ระวังภัย ช่องโหว่ใน MySQL/MariaDB อนุญาตให้ล็อกอินได้โดยไม่ต้องรู้รหัสผ่าน

ระวังภัย ช่องโหว่ใน MySQL/MariaDB อนุญาตให้ล็อกอินได้โดยไม่ต้องรู้รหัสผ่าน

วันที่ประกาศ: 11 มิถุนายน 2555
ปรับปรุงล่าสุด: 11 มิถุนายน 2555
เรื่อง: ระวังภัย ช่องโหว่ใน MySQL/MariaDB อนุญาตให้ล็อกอินได้โดยไม่ต้องรู้รหัสผ่าน

ประเภทภัยคุกคาม: Intrusion

ข้อมูลทั่วไป

นักพัฒนาจาก MariaDB ได้ค้นพบช่องโหว่ในโปรแกรม MySQL และ MariaDB (MySQL เวอร์ชั่นที่ถูกแยกออกไปพัฒนาต่อโดยนักพัฒนาภายนอก) ซึ่งทำให้ผู้ใช้สามารถล็อกอินโดยใช้รหัสผ่านที่ไม่ถูกต้องได้ (CVE2012-2122) [1]

ช่อง โหว่ดังกล่าวเกิดจากข้อผิดพลาดของฟังก์ชัน memcmp() ที่ใช้ในการตรวจสอบรหัสผ่านที่รับเข้ามา ซึ่งมีบางกรณีที่ผลลัพธ์ของฟังก์ชันได้ค่าที่ไม่คาดคิด ทำให้โปรแกรม MySQL/MariaDB มองว่ารหัสผ่านที่รับเข้ามานั้นถูกต้อง ถึงแม้ที่จริงแล้วรหัสผ่านนั้นจะไม่ถูกต้องก็ตาม

ผลกระทบ

หากมีผู้ใช้ที่เชื่อมต่อเข้ามาในระบบโดยป้อนชื่อผู้ใช้และรหัสผ่านอะไรก็ได้ เข้ามาซ้ำๆ กันหลายๆ ครั้ง ก็มีโอกาสที่จะผ่านเข้ามาในระบบได้ โดยส่วนใหญ่แล้ว ระบบที่ติดตั้ง MySQL/MariaDB จะใช้ชื่อผู้ใช้ว่า root เป็นค่าเริ่มต้น ซึ่งชื่อผู้ใช้ดังกล่าวมีสิทธิ์สูงสุดในระบบ ทำให้ใครก็ตามที่สามารถล็อกอินโดยใช้ชื่อผู้ใช้ดังกล่าวได้ ก็จะได้รับสิทธิ์ทั้งหมดของระบบฐานข้อมูลนั้นโดยทันที

ระบบที่ได้รับผลกระทบ

• MySQL และ MariaDB เวอร์ชั่น 5.1.61, 5.2.11, 5.3.5, 5.5.22 และต่ำกว่า
• MySQL เวอร์ชั่นตั้งแต่ 5.1.63, 5.5.24, 5.6.6 เป็นต้นไปไม่ได้รับผลกระทบ
• MariaDB เวอร์ชั่นตั้งแต่ 5.1.62, 5.2.12, 5.3.6, 5.5.23 เป็นต้นไปไม่ได้รับผลกระทบ

อย่างไรก็ตาม ข้อผิดพลาดดังกล่าวเกิดได้เฉพาะ MySQL และ MariaDB ที่คอมไพล์โดยใช้ glibc บนระบบปฏิบัติการ Linux เท่านั้น ไฟล์ไบนารีของ MySQL และ MariaDB ที่มีให้ดาวน์โหลดในเว็บไซต์ของผู้พัฒนาจะไม่มีช่องโหว่ดังกล่าวนี้

ข้อแนะนำในการป้องกันและแก้ไข

ผู้ใช้งานโปรแกรม MySQL/MariaDB เวอร์ชันที่มีช่องโหว่ หากเป็นไปได้ ควรทำการอัพเดทโปรแกรมให้เป็นเวอร์ชันปัจจุบันโดยเร็วที่สุด
หากไม่สามารถอัพเดตได้ ผู้ใช้ควรตั้งค่าการเชื่อมต่อให้เข้ามาได้เฉพาะ localhost เพียงอย่างเดียว ด้วยการแก้ไขไฟล์ my.cnf ในส่วน [mysqld] กำหนดค่า "bind-address" ให้เป็น "127.0.0.1" จากนั้น Restart เซอร์วิสของ MySQL เพื่อให้การตั้งค่าใหม่มีผล [2]

อ้างอิง

1. http://seclists.org/oss-sec/2012/q2/493
2. http://thehackernews.com/2012/06/cve-2012-2122-serious-mysql.html

