lew | Blognone

Member for : Thu, 11/08/2005 - 11:15

แจ้งเตือน รายงานช่องโหว่ Grafana ออกสู่สาธารณะ แฮกเกอร์อ่านไฟล์ในเครื่องได้

By lew

on 8 December 2021 - 01:19 Tag: Grafana, Security

Grafana

ช่องโหว่ CVE-2021-43798 ของ Grafana 8.0.0-beta1 ขึ้นไปรั่วออกสู่สาธารณะหลังนักวิจัยเพิ่งรายงานไปยัง Grafana เมื่อสัปดาห์ที่ผ่านมา และกำลังอยู่ระหว่างการปล่อยแพตช์ตามรอบในวันที่ 14 ธันวาคมนี้ ส่งผลให้ Grafana ต้องรีบปล่อยแพตช์ฉุกเฉิน

ช่องโหว่นี้เปิดทางให้แฮกเกอร์สามารถอ่านไฟล์ใดๆในเครื่องของเหยื่อได้ หากเปิดเว็บ Grafana ให้เข้าถึงผ่านอินเทอร์เน็ต ซึ่งทำให้แฮกเกอร์อ่านไฟล์สำคัญในเครื่องได้จนยึดเครื่องได้ในที่สุด ทำให้ช่องโหว่มีความร้ายแรงสูง คะแนน CVSSv3.1 อยู่ที่ 7.5 คะแนน

AWS คอนโซลมีปัญหาทั่วโลก เริ่มจากโซน US-EAST-1 มีปัญหา

By lew

on 8 December 2021 - 00:12 Tag: AWS, Service Outage

AWS

ระบบคอนโซลของ AWS มีปัญหาทั่วโลกเนื่องจากโซน US-EAST-1 มีปัญหาทำให้ลูกค้าไม่สามารถเข้าใช้งานได้ตั้งแต่ช่วง 5 ทุ่มที่ผ่านมา ทาง AWS ระบุว่าพบสาเหตุแล้วและกำลังแก้ไข

ปัญหาสำคัญคือคอนโซลหลักบนโดเมน console.aws.amazon.com นั้นโฮสต์อยู่ที่ US-EAST-1 ทำให้ลูกค้าส่วนมากเข้าไม่ได้ แต่หากเข้าตรงผ่านโดเมนของโซนเช่น us-west-2.console.aws.amazon.com ก็ยังเข้าได้อยู่

แม้ปัญหาจะเริ่มจากคอนโซลอย่างเดียวแต่ AWS ก็รายงานว่าบริการ EC2 ในโซน US-EAST-1 มีปัญหาด้วยเช่นกัน ตอนนี้ยังไม่มีรายละเอียดว่าปัญหาเกิดจากอะไร

Django ออกเวอร์ชั่น 4.0 ใช้กับ Python 3.8 ขึ้นไป รองรับแคชด้วย Redis ในตัว

By lew

on 7 December 2021 - 21:38 Tag: Django, Python, Programming

Django

Django เว็บเฟรมเวิร์คยอดนิยมภาษา Python ประกาศออกเวอร์ชั่น 4.0 แม้ฟีเจอร์หลักๆ จะเปลี่ยนแปลงไม่มากนัก แต่การออกเวอร์ชั่นใหม่ก็ทำให้ตัดฟีเจอร์เก่าๆ ไปหลายตัวตามหลัก Semantic Versioning

ส่วนใหม่ๆ ใน Django 4.0 เช่น

FBI จับกุมอดีตหัวหน้าทีมคลาวด์ Ubiquiti ฐานขโมยข้อมูลลูกค้าแล้วเรียกค่าไถ่บริษัท

By lew

on 7 December 2021 - 10:11 Tag: FBI, Ubiquiti, Data Breach

FBI

FBI แถลงจับกุม Nickolas Sharp อดีตหัวหน้าทีมคลาวด์ (cloud lead) ของบริษัท Ubiquiti ที่ทำงานกับบริษัทตั้งแต่ปี 2018 ถึงเดือนมีนาคมที่ผ่านมา โดย FBI ระบุว่า Sharp ขโมยข้อมูลออกจากบริษัทไปเมื่อเดือนธันวาคม 2020 และใช้ข้อมูลเรียกค่าไถ่จากบริษัทเอง

