lew | Blognone

Member for : Thu, 11/08/2005 - 11:15

Log4j ออกเวอร์ชั่น 2.17.0 แก้ช่องโหว่ Message Lookup ครั้งที่สาม

By lew

on 18 December 2021 - 16:20 Tag: Log4j, Security

Log4j

โครงการ Log4j ออกเวอร์ชั่น 2.17.0 หลังนักวิจัยพบช่องโหว่ CVE-2021-45105 ที่แม้จะไม่สามารถส่งโค้ดเข้าไปรันได้เหมือนช่องโหว่ก่อนหน้านี้ แต่ก็ทำให้โปรแกรมแครชไปได้ กลายเป็นช่องโหว่แบบ Denial of Service

ลำดับช่องโหว่ของ Log4j ในช่วงสัปดาห์ที่ผ่านมาได้แก่

สมาคมแพลตฟอร์มวิดีโอและช่องทีวีจีนออกกฎคัดกรองคอนเทนต์ ห้ามชวนเล่นเงินคริปโต, ห้ามอวดรวย, ล้อเลียนผู้นำ

By lew

on 17 December 2021 - 22:23 Tag: China, Internet Censorship

China

China's Netcasting Services Association สมาคมที่รวมเอาทั้งช่องทีวีและแพลตฟอร์มวิดีโอผ่านอินเทอร์เน็ตของจีนรวมกว่า 700 ราย ออกแนวทางการคัดกรองคอนเทนต์ให้สมาชิก โดยรายการมี 100 ประเภทคอนเทนต์ต้องห้าม

ในบรรดา 100 ข้อต้องห้าม หลายข้ออาจจะตรงกับแนวทางทั่วไปที่หลายชาติใช้งาน เช่น ห้ามเนื้อหารุนแรง หรือเนื้อหาลามกอนาจาร แต่หลายข้อก็เป็นเนื้อหาที่ค่อนข้างเฉพาะกับจีน เช่น

พบ Log4j ยังมีช่องโหว่บางกรณี แฮกเกอร์ส่งโค้ดเข้าไปรันได้ ต้องอัพเป็น 2.16.0

By lew

on 17 December 2021 - 18:14 Tag: Log4j, Security

Log4j

นักวิจัยพบช่องโหว่ CVE-2021-44228 ร้ายแรงสูงในแพ็กเกจ Log4j ตั้งแต่สัปดาห์ที่ผ่านมา แม้ทางโครงการจะแพตช์ได้อย่างรวดเร็ว แต่ก็พบช่องโหว่ระดับปานกลาง CVE-2021-45046 แต่หลังจากศึกษาเพิ่มเติมก็เป็นไปได้ว่าช่องโหว่ CVE-2021-45046 นี้อาจจะกลายเป็นช่องโหว่ร้ายแรงสูง แม้จะเบากว่าช่องโหว่แรกก็ตาม

Rancher Desktop เปิดให้เลือกเอนจิน Moby ใช้กับคำสั่ง docker แทน Docker Desktop ได้

By lew

on 17 December 2021 - 12:26 Tag: Rancher, SUSE, Docker

Rancher

Rancher Desktop ซอฟต์แวร์ Kubernetes สำหรับนักพัฒนาออกเวอร์ชั่น 0.7 มีฟีเจอร์สำคัญคือให้เลือกระหว่างเอนจิน containerd และ Moby (โครงการโอเพนซอร์สของ Docker) ทำให้ผู้ใช้ที่ติดตั้ง Rancher Desktop สามารถใช้งานผ่านคำสั่ง docker ได้

เวอร์ชั่นนี้ออกมาพอดีกับช่วงเวลาที่ Docker Desktop กำลังเตรียมคิดค่าใช้งาน ในวันที่ 31 มกราคมนี้ ฟีเจอร์นี้ทำให้ผู้ใช้ Rancher Desktop สามารถใช้งานคำสั่ง docker หรือ docker-compose ได้โดยตรง แม้จะไม่ได้ใช้งาน Kubernetes ก็ตามที

