ปัญหาหนึ่งในโลกของ AI Agent, MCP server และ Agent Skills ที่มีอัตราการเติบโตที่สูงพบว่ามีปัญหาเรื่อง security สูงมาก ๆโดย technical report จากทาง synk นั้น พบว่าAgent skills ที่มีใน marketplace ต่าง ๆ นั้น มีปัญหามากกว่า 13%
security Archive
คำแนะนำสำหรับแก้ไขปัญหา MongoBleed (CVE-2025-14847) เบื้องต้น
จากปัญหา MongoBleed (CVE-2025-14847) ที่เกิดขึ้นมานั้นมีคำแนะนำเบื้องต้นในการแก้ไข หรือ ป้องกันปัญหาที่อาจจะเกิดขึ้นได้ประกอบไปด้วย
มาลองใช้งาน Docker Hardened Images (DHI)
ทาง Docker ได้ปล่อย Docker Hardened Images (DHI) ออกมาให้ใช้แบบฟรี ๆซึ่งทำการ customize image ให้มีขนาดที่เล็ก ปลอดภัยมากยิ่งขึ้นและพร้อมสำหรับการเป็น based-image เพื่อนำไปใช้งานบน production serverดังนั้นมาลองใช้งานกันหน่อย
การใช้งาน Dependency Track
Dependency Track คือระบบที่ทำการวิเคราห์ข้อมูล SBOM (Software Bill of Materials) ของระบบงานต่าง ๆ ซึ่งสนับสนุนโดย OWASP นั่นเองโดยจะช่วยตรวจสอบว่า component หรือ library ที่เราใช้ในระบบงานนั้นมีปัญหา หรือ ช่องโหว่ใดบ้างซึ่งจะตรวจสอบจากฐานข้อมูลต่าง ๆ เช่น CVE Database เป็นต้นและแสดงผลในรูปแบบที่เข้าใจง่าย และ tracking ได้ง่าย
ทำการตรวจสอบ xz (liblzma 5.6.1) บนเครื่อง Mac กันหน่อย
จากข่าวเรื่อง XZ Utils backdoor นั้น โดย code อยู่ที่ xz repoซึ่งมีการแจ้งปัญหาไว้ดังนี้ ดังนั้นสำหรับชาว Mac มาตรวจสอบกันหน่อยถึงจะไม่กระทบก็ตาม
ทาง GitHub บังคับให้ต้องใช้งาน Two-factor authentication (2FA) ก่อนสิ้นปี 2023
ตอนนี้ทาง GitHub ได้ประกาศให้สมาชิกที่ใช้งานต้องทำเปิดการใช้งาน two-factor authentication (2FA) ซึ่งมีระยะเวลาให้เปิดใช้งานก่อนสิ้นปี 2023 นี้เพื่อช่วยเพิ่มความปลอดภัยของการใช้งานมากยิ่งขึ้นโดยเรื่องนี้ค่อย ๆ ทำการ rollout ในกลุ่มเล็ก ๆ ต้องแต่เดือนมีนาคมแล้ว อย่าลืมไปเปิดกันละครับ
Docker scan ถูกเอาออกไปแล้ว แทนที่ด้วย Docker Scout
ปกติในการ scan docker image เพื่อหาช่องโหว่ใน imageจะใช้งานผ่าน docker scanให้ทำการเปลี่ยนมาใช้ docker scout แทนใน Docker Desktop ก็สามารถใช้ผ่าน User Interface แบบง่าย ๆ ได้เลย
มาแล้วนะ OWASP Kubernetes Top 10
มาแล้วนะสำหรับ OWASP Kubernetes Top 10โดยทำการสรุปความเสี่ยงที่อาจจะเกิดขึ้นทั้งจาก application และ infrