อัปเดตความปลอดภัยเดือนกันยายน: สรุปช่องโหว่ Zero-day และภัยคุกคามสปายแวร์ที่ต้องระวัง
แม้จะเข้าสู่ช่วงฤดูใบไม้ร่วง แต่สถานการณ์ภัยคุกคามทางไซเบอร์กลับทวีความรุนแรงขึ้น โดยเฉพาะการค้นพบช่องโหว่ Zero-day (ช่องโหว่ที่ผู้พัฒนาซอฟต์แวร์ยังไม่ทราบและยังไม่มีแพตช์แก้ไขในขณะที่ถูกโจมตี) ซึ่งยักษ์ใหญ่ด้านเทคโนโลยีอย่าง Apple, Google และ Microsoft ต่างต้องเร่งออกอัปเดตเพื่อปิดช่องโหว่ที่ถูกนำไปใช้โจมตีจริงในโลกออนไลน์
หนึ่งในแนวโน้มที่น่ากังวลที่สุดในช่วงที่ผ่านมาคือการแพร่ระบาดของ Spyware หรือซอฟต์แวร์สอดแนม ซึ่งมีความอันตรายสูงเนื่องจากบางการโจมตีเป็นแบบ Zero-click คือสามารถเข้าควบคุมอุปกรณ์ได้โดยที่ผู้ใช้ไม่ต้องกดลิงก์หรือโต้ตอบใดๆ ดังนั้นการอัปเดตระบบปฏิบัติการให้เป็นเวอร์ชันล่าสุดจึงเป็นปราการด่านแรกที่สำคัญที่สุด
เจาะลึกการอัปเดตของ Apple: การต่อสู้กับ BLASTPASS
หลังจากที่ไม่มีการอัปเดตด้านความปลอดภัยในเดือนสิงหาคม Apple ได้เร่งแก้ไขปัญหาอย่างหนักในเดือนกันยายน เริ่มจากการออก iOS 16.6.1 เพื่อรับมือกับการโจมตีที่ชื่อว่า BLASTPASS ซึ่งเป็นการส่งรูปภาพอันตรายผ่าน iMessage เพื่อติดตั้งสปายแวร์ลงในเครื่องโดยที่ผู้ใช้ไม่รู้ตัว
ต่อมามีการปล่อย iOS 17 และตามด้วย iOS 17.0.1 ซึ่งมีความสำคัญอย่างยิ่งในการปิดช่องโหว่ 3 จุดที่ถูกใช้ในปฏิบัติการสปายแวร์ ได้แก่:
- CVE-2023-41992: ช่องโหว่ใน Kernel (แกนกลางของระบบปฏิบัติการ) ที่ช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าถึงระบบได้
- ช่องโหว่ใน WebKit และ Security: ซึ่งหากถูกนำมาใช้ร่วมกัน จะสามารถเข้าควบคุมอุปกรณ์ของผู้ใช้ได้อย่างสมบูรณ์
สำหรับผู้ที่ใช้ iPhone รุ่นเก่า Apple ได้นำการแก้ไขเหล่านี้ไปใส่ไว้ใน iOS 16.7 ด้วย นอกจากนี้ยังมีการปล่อย iOS 17.0.2 เพื่อแก้บั๊กทั่วไป และ macOS Sonoma 14 ที่จัดการช่องโหว่ไปมากกว่า 60 จุด
Google และ Android: การรับมือช่องโหว่ในระดับระบบและเบราว์เซอร์
ในฝั่งของ Android มีการแก้ไขช่องโหว่ถึง 33 จุด โดยจุดที่น่ากังวลที่สุดคือ CVE-2023-35674 ซึ่งช่วยให้ผู้โจมตีสามารถยกระดับสิทธิ์ได้โดยไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ และยังมีช่องโหว่ร้ายแรงในส่วนประกอบของระบบที่อาจนำไปสู่การรันโค้ดจากระยะไกล (Remote Code Execution) ซึ่งแพตช์นี้ได้ถูกส่งไปยังอุปกรณ์ Pixel และ Samsung Galaxy S22/S23 แล้ว
สำหรับ Google Chrome มีการแก้ไขช่องโหว่ 10 จุด โดยมี CVE-2023-5217 ซึ่งเป็นปัญหา Heap Buffer Overflow (ความผิดพลาดในการจัดการหน่วยความจำ) ในส่วนการเข้ารหัส vp8 ของ libvpx ที่ถูกนำไปใช้ในสปายแวร์เป้าหมาย
นอกจากนี้ยังมีกรณีของ CVE-2023-5129 ซึ่งเดิมเชื่อว่ากระทบแค่ Chrome แต่ภายหลังพบว่าส่งผลกระทบต่อไลบรารี libwebp (ไลบรารีสำหรับประมวลผลภาพฟอร์แมต WebP) ซึ่งถูกใช้ในแอปพลิเคชันนับล้านทั่วโลก และคาดว่าเป็นช่องโหว่ตัวเดียวกับที่ถูกใช้ในชุดการโจมตี BLASTPASS เพื่อติดตั้งสปายแวร์ Pegasus ของ NSO Group
Microsoft และ Firefox: การปิดช่องโหว่การเข้าถึงข้อมูล
Microsoft Patch Tuesday ประจำเดือนกันยายนมีการแก้ไขช่องโหว่ประมาณ 65 จุด โดยมี 2 จุดที่ถูกโจมตีแล้ว คือ CVE-2023-36761 ใน Microsoft Word ที่อาจทำให้ข้อมูล NTLM hash รั่วไหล และ CVE-2023-36802 ใน Microsoft Streaming Service Proxy ที่ช่วยให้ผู้โจมตีได้รับสิทธิ์ระดับระบบ (System Privileges)