AIS Fibre เปิดแพ็กเกจ 2Gbps/500Mbps วิ่งผ่านแลน 2.5GbE

By lew

on 16 December 2021 - 18:51 Tag: AIS 3BB Fibre3, Networking

AIS 3BB Fibre3

AIS Fibre เปิดบริการแพ็กเกจ 2Gbps/500Mbps เดือนละ 1,299 บาท โดยความสำคัญคือการเปลี่ยน WAN เป็น 2.5GbE โดยไม่มีเราท์เตอร์ในแพ็กเกจแต่ให้เฉพาะตัวแปลงมาด้วย

แพ็กเกจนี้ติดสัญญาแม้จะต้องใช้อุปกรณ์ของลูกค้าเองแต่มีค่าติดตั้ง 4,800 บาท หากยอมติดสัญญา 24 เดือนจะฟรีค่าติดตั้ง นอกจากอินเทอร์เน็ตแล้ว จะได้รับ IPv4 และ IPv6 มาด้วย

Project Zero วิเคราะห์มัลแวร์ของ NSO Group พบสามารถสร้างระบบรันสคริปต์จากตัวบีบอัดภาพ

By lew

on 16 December 2021 - 01:40 Tag: Security, Project Zero, iOS

Security

มัลแวร์ Pegasus ของ NSO Group มีความซับซ้อนสูง และสามารถทะลุระบบป้องกันของบริษัทต่างๆ ได้อย่างมีประสิทธิภาพจนบริษัทไอทีจำนวนมากรวมถึงแอปเปิลฟ้อง วันนี้ทาง Project Zero ของกูเกิลก็ออกมาวิเคราะห์ความเก่งกาจของกระบวนการเจาะเข้าไปวางมัลแวร์ในโทรศัพท์

แอปเปิลลบข้อความอธิบายระบบสแกนภาพโป๊เด็กออกจากเว็บ แต่ยืนยันยังพัฒนาอยู่

By lew

on 16 December 2021 - 01:13 Tag: Apple, Privacy

Apple

แอปเปิลลบข้อความพูดถึงระบบ CSAM ที่เตรียมนำมาสแกนหาภาพโป๊เด็กก่อนส่งขึ้น iCloud ออกจากเว็บหน้าอธิบายฟีเจอร์ปกป้องเด็ก แต่เอกสารอธิบายการทำงานแบบ PDF ยังคงอยู่บนเว็บ

ทาง The Verge ติดต่อโฆษกของแอปเปิลได้รับคำยืนยันว่ายังไม่เปลี่ยนนโยบาย โดยตอนนี้แอปเปิลจะนำคำวิจารณ์กลับไปพัฒนาฟีเจอร์

Cloudflare เปิดกรอง log ป้องกันระบบหลังบ้านโดนโจมตีช่องโหว่ Log4j

By lew

on 16 December 2021 - 00:12 Tag: Cloudflare, Log4j

Cloudflare

ช่องโหว่ Log4j กระทบทุกระบบที่ log ข้อความโจมตีจากแฮกเกอร์ โดยตอนนี้สินค้ากลุ่มความปลอดภัยจำนวนมากมักมีตัวช่วยกรองการโจมตีออกไป แต่มีระบบอื่นๆ ที่ไม่ได้รับข้อความจากแฮกเกอร์โดยตรงแต่ก็โดนโจมตีไปด้วยได้ เช่น ระบบประมวล log ที่ระบบจำนวนมากเป็นจาวา เช่น Elasticsearch อาจจะอ่าน log แล้วกลายเป็นตัวดึงโค้ดมารันแทนที่ตัวแอปที่แฮกเกอร์ยิงข้อความเข้าไป ล่าสุดทาง Cloudflare ก็ออกมาช่วยป้องกันระบบเหล่านี้

แพตช์เดียวไม่พอ Log4j ออกเวอร์ชั่น 2.16.0 หลังพบแพตช์เดิมปิดช่องโหว่ไม่หมด

By lew

on 15 December 2021 - 01:40 Tag: Log4j, Security

Log4j

หลังจากช่องโหว่รันโค้ดใน Log4j สร้างผลกระทบไปทั่วโลก วันนี้ทางโครงการก็ออกแพตช์มาอีกครั้ง เพื่อเสริมความปลอดภัยอีกระดับ โดยปิดการทำงานโมดูล JNDI ที่เป็นต้นเหตุของการโหลดโค้ดเข้ามารันเป็นค่าเริ่มต้น เนื่องจากพบช่องโหว่ CVE-2021-45046 ที่ยังโจมตีได้อยู่