แถลงข่าวจับกุมไม่ได้ระบุชื่อบริษัทโดยตรง แต่เรียกเพียงว่า Company-1 ที่เป็นบริษัทเทคโนโลยีในนิวยอร์ค แต่ก็ตรงกับ Ubiquiti และประวัติของ Sharp เองก็ทำงานกับ Ubiquiti ในช่วงนั้น โดยเมื่อเดือนมกราคมทาง Ubiquiti แจ้งเตือนลูกค้าว่าเซิร์ฟเวอร์พอร์ทัลถูกแฮก

กูเกิลบริจาค Knative เข้า CNCF คาดอยู่ในระดับ Incubating

By lew

on 7 December 2021 - 00:19 Tag: Knative, Google, Open Source, Kubernetes, CNCF, Serverless

Knative

กูเกิลประกาศบริจาค Knative เข้า Cloud Native Computing Foundation (CNCF) หลังจากเปิดโครงการมาตั้งแต่ปี 2018 และแม้จะเป็นโครงการโอเพนซอร์สมาตลอดแต่ก็ควบคุมโครงการโดยกูเกิลเองเป็นหลัก

Knative เป็นชุดซอฟต์แวร์สำหรับสร้างบริการแบบ serverless บน Kubernetes ที่ตอนนี้ได้รับความนิยมสูงสุดในชุมชน Kubernetes (รองลงไป คือ OpenFaaS, Kubeless, Virtual Kubelet, KEDA, Apache OpenWhisk)

AWS SDK รองรับภาษา Kotlin, Rust, Swift เพิ่มเติม

By lew

on 6 December 2021 - 20:17 Tag: AWS, Development, Kotlin, Rust, Swift, Programming

AWS

AWS เพิ่มภาษาที่รองรับใน AWS SDK อีก 3 ภาษา ได้แก่ Kotlin, Rust, และ Swift โดยทั้งสามภาษายังอยู่ในช่วง Developer Preview

ภาษา Kotlin นั้นมักใช้งานในแอนดรอยด์เป็นหลัก รองรับบริการ 284 ตัว รองรับฟีเจอร์ของ Kotlin เองเช่น coroutine และรันแบบ concurrent ได้

ภาษา Rust นั้นก่อนหน้านี้มีโครงการ Rusoto ทดแทน AWS SDK ทางการที่สร้างโดยนักพัฒนาภายนอกอยู่ก่อนแล้ว แต่ทาง AWS ก็เลือกพัฒนาใหม่เป็น SDK มาตรฐาน ตอนนี้เวอร์ชั่นพรีวิวรองรับบริการ 288 ตัว หากใช้งานใน AWS เช่น EC2, ECS, หรือ Lambda จะคอนฟิกอัตโนมัติ และใช้ฟีเจอร์ของภาษา Rust เต็มที่

Supabase เปิดโครงการ pg_graphql ทำให้ PostgreSQL รองรับ GraphQL ในตัว ใช้แรมน้อย

By lew

on 6 December 2021 - 14:36 Tag: GraphQL, Supabase, Database, PostgreSQL

GraphQL

Supabase เปิดตัวโครงการ pg_graphql ส่วนขยายสำหรับ PostgreSQL แบบโอเพนซอร์ส เพื่อรองรับการคิวรีแบบ GraphQL ได้โดยตรง ใช้แรมน้อยกว่าเทคโนโลยี

