คลังเก็บป้ายกำกับ: VULNERABILITY_AND_RISK_MANAGEMENT

พบช่องโหว่บน SQLite กระทบ Chrome และซอฟต์แวร์จำนวนมากแนะผู้ใช้ควรอัปเดต

ทีมงานด้านความมั่นคงปลอดภัยของ Tencent ได้ค้นพบช่องโหว่บน SQLite ที่ทำให้ผู้โจมตีสามารถรันโค้ดได้ โดยตั้งชื่อช่องโหว่ว่า ‘Megellan’ ดังนั้นแนะนำให้ผู้ใช้งานติดตามการอัปเดตแพตช์ในผลิตภัณฑ์ที่ภายในมีการเรียกใช้ SQLite

Credit: ShutterStock.com

SQL เป็นระบบจัดการฐานข้อมูลที่ได้รับความนิยมในซอฟต์แวร์จำนวนมาก เช่น IoT, macOS และแอปพลิเคชันบน Windows รวมไปถึงบราวน์เซอร์หลายรายอย่าง Chrome, Opera, Vivadi และ Brave ด้วย โดยวิธีการใช้ช่องโหว่ Megellan นั้นทางแฮ็กเกอร์ต้องหลอกให้เหยื่อเข้าชมเว็บไซต์ที่สร้างขึ้นมาแบบพิเศษเท่านั้น อย่างไรก็ตามทางนักวิจัยจาก Tencent เผยว่าทดสอบใช้ช่องโหว่ได้สำเร็จกับ Google Home แล้วแต่ยังไม่เปิดเผยเพราะมีซอฟต์แวร์ที่ได้รับผลกระทบจำนวนมากจึงให้เวลาทำแพตช์กันก่อน

ในส่วนของการป้องกันนั้น SQLite เองได้ปล่อยแพตช์อัปเดตแล้วในเวอร์ชัน 3.26.0 เช่นกันทาง Google ก็ได้แพตช์บน Chrome ในเวอร์ชัน 71.0.3578.80 ซึ่งจนถึงขณะนี้ยังไม่มีรายงานการใช้ช่องโหว่เพื่อการโจมตีแต่อย่างใด ดังนั้นจึงแนะนำให้ผู้ใช้งานรีบไปอัปเดตแพตช์ของซอฟต์แวร์ที่เกี่ยวข้องกันโดยเร่งด่วน

ที่มา : https://thehackernews.com/2018/12/sqlite-vulnerability.html และ https://www.securityweek.com/code-execution-flaw-sqlite-affects-chrome-other-software

from:https://www.techtalkthai.com/sqlite-megellan-vulnerability/

Advertisements

25 Passwords ยอดแย่ประจำปี 2018 … 123456 รั้งที่ 1 อย่างเหนียวแน่น

SplashData ผู้ให้บริการซอฟต์แวร์สำหรับบริหารจัดการรหัสผ่านชื่อดัง ได้ออกมาเปิดเผยถึง 25 รหัสผ่านยอดนิยม หรืออาจเรียกว่าเป็นรหัสผ่านยอดแย่ประจำปี 2018 นี้ ซึ่งอันดับหนึ่งยังคงเป็น “123456” ตามด้วย “password” เช่นเดียวกับปี 2017 และ 2016 ที่ผ่านมา

Credit: garagestock/ShutterStock.com

SplashData ได้รวบรวมข้อมูลรหัสผ่านกว่า 5,000,000 รายการที่หลุดออกมาสู่โลกอินเทอร์เน็ตในปี 2018 แล้วทำการจัดอันดับรหัสผ่านที่ได้รับความนิยมสูงสุด 100 อันดับแรก ซึ่งเรียกได้ว่า ถ้าใครใช้รหัสผ่านซ้ำกับ 100 อันดับนี้มีโอกาสเสี่ยงถูกแฮ็กได้อย่างง่ายดาย ซึ่งในปีนี้ รหัสผ่านที่นิยม แต่แย่ที่สุดยังคงเป็น “123456” และ “password” โดยครองตำแหน่งมานาน 5 ปีติดต่อกัน