ป้องกันบัญชีผู้ใช้ Gmail / Hotmail จากการถูกแฮ็กด้วยวิธีง่ายๆ

ผู้เขียน: ณราพร ดวงศรี
ผู้ให้คำแนะนำ: เจษฎา ช้างสีสังข์
วันที่เผยแพร่: 1 มิ.ย. 2555
ปรับปรุงล่าสุดวันที่: 1 มิ.ย. 2555

อี เมลนับเป็นสิ่งจำเป็นที่เข้ามามีบทบาทและมีความสำคัญต่อชีวิตประจำวันของเรา เป็นอย่างมาก เพราะเป็นวิธีการติดต่อสื่อสารที่รวดเร็วและแทบจะไม่มีต้นทุน หลายคนเก็บข้อมูลสำคัญไว้ในอีเมลหรือใช้อีเมลในการติดต่อทางด้านธุรกิจ ซึ่งหากผู้ใช้เข้าใช้งานอีเมลผ่านการเชื่อมต่อที่ไม่มีความมั่นคงปลอดภัย ก็อาจทำให้บัญชีผู้ใช้นั้นถูกโจรกรรมได้โดยง่าย

Gmail และ Hotmail เป็นบริการฟรีอีเมลที่มีผู้นิยมใช้กันมากเป็นอันดับต้นๆ (ในปี ค.ศ. 2011 ทั่วโลกมีจำนวนของผู้ใช้งาน Hotmail ประมาณ 350 ล้านคน และ Gmail ประมาณ 260 ล้านคน) [1] ผู้เขียนจึงได้เลือกบริการอีเมลเหล่านี้มาแนะนำเพื่อให้ผู้อ่านได้ปฏิบัติ ในปัจจุบันนั้น ถึงแม้ว่าผู้ให้บริการจะมีระบบที่มีความมั่นคงปลอดภัยอยู่แล้ว แต่ตัวผู้ใช้เองก็ควรที่จะเรียนรู้ข้อปฏิบัติเบื้องต้นรวมถึงวิธีการป้องกัน แบบต่างๆ เพื่อป้องกันปัญหาที่อาจจะเกิดขึ้น ด้วยวิธีการต่างๆ ดังนี้

1. การตั้งค่า Gmail ให้มีการยืนยันแบบ 2 ขั้นตอน (2-step verification)

เป็นการใช้ Two Factor Authentication [2] ซึ่งเป็นวิธีการพิสูจน์ตัวตนที่ต้องใช้ข้อมูล 2 ส่วนร่วมกัน เพื่อเพิ่มความมั่นคงปลอดภัยให้กับการเข้าสู่ระบบหรือบริการ โดยหลักๆ แล้วจะใช้ข้อมูลจาก 2 ใน 3 ส่วนนี้คือ

1. สิ่งที่รู้ (Something you know) เช่น รหัสผ่าน
2. สิ่งที่มี (Something you have) เช่น โทรศัพท์มือถือ, รหัสบัตรเติมเงิน
3. สิ่งที่เป็น (Something you are) เช่น ลายนิ้วมือ, ม่านตา

การยืนยันอีเมลแบบ 2 ขั้นตอน [3] [4] ช่วยลดโอกาสในการถูกขโมยข้อมูลส่วนตัวในบัญชีอีเมลของเราลงได้ เพราะต่อให้ใส่ชื่อผู้ใช้และรหัสผ่านถูกต้องแล้ว ก็ยังไม่สามารถเข้าถึงบัญชีอีเมลได้ จนกว่าจะใส่รหัส Pin 6 หลักที่ได้รับจาก SMS ผ่านโทรศัพท์มือถือที่ลงทะเบียนไว้กับ Google เสียก่อน การตั้งค่าการยืนยันยืนยันด้วยวิธีนี้สามารถทำได้โดยไปที่ การตั้งค่าบัญชี และเลือก 2-step verification ตามรูปที่ 1 แล้วทำตามขั้นตอนของเว็บไซต์
ที่มา : http://www.thaicert.or.th/papers/normal/2012/pp2012no0010.html

บริษัท แคสเปอร์สกี้ แล็ป พบไวรัสคอมพิวเตอร์ตัวใหม่ กำลังระบาดในทวีปตะวันออกกลาง ชี้ มีความซับซ้อนสูง

บริษัท แคสเปอร์สกี้ แล็ป พบไวรัสคอมพิวเตอร์ตัวใหม่ กำลังระบาดในทวีปตะวันออกกลาง ชี้ มีความซับซ้อนสูง ใช้งานได้หลายอย่าง และอาจเป็นฝีมือของรัฐบาล...

