm, Splunk, ArcSight หรือ RSA NetWitness

Tags:
Node Thumbnail

ไต้หวันประกาศจัดงานซ้อมรบไซเบอร์ครั้งแรกในเดือนพฤศจิกายนนี้ โดยรูปแบบการซ้อมถอดมาจากการซ้อม Cyber Storm ของสหรัฐฯ และการซ้อมครั้งนี้จะมี 15 ชาติจาก อาเซียน, ยุโรป, และสหรัฐฯ เข้าร่วม

การซ้อมแบ่งออกเป็นความระมัดระวัง phishing ของเจ้าหน้าที่ไต้หวันเอง อีกส่วนเป็นการจำลองการโจมตีจากเกาหลีเหนือ ที่จะโจมตีโครงสร้างพื้นฐานและสถาบันการเงิน

ในการซ้อมรบครั้งนี้ ทางไต้หวันจะทำหน้าที่ป้องกัน (blue team) และชาติอื่นๆ ที่เข้าร่วมจะทำหน้าที่โจมตี (red team)

ที่มา - Taipei Times

Tags:
Node Thumbnail

HP Inc. ประกาศซื้อกิจการบริษัทความปลอดภัย Bromium โดยไม่เปิดเผยมูลค่า

Bromium เป็นบริษัทด้านความปลอดภัยที่เน้นเรื่องอุปกรณ์ปลายทาง (endpoint) โดยใช้เทคนิคการสร้าง virtual machine ขนาดเล็กขึ้นมาครอบงานย่อยๆ เช่น การดาวน์โหลดไฟล์ หรือการคลิกลิงก์ เพื่อแยกส่วน (isolate) ภัยคุกคามที่อาจเกิดขึ้น และปิด VM นั้นไปเมื่องานนั้นเสร็จเรียบร้อย

ที่ผ่านมา HP ซื้อไลเซนส์ซอฟต์แวร์ของ Bromium ไปใช้งานในฟีเจอร์ Sure Click ในโน้ตบุ๊กของตัวเอง (อ่านวิธีการใช้งานใน รีวิว HP EliteBook x360 830 G6) จึงไม่แปลกใจนักที่ HP จะซื้อทั้งบริษัทเพื่อนำเทคโนโลยีมาใช้งานในอุปกรณ์อื่นๆ ด้วย

Tags:
Node Thumbnail

ธนาคารแห่งประเทศไทยประกาศตั้งเป้าเปลี่ยนบัตรเอทีเอ็มและบัตรเดบิตที่ยังเป็นบัตรแม่เหล็ก ให้เป็นบัตรชิป โดยธนาคารในประเทศไทยได้หยุดออกบัตรแม่เหล็กมาตั้งแต่ปี 2016 ตอนนี้ทางก็มีกำหนดออกมาว่าบัตรแม่เหล็กทั้งหมดจะใช้งานได้ถึงวันที่ 15 มกราคม 2020 เท่านั้น

ประกาศเดิมของธนาคารแห่งประเทศไทยระบุให้บัตรแม่เหล็กใช้งานได้ถึงวันที่ 31 ธันวาคม 2019 ประกาศล่าสุดนี้จึงเป็นการเลื่อนออกไปแล้วเล็กน้อย

ตอนนี้บัตรแม่เหล็กยังคงเหลืออยู่ในระบบอีก 20 ล้านใบทั่วประเทศแม้จะหยุดออกบัตรใหม่มานานแล้ว ขณะที่บัตรชิปมีจำนวน 47 ล้านใบ

Tags:
Node Thumbnail

Tavis Ormandy นักวิจัยจาก Project Zero รายงานช่องโหว่ของ LastPass เปิดทางให้แฮกเกอร์สามารถดึงรหัสผ่านล่าสุดที่ใช้ล็อกอินในเบราว์เซอร์แท็บเดียวกันออกมาได้ แม้จะเป็นคนละเว็บกัน

ผู้ใช้จะมีความเสี่ยงต่อเมื่อใช้ส่วนขยาย LastPass สำหรับ Chrome โดยตอนนี้เป็นส่วนขยายที่มีคนใช้งานอยู่ถึง 10 ล้านคน

ทาง LastPass แก้ไขในเวอร์ชั่น 4.33.0 เรียบร้อย โดยใช้เวลาสองสัปดาห์หลัง Project Zero แจ้งไป จึงเปิดเผยข้อมูลออกมา

ที่มา - Project Zero

Tags:
Node Thumbnail

AdaptiveMobile Security บริษัทวิจัยความปลอดภัยไซเบอร์รายงานถึงช่องโหว่ Simjacker ที่เป็นช่องโหว่ของซอฟต์แวร์ในซิมการ์ด เปิดทางให้คนร้ายสร้าง SMS มุ่งร้ายเข้าไปสั่งงานในซิม เช่น การสั่งให้ส่ง SMS โดยเหยื่อไม่รู้ตัว

ช่องโหว่นี่เป็นของซอฟต์แวร์ S@T Browser ที่ไม่ตรวจสอบที่มาของคำสั่งอย่างถูกต้อง ทำให้เมื่อได้รับคำสั่งจาก SMS ที่ออกแบบมาเฉพาะ S@T Browser จะรันคำสั่งไปตามนั้น

คนร้ายสามารถสั่งให้ส่ง SMS ไปยังหมายเลขที่ต้องการ หรือสั่งเก็บข้อมูลเครือข่าย เช่น ตำแหน่งเสาสัญญาณโทรศัพท์ หรือหมายเลข IMEI เครื่อง

Pages