อัปเดตความปลอดภัยมกราคม 2024: สรุปช่องโหว่ Zero-day และแพตช์สำคัญจาก Apple, Google, Microsoft และค่ายดัง

เริ่มต้นปี 2024 ด้วยการยกระดับความปลอดภัยทางไซเบอร์ เมื่อยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Apple และ Google ต่างเร่งปล่อยแพตช์เพื่อปิดช่องโหว่ Zero-day (ช่องโหว่ที่ถูกค้นพบและอาจถูกโจมตีได้ก่อนที่ผู้พัฒนาจะออกตัวแก้ไข) เป็นครั้งแรกของปี ขณะที่ซอฟต์แวร์ระดับองค์กรอย่าง Cisco และ SAP ก็มีการออกตัวอัปเดตสำคัญเพื่อป้องกันการบุกรุกระบบ

เพื่อให้ระบบของคุณปลอดภัยจากการโจมตี นี่คือสรุปรายละเอียดการอัปเดตที่สำคัญที่สุดในเดือนมกราคมที่คุณไม่ควรละเลย

Apple: ยกระดับการป้องกัน iOS และ macOS

Apple ได้ปล่อย iOS 17.3 ซึ่งมาพร้อมกับฟีเจอร์ Stolen Device Protection (ระบบป้องกันเมื่ออุปกรณ์ถูกขโมย) และการแก้ไขด้านความปลอดภัยถึง 16 รายการ โดยมีจุดที่น่ากังวลคือช่องโหว่ CVE-2024-23222 ใน WebKit (เอนจินที่ใช้ประมวลผลหน้าเว็บของเบราว์เซอร์) ซึ่งมีรายงานว่าถูกผู้ไม่หวังดีนำไปใช้โจมตีเพื่อรันโค้ดอันตรายในเครื่องแล้ว

นอกจากนี้ iOS 17.3 ยังแก้ไขปัญหาใน WebKit อีก 3 จุด และช่องโหว่ CVE-2024-23208 ในส่วนของ Kernel (แกนกลางของระบบปฏิบัติการ) ที่อาจทำให้แอปพลิเคชันบางตัวได้รับสิทธิ์ในการเข้าถึงระบบในระดับสูงเกินจำเป็น

สำหรับผู้ใช้รุ่นเก่า Apple ยังดูแลอย่างทั่วถึงด้วยการออกอัปเดตดังนี้:

  • iOS 16.7.5: สำหรับ iPhone X และรุ่นก่อนหน้า แก้ไขบั๊กใน ImageIO, Apple Neural Engine และ Safari รวมถึงช่องโหว่ที่ถูกโจมตีแล้ว
  • iOS 15.8.1: ปิดช่องโหว่ CVE-2023-42916 และ CVE-2023-42917 ใน WebKit ที่ถูกนำไปใช้โจมตีจริง

รวมถึงการอัปเดตซอฟต์แวร์อื่นๆ เช่น Safari 17.3, macOS Sonoma 14.3, macOS Ventura 13.6.4, macOS Monterey 12.7.3, watchOS 10.3 และ tvOS 17.3

Google: จัดการช่องโหว่ร้ายแรงใน Android และ Chrome

ในส่วนของ Android Security Bulletin ประจำเดือนมกราคม Google ได้แก้ไขปัญหาหลายสิบรายการ โดยมีจุดวิกฤตคือช่องโหว่การยกระดับสิทธิ์ (Elevation-of-Privilege) 4 รายการในส่วน Framework (โครงสร้างหลักของระบบ) ได้แก่ CVE-2023-21245, CVE-2024-0015, CVE-2024-0018 และ CVE-2024-0023

นอกจากนี้ยังมีช่องโหว่ระดับความรุนแรงสูงอีก 5 รายการ รวมถึง CVE-2024-0021 ซึ่งอาจทำให้ผู้โจมตีสามารถยกระดับสิทธิ์ในเครื่องได้โดยไม่ต้องใช้สิทธิ์การรันโปรแกรมเพิ่มเติม โดยแพตช์เหล่านี้ครอบคลุมทั้งอุปกรณ์ Pixel และ Samsung Galaxy