ซอฟต์แวร์สำหรับให้บริการ GraphQL บนฐานข้อมูลแบบ SQL นั้นมีอยู่หลายตัว หากนับเฉพาะที่รองรับ PostgreSQL และเป็นโครงการโอเพนซอร์สก็มี Graphile และ Hasura ได้รับความนิยมอย่างสูงอยู่แล้ว แต่ทาง Supabase ระบุว่าโครงการเหล่านี้อาศัยส่วนประกอบมากเกินไป ทำให้ใช้หน่วยความจำสูง จึงต้องสร้างโซลูชั่นแบบเบาขึ้นมาทดแทน

Didi ประกาศถอนตัวออกจากตลาดหุ้นสหรัฐฯ เตรียมเข้าตลาดหุ้นฮ่องกง

By lew

on 3 December 2021 - 12:44 Tag: Didi Chuxing, China, Stock Exchange

Didi Chuxing

Didi ประกาศเริ่มกระบวนถอนหุ้นออกจากตลาดหลักทรัพย์นิวยอร์ค และเตรียมนำบริษัทเข้าซื้อขายในตลาดหุ้นฮ่องกงแทน โดยตอนนี้กรรมการบริษัทได้อนุมัติแนวทางนี้แล้ว

ก่อนหน้านี้ Bloomberg อ้างแหล่งข่าวไม่เปิดเผยตัวระบุว่าทางการจีนเป็นผู้สั่งให้ Didi ถอนหุ้นออกจากตลาดสหรัฐฯ หลังจากเพิ่งเข้าซื้อขายในตลาดหุ้นนิวยอร์คเมื่อกลางปีที่ผ่านมา

ที่มา - CNN

AWS เปิดบริการซัพพอร์ต FreeRTOS ต่อจากช่วง LTS เพิ่มอีก 10 ปี

By lew

on 3 December 2021 - 11:35 Tag: AWS, Internet of Things

AWS

AWS เปิดบริการ FreeRTOS Extended Maintenance Plan (EMP) บริการแพตช์ความปลอดภัยให้กับ FreeRTOS รุ่น LTS ต่อเนื่องหลังหมดอายุซัพพอร์ตไปอีก 10 ปี

ปกติแล้ว FreeRTOS รุ่น LTS มีอายุซัพพอร์ตเพียง 2 ปีเท่านั้น แต่อายุการใช้งานอุปกรณ์ IoT มักยาวนานนับสิบปี และผู้พัฒนาหลายรายก็ไม่พร้อมพอร์ตแอปพลิเคชั่นข้ามเวอร์ชั่นบ่อยๆ รวมถึงตัว API ของระบบปฎิบัติการก็อาจจะมีความเปลี่ยนแปลง

รุ่น LTS ที่มีการใช้งานอยู่ตอนนี้เช่น FreeRTOS 202012.01 LTS จะหมดอายุซัพพอร์ตปี 2023 หากซื้อบริการ EMP ก็จะใช้งานได้ถึงปี 2033 เลยทีเดียว

BadgerDAO ถูกแฮก คนฝากเงินโดดดูดออกจาก DeFi เกือบ 4,000 ล้านบาท

By lew

on 3 December 2021 - 09:57 Tag: Cryptocurrency, Security

Cryptocurrency

BadgerDAO บริการ DeFi สำหรับฟาร์มเงิน รายงานว่าเงินผู้ใช้ถูกถอนโดยไม่ได้รับอนุญาต และตอนนี้ยังไม่แน่ชัดว่าคนร้ายถอนเงินออกไปได้อย่างไร หรือมูลค่าเงินที่ถูกขโมยเงินออกไปเป็นมูลค่าเท่าใด แต่บริษัทวิเคราะห์บล็อคเชน PeckShield ออกมารายงานว่ามูลค่ารวมน่าจะอยู่ที่ 2,100 BTC กับอีก 151 ETH รวมมูลค่าประมาณ 120 ล้านดอลลาร์หรือประมาณ 4,000 ล้านบาท

ตอนนี้ทาง BadgerDAO ยังไม่ระบุว่าช่องโหว่ที่คนร้ายโจมตีนั้นใช่ช่องทางใด แต่ทีมงานก็บอกกับผู้ใช้ว่ากำลังสงสัยว่าคนร้ายแฮกมาทางหน้าเว็บ ไม่ใช่ตัว smart contract โดยตรง และตอนนี้กำลังทำงานร่วมกับ Chainslysis เพื่อสอบสวนเหตุการณ์

