อัปเดตความปลอดภัยเดือนธันวาคม สรุปช่องโหว่ร้ายแรงจาก Apple, Google และ Microsoft ที่คุณต้องรีบแก้ไข
ในช่วงเดือนธันวาคมที่ผ่านมา ยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Apple และ Google ต่างเร่งปล่อยแพตช์ (Patch) หรือโปรแกรมแก้ไขข้อผิดพลาด เพื่อปิดช่องโหว่ด้านความปลอดภัยที่ร้ายแรงก่อนเข้าสู่ช่วงวันหยุดยาว ขณะที่ผู้ให้บริการซอฟต์แวร์ระดับองค์กรอย่าง Atlassian และ SAP ก็ได้ออกอัปเดตสำคัญเพื่อจัดการกับบั๊กวิกฤตเช่นกัน
สำหรับใครที่อาจพลาดการอัปเดตในช่วงสิ้นปี นี่คือสรุปรายละเอียดสำคัญของช่องโหว่และการแก้ไขที่คุณจำเป็นต้องทราบเพื่อปกป้องข้อมูลและอุปกรณ์ของคุณ
การอัปเดตจาก Apple: ปกป้อง iPhone และ Mac จากการโจมตี
Apple ได้ปล่อย iOS 17.2 ซึ่งเป็นการอัปเดตใหญ่ที่มาพร้อมแอป Journal และการแก้ไขความปลอดภัยถึง 12 รายการ โดยมีจุดที่น่าสนใจคือการแก้ไข CVE-2023-42890 ใน WebKit (เอนจินที่ใช้ประมวลผลหน้าเว็บ) ซึ่งหากปล่อยไว้ ผู้โจมตีอาจสามารถรันโค้ดอันตรายบนเครื่องได้
นอกจากนี้ ยังมีการแก้ไขช่องโหว่ใน Kernel ของ iPhone (CVE-2023-4291) ที่อาจทำให้แอปพลิเคชันหลุดออกจาก Sandbox (ระบบจำลองสภาพแวดล้อมที่จำกัดสิทธิ์การเข้าถึงข้อมูลส่วนตัวของระบบ) รวมถึงช่องโหว่ใน ImageIO (CVE-2023-42898 และ CVE-2023-42899) ที่เสี่ยงต่อการถูกรันโค้ดจากภายนอก
อีกหนึ่งไฮไลต์คือการป้องกันการโจมตีผ่าน Bluetooth โดยใช้เครื่องมือที่ชื่อว่า Flipper Zero ซึ่งเดิมทีสามารถสร้างหน้าต่าง Pop-up จำนวนมากจนทำให้ iPhone ค้างหรือใช้งานไม่ได้ (Denial of Service)
นอกเหนือจาก iOS 17.2 แล้ว Apple ยังออกอัปเดตสำหรับอุปกรณ์รุ่นเก่าและระบบปฏิบัติการอื่นๆ เช่น iOS 16.7.3, Safari 17.2, macOS Sonoma 14.2, macOS Ventura 13.6.3, macOS Monterey 12.7.2, tvOS 17.2 และ watchOS 10.2 รวมถึงการออกแพตช์ด่วน iOS 17.2.1 และ macOS Sonoma 14.2.1 เพื่อแก้ไขบั๊กเพิ่มเติม
Google และ Android: การกวาดล้างช่องโหว่เกือบ 100 รายการ
ในส่วนของ Android นั้น Google ได้ออก December Security Bulletin ที่แก้ไขปัญหาความปลอดภัยเกือบ 100 รายการ โดยมีจุดวิกฤตอยู่ที่ Framework ซึ่งอาจนำไปสู่การยกระดับสิทธิ์ (Privilege Escalation) จากระยะไกลได้โดยที่ผู้ใช้ไม่ต้องกดตอบโต้ใดๆ
ช่องโหว่ที่สำคัญ ได้แก่ CVE-2023-40088 ที่เสี่ยงต่อการรันโค้ดจากระยะไกล และ CVE-2023-40078 ที่ส่งผลกระทบสูงในการยกระดับสิทธิ์ นอกจากนี้ยังมีการอัปเดต WearOS เพื่อปิดช่องโหว่ CVE-2023-40094 อีกด้วย
สำหรับเบราว์เซอร์ Chrome นั้น Google ต้องออกแพตช์ฉุกเฉินเพื่อแก้ไข Zero-day vulnerability (ช่องโหว่ที่ถูกค้นพบและถูกโจมตีจริงก่อนที่ผู้พัฒนาจะออกแพตช์) เป็นครั้งที่ 8 ของปี ในรหัส CVE-2023-7024 ซึ่งเป็นปัญหา Heap Buffer Overflow ในส่วนประกอบ WebRTC โดย Google ยืนยันว่ามีการตรวจพบการโจมตีนี้ในโลกจริงแล้ว
Microsoft และ Mozilla: การรับมือกับ RCE และ Memory Safety
Microsoft ได้ปล่อยอัปเดต Patch Tuesday ประจำเดือนธันวาคม แก้ไขช่องโหว่กว่า 30 รายการ โดยเน้นไปที่ Remote Code Execution (RCE) หรือการรันโค้ดจากระยะไกล เช่น CVE-2023-36019 ใน Power Platform Connector (คะแนนความรุนแรง CVSS 9.6) ซึ่งผู้โจมตีสามารถหลอกให้เหยื่อคลิกลิงก์อันตรายได้
