เตือนพบช่องโหว่ร้ายแรงบนปลั๊กอินของ WordPress แนะผู้ใช้เร่งอัปเดต


WebARX ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยของ WordPress ได้พบช่องโหว่ร้ายแรงบนปลั๊กอินจาก ThemeGrill ซึ่งทำให้ผู้โจมตีสามารถรีเซ็ตค่าฐานข้อมูลกลับเป็น Default หรือพูดง่ายๆ ว่าข้อมูลหายเรียบ
ThemeGrill Demo Importer เป็นปลั๊กอินยอดนิยมตัวหนึ่งในกลุ่มผู้ดูแล WordPress ที่ช่วยให้สามารถ Demo Content, Widget และการตั้งค่าธีมจากบริษัท ThemeGrill ซึ่งมีผู้ติดตั้งแล้วกว่า 200,000 ไซต์
ประเด็นคือ WebARX ได้พบช่องโหว่ RCE ในปลั๊กอินที่ทำให้คนร้ายสามารถส่ง Payload พิเศษเข้าไปใช้งานฟังก์ชันในปลั๊กอินให้รีเซ็ตค่าเป็น Default นอกจากนี้หากฐานข้อมูลใช้ Username เป็น admin อยู่แฮ็กเกอร์จะได้รับสิทธิ์เป็นผู้ดูแลทันทีด้วย ปัจจุบันช่องโหว่ส่งผลกระทบกับปลั๊กอินเวอร์ชัน 1.3.4 – 1.6.1 ดังนั้นสามารถอัปเดตป้องกันได้ในเวอร์ชัน 1.6.2 โดยด่วนครับ

Comments

Post a Comment

Popular posts from this blog

จีนเผยแผนสร้างดวงจันทร์เทียมสำหรับให้แสงสว่างยามกลางคืนภายในปี 2020

Image
นักวิทยาศาสตร์และวิศวกรจีนได้ออกมาเผยถึงแนวคิดใหม่ในการสร้างดวงจันทร์เทียม เพื่อให้แสดงสว่างภายในตัวเมืองยามกลางคืน ทำให้ท้องถนนปลอดภัยยิ่งขึ้น และลดพลังงานที่ต้องใช้ในการให้แสงสว่างยามกลางคืนลง Wu Chunfeng ประธานแห่ง Chengdu Aerospace Science and Technology Microelectronics System Research Institute ได้ออกมาเผยแผนการส่งดวงจันทร์เทียมภายในปี 2020 โดยดวงจันทร์เทียมนี้อันที่จริงแล้วก็คือดาวเทียมสำหรับให้แสงสว่างโดยเฉพาะ ดาวเทียมดังกล่าวนี้จะสว่างกว่าดวงจันทร์ถึง 8 เท่า และสามารถให้แสงสว่างภายในระยะเส้นผ่านศูนย์กลางรอบตัวความยาว 50 ไมล์หรือราวๆ 80.5 กิโลเมตร และเชื่อว่าดวงจันทร์เทียมนี้จะช่วยลดค่าใช้จ่ายด้านพลังงานที่ต้องใช้เพื่อให้แสงสว่างภายในเมืองยามค่ำคืนลงได้ถึง 20,000 ล้านหยวนภายในระยะเวลา 5 ปีหลังจากเริ่มต้นใช้งาน อย่างไรก็ดี ได้มีผู้แสดงข้อกังวลถึงการที่ดวงจันทร์เทียมนี้จะทำให้มีปัญหาต่างๆ ตามมา เช่น การที่หน่วยงานอื่นๆ ไม่สามารถศึกษาความเปลี่ยนแปลงที่เกิดขึ้นทางด้านดาราศาสตร์ได้ หรืออาจส่งผลกระทบต่อวงจรชีวิตของสัตว์ต่างๆ ซึ่งทาง Kang Weimin ผู้อำนวยการแห่ง Institute of Opt...
Read more