Project Zero รายงานช่องโหว่ในไลบรารีเข้ารหัสของ Mozilla พบช่องโหว่ง่ายๆ แต่กลับรอดการตรวจสอบมาหลายปี

By lew

on 2 December 2021 - 03:29 Tag: Mozilla, Google, Project Zero

Mozilla

Tavis Ormandy จาก Project Zero ของกูเกิลรายงานถึงช่องโหว่ CVE-2021-43527 ในไลบรารี NSS (Network Security Services) สำหรับการเข้ารหัสและตรวจสอบลายเซ็นดิจิทัล ที่ใช้งานในซอฟต์แวร์จำนวนมากโดยเฉพาะ Firefox และ Thunderbird โดยพบช่องโหว่ที่เปิดทางให้แฮกเกอร์สามารถสร้างใบรับรองที่มุ่งร้ายจนรันโค้ดในเครื่องของเหยื่อได้เพียงแค่เปิดอ่านใบรับรอง

ช่องโหว่นี้เกิดจาก struct ที่ชื่อว่า VFYContext ที่เป็นโครงสร้างข้อมูลสำหรับการตรวจสอบใบรับรอง แต่กลับประกาศขนาดของลายเซ็นดิจิทัลไว้จำกัด ทำให้แฮกเกอร์สามารถสร้างใบรับรองที่มีลายเซ็นขนาดใหญ่มากจนล้นหน่วยความจำที่จองไว้ กลายเป็นการโจมตี heap overflow

Supabase ซอฟต์แวร์เลียนแบบ Firebase แบบโอเพนซอร์ส เปิดโครงการ Supabase Studio หน้าจอจัดการฐานข้อมูล

By lew

on 1 December 2021 - 23:56 Tag: Open Source, Database

Open Source

Supabase บริการระบบหลังบ้านแอปพลิเคชั่นที่เลียนแบบมาจาก Firebase แต่พัฒนาแบบโอเพนซอร์สประกาศโครงการ Supabase Studio หน้าจอ UI ที่เคยให้บริการเฉพาะบริการคลาวด์ของ Supabase เอง

ฟังก์ชั่นของ Supabase Studio ใช้สำหรับจัดการฐานข้อมูลใน Supabase เอง เช่นการจัดการตาราง, กำหนดนโยบาย, คิวรีข้อมูลออกมาดู

AWS เปิดบริการ AWS Private 5G เครือข่ายส่วนตัว จ่ายตามแบนด์วิทด์ที่ใช้งาน

By lew

on 1 December 2021 - 01:09 Tag: AWS, 5G

AWS

AWS เปิดบริการ AWS Private 5G เปิดให้ลูกค้าสั่งเสาสัญญาณโทรศัพท์ไปติดตั้งในพื้นที่ที่ต้องการ พร้อมกับเซิร์ฟเวอร์ และซิมการ์ด โดยมีจุดเด่นคือไม่มีค่าแรกเข้าหรือค่าบริการตามจำนวนอุปกรณ์ แต่คิดค่าบริการตามแบนด์วิดท์เน็ตเวิร์คที่ขอไว้ และพื้นที่ที่ต้องการใช้งาน

การใช้งานสามารถเครือข่าย 5G ส่วนตัว สามารถใช้งานในงานที่ต้องการความน่าเชื่อถือสูง เช่น ระบบควบคุมการเข้าออกพื้นที่ (access control), กล้องวงจรปิด, ระบบควบคุมเครื่องจักร, หรืออุปกรณ์ IoT อื่นๆ

AWS เปิดตัวชิป Graviton3 ใช้แรม DDR5 ประสิทธิภาพดีขึ้น 25%, ตรวจสอบการเขียนแรมแปลกปลอม

