Microsoft ปรับปรุงความปลอดภัยของส่วน extensions ใน MS Edge

    Microsoft ได้เปิดตัว Publish API สำหรับ Developer Edge extension เวอร์ชันอัปเดต ที่ช่วยเพิ่มความปลอดภัยให้กับบัญชี Developer และการอัปเดต extension ของเบราว์เซอร์

    เมื่อมีการเผยแพร่ extension เบราว์เซอร์ใน Microsoft Edge ใหม่เป็นครั้งแรก Developer จะต้องส่ง extension ดังกล่าวผ่าน Partner Center เมื่อได้รับการอนุมัติแล้ว การอัปเดตจะดำเนินการผ่าน Partner Center หรือ Publish API

    ในส่วนของ Microsoft's Secure Future Initiative ทาง Microsoft กำลังเพิ่มระดับความปลอดภัยให้กับกลุ่มผลิตภัณฑ์ทั้งหมด รวมทั้งกระบวนการ browser extension publishing เพื่อป้องกันไม่ให้ extensions ถูกฝังด้วยโค้ดที่เป็นอันตราย

    โดย Publish API ใหม่ที่เป็นความลับจะถูกสร้างเป็นคีย์ API แบบไดนามิกสำหรับ Developer แต่ละคน ซึ่งช่วยลดความเสี่ยงที่ข้อมูล static credentials จะถูกเปิดเผยภายในโค้ด หรือถูกการละเมิดอื่น ๆ

ขณะนี้ API keys เหล่านี้จะถูกเก็บไว้ในฐานข้อมูลของ Microsoft ในรูปแบบ hashes แทนที่จะเป็น keys โดยตรง ซึ่งจะช่วยป้องกันไม่ให้ API keys รั่วไหลได้

    เพื่อเพิ่มความปลอดภัยให้มากขึ้น access token URLs จะถูกสร้างขึ้นมา และไม่จำเป็นต้องมีการส่งข้อมูลออกไป ในกรณีที่ Developer มีการอัปเดต extension วิธีนี้ช่วยเพิ่มความปลอดภัย โดยมีการจำกัดความเสี่ยงในการเปิดเผย URL ซึ่งอาจใช้ในการส่งการอัปเดต extension ที่เป็นอันตราย

    API ที่มีการเผยแพร่ใหม่นี้ keys จะหมดอายุ ภายใน 72 วัน และเมื่อเทียบกับ 2 ปีก่อนหน้านี้ การ Rotating secrets บ่อยขึ้น จะป้องกันไม่ให้มีการใช้งานในทางที่ผิดในกรณีที่ข้อมูลจะถูกเปิดเผย Developer Edge สามารถลองใช้การจัดการ API key ตัวใหม่ใน Partner Center dashboard ของตนเองได้

    ซึ่ง Developer จะต้องสร้าง ClientId และ secrets รวมไปถึงกำหนดค่าไปป์ไลน์ CI/CD ที่มีอยู่ใหม่

Developer ซอฟต์แวร์มักตกเป็นเป้าหมายของการโจมตีแบบฟิชชิง และการโจมตีด้วยมัลแวร์เพื่อขโมยข้อมูล credentials อยู่เสมอ

    โดยข้อมูล credentials เหล่านี้จะถูกนำไปใช้เพื่อขโมยโค้ดต้นฉบับ หรือเพื่อโจมตีกระบวนการทำงานของระบบ ในขณะนี้ทาง Microsoft กำลังจัดระเบียบ process ใหม่ในรูปแบบ opt-in เพื่อลดการหยุดชะงักในการย้ายไปใช้ Publish API ใหม่ แต่คงไม่น่าแปลกใจหาก Publish API ที่อัปเดตจะกลายเป็นระบบบังคับในอนาคต

    Microsoft ระบุว่า เพื่อลดการหยุดชะงักในการย้ายไปยัง Publish API ใหม่ จำเป็นต้องมีการทำ opt-in experience ซึ่งจะช่วยให้สามารถเปลี่ยนไปใช้ new experience ของตนเองได้ หากจำเป็น ผู้ใช้ยังสามารถยกเลิก และกลับไปใช้วิธีการแบบเดิมได้ แม้ว่าจะมีการสนับสนุนให้ผู้พัฒนาเปลี่ยนไปใช้วิธีการใหม่เนื่องจากมีความปลอดภัยมากกว่าก็ตาม