ด้านเบราว์เซอร์ Google Chrome ได้เผชิญกับช่องโหว่ CVE-2024-0519 (คะแนน CVSS 8.8) ซึ่งเป็นปัญหาการเข้าถึงหน่วยความจำนอกขอบเขต (Out-of-bounds memory access) ใน V8 (เอนจิน JavaScript ของ Chrome) ซึ่งผู้โจมตีสามารถใช้หน้า HTML ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้หน่วยความจำเสียหายและควบคุมระบบได้ โดย Google ยืนยันว่ามีการนำช่องโหว่นี้ไปใช้โจมตีจริงแล้ว

ต่อมาใน Chrome 121 ได้มีการแก้ไขปัญหาความปลอดภัยอีก 17 รายการ โดยมี 3 รายการที่ส่งผลกระทบสูง ได้แก่:

  • CVE-2024-0807: ปัญหา Use-after-free ใน WebAudio
  • CVE-2024-0812: ความผิดพลาดในการติดตั้งระบบ Accessibility
  • CVE-2024-0808: ปัญหา Integer underflow ใน WebUI

Microsoft และ Mozilla: ปิดรอยรั่วในซอฟต์แวร์ยอดนิยม

Microsoft Patch Tuesday ประจำเดือนมกราคม จัดการกับบั๊กเกือบ 50 รายการ รวมถึงช่องโหว่การรันโค้ดจากระยะไกล (Remote Code Execution - RCE) ถึง 12 จุด แม้จะยังไม่มีรายงานการโจมตีจริง แต่มีจุดที่น่าสนใจคือ CVE-2024-20677 ใน Microsoft Office ที่ผู้โจมตีสามารถฝังไฟล์โมเดล 3D (FBX) ลงในเอกสารเพื่อรันโค้ดอันตราย ซึ่ง Microsoft ได้แก้ไขโดยการปิดฟีเจอร์การแทรกไฟล์ FBX ใน Word, Excel, PowerPoint และ Outlook

อีกหนึ่งจุดวิกฤตคือ CVE-2024-20674 (CVSS 8.8) ซึ่งเป็นช่องโหว่ในการข้ามระบบความปลอดภัยของ Windows Kerberos ที่อาจทำให้เซิร์ฟเวอร์ของผู้โจมตีเข้าควบคุมโปรโตคอลการยืนยันตัวตนได้

ทางด้าน Mozilla Firefox ได้แก้ไขช่องโหว่ 15 รายการ โดยมี 5 รายการที่รุนแรงสูง เช่น CVE-2024-0741 ที่อาจทำให้หน่วยความจำเสียหายจนระบบค้างและถูกโจมตีได้ รวมถึงปัญหาใน TLS handshake (กระบวนการสร้างการเชื่อมต่อที่ปลอดภัย) ใน CVE-2024-0743

ซอฟต์แวร์ระดับองค์กร: Cisco และ SAP

Cisco พบช่องโหว่ร้ายแรงระดับ CVSS 9.9 (CVE-2024-20253) ในผลิตภัณฑ์ Unified Communications และ Contact Center ซึ่งช่วยให้ผู้โจมตีจากระยะไกลที่ไม่มีการยืนยันตัวตนสามารถรันคำสั่งในระบบปฏิบัติการและอาจยกระดับสิทธิ์เป็น Root (ผู้ดูแลระบบสูงสุด) ได้

ขณะที่ SAP ออกแพตช์ 10 รายการ โดยมีหลายจุดที่มีคะแนน CVSS สูงถึง 9.1 เช่น CVE-2023-49583 ซึ่งเป็นปัญหาการยกระดับสิทธิ์ในเครื่องมือพัฒนาแอปพลิเคชัน และ CVE-2024-21737 (CVSS 8.4) ซึ่งเป็นช่องโหว่ Code Injection ที่ยอมให้ผู้โจมตีรันคำสั่ง OS ได้โดยตรง ส่งผลกระทบต่อทั้งความลับและความถูกต้องของข้อมูลในระบบ