สำหรับรหัสผ่านที่น่าสนใจที่ปรากฏเข้ามาใหม่ คือ “donald” ซึ่งคาดว่ามาจากชื่อของ Donald Trump ประธานาธิบดีคนปัจจุบันของสหรัฐฯ แสดงให้เห็นว่าผู้ใช้มักนิยมเอาคำทั่วๆ ไป แต่เป็นกระแส ณ ขณะนั้นๆ มาตั้งเป็นรหัสผ่าน นอกจากนี้ยังพบว่า มีผู้ใช้หลายคนที่พยายามใช้อักขระพิเศษเพื่อให้รหัสผ่านของตนเองดูยากยิ่งขึ้น แต่ยังคงเรียงลำดับตามคีย์บอร์ดอยู่ดี นั่นคือ “!@#$%^&*”

SplashData คาดการณ์ว่า อย่างน้อย 10% ของผู้ใช้ทั่วโลกมีการใช้รหัสผ่าน 1 ใน 25 รหัสผ่านเหล่านี้

เปรียบเทียบรหัสผ่านยอดแย่ประจำปี 2018 และ 2017 ดังตารางด้านล่าง

  25 รหัสผ่านยอดแย่ประจำปี 2018 25 รหัสผ่านยอดแย่ประจำปี 2017
1. 123456 123456
2. password password
3. 123456789  12345678
4. 12345678 qwerty
5. 12345 12345
6. 111111 123456789
7. 1234567 letmein
8. sunshine 1234567
9. qwerty football
10. iloveyou iloveyou
11. princess admin
12. admin welcome
13. welcome monkey
14. 666666 login
15. abc123 abc123
16. football starwars
17. 123123 123123
18. monkey dragon
19. 654321 passw0rd
20. !@#$%^&* master
21. charlie hello
22. aa123456 freedom
23. donald whatever
24. password1 qazwsx
25. qwerty123 trustno1

ที่มา: https://www.teamsid.com/100-worst-passwords/

from:https://www.techtalkthai.com/25-worst-insecure-passwords-used-in-2018/

พบบั๊กบน Facebook API รูปภาพของผู้ใช้กว่า 6.8 ล้านคนเสี่ยงหลุดสู่ภายนอก

Facebook ออกแถลงการณ์ พบบั๊กบน Application Programming Interface (API) สำหรับรูปภาพบนแพลตฟอร์มโซเชียลมีเดียของตน ซึ่งอาจทำให้บุคคลที่สามสามารถเข้าถึงรูปภาพของผู้ใช้กว่า 6,800,000 คนเกินกว่าที่กำหนดไว้ได้โดยไม่ได้รับอนุญาต

Credit: JaysonPhotography/ShutterStock.com

แอปพลิเคชันที่ได้รับสิทธิ์ในการเข้าถึงรูปภาพ ส่วนมากมักจะถูกจำกัดเฉพาะรูปที่โพสต์บนไทม์ไลน์ของเจ้าของบัญชี Facebook อย่างไรก็ตาม ระหว่างช่วง 2 สัปดาห์ของวันที่ 13 – 25 กันยายนที่ผ่านมา มีความผิดพลาดเกิดขึ้นบนโค้ดส่วน Photo API ที่ทำการอัปเดตใหม่ ซึ่งทำให้สิทธิ์ในการเข้าถึงรูปภาพดังกล่าวถูกขยายออกไปยังส่วนอื่นๆ เช่น Marketplace หรือ Facebook Stories รวมไปถึงรูปภาพที่เจ้าของไม่ได้เผยแพร่ออกไป (รูปภาพดังกล่าวนี้เกิดจากการที่ผู้ใช้ทำการอัปโหลดรูปขึ้น Facebook แต่ยังไม่ได้โพสต์ออกไป อาจจะเป็นเพราะเกิดเปลี่ยนใจ หรือไปทำกิจกรรมอย่างอื่นก่อน Facebook จะทำการเก็บรูปไว้ชั่วคราว เผื่อผู้ใช้กลับมาโพสต์ต่อให้จบ) ส่วนรูปภาพที่แชร์ผ่าน Facebook Messenger นั้นไม่ได้รับผลกระทบแต่อย่างใด