    การปรับปรุงด้านความปลอดภัยที่มาพร้อมกับ Publish API ใหม่จะช่วยป้องกัน extension ของผู้ใช้ และเสริมประสิทธิภาพของกระบวนการทำงานมากขึ้น

Ref : bleepingcomputer

ไมโครซอฟท์บล็อกการติดตั้ง Windows 11 เวอร์ชัน 24H2 บนคอมพิวเตอร์บางรุ่นที่ใช้ชิป Intel เนื่องจากปัญหา BSOD

    ไมโครซอฟท์ได้บล็อกการอัปเกรด Windows 24H2 บนระบบที่มีไดรเวอร์เสียง Intel Smart Sound Technology (SST) ที่ไม่เข้ากัน เนื่องจากปัญหาหน้าจอสีน้ำเงิน (BSOD)

    Intel SST คือโปรเซสเซอร์ดิจิทัล (DSP) แบบบูรณาการสำหรับการจัดการเสียง เสียงพูด และการโต้ตอบด้วยเสียงบนอุปกรณ์ที่ใช้โปรเซสเซอร์ Intel Core และ Intel Atom

    บริษัทกล่าวในข้อมูลใหม่บนแดชบอร์ดสุขภาพของ Windows ว่า ไดรเวอร์ที่ได้รับผลกระทบนี้ถูกแสดงอยู่ในหมวดอุปกรณ์ระบบในตัวจัดการอุปกรณ์ (Device Manager) และพบไฟล์ชื่อ 'IntcAudioBus.sys' หากไฟล์นี้เป็นเวอร์ชัน 10.29.0.5152 หรือ 10.30.0.5152 ปัญหานี้อาจเกิดขึ้นได้

    อุปกรณ์ที่ใช้โปรเซสเซอร์ Intel 11th Gen Core และไดรเวอร์ Intel SST เวอร์ชัน 10.29.0.5152 หรือ 10.30.0.5152 เท่านั้นที่ได้รับผลกระทบจากปัญหานี้

    ไมโครซอฟท์ยังได้เพิ่มการบล็อกการอัปเดต Windows 11 2024 บนระบบที่มีไดรเวอร์เสียง Intel SST ที่ไม่เข้ากัน (รหัสบล็อกคือ 51876952)

    ลูกค้าถูกแนะนำว่าไม่ควรอัปเดต Windows 11 24H2 ด้วยตนเองโดยใช้เครื่องมือ Media Creation Tool หรือ Windows 11 Installation Assistant หากอุปกรณ์ของพวกเขาได้รับผลกระทบจากปัญหานี้ ซึ่งอาจนำไปสู่ความไม่เสถียรของระบบและข้อผิดพลาด BSOD

คำแนะนำ

    วิธีแก้ไขปัญหาชั่วคราว ผู้ใช้ Windows 11 ที่ได้รับผลกระทบอาจสามารถแก้ไขปัญหานี้ชั่วคราวได้โดยการอัปเดตไดรเวอร์ Intel SST เป็นเวอร์ชัน 10.30.00.5714 ขึ้นไป หรือ 10.29.00.5714 ขึ้นไป ผ่านการอัปเดต Windows หากไม่สามารถหาไดรเวอร์ที่อัปเดตเพื่อแก้ไขปัญหานี้ได้ ควรติดต่อผู้ผลิตอุปกรณ์ (OEM) เพื่อขอข้อมูลเพิ่มเติม

    โปรดทราบว่าไดรเวอร์เวอร์ชันที่ใหม่กว่าอาจแสดงเฉพาะเลขส่วนท้ายของหมายเลขเวอร์ชันเท่านั้น สำหรับการแก้ไขปัญหานี้ เวอร์ชัน 10.30.x ไม่ได้ใหม่กว่าเวอร์ชัน 10.29.x" ไมโครซอฟท์เตือน

    นอกจากนี้ หากไม่มีการบล็อกอื่นใดสำหรับอุปกรณ์ของคุณ อาจใช้เวลาถึง 48 ชั่วโมงก่อนที่จะสามารถอัปเกรดเป็น Windows 11 24H2 ได้ หลังจากอัปเดตไดรเวอร์แล้ว และยังมีการบล็อกการอัปเกรด Windows 11 24H2 สำหรับระบบที่ใช้เกม Asphalt 8 (Airborne) และแอปพลิเคชัน Easy Anti-Cheat