บริษัทค้าเงินคริปโต Coinbase โอเพนซอร์สไลบรารีเข้ารหัสลับในชื่อ Kryptology

By lew

on 15 December 2021 - 00:13 Tag: Coinbase, Cryptography

Coinbase

Coinbase บริษัทค้าเงินคริปโตรายใหญ่ประกาศโอเพนซอร์สไลบรารีเข้ารหัสลับในชื่อ Kryptology โดยระบุว่าตั้งใจให้เป็นไลบรารีที่ปลอดภัย, มีการตรวจสอบโค้ด (audited), และใช้งานได้ง่าย ทำให้นักพัฒนาเผลอใช้งานในรูปแบบที่อันตรายได้ยาก

ตัวไลบรารีเป็นภาษา Go ส่วนอัลกอริทึมที่รองรับเกี่ยวข้องกับ blockchain เช่น การแชร์ข้อมูลลับ (Shamir's secret sharing scheme), การเซ็นลายเซ็นดิจิทัลร่วมกัน (Threshold ECDSA), หรือการสร้างกุญแจแบบกระจายตัว (distributed key generation - DKG)

แคลิฟอร์เนียร์สั่งหยุดทดสอบรถไร้คนขับของ Pony.ai หลังรถไปชนป้ายจราจร

By lew

on 14 December 2021 - 10:59 Tag: Driverless Car, USA, Safety

Driverless Car

ขนส่งทางบกแคลิฟอร์เนียร์ระงับใบอนุญาตทดสอบรถไร้คนขับของบริษัท Pony.ai หลังรถเกิดอุบัติเหตุชนเข้ากับเกาะกลางถนนและป้ายจราจร แม้จะไม่มีคู่กรณีหรือผู้บาดเจ็บก็ตาม อย่างไรก็ดีบริษัทยังคงได้รับอนุญาตให้ทดสอบระบบขับขี่อัตโนมัติโดยมีคนขับคอยควบคุมต่อไปได้

ตอนนี้มีรถไร้คนขับของ Pony.ai ได้รับอนุญาตให้ทดสอบแบบไม่ต้องมีคนควบคุมทั้งหมด 10 คัน ได้รับอนุญาตตั้งแต่กลางปีที่ผ่านมา ขณะที่การทดสอบในจีนก็ได้รับอนุญาตให้ขยายพื้นที่ทดสอบในปักกิ่งกินบริเวณถึง 20 ตารางกิโลเมตร

Adobe เปิดตัว Creative Cloud Express บริการทำภาพอย่างง่าย เน้นใช้แชร์โซเชียล ใช้งานได้ฟรี

By lew

on 14 December 2021 - 00:52 Tag: Adobe

Adobe

Adobe เปิดตัวบริการ Creative Cloud Express แอปแต่งภาพเน้นใช้งานได้ง่ายๆ สำหรับคนทั่วไปที่ต้องการทำภาพสำหรับแชร์ลงโซเชียล หรือธุรกิจขนาดเล็กที่ต้องการทำโฆษณา โดยเป็นบริการแบบ freemium ผู้ใช้ทั่วไปสามารถใช้งานได้ฟรี พร้อมสตอเรจขนาด 2GB

Cloudflare พบคนร้ายเริ่มโจมตี log4j ตั้งแต่วันที่ 1 ธันวาคม, AWS ออกแพตช์แบบไม่ต้องรีสตาร์ต, ซอฟต์แวร์สแกนในองค์กรออกแล้ว

By lew

on 13 December 2021 - 13:33 Tag: Log4j, Security

Log4j

ช่องโหว่รันโค้ดระยะไกลของ log4j เปิดช่องโหว่เข้าถึงระบบสำคัญๆ จำนวนมากในโลก ตอนนี้มีความพยายามปิดช่องโหว่นี้หลายช่องทางด้วยกัน แต่จุดที่น่ากังวลที่สุดคือ Matthew Prince ซีอีโอของ Cloudflare ออกมาระบุว่าพบหลักฐานการโจมตีช่องโหว่นี้ตั้งแต่วันที่ 1 ธันวาคมที่ผ่านมา ก่อนการเปิดเผยช่องโหว่ถึง 9 วัน แม้ว่าจะเป็นการโจมตีเฉพาะก็ตาม