ทางด้าน Mozilla Firefox ได้แก้ไข 10 ช่องโหว่ โดยมีจุดสำคัญคือ CVE-2023-5168 (ผลกระทบสูงบน Windows) และ CVE-2023-5170 ที่อาจนำไปสู่การหลุดออกจาก Sandbox (พื้นที่จำกัดการทำงานของโปรแกรมเพื่อความปลอดภัย) รวมถึงการแก้ไขปัญหา Memory Safety ในเวอร์ชัน 118 และ ESR 115.3
ความปลอดภัยระดับองค์กร: Cisco และ SAP
ในภาคธุรกิจ Cisco ได้ออกแพตช์แก้ไขช่องโหว่ CVE-2023-20238 ในแพลตฟอร์ม BroadWorks ซึ่งได้รับคะแนนความรุนแรงสูงสุด CVSS 10 เนื่องจากช่วยให้ผู้โจมตีปลอมแปลงข้อมูลประจำตัวเพื่อเข้าสู่ระบบได้ นอกจากนี้ยังแก้ไขช่องโหว่ CVE-2023-20269 ใน ASA และ FTD ที่ถูกใช้ในการโจมตีด้วยแรนซัมแวร์ Akira
ขณะที่ SAP ได้ออกการแก้ไขสำคัญ เช่น CVE-2023-40622 (CVSS 9.9) ใน BusinessObjects ที่อาจนำไปสู่การยึดครองแอปพลิเคชันทั้งหมด และ CVE-2023-40309 (CVSS 9.8) เกี่ยวกับการตรวจสอบสิทธิ์ที่บกพร่องใน CommonCryptoLib
| ผู้พัฒนา/ซอฟต์แวร์ | รหัส CVE | ระดับความรุนแรง/ผลกระทบ | ลักษณะการโจมตี |
|---|---|---|---|
| Cisco BroadWorks | CVE-2023-20238 | CVSS 10 (สูงสุด) | ปลอมแปลงข้อมูลประจำตัวเข้าสู่ระบบ |
| SAP BusinessObjects | CVE-2023-40622 | CVSS 9.9 | ข้อมูลรั่วไหลนำไปสู่การยึดระบบ |
| SAP CommonCryptoLib | CVE-2023-40309 | CVSS 9.8 | ยกระดับสิทธิ์การเข้าถึง |
| Apple iOS | CVE-2023-41992 | สูง (Spyware) | ยกระดับสิทธิ์ผ่าน Kernel |
| Google Chrome | CVE-2023-5217 | สูง (Spyware) | Heap Buffer Overflow ใน libvpx |
ข้อเท็จจริงสำคัญ
- Zero-click attacks: เป็นภัยคุกคามที่อันตรายที่สุดเพราะไม่ต้องมีการโต้ตอบจากผู้ใช้ก็สามารถเจาะระบบได้
- libwebp: เป็นไลบรารีจัดการรูปภาพที่ส่งผลกระทบต่อแอปพลิเคชันจำนวนมหาศาลทั่วโลก ไม่ใช่แค่เบราว์เซอร์
- CVSS Score: คะแนน 10 คือระดับความรุนแรงสูงสุด ซึ่งพบในผลิตภัณฑ์ของ Cisco ในเดือนนี้
- Pegasus Spyware: มีความเชื่อมโยงกับช่องโหว่ใน libwebp และการโจมตีแบบ BLASTPASS ของ Apple
คำถามที่พบบ่อย
การโจมตีแบบ Zero-click คืออะไรและน่ากลัวอย่างไร?
คือการโจมตีที่แฮกเกอร์สามารถส่งมัลแวร์หรือสปายแวร์เข้าสู่เครื่องเป้าหมายได้โดยที่เจ้าของเครื่องไม่ต้องกดลิงก์ ดาวน์โหลดไฟล์ หรือทำอะไรเลย เพียงแค่ได้รับข้อความหรือข้อมูลบางอย่าง ระบบก็จะถูกเจาะทันที
ทำไมการอัปเดต iOS 17.0.1 ถึงมีความสำคัญมาก?
เพราะเวอร์ชันนี้แก้ไขช่องโหว่ 3 จุดที่ถูกนำไปใช้ในปฏิบัติการสปายแวร์จริง รวมถึงช่องโหว่ใน Kernel และ WebKit ที่หากถูกโจมตีพร้อมกันจะทำให้ผู้ไม่หวังดีควบคุมเครื่อง iPhone ได้ทั้งหมด
ช่องโหว่ libwebp ส่งผลกระทบกับใครบ้าง?
ส่งผลกระทบต่อเกือบทุกแอปพลิเคชันที่ใช้ไลบรารีนี้ในการแสดงผลรูปภาพฟอร์แมต WebP ซึ่งครอบคลุมทั้งเบราว์เซอร์และซอฟต์แวร์อื่นๆ อีกหลายล้านตัวทั่วโลก
ควรทำอย่างไรเมื่อทราบว่ามีช่องโหว่ Zero-day ในอุปกรณ์ที่ใช้?
วิธีที่ดีที่สุดและรวดเร็วที่สุดคือการตรวจสอบและติดตั้งอัปเดตซอฟต์แวร์ (Software Update) ให้เป็นเวอร์ชันล่าสุดทันที เนื่องจากผู้พัฒนาได้ออกแพตช์เพื่อปิดช่องโหว่เหล่านั้นแล้ว
คะแนน CVSS 10 หมายถึงอะไร?
CVSS (Common Vulnerability Scoring System) เป็นมาตรฐานการวัดความรุนแรงของช่องโหว่ โดยคะแนน 10 คือระดับสูงสุด หมายความว่าช่องโหว่นั้นมีความเสี่ยงสูงมาก โจมตีได้ง่าย และส่งผลกระทบร้ายแรงต่อระบบ