    บริษัทได้เพิ่มการบล็อกการอัปเกรด Windows 24H2 บนอุปกรณ์ที่ใช้แอปพลิเคชัน Safe Exam Browser (ID 49562592) เซ็นเซอร์ลายนิ้วมือบางตัวที่มีเฟิร์มแวร์ที่ไม่เข้ากัน (ID 52796844) และแอปพลิเคชันปรับแต่งวอลล์เปเปอร์ (ID 52754008)

Ref : bleepingcomputer

Microsoft แก้ไขปัญหาการส่งอีเมลบน Outlook สำหรับผู้ใช้ที่มีโฟลเดอร์จำนวนมาก

Microsoft ได้แก้ไขปัญหาที่ส่งผลต่อผู้ใช้ Outlook for Microsoft 365 ที่ทำให้เกิดปัญหาในการส่งอีเมลสำหรับผู้ที่มีโฟลเดอร์ซ้อนกันมากเกินไป

Microsoft พบปัญหาดังกล่าวครั้งแรกในเดือนธันวาคม 2023 โดยปัญหาดังกล่าวเกี่ยวข้องกับ mailbox ที่มี shared folder มากกว่า 500 โฟลเดอร์ ซึ่งข้อจำกัดดังกล่าวได้ถูกยกเลิกไปในปี 2019 โดยยกเลิกข้อจำกัด 500 โฟลเดอร์ใน Outlook อย่างไรก็ตามเชื่อว่าปัญหาดังกล่าวยังส่งผลต่อผู้ใช้ที่มีโฟลเดอร์จำนวนใกล้เคียงกันในกล่องจดหมายหลักของตนด้วย

Microsoft ระบุว่า ผู้ใช้งานที่พยายามส่งอีเมลจาก Outlook desktop app อาจได้รับรายงานการแจ้งเตือน Non-Delivery Report (NDR) พร้อม error code 0x80040305

โดยผู้ใช้ที่ได้รับผลกระทบจะได้รับการแจ้งเตือนด้วยว่าอีเมลของตนส่งไปไม่ถึงผู้รับบางส่วน หรือทั้งหมด โดยข้อความ NDR จะแนะนำให้ส่งใหม่อีกครั้งในภายหลังหรือติดต่อ network administrator

Outlook Team ได้พัฒนาวิธีแก้ไขปัญหา ซึ่งจะเผยแพร่ในช่วงเดือนตุลาคม หรือในเดือนธันวาคม 2024

• Beta Channel : เวอร์ชัน 2410 (Build 18127.15020) คาดว่าจะออกในช่วงต้นเดือนตุลาคม 2024
• Current Channel Preview : เวอร์ชัน 2410 (Build 18129.20000) คาดว่าจะออกในวันที่ 9 ตุลาคม 2024
• Current Channel : เวอร์ชัน 2410 (บิลด์ 20000) คาดว่าจะออกในวันที่ 29 ตุลาคม 2024
• Monthly Enterprise Channel : เวอร์ชัน 2410 (บิลด์ 20000) คาดว่าจะออกในวันที่ 10 ธันวาคม 2024
• แนวทางการแก้ไข

ในระหว่างที่รอการแก้ไข ทาง Microsoft ได้แนะนำแนวทางแก้ไขปัญหาชั่วคราว โดยกำหนดให้ลดจำนวนโฟลเดอร์ที่มีโฟลเดอร์ย่อยให้ต่ำกว่า 500 โฟลเดอร์ โดยตั้งเป้าไว้ที่ 450 โฟลเดอร์ที่ซ้อนกัน และอีกวิธี คือการยุบโฟลเดอร์กล่องจดหมายทั้งหมดแทนที่จะขยาย

ซึ่งหากไม่สามารถดำเนินการอย่างใดอย่างหนึ่งข้างต้นได้ ให้หลีกเลี่ยงการดำเนินการออนไลน์ใน Outlook การดำเนินการดังกล่าวรวมถึงการใช้ปุ่ม 'View on Server' และ ' Click here to view more on Microsoft Exchange' หรือการใช้ ' Include older results' เมื่อค้นหา รวมถึงหากใช้บริการเหล่านี้ควรรีสตาร์ท Outlook ทันทีเพื่อประสิทธิภาพในการใช้งาน

