Radware เปิดตัว Hybrid Cloud WAF Service

ในงาน RSA Conference 2015 ที่ผ่านมา Radware บริษัทชั้นนำด้าน Application Delivery และ Security สำหรับระบบ Virtual และ Cloud ได้เปิดตัว Web Application Firewall แบบใหม่ ที่ตอบโจทย์ทั้งการป้องกันเว็บแอพพลิเคชันบนออฟฟิสและบนระบบคลาวด์ เรียกว่า Hybird Cloud WAF Service

ให้บริการบนระบบคลาวด์ แต่สามารถป้องกันเว็บแอพพลิเคชันที่ Data Center ได้

Hybrid Cloud WAF Service ถูกออกแบบมาในรูปของไฮบริด กล่าวคือ เป็นเซอร์วิส WAF สำหรับป้องกันเว็บแอพพลิเคชันบนระบบคลาวด์ แต่มีการผนวกรวมความสามารถในการป้องกันการโจมตีบน Physical web server ที่รันอยู่ในห้อง Data Center ได้อีกด้วย โดยที่ไม่จำเป็นต้องติดตั้งอุปกรณ์ใดๆเพิ่มเติม โดยสามารถเลือกระดับความปลอดภัยได้ 3 แพ็คเกจ คือ Platinum, Gold, Silver โดยทุกแพ็คเกจจะแถมการป้องกัน DDoS มาให้โดยไม่คิดค่าใช้จ่ายเพิ่มเติม

รวมการป้องกันเว็บแอพพลิเคชันแบบครบวงจร

Hybrid Cloud WAF Service ประกอบด้วยฟังก์ชันหลัก 2 อย่าง คือ AppWass DefensePro ซึ่งตอบโจทย์การโจมตีเว็บแอพพลิเคชันทุกรูปแบบ ไม่ว่าจะเป็น SQL Injection, Cross-site Scripting, CSRF, และการโจมตีรูปแบบอื่นๆที่ระบุอยู่ใน 10 อันดับแรกของ OWASP และ DefensePipe ซึ่งช่วยการป้องกันเว็บแอพพลิเคชันจากการโจมตีแบบ DDoS นอกจากนี้ยังมีฟีเจอร์ในการป้องกันการรั่วไหลของข้อมูล (Data Leak Prevention) และการโจมตีแบบ Zero-day อีกด้วย

“มันไม่ใช่เรื่องแปลกที่บริษัทขนาดใหญ่จะแยกแอพพลิเคชันไว้บนห้อง Data Center และบนระบบคลาวด์ นอกจากนี้ พวกเราเห็นว่าหลายบริษัทมีการจ้าง Cloud Vendor หลายเจ้าเพื่อติดตั้งระบบแต่ละส่วนของตนเอง ซึ่งการทำแบบทำให้เกิดความซับซ้อนเมื่อต้องออกแบบระบบรักษาความปลอดภัย เราเลยพัฒนาโซลูชันเพื่อตอบโจทย์การใช้งานหลากหลายรูปแบบนี้โดยออกแบบระบบป้องกันการโจมตีเว็บแอพพลิคเชันแบบไฮบริด เพื่อให้บริษัทสามารถป้องกันเว็บของตนเองได้ทั้งบนคลาวด์ และบนห้อง Data Center ได้” — Carl Herberger รองประธานฝ่ายโซลูชันความลปอดภัยของ Radware

รายละเอียดเพิ่มเติม: http://www.radware.com/products/hybrid-cloud-waf-service/

ที่มา: http://www.net-security.org/secworld.php?id=18243

from:https://www.techtalkthai.com/radware-introduces-hybrid-cloud-waf-service/

WordPress ออกแพทช์อุดช่องโหว่ XSS

WordPress โปรแกรมสร้าง Blog ยอดนิยม ได้ประกาศแจ้งเตือนให้อัพเดทแพทช์เวอร์ชันล่าสุด 4.1.2 เพื่ออุดช่องโหว่ Cross-site Scripting ที่พบบน Plugin ของ WordPress หลายตัวเมื่อไม่กี่วันก่อน ซึ่งช่องโหว่นี้ช่วยให้แฮ็คเกอร์สามารถเข้ามาโจมตี แก้ไขหน้าเว็บไซต์ของเราได้

แพทช์ความปลอดภัยนี้ นอกจากจะอุดช่องโหว่ XSS แล้ว ยังช่วยอุดช่องโหว่ของ Pugin บางตัวที่อาจถูกโจมตีแบบ SQL Injection ได้ รวมทั้งมีการเสริมความปลอดภัยของโค้ดที่ใช้งานอีกด้วย