By lew

on 1 December 2021 - 00:36 Tag: AWS, CPU, Graviton, Arm

AWS

AWS เปิดตัวซีพียู Graviton3 ซีพียูที่ AWS ออกแบบเพื่อใช้งานในคลาวด์ของตัวเอง ระบุว่าประสิทธิภาพสูงขึ้น 25% แต่เฉพาะการประมวลผลเลขทศนิยมและการเข้ารหัสจะมีประสิทธิภาพดีขึ้นมาก สูงสุดถึงเท่าตัว นอกจากนี้ยังมีฟีเจอร์เพิ่มเติม เช่น

AWS เปิดตัว EC2 ใช้ซีพียู AMD EPYC รุ่นที่ 3 และซีพียู Graviton2 กับกราฟิก NVIDIA T4G

By lew

on 1 December 2021 - 00:20 Tag: AWS, Cloud Computing, Amazon EC2

AWS

AWS เปิดตัวเซิร์ฟเวอร์ EC2 สองรุ่น คือ M6a ที่ใช้ซีพียู AMD EPYC รุ่นที่ 3 และ G5g ใช้ซีพียู Graviton2 ของ AWS เองพร้อมกับชิปกราฟิก NVIDIA T4G

เครื่อง M6a สามารถเลือกเครื่องขนาดใหญ่กว่าเดิม เครื่องใหญ่สุดคือ m6a.48xlarge ขนาดถึง 192 vCPU พร้อมแรม 768 GiB แบนด์วิดท์เน็ตเวิร์คสูงสุด 50 Gbps และเชื่อมต่อสตอเรจ EBS แบนด์วิดท์สูงสุด 40 Gbps

ตอนนี้ยังใช้งานได้เฉพาะในสหรัฐฯ ทาง AWS ระบุว่าประสิทธิภาพต่อราคาของเครื่อง M6a ดีกว่า M5a ถึง 35%

ที่มา - AWS

Huobi บริษัทซื้อขายคริปโตจากจีน ย้ายสำนักงานใหญ่ไปสิงคโปร์

By lew

on 30 November 2021 - 23:32 Tag: Cryptocurrency, China, Singapore

Cryptocurrency

Houbi บริษัทซื้อขายคริปโตรายใหญ่จากจีนที่ต้องปิดบริการในจีนไปเมื่อปี 2017 ประกาศย้ายสำนักงานใหญ่ไปยังสิงคโปร์ พร้อมกับเตรียมเปิดสำนักงานใหญ่ประจำภูมิภาคยุโรปเพิ่มเติมในปี 2023

ตัว Houbi แม้จะหยุดกิจการตลาดซื้อขายเงินคริปโตไปหลายปีแล้ว แต่ในจีนก็ยังให้บริการรวมกลุ่มขุดเงินคริปโต (mining pool) ในจีนเรื่อยมา เพิ่งมาหยุดกิจการเมื่อกลางปีที่ผ่านมาหลังรัฐบาลจีนประกาศ "กำจัด" เงินคริปโต

JetBrains เปิดตัว Fleet โปรแกรมแก้โค้ดแบบเล็กเร็ว เปิดโหมด IDE ได้ภายหลัง

By lew

on 30 November 2021 - 00:21 Tag: JetBrains, Editor

JetBrains

JetBrains เปิดตัวโปรแกรมแก้ไขโค้ด (editor) ในชื่อ Fleet ที่เน้นการนำงานง่ายๆ ได้อย่างรวดเร็วไม่กินเครื่อง แต่เปิดโหมดสมาร์ตได้ภายหลังเพื่อให้มันทำงานเป็น IDE เต็มรูปแบบ

ในโหมด editor นั้น Fleet สามารถไฮไลต์โค้ดได้, มีระบบเติมโค้ดอย่างง่ายๆ แต่เมื่อกดเปิดโหมดสมาร์ต จะวิเคราะห์โค้ดได้อย่างละเอียด เพิ่มตัวเติมโค้ดแบบฉลาด, ตัวช่วย refactor โค้ด, รองรับการดีบั๊กโค้ด ตอนนี้รองรับภาษา Java, Kotlin, Python, Go, JavaScript, Rust, TypeScript, และ JSON ในอนาคตเตรียมรองรับ PHP, C++, C#, และ HTML เพิ่มเติม