ในเดือนกันยายน 2024 Microsoft ได้แก้ไขช่องโหว่ที่ทำให้ Microsoft 365 apps เช่น Outlook, Word, Excel และ OneNote หยุดทำงานขณะพิมพ์ หรือตรวจสอบการสะกดข้อความ รวมถึงในเดือนสิงหาคม 2024 ได้แบ่งปันแนวทางแก้ปัญหาชั่วคราวสำหรับปัญหาการลงชื่อเข้าใช้ Gmail สำหรับผู้ใช้ Outlook แบบคลาสสิก และทำให้ Outlook หยุดทำงานหลังจากเปิดใช้งาน

Ref : bleepingcomputer

Mallox ransomware เวอร์ชัน Linux ใหม่ ที่สร้างจาก code ของ Kryptina

    TargetCompany ซึ่งเป็นหนึ่งในบริษัทที่ถูกโจมตีจาก Mallox ransomware ได้พบว่ามีการใช้ Kryptina ransomware ที่ได้รับการปรับปรุง ในการโจมตีระบบ Linux ของพวกเขา

    ตามที่ SentinelLabs รายงาน เวอร์ชันดังกล่าวนั้นแตกต่างจากเวอร์ชันอื่น ๆ ของ Mallox ที่มุ่งเป้าไปที่ Linux เช่น เวอร์ชันที่นักวิจัยของ Trend Micro ได้เผยแพร่เมื่อเดือนมิถุนายน 2024 ที่ผ่านมา แสดงให้เห็นถึงการเปลี่ยนแปลงที่สำคัญของ Mallox ransomware ซึ่งเคยเป็นมัลแวร์ที่มีเฉพาะใน Windows เท่านั้น ที่ปัจจุบันกำลังมุ่งเป้าหมายไปยังระบบปฏิบัติการ Linux และ VMWare ESXi ซึ่งถือเป็นวิวัฒนาการครั้งสำคัญของกลุ่มดังกล่าว

Kryptina ransomware สู่ Mallox ransomware

    Kryptina เปิดตัวในฐานะ ransomware-as-a-service (RaaS) platform ที่ราคาไม่สูงมาก ($500-$800) แต่มีความสามารถในการโจมตีระบบ Linux ในช่วงปลายปี 2023 แต่ยังไม่ได้รับความนิยมในกลุ่ม Hacker มากนัก

    ในเดือนกุมภาพันธ์ 2024 มีผู้ใช้ชื่อว่า "Corlys" ที่อ้างว่าเป็นผู้ดูแลระบบ ได้เผยแพร่โค้ดต้นฉบับของ Kryptina ลงบน hacking forums ฟรี ทำให้คาดว่าโค้ดดังกล่าวจึงถูกนำไปใช้โดยกลุ่ม Hacker ที่ต้องการโจมตีระบบ Linux ของเป้าหมาย

    ภายหลังที่กลุ่ม Mallox ransomware ได้ประสบปัญหาในการปฏิบัติงาน และถูกเปิดเผยเครื่องมือในการโจมตี ทาง SentinelLabs พบว่า Kryptina ได้ถูกนำมาปรับใช้เพื่อสร้างเพย์โหลดของ Mallox payloads ตัวใหม่

    โปรแกรมเข้ารหัสที่เปลี่ยนชื่อใหม่ และมีชื่อว่า "Mallox Linux 1.0" ได้ใช้โค้ดต้นฉบับหลักของ Kryptina คือกลไก AES-256-CBC encryption และ decryption routines รวมไปถึง command-line และ configuration parameters แบบเดียวกัน

    แสดงให้เห็นถึง Mallox ได้ปรับเปลี่ยนเพียงแค่ลักษณะที่ปรากฏ และชื่อเท่านั้น รวมถึงลบการอ้างอิงถึง Kryptina บนบันทึกเรียกค่าไถ่ สคริปต์ และไฟล์ และย้ายเอกสารที่มีอยู่ให้เป็นรูปแบบ "lite" โดยไม่เปลี่ยนแปลงส่วนอื่น ๆ

รวมถึงยังพบเครื่องมืออื่น ๆ มากมายบนเซิร์ฟเวอร์ของ Hacker รวมถึง :

• เครื่องมือรีเซ็ตรหัสผ่าน Kaspersky ที่ถูกกฎหมาย (BAT)
• ช่องโหว่ CVE-2024-21338 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์บน Windows 10 และ 11
• PowerShell scripts สำหรับการยกระดับสิทธิ์
• Mallox payload droppers ที่ใช้ Java
• Disk image files ที่มี Mallox payloads
• Data folders ของเหยื่อ 14 ราย