กสิกรไทยอัพเดตบริการผ่านเว็บเป็น K BIZ เปิดทางยืนยันธุรกรรมผ่านแอป K PLUS แทน SMS

By lew

on 12 December 2021 - 22:34 Tag: Kasikorn Bank, Internet Banking

Kasikorn Bank

ธนาคารกสิกรไทยอัพเดตเว็บ K Cyber เป็นบริการ K BIZ โดยอัพเดตบริการให้ทันสมัยทัดเทียมกับแอป K PLUS มากขึ้น ฟีเจอร์สำคัญที่เพิ่มมาคือ

ช่องโหว่ log4j กระทบถึงแอปเดสก์ทอป, ผู้ให้บริการ WAF อัพเดตไฟร์วอลล์แล้ว, ทีมวิจัยออกวัคซีนแก้ช่องโหว่ให้

By lew

on 11 December 2021 - 11:09 Tag: Log4j, Security, Apache, Java

Log4j

ช่องโหว่รันโค้ดระยะไกลใน log4j หรือเรียกว่า log4shell มีความร้ายแรงสูงและโจมตีได้ง่าย ตอนนี้วงการความปลอดภัยไซเบอร์ก็เริ่มรายงานถึงผลกระทบและการรับมือช่องโหว่นี้

เนื่องจาก log4j ได้รับความนิยมอย่างสูง แม้แต่แอปพลิเคชั่นเดสก์ทอปก็ใช้งานกันเป็นปกติทำให้แอปพลิเคชั่นเหล่านี้ถูกโจมตีได้เช่นกัน ตัวอย่างเช่น Ghidra ของ NSA ก็ได้รับผลประทบและออกเวอร์ชั่น 10.1 มาแก้ไขช่องโหว่แล้ว

แจ้งเตือน ไลบรารี log4j มีช่องโหว่รันโค้ด หาก log ข้อมูลจากผู้ใช้โดยตรง ควรปิดช่องโหว่ทันที

By lew

on 10 December 2021 - 20:36 Tag: Log4j, Java, Apache, Security

Log4j

วันนี้มีรายงานถึงช่องโหว่ CVE-2021-44228 ของไลบรารี log4j ที่เป็นไบรารี log ยอดนิยมในภาษา จาวา ส่งผลให้แอปพลิเคชั่นจำนวนมากมีช่องโหว่รันโค้ดระยะไกลไปด้วย หากแอปพลิเคชั่นเขียน log จากอินพุตของผู้ใช้ไม่ว่าช่องทางใดก็ตาม เช่น การเขียน username จากอินพุตของผู้ใช้ลงใน log หรือการ log ข้อมูล user-agent ของเบราว์เซอร์

ตอนนี้มีรายงานว่าบริการสำคัญๆ จำนวนมากมีช่องโหว่นี้ เช่น Steam, iCloud, หรือ Minecraft ตลอดจนแอปแทบทุกตัวที่ใช้ Apache Struts

Cloudflare ซื้อบริษัท Zaraz ย้ายสารพัดสคริปต์บนเว็บไปรันบน Cloudflare Workers

By lew

on 9 December 2021 - 17:03 Tag: Cloudflare, CDN

Cloudflare

Cloudflare ประกาศเข้าซื้อสตาร์ตอัพ Zaraz ผู้ให้บริการย้ายสคริปต์ภายนอก (third-party) เช่น Google Analytics, Facebook Pixel หรือสคริปต์โฆษณาต่างๆ ให้ไปรันบน Cloudflare Workers แทนที่จะรันในเบราว์เซอร์

สคริปต์ภายนอกส่วนมากให้บริการวัดสถิติรูปแบบต่างๆ รวมถึงการแสดงโฆษณา แต่ปัญหาของสคริปต์เหล่านี้คือมันกลายเป็นจุดที่ช้าที่สุดของหน้าเว็บ และกลายเป็นความเสี่ยงในกรณีที่สคริปต์เหล่านี้ถูกแฮกเพื่อวางโค้ดโจมตี โดยเฉพาะในทุกวันนี้ที่มีสคริปต์รูปแบบคล้ายๆ กันนับสิบบริการรันในแต่ละเว็บ