สำนักข่าวต่างประเทศรายงานเมื่อวันที่ 29 พ.ค. ว่า โรเอล ชูเวนเบิร์ก นักวิจัยด้านความปลอดภัยคอมพิวเตอร์ จากบริษัท แคสเปอร์สกี้ แล็ป ผู้ผลิตโปรแกรมป้องกันไวรัสคอมพิวเตอร์รายใหญ่ของรัสเซีย ค้นพบคอมพิวเตอร์ไวรัสชนิดขโมยข้อมูลตัวใหม่ ซึ่งถูกเรียกว่า 'Flame' (เฟลม) กำลังแพร่ระบาดในคอมพิวเตอร์หลายพันเครื่องในตะวันออกกลางมานานกว่า 5 ปี

ชูเวนเบิร์ก ระบุว่า เฟลม ใช้โค้ดในการเขียนมากกว่าไวรัสคอมพิวเตอร์ 'Stuxnet' โทรจันที่เคยโจมตีโรงงานเสริมสมรรถนะแร่ยูเรเนียมของอิหร่าน จนทำให้กระบวนการล้มเหลวมาแล้วถึง 20 เท่า หรือมากกว่าไวรัสทั่วไป ที่ใช้สำหรับขโมยข้อมูลทางการเงินถึง 100 เท่า มันยังสามารถรวบรวมข้อมูล และควบคุมคอมพิวเตอร์ในระยะไกล รวมถึงเปิดระบบไมโครโฟนบนคอมพิวเตอร์ เพื่อบันทึกการสนทนา ทั้งยังถ่ายภาพหน้าจอ หรือบันทึกการคุยผ่านทางข้อความได้ทันที



ด้าน วิตาลี คัมลัค หัวหน้าทีมผู้เชี่ยวชาญด้านมัลแวร์ ของแคสเปอร์สกี้ แล็ป ตั้งข้อสังเกตว่า ขนาดและความซับซ้อนของไวรัสตัวนี้  ทำให้คิดได้ว่า ไม่ได้เป็นการกระทำของอาชญากรไซเบอร์อิสระ แต่น่าจะมีรัฐบาลหนุ่นหลังอยู่ด้วยมากกว่า ระบุว่า เฟลม ไม่ได้ออกแบบมาเพื่อขโมยเงินจากบัญชีธนาคาร และยังแตกต่างจากไวรัสทั่วๆไป ที่แฮกเกอร์ใช้ และอาจเป็นชาติเดียวกับที่ใช้ไวรัส Stuxnet และ Duqu โจมตีทางไซเบอร์ครั้งใหญ่ในอดีตก็เป็นได้

ทั้งนี้ แคสเปอร์สกาย ค้นพบการมีอยู่ของไวรัส เฟลม เมื่อเดือน ส.ค. ปี 2010 ขณะกำลังสืบสวนเรื่องการโจมตีด้วยไวรัส 'Wiper' ในประเทศอิหร่าน แต่เชื่อว่ามีการใช้งานมานานไม่น้อยกว่า 5 ปี โดยประเทศที่ถูก เฟลมโจมตีมากที่สุดคือ อิหร่าน ตามด้วย อิสราเอล ปาเลสไตน์ ซูดาน และซีเรีย

ที่มา : http://men.kapook.com/view41617.html

...ที่ว่าครบ 32 นั่น ไม่ใช่อวัยวะแบบแขนขา

...ที่ว่าครบ 32 นั่น ไม่ใช่อวัยวะแบบแขนขา
มันเป็นความเชื่อที่ค่อนไปทางธรรมมากกว่า ให้ระลึกถึงส่วนต่างๆ ของร่างกาย 32 ประการ เรียกว่า โกฏฐาส 32 ประการ


แบ่งเป็น
ปฐวีธาตุ(ธาตุดิน) เป็นอาการ 20 และอาโปธาตุ(ธาตุน้ำ) เป็นอาการ 12


ปฐวีธาตุ (อาการ20) คือ เกสา-ผม, โลมา-ขน, นะขา-เล็บ, ทันตา-ฟัน, ตะโจ-หนัง, มังสัง-เนื้อ, นะหารู-เอ็น, อัฏฐิ-กระดูก, อัฏฐิมิญชัง-เยื่อในกระดูก, วักกัง-ม้าม, หะทะยัง-หัวใจ, ยะกะนัง-ตับ, กิโลมะกัง-พังผืด, ปิหะกัง-ไต, ปัปผาสัง-ปอด, อันตัง-ไส้ใหญ่, อันตะคุณัง-ไส้น้อย, อุทะริยัง-อาหารใหม่, กะรีสัง-อาหารเก่า (อุจจาระ), มัตถะลุงคัง-มันสมอง

อาโปธาตุ (อาการ 12) คือ ปิตตัง-น้ำดี, เสมหัง-เสมหะ, ปุพโพ-น้ำเหลือง, โลหิตัง-น้ำเลือด, เสโท- เหงื่อ, เมโท-มันข้น, อัสสุ-น้ำตา, วะตา-มันเหลว, เขโฬ-น้ำลาย, สิงคาณิกา-น้ำมูก, ละสิกา-น้ำไขข้อ, มุตตัง-มูตร (ปัสสาวะ)

ที่มา : http://www.navy.mi.th/navyboard/boarditem3.php?id=56617 (กระดานข้าว ทร.)