Facebook ได้ทำการตรวจสอบเบื้องต้น พบว่าปัญหาดังกล่าวส่งผลกระทบต่อผู้ใช้ราว 6,800,000 คน และมีแอปพลิเคชัน 1,500 รายการจากนักพัฒนา 876 รายที่สามารถเข้าถึงรูปภาพอื่นๆ ของผู้ใช้ได้โดยไม่ต้องรับความยินยอมก่อน อย่างไรก็ตาม ต้องเข้าใจตรงกันว่าแอปพลิเคชันเหล่านี้ อย่างน้อยก็ได้รับอนุมัติในการเข้าถึง Photoi API ของ Facebook และมีสิทธิ์ในการเข้าถึงรูปภาพบนไทม์ไลน์ของผู้ใช้อยู่ก่อนแล้ว

เนื่องจากขณะเกิดเหตุนั้น Facebook ไม่สามารถระบุได้ชัดเจนว่า แอปพลิเคชันใดที่เรียกใช้ API ที่มีปัญหาบ้าง ทางบริษัทฯ จึงตัดสินใจแจ้งเตือนไปยังผู้ใช้ทั้งหมดที่มีการใช้ 1 ใน 1,500 แอปพลิเคชันเหล่านั้น ในขณะที่แจ้งไปยังนักพัฒนาเจ้าของแอปพลิเคชันให้ตรวจสอบรูปภาพที่มี และจัดการลบรูปที่ไม่สมควรได้รับอนุญาตให้เข้าถึงทิ้งไป

จนถึงตอนนี้ Facebook แก้ไขบั๊กบน Photo API เป็นที่เรียบร้อยแล้ว สำหรับผู้ใช้ที่ได้รับผลกระทบ จะมี Notification แจ้งเตือนบน Facebook ซึ่งจะลิงค์ไปยังหน้า Help Center เพื่อให้ตรวจสอบถึงผลกระทบที่ตนเองได้รับ และแอปพลิเคชันที่อาจจะมีสิทธิ์เข้าถึงรูปภาพเกินกว่าขอบเขตที่กำหนดไว้

ที่มา: https://www.bleepingcomputer.com/news/security/facebook-photo-api-bug-exposed-pics-of-up-to-68-million-users/

from:https://www.techtalkthai.com/facebook-api-bug-exposed-photos-from-6-8-million-users/

WordPress ออกแพตช์แก้ไขช่องโหว่ในเวอร์ชัน 5.0.1

เมื่อไม่กี่วันก่อนทาง WordPress เพิ่งปล่อยเวอร์ชัน 5.0 ออกมาซึ่งในวันนี้ได้เริ่มแพตช์ช่องโหว่จำนวน 7 รายการในเวอร์ชัน 5.0.1 แล้ว โดยช่องโหว่ประกอบด้วย XSS และการตรวจเช็ค MIME ให้รัดกุมมากขึ้น เป็นต้น แนะนำผู้ใช้ควรอัปเดต

การแก้ไขช่องโหว่ในแพตช์มีดังนี้

  • แก้ไขการตรวจสอบ MIME สำหรับการอัปโหลดไฟล์คือเวอร์ชันก่อนหน้านั้นไฟล์ที่อัปโหลดอาจจะมีเนื้อไม่ตรงกับ Extension ได้ (.Docx, jpg หรืออื่นๆ) ในแพตช์ใหม่นี้จึงเพิ่มความสามารถตรวจสอบความตรงกันของเนื้อหาและ Extension หลังจากที่ช่องโหว่ XSS ถูกค้นพบโดย Tim Coen และ Slavo Mihajloski
  • Tim Coen และ Slavo Mihajloski ยังได้ค้นพบช่องโหว่ XSS อีกจุดหนึ่งคือผู้ใช้งาน WordPress อาจถูกแก้ไขคอมเม้นต์ใหม่ได้จากผู้ใช้งานระดับสูงกว่าซึ่งการเป็นช่องทางให้นำไปสู่ช่องโหว่ดังกล่าว อย่างไรก็ตาม Coen ระบุว่าตัว WordPress เองไม่ได้รับผลกระทบโดยตรงแต่จะมีผลกับ Plugin บางตัวเท่านั้น
  • RIPS Technologies ได้เครดิตรายงาน Bug 2 รายการว่า Author สามารถแก้ไข Meta Data เพื่อลบไฟล์ที่ตัวเองไม่มีสิทธิ์ อีกช่องโหว่คือการสร้างโพสต์ทั้งที่ตัวเองไม่มีสิทธิ์เช่นกัน