Gary Pendergast นักพัฒนาของ WordPress ระบุ “ช่องโหว่ XSS ที่เพิ่งค้นพบบน Plugin หลายตัวเมื่อไม่กี่วันก่อน เกิดจากการ Implement ที่ไม่ปลอดภัยของ 2 ฟังก์ชันที่ทีมนักพัฒนาใช้เพื่อแก้ไข หรือเพิ่ม Query string บน URL ภายในตัว WordPress เอง การอัพเดทแพทช์อย่างสม่ำเสมอจะช่วยแก้ไขบั๊คและอุดช่องโหว่ใหม่ๆที่ถูกค้นพบได้”

นอกจากนี้ Pendergast ยังแนะนำให้ผู้พัฒนา Plugin ตรวจสอบ Plugin ของตนอีกครั้งว่า ได้รับผลกระทบของช่องโหว่ XSS นี้หรือไม่ โดยสามารถดูวิธีการตรวจสอบและแก้ไขได้ที่นี่

ลิสต์ของ Plugin ทั้งหมดที่ได้รับผลกระทบ XSS สามารถดูได้ที่ Sucuri Blog

รายละเอียดเพิ่มเติม: https://wordpress.org/news/2015/04/wordpress-4-1-2/

from:https://www.techtalkthai.com/wordpress-releases-patch-to-fix-xss-flaw/

พบช่องโหว่ SQL Injection บน Plugin ของ WordPress

ในช่วง 2 วันที่ผ่านมา มีรายงานการค้นพบช่องโหว่บน Plugin ของ WordPress 2 ตัว คือ Huge IT Slider และ WordPress SEO ซึ่งส่งผลให้แฮ็คเกอร์สามารถโจมตีแบบ SQL Injection และ Cross-Site Request Forgery ได้ ทางทีมงาน TechTalkThai จึงรวบรวมข้อมูลมาสรุปให้ฟังกันครับ

ช่องโหว่บน Huge IT Slider

• Plugin ยอดนิยมสำหรับปรับแต่ง Slider บนหน้าเว็บที่มีผู้ใช้มากกว่า 50,000 เว็บไซต์
• ช่องโหว่เกิดจากการฟิลเตอร์ Input ผ่านทางพารามิเตอร์ “removeslide” บน HTTP GET ไปยัง “/wp-admin/admin.php” ไม่ดีพอ
• ความรุนแรงปานกลาง ซึ่งแฮ็คเกอร์จำเป็นต้องพิสูจน์ตัวตนและได้สิทธิเป็น admin ก่อนจึงจะโจมตี SQL Injection ได้ หรือใช้การโจมตีแบบ Cross-Site Request Forgery โดยไม่ต้องผ่านการพิสูจน์ตัวตน
• เวอร์ชันที่ได้รับผลกระทบคือ 2.6.8 และก่อนหน้านั้น และช่องโหว่นี้ถูกแก้ไขในเวอร์ชันล่าสุด 2.7.0
• รายละเอียดเพิ่มเติม: https://www.htbridge.com/advisory/HTB23250

ช่องโหว่บน WordPress SEO

• พัฒนาโดย Yoast เพื่อเพิ่มประสิทธิภาพในการทำ SEO โดยมีผู้ใช้มากกว่าล้านเว็บไซต์
• ใช้ช่องโหว่ Cross-Site Request Forgery ในการโจมตีแบบ Blind SQL Injection ได้ เลวร้ายที่สุด คือ แฮ็คเกอร์สามารถเพิ่มสิทธิ admin ให้แก่ตัวเองเพื่อควบคุมเว็บไซต์ได้
• WordPress ได้บังคับให้เว็บไซต์อัพเดท WordPress SEO เป็นเวอร์ชันล่าสุด คือ 1.7.4, 1.6.4 และ 1.5.7 โดยอัตโนมัติ สำหรับผู้ที่ปิดการอัพเดทอัตโนมัติ แนะนำให้อัพเดทเวอร์ชันดังกล่าวโดยเร็วที่สุด
• สำหรับผู้ใช้ WordPress SEO Premium แนะนำให้อัพเดทเป็นเวอร์ชัน 1.5.3
• รายละเอียดเพิ่มเติม: https://wpvulndb.com/vulnerabilities/7841

สำหรับใครที่ใช้งาน Plugin 2 ตัวนี้อยู่ อย่าลืมอัพเดทเป็นเวอร์ชันล่าสุดเพื่ออุดช่องโหว่กันนะครับ

ที่มา: http://www.net-security.org/secworld.php?id=18076 และ http://www.net-security.org/secworld.php?id=18080

from:https://www.techtalkthai.com/sqli-was-found-on-wordpress-plugins/