    ขณะนี้ ยังไม่ชัดเจนว่า Mallox Linux เวอร์ชัน 1.0 ถูกใช้โดยกลุ่ม Hacker กลุ่มเดียว หรือหลายกลุ่ม หรือผู้ให้บริการ Mallox ransomware ทั้งหมด ควบคู่ไปกับเวอร์ชัน Linux ที่เคยรายงานไปก่อนหน้านี้

Ref : bleepingcomputer

พบช่องโหว่ระดับ Critical ใน NVIDIA Container Toolkit ที่ทำให้สามารถเข้าควบคุม Host ทั้งหมดได้

ช่องโหว่ระดับ critical ใน NVIDIA Container Toolkit ส่งผลกระทบกับแอปพลิเคชัน AI ทั้งหมดในระบบคลาวด์หรือระบบ on-premise ในองค์กรที่ต้องใช้ Toolkit เพื่อเข้าถึง GPU

CVE-2024-0132 (คะแนน CVSS 9.0/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถทำการโจมตีแบบ Container Escape และเข้าถึง host system ได้เต็มรูปแบบ รวมถึงเรียกใช้คำสั่ง หรือขโมยข้อมูลที่มีความสำคัญได้ โดยส่งผลกระทบต่อ NVIDIA Container Toolkit 1.16.1 และเวอร์ชันก่อนหน้า และ GPU Operator 24.6.1 และเวอร์ชันก่อนหน้า นักวิจัยของ Wiz ได้ค้นพบช่องโหว่ดังกล่าวและรายงานให้ NVIDIA ทราบเมื่อวันที่ 1 กันยายน 2024 หลังจากนั้น NVIDIA ได้ยอมรับช่องโหว่ดังกล่าว และเผยแพร่แพตซ์แก้ไขช่องโหว่เมื่อวันที่ 26 กันยายน 2024

โดย particular library นี้ได้รับการติดตั้งไว้ล่วงหน้าใน AI-focused platform และ virtual machine image จำนวนมาก ซึ่งเป็น standard tool สำหรับการเข้าถึง GPU เมื่อเกี่ยวข้องกับ NVIDIA hardware

จากการวิจัยของ Wiz พบว่า cloud environment มากกว่า 35% มีความเสี่ยงที่จะถูกโจมตีโดยใช้ช่องโหว่ดังกล่าว

ช่องโหว่ Container escape

ปัญหาเกิดจากการขาดการแยกความปลอดภัยของ GPU ใน containerized GPU จาก host ทำให้ containers สามารถติดตั้งส่วนที่สำคัญของ host filesystem หรือเข้าถึง runtime resources เช่น Unix sockets สำหรับ inter-process

แม้ว่า filesystem ส่วนใหญ่จะถูก mounted ด้วยสิทธิ์ "read-only" แต่ Unix socket บางตัวเช่น 'docker.sock' และ 'containerd.sock' ยังคงเขียนได้ ซึ่งช่วยให้สามารถโต้ตอบกับโฮสต์ได้โดยตรง รวมถึงการเรียกใช้คำสั่งต่าง ๆ

Hacker สามารถใช้ช่องโหว่ Container escape ได้โดยผ่าน container image ที่สร้างขึ้นเป็นพิเศษ เพื่อเข้าถึงโฮสต์ เมื่อดำเนินการได้โดยตรงผ่านทรัพยากร GPU ที่ใช้ร่วมกัน หรือโดยอ้อมเมื่อเป้าหมายเรียกใช้ image ที่ดาวน์โหลดจากแหล่งที่ไม่ปลอดภัย

สำหรับรายละเอียดทางเทคนิคสำหรับการโจมตีจากช่องโหว่ดังกล่าวยังไม่ถูกเปิดเผย เพื่อให้องค์กรที่ได้รับผลกระทบมีเวลาในการแก้ไขช่องโหว่ แต่ทั้งนี้นักวิจัยกำลังวางแผนที่จะเปิดเผยข้อมูลทางเทคนิคเพิ่มเติม

NVIDIA แนะนำให้ผู้ใช้งานที่ได้รับผลกระทบ ทำการอัปเกรดเป็น NVIDIA Container Toolkit เวอร์ชัน 1.16.2 และ NVIDIA GPU Operator 24.6.2

Ref : bleepingcomputer