นอกจากนี้ยังมีรายงานจากผู้เขียน Plugin ยอดนิยมของ WordPress อย่าง Yoast SEO ได้ไปพบว่าในหน้า Activation ของผู้ใช้งานสามารถถูก Google ทำ index ได้และอาจนำไปสู่การเผยข้อมูลอย่างที่อยู่อีเมลหรือรหัสผ่านเดิมที่ถูก Generate มาแต่ทางนักพัฒนาของ WordPress กล่าวว่า “เป็นกรณีที่เกิดขึ้นได้น้อยมากๆ” สำหรับผู้ที่ยังไม่ได้อัปเดตเวอร์ชัน 5.0 ก็มีแพตช์ก็มีในเวอร์ชัน 4.9 หรือก่อนหน้าด้วยเช่นกัน ผู้สนใจสามารถอ่านรายละเอียดของแพตช์เพิ่มเติมได้ที่นี่

ที่มา : https://www.securityweek.com/several-vulnerabilities-patched-release-wordpress-501 และ https://www.zdnet.com/article/wordpress-plugs-bug-that-led-to-google-indexing-some-user-passwords/

from:https://www.techtalkthai.com/wordpress-patch-via-version-5-0-1/

แฮ็กเกอร์ขโมย Credentials บริการของรัฐบาลในหลายประเทศปล่อยไว้ในออนไลน์

Group-IB บริษัทผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ได้เปิดเผยถึงการค้นพบ Credentials ของบริการรัฐบาลในหลายประเทศผ่านทางออนไลน์ระหว่างการตามรอยมัลแวร์ ซึ่งมีเหยื่อกว่า 4 หมื่นรายและเชื่อว่า Crendentials ดังกล่าวอาจถูกเร่ขายในตลาดใต้ดินของกลุ่มแฮ็กเกอร์

แฮ็กเกอร์ได้ใช้มัลแวร์ขโมยข้อมูลของเหยื่อหลายตัว เช่น Pony, AZORult และ Qakbot จากนั้นก็จะส่งข้อมูลที่ขโมยได้กลับไปหาเซิร์ฟเวอร์ C2 ของคนร้าย ซึ่ง Alexandr Kalinin หัวหน้าทีมตอบสนองเหตุฉุกเฉินทางคอมพิวเตอร์ของ Group-IB เชื่อว่าคนร้ายได้ทำการตัดเอาเฉพาะข้อมูลบัญชีบริการรัฐบาลของเหยื่อมาโปรโมทขายแบบออนไลน์ ปัจจุบันบริษัทได้แชร์ข้อมูลให้กับประเทศที่ได้รับผลกระทบแล้วและเหยื่อหลักๆ นั้นกว่า 52% เป็นบริการจากรัฐบาลอิตาลี ตามมาด้วย 22% เป็นของรัฐบาลจากซาอุดิอาราเบีย และ สุดท้ายรัฐบาลโปรตุเกสราว 5%

โดยการปฏิบัติการครั้งนี้คนร้ายได้สนใจเว็บของหน่วยงานรัฐบาลเป็นพิเศษ เช่น Poland (gov.pl), Romania (gov.ro), Switzerland (admin.ch), Balgaria (goverment.bg) รวมถึงตัวแทนรัฐบาลในประเทศอื่น เช่น กระทรวงกลาโหมของอิตาลี (difesa.it) หน่วยงานกองกำลังป้องกันอิสราเอล (idf.it) และ กระทรวงการต่างประเทศของอิตาลีและโรมาเนีย เป็นต้น อย่างไรก็ตามยังไม่เป็นที่แน่ชัดว่าแฮ็กเกอร์เริ่มโจมตีจากส่วนคอมพิวเตอร์ของหน่วยงานหรือเริ่มจากคอมพิวเตอร์ส่วนตัวของลูกจ้างเอง

ที่มา : https://www.zdnet.com/article/over-40000-credentials-for-government-portals-found-online/ และ https://www.bleepingcomputer.com/news/security/hackers-steal-over-40k-logins-for-gov-services-in-30-countries/

from:https://www.techtalkthai.com/hacker-collects-government-service-credentials-in-many-counties/