DeepMind เปิดตัวปัญญาประดิษฐ์ Gopher ใหญ่กว่า GPT-3 ถึง 60% ถามตอบใกล้เคียงมนุษย์, แต่มั่นใจเกินตัว

By lew

on 9 December 2021 - 15:21 Tag: DeepMind, Artificial Intelligence

DeepMind

DeepMind เปิดตัวปัญญาประดิษฐ์สถาปัตยกรรมใหม่สำหรับการทำความเข้าใจภาษามนุษย์ โดยทดสอบสถาปัตยกรรมนี้หลายขนาด ตั้งแต่ 44 ล้านพารามิเตอร์ไปจนถึง 280,000 ล้านพารามิเตอร์ โดยตั้งชื่อโมเดลใหญ่ที่สุดนี้ว่า Gopher ซึ่งใหญ่กว่าโมเดล GPT-3 ของ OpenAI ถึง 60%

Gopher ทำคะแนนทดสอบความเข้าใจภาษา (Massive Multitask Language Understanding - MMLU) ได้เหนือกว่า GPT-3 แทบทุดหมวด บางหมวดเช่นมนุษยศาสตร์นั้นเริ่มเข้าใกล้คนจริงๆ (คะแนนสูงกว่า 70 คะแนนเทียบกับมนุษย์ที่ได้ประมาณ 90 คะแนน)

กูเกิลรายงานคำค้นยอดนิยม ของไทยมีหมวดเงินคริปโตให้เฉพาะ, Popcat/Squid Game ติดอันดับโลก

By lew

on 9 December 2021 - 00:55 Tag: Google, Thailand, Google Search, Search Engine

Google

วันนี้กูเกิลรายงานคำค้นยอดนิยมประจำปี โดยบอก 5 อันดับคำค้น ที่เหลือเป็นอันดับแยกตามหมวดหมู่โดยไม่ได้ระบุเงื่อนไขของการเลือกแต่ละหมวดหมู่มาแสดง

สำหรับประเทศไทยนั้น คำค้น 10 อันดับแรกเป็นโครงการช่วยเหลือของรัฐถึง 3 อันดับ คือ เราชนะ, คนละครึ่ง, และ ม.33 เรารักกัน และอีก 3 รายการเป็นคำค้นเกี่ยวกับโควิด สำหรับการแยกตามหมวดหมู่ กูเกิลประเทศไทยเลือกแสดง หมวดหมู่ ข่าว, สถานที่ท่องเที่ยว, ร้านอาหาร, บุคคล, การบริจาค, วิธี (how to), บริจาค, ต้นไม้, และเงินคริปโต

ในที่สุดก็มีวันนี้ ไมโครซอฟท์ออกแบบ Notepad ใหม่ มี Dark Mode แล้ว

By lew

on 8 December 2021 - 01:43 Tag: Notepad, Windows 11, Microsoft

Notepad

ไมโครซอฟท์ประกาศปล่อย Notepad เวอร์ชั่นออกแบบใหม่สำหรับ Windows 11 Insiders (Dev Channel) แม้หน้าตาโดยรวมจะคล้ายเดิมแต่ก็ปรับ UI ให้เข้ากับ Windows 11 เต็มตัว

จุดสำคัญที่สุดคือโหมดหน้าจอมืด (dark mode) ที่ปรับตามการตั้งค่าของวินโดวส์โดยรวม หรือจะปรับแยกในการตั้งค่าของแอปเองก็ได้เช่นกัน ฟีเจอร์อื่นๆ เช่น ระบบการค้นหาและแทนค่า (find and replace) แบบใหม่, รองรับการสั่ง undo ได้หลายชั้น

เวอร์ชั่นที่ปล่อยออกมายังมีบั๊กที่ทีมงานรู้อยู่แล้วบางส่วน เช่น ปัญหาระหว่างสลับภาษา, การ shift-click และยังมีประเด็นประสิทธิภาพโปรแกรมเมื่อเปิดไฟล์ใหญ่มากๆ