สรุปช่องโหว่สำคัญประจำเดือนมกราคม 2024
ผู้พัฒนา/ซอฟต์แวร์ รหัส CVE ระดับความรุนแรง/ผลกระทบ สถานะการโจมตี
Apple (iOS/WebKit) CVE-2024-23222 รันโค้ดอันตราย (Code Execution) มีการโจมตีแล้ว
Google Chrome CVE-2024-0519 หน่วยความจำเสียหาย (CVSS 8.8) มีการโจมตีแล้ว
Microsoft Windows CVE-2024-20674 ข้ามระบบความปลอดภัย Kerberos (CVSS 8.8) ยังไม่พบการโจมตี
Cisco CVE-2024-20253 รันคำสั่งระดับ Root (CVSS 9.9) ความเสี่ยงสูงมาก
SAP CVE-2023-49583 ยกระดับสิทธิ์ (CVSS 9.1) ความเสี่ยงสูง

ข้อเท็จจริงสำคัญ

  • Apple แก้ไขช่องโหว่ WebKit ที่ถูกโจมตีแล้วใน iOS 17.3 และรุ่นเก่าอย่าง iOS 16.7.5 และ 15.8.1
  • Google ปิดช่องโหว่ร้ายแรงใน Chrome (V8 engine) และ Android Framework ที่เกี่ยวข้องกับการยกระดับสิทธิ์
  • Microsoft ปิดช่องโหว่ RCE ใน Office โดยการยกเลิกการรองรับไฟล์ FBX เพื่อความปลอดภัย
  • Cisco พบช่องโหว่ระดับวิกฤต (9.9) ที่อาจทำให้ผู้โจมตีเข้าถึงสิทธิ์ Root ของระบบได้
  • SAP แก้ไขปัญหา Code Injection และการยกระดับสิทธิ์ในเครื่องมือจัดการแอปพลิเคชัน

คำถามที่พบบ่อย

Zero-day คืออะไร และทำไมถึงอันตราย?

Zero-day คือช่องโหว่ด้านความปลอดภัยที่ผู้พัฒนาซอฟต์แวร์ยังไม่ทราบ หรือทราบแต่ยังไม่มีแพตช์แก้ไข ความอันตรายอยู่ที่ผู้โจมตีสามารถใช้ช่องโหว่นี้บุกรุกระบบได้โดยที่ไม่มีเครื่องมือป้องกันที่ตรงจุด

หากใช้ iPhone รุ่นเก่า เช่น iPhone X ยังต้องอัปเดตหรือไม่?

จำเป็นอย่างยิ่ง เพราะ Apple ได้ออก iOS 16.7.5 เพื่อแก้ไขช่องโหว่ที่ถูกนำไปใช้โจมตีจริงแล้ว แม้จะไม่ได้รับฟีเจอร์ใหม่เหมือน iOS 17 แต่การอัปเดตความปลอดภัยเป็นเรื่องสำคัญที่สุด

คะแนน CVSS คืออะไร?

CVSS (Common Vulnerability Scoring System) คือมาตรฐานการให้คะแนนความรุนแรงของช่องโหว่ โดยมีคะแนนตั้งแต่ 0 ถึง 10 ยิ่งคะแนนสูง (เช่น 9.0 ขึ้นไป) ยิ่งหมายถึงความรุนแรงระดับวิกฤตที่ต้องรีบแก้ไขทันที

การอัปเดต Chrome ช่วยป้องกันอะไรได้บ้างในเดือนนี้?

ช่วยป้องกันการโจมตีผ่านหน้าเว็บ HTML ที่ถูกสร้างขึ้นมาเพื่อทำให้หน่วยความจำของเบราว์เซอร์เสียหาย (Heap Corruption) ซึ่งอาจนำไปสู่การรันโค้ดอันตรายในเครื่องของผู้ใช้

ทำไม Microsoft ถึงต้องปิดฟีเจอร์การแทรกไฟล์ FBX ใน Office?

เนื่องจากพบช่องโหว่ CVE-2024-20677 ที่ผู้โจมตีสามารถใช้ไฟล์โมเดล 3D แบบ FBX เป็นพาหะในการส่งโค้ดอันตรายเข้ามาทำงานในเครื่อง การปิดฟีเจอร์นี้จึงเป็นวิธีที่รวดเร็วและปลอดภัยที่สุดในการป้องกันผู้ใช้