ตำรวจอิตาลีจับแก๊งปลอมใบรับรองฉีดวัคซีน พบ QR ใช้งานจริงไม่ได้

By lew

on 29 November 2021 - 23:19 Tag: Italy, COVID-19

Italy

ตำรวจอิตาลีรายงานความร่วมมือกับบริษัทความปลอดภัยไซเบอร์ Group-IB ตามล่าแก๊งขายใบรับรองการรับวัคซีนปลอม ในกลุ่มแชต Telegram รวม 35 กลุ่ม มีสมาชิกในกลุ่มรวมกว่าแสนราย แต่ไม่มีข้อมูลว่ามีการขายใบรับรองปลอมไปมากน้อยเพียงใด

ใบรับรองวัคซีนของสหภาพยุโรปนั้นเป็น QR ที่มีลายเซ็นดิจิทัลไว้ในตัวทำให้กระบวนการปลอมแปลงโดยคนภายนอกทำได้ยากอย่างยิ่ง แก๊งเหล่านี้มักหลอกเหยื่อว่ามีคนในช่วยกรอกข้อมูลปลอมให้ ทำให้ได้รับ QR จริงที่ตรวจสอบผ่าน แต่หลังจากเหยื่อจ่ายเงินแล้วคนร้ายก็มักหายตัวไปหรือไม่ก็ส่งใบรับรองปลอมที่ใช้งานจริงไม่ได้

กระทรวงดิจิทัลสหราชอาณาจักรเสนอกฎหมายควบคุมอุปกรณ์ IoT บังคับตั้งรหัสผ่านใหม่ ต้องแจ้งผู้ใช้ว่าจะซัพพอร์ตนานเพียงใด

By lew

on 29 November 2021 - 12:03 Tag: United Kingdom, Internet of Things

United Kingdom

กระทรวงดิจิทัล, วัฒนธรรม, สื่อ, และการกีฬาสหราชอาณาจักรเสนอร่างกฎหมาย Product Security and Telecommunications Infrastructure (PSTI) เข้าสู่สภาเพื่อควบคุมความปลอดภัยของอุปกรณ์ IoT ทั้งระบบ เช่น สมาร์ตทีวี, กล้องวงจรปิด, ลำโพงเชื่อมต่ออินเทอร์เน็ต หลังจากผลักดันนอกสภามาถึงสองปี

กฎหมายเพิ่มมาตรการควบคุมผู้ผลิตและผู้นำเข้าอุปกรณ์ ต้องทำตามเงื่อนไขหลัก 3 รายการ ได้แก่

การล็อกอินแบบสองขั้นตอนและแบบไม่ใช้รหัสผ่านใน Synology DSM 7.0

By lew

on 29 November 2021 - 01:42 Tag: Synology, Authentication, FIDO

Synology

ปัญหารหัสผ่านรั่วไหล หรือรหัสผ่านไม่ปลอดภัยเพียงพอเป็นปัญหาของบริการออนไลน์จำนวนมาก ในบริการออนไลน์จากผู้ให้บริการรายใหญ่ๆ มักมีความสามารถในการดูแลบริการ ไล่บล็อคไอพีของบอตที่ยิงรหัสผ่าน แต่กับเซิร์ฟเวอร์ขนาดเล็กที่ใช้งานในบ้านหรือในธุรกิจขนาดเล็กนั้นหากตั้งเซิร์ฟเวอร์ออกอินเทอร์เน็ตก็มักจะไม่มีเจ้าหน้าที่หรือระบบมอนิเตอร์มาตรวจสอบการล็อกอินผิดปกติจริงจัง ส่งผลให้มีความเสี่ยงถูกยิงรหัสผ่านจนคนร้ายยึดเครื่องได้โดยง่าย