อีกหนึ่งจุดอันตรายคือ CVE-2023-35628 ใน Windows MSHTML Platform ซึ่งผู้โจมตีสามารถส่งอีเมลที่ออกแบบมาเป็นพิเศษเพื่อรันโค้ดผ่าน Outlook ได้ทันทีที่ระบบดึงข้อมูลอีเมล โดยที่ผู้ใช้ยังไม่ต้องเปิดอ่านใน Preview Pane ด้วยซ้ำ
ทางด้าน Mozilla ได้แก้ไขช่องโหว่ 18 รายการใน Firefox โดยมี CVE-2023-6856 ที่ร้ายแรง ซึ่งเกี่ยวข้องกับ WebGL และอาจทำให้ผู้โจมตีสามารถรันโค้ดและหลุดออกจาก Sandbox ของเบราว์เซอร์ได้
ซอฟต์แวร์องค์กร: ความเสี่ยงระดับวิกฤตใน Apache, Atlassian และ SAP
สำหรับผู้ดูแลระบบองค์กร มีการแจ้งเตือนช่องโหว่ระดับวิกฤตดังนี้:
- Apache Struts 2: พบช่องโหว่ CVE-2023-50164 (CVSS 9.8) ที่ยอมให้ผู้โจมตีอัปโหลดไฟล์อันตรายผ่าน Path Traversal เพื่อทำ RCE แนะนำให้อัปเกรดเป็นเวอร์ชัน 2.5.33 หรือ 6.3.0.2 ทันที
- Atlassian Confluence: พบ CVE-2023-22522 (CVSS 9) ซึ่งเป็นช่องโหว่ Template Injection ที่ทำให้ผู้โจมตีที่มีสิทธิ์เข้าถึงสามารถรันโค้ด RCE บนเซิร์ฟเวอร์ได้
- SAP: พบช่องโหว่การยกระดับสิทธิ์ 4 รายการใน Business Technology Platform (CVSS 9.1) และปัญหาการควบคุมการเข้าถึงใน SAP Commerce Cloud (CVE-2023-42481, CVSS 8.1) ที่อาจทำให้ผู้ใช้ที่ถูกบล็อกสามารถกลับเข้าสู่ระบบได้
ข้อเท็จจริงสำคัญ
- Apple: แก้ไขช่องโหว่ WebKit และป้องกันการโจมตีจาก Flipper Zero ใน iOS 17.2
- Google: ปิดช่องโหว่ Android เกือบ 100 รายการ และแก้ไข Zero-day ใน Chrome (CVE-2023-7024)
- Microsoft: แก้ไขช่องโหว่ RCE ใน Outlook และ Power Platform ผ่าน Patch Tuesday
- ซอฟต์แวร์องค์กร: Apache Struts 2 และ Atlassian Confluence พบช่องโหว่ระดับวิกฤตที่เสี่ยงต่อการถูกยึดระบบ
| ผู้พัฒนา/ซอฟต์แวร์ | รหัส CVE | ประเภทความเสี่ยง | ระดับความรุนแรง (CVSS) |
|---|---|---|---|
| Apache Struts 2 | CVE-2023-50164 | Remote Code Execution (RCE) | 9.8 |
| Microsoft Power Platform | CVE-2023-36019 | Spoofing / RCE | 9.6 |
| SAP Business Tech Platform | CVE-2023-49583 และอื่นๆ | Privilege Escalation | 9.1 |
| Atlassian Confluence | CVE-2023-22522 | Template Injection / RCE | 9.0 |
คำถามที่พบบ่อย
Zero-day vulnerability คืออะไร และทำไมถึงอันตราย?
คือช่องโหว่ที่ผู้พัฒนาซอฟต์แวร์ยังไม่ทราบ หรือยังไม่มีแพตช์แก้ไขในขณะที่ผู้โจมตีค้นพบและเริ่มใช้งานแล้ว ทำให้ระบบไม่มีเกราะป้องกันจนกว่าจะมีการออกอัปเดตฉุกเฉิน
Remote Code Execution (RCE) ส่งผลเสียอย่างไร?
RCE คือการที่ผู้โจมตีสามารถส่งคำสั่งหรือรันโค้ดอันตรายจากระยะไกลเข้ามาในเครื่องเหยื่อได้ ซึ่งอาจนำไปสู่การขโมยข้อมูล การติดตั้งมัลแวร์ หรือการยึดครองระบบทั้งหมด
Sandbox ในระบบปฏิบัติการมีหน้าที่อะไร?
Sandbox คือกลไกความปลอดภัยที่แยกแอปพลิเคชันออกจากส่วนสำคัญของระบบปฏิบัติการ เพื่อให้มั่นใจว่าหากแอปนั้นถูกโจมตี ผู้โจมตีจะไม่สามารถเข้าถึงข้อมูลส่วนตัวหรือควบคุมระบบส่วนกลางได้
หากไม่ได้อัปเดต iOS 17.2 จะเกิดอะไรขึ้น?
อุปกรณ์ของคุณจะยังคงมีความเสี่ยงต่อการถูกโจมตีผ่าน WebKit หรือการถูกก่อกวนด้วยอุปกรณ์อย่าง Flipper Zero รวมถึงช่องโหว่ใน Kernel ที่อาจทำให้แอปพลิเคชันที่ไม่ปลอดภัยเข้าถึงข้อมูลระบบได้
ทำไมต้องรีบอัปเดต Apache Struts 2 และ Atlassian Confluence?
เนื่องจากทั้งสองมีช่องโหว่ระดับวิกฤต (CVSS 9+) ซึ่งช่วยให้ผู้โจมตีสามารถรันโค้ดบนเซิร์ฟเวอร์องค์กรได้โดยตรง ซึ่งอาจส่งผลกระทบต่อข้อมูลทางธุรกิจอย่างรุนแรง