Microsoft แพตช์เดือนธันวาคมแก้ไขช่องโหว่ Zero-day ที่ถูกใช้แล้ว แนะผู้ใช้รีบอัปเดต

Microsoft ได้ออกแพตช์ของเดือนธันวาคมที่แก้ไขช่องโหว่กว่า 39 รายการ โดย 10 รายการถูกจัดอยู่ในระดับความร้ายแรงสูงและหนึ่งในนั้นเป็นช่องโหว่ Zero-day ที่นำไปสู่การยกระดับสิทธิ์ที่ถูกนำไปใช้งานแล้วในมัลแวร์ ดังนั้นแนะนำผู้ใช้งานเร่งอัปเดตโดยทันที

Credit: alexmillos/ShutterStock

ช่องโหว่ Zero-day หมายเลขอ้างอิง CVE-2018-8611 ถูกค้นพบโดย Kaspersky ซึ่งเป็นช่องโหว่จากการที่ Windows Kernel จัดการ Object ในหน่วยความจำผิดพลาดเป็นเหตุให้สามารถนำไปสู่การยกระดับสิทธิ์ โดยช่องโหว่ดังกล่าวส่งผลกระทบกับ Windows ทุกเวอร์ชัน

นอกจากนี้ในส่วนของช่องโหว่ร้ายแรงอีก 10 รายการนั้นล้วนเป็นช่องโหว่ประเภท Remote Code Execution ทั้งสิ้นที่ทำให้แฮ็กเกอร์สามารถรันคำสั่งเพื่อควบคุมเครื่องได้ โดย 9 รายการเป็นของ Windows อยู่ใน .Net Framework, IE และ Edge และอีกหนึ่งรายการเป็น Zero-day ใน Flash Player ที่ทาง Adobe ได้ออกแพตช์เป็นการเร่งด่วนเมื่อวันที่ 5 ธันวาคมที่ผ่านมา ผู้สนใจสามารถติดตามรายละเอียดแพตช์ทั้งหมดได้ที่นี่

from:https://www.techtalkthai.com/microsoft-monthly-patch-december-2018/

phpMyAdmin ออกอัปเดตฉุกเฉิน อุดช่องโหว่รุนแรงระดับสูง ควรอัปเดตทันที

ทีมพัฒนา phpMyAdmin ได้ออกอัปเดตรุ่น 4.8.4 เพื่ออุดช่องโหว่ความรุนแรงระดับสูงหลายรายการที่เปิดให้ผู้โจมตีสามารถเข้ายึดครองเว็บไซต์ได้จากระยะไกล และแนะนำให้ผู้ใช้งานทำการอัปเดตทันทีก่อนที่จะถูกโจมตี

Credit: phpMyAdmin

สำหรับช่องโหว่ที่ถูกอุดในครั้งนี้หลักๆ มีด้วยกัน 3 รายการ ดังนี้

  • Local file inclusion (CVE-2018-19968) บน phpMyAdmin รุ่น 4.0 – 4.8.3 เปิดให้ผู้โจมตีสามารถเข้าถึงข้อมูลไฟล์ต่างๆ บน Server ได้จากระยะไกล
  • Cross-Site Request Forgery (CSRF)/XSRF (CVE-2018-19969) บน phpMyAdmin รุ่น 4.7.0 – 4.7.6 และ 4.8.0 – 4.8.3 ที่ทำให้ผู้โจมตีสามารถเรียกใช้ SQL Operation ได้หากเหยือทำการเปิดลิงค์ที่ถูกสร้างขึ้นมาเพื่อโจมตีโดยเฉพาะ
  • Cross-site scripting (XSS) (CVE-2018-19970) บน phpMyAdmin รุ่น 4.0 – 4.8.3 โดยผู้โจมตีสามารถทำการ Inject โค้ดที่ต้องการไปยังหน้า Dashboard ได้ผ่านชื่อ Database หรือ Table ที่ถูกตั้งขึ้นมาเพื่อใช้โจมตีโดยเฉพาะ

phpMyAdmin รุ่นล่าสุดสามารถโหลดได้ที่ https://www.phpmyadmin.net/downloads/

ที่มา: https://thehackernews.com/2018/12/phpmyadmin-security-update.html

from:https://www.techtalkthai.com/phpmyadmin-releases-new-patch-to-fix-3-vulnerabilities/