Fortinet คาดการณ์ Machine Learning และ AI จะถูกใช้เป็นกลยุทธ์ในการโจมตีในอนาคต

Image
ในขณะที่อุตสาหกรรมด้านความมั่นคงปลอดภัยต่างเริ่มนำเทคโนโลยี Machine Learning และ Artificial Intelligence (AI) เข้ามาสนับสนุนการค้นหา ตรวจจับ และวิเคราะห์ด้านความมั่นคงปลอดภัยเพื่อรับมือกับภัยคุกคามระดับสูง ฝั่งอาชญากรไซเบอร์เองก็เริ่มนำเทคโนโลยีดังกล่าวมาใช้เพื่อค้นหาช่องโหว่และโจมตีเป้าหมายด้วยเช่นกัน Fortinet ได้คาดการณ์ 3 กลยุทธ์ด้าน Machine Learning และ AI ที่อาชญากรไซเบอร์จะนำไปใช้ ดังนี้ 1. AI Fuzzing AI และโมเดล Machine Learning จะถูกผสานเข้ากับการทำ Fuzzing เพื่อเรียนรู้การทำงานและโครงสร้างของเป้าหมาย พร้อมค้นหาช่องโหว่และการโจมตีแบบ Zero-day โดยอัตโนมัติ 2. Swarm-as-a-Service แฮ็กเกอร์จะทำการสร้าง Swarm Network ซึ่งเป็นเครือข่าย Botnet อัจฉริยะที่มีการแชร์ข้อมูลระหว่างกันแบบเรียลไทม์ มีคุณสมบัติ Autonomous และ Self-learning ช่วยให้สามารถเจาะระบบเป้าหมายได้อย่างรวดเร็วและมีประสิทธิภาพมากยิ่งขึ้น จากนั้นให้บริการในรูป As-a-service ส่งผลให้ต่อให้เป็นมือสมัครเล่นก็สามารถใช้บริการเพื่อโจมตีเป้าหมายขนาดใหญ่ได้ 3. Machine Learning Poisoning Machine Learning เปรียบเสมือ...
Read more

นักวิจัยพบช่องโหว่ Remote Code Execution บนระบบ Blockchain-based EOS Smart Contract System

Image
นักวิจัยด้าน Security ชาวจีนสองคนจาก Qihoo 360 ได้ออกมาเปิดเผยถึงการค้นพบช่องโหว่บน EOS ซึ่งเป็นระบบ Open Source Smart Contract Platform ซึ่งเปิดให้ผู้โจมตีสามารถเข้ายึด Supernode ใน EOS Network ได้ และนำไปสู่การโจมตีต่อเนื่องเพื่อเข้ายึดเครื่องอื่นๆ ใน Network ได้อีกด้วย ช่องโหว่ Remote Code Execution ที่พบในครั้งนี้เป็นช่องโหว่ Buffer Out-of-Bounds Write Vulnerability ที่เกิดขึ้นจากคำสั่งที่ใช้ในการ Parse ข้อมูล Contract บนแต่ละ Node ซึ่งเมื่อผู้โจมตีทำการอัปโหลดไฟล์ WASM ที่เขียนด้วย WebAssembly และปรับแต่งมาเพื่อเจาะช่องโหว่โดยเฉพาะขึ้นไปบน Server ก็จะสามารถเข้ายึด Supernode ใน EOS Network ได้ทันที และสามารถทำการโจมตีต่อเนื่องเพื่อเข้ายึดเครื่องอื่นๆ ทั้งหมดใน EOS Network ต่อไปได้ด้วย ทั้งนี้นักวิจัยทั้งสองได้ทำการแจ้งไปยังทีมพัฒนาของ EOS แล้วเมื่อวันที่ 28 พฤษภาคม 2018 ที่ผ่านมา และทางทีมพัฒนาก็ได้ออกอัปเดตแก้ไขช่องโหว่นี้ออกมาแล้วบน GitHub เรียบร้อยแล้วในวันที่ 29 พฤษภาคม 2018 แต่อย่างไรก็ดี นักวิจัยทั้งสองยังได้เตือนว่าช่องโหว่ลักษณะนี้อาจไม่ได้ปรากฏอยู่เฉพาะบน EOS เท่านั้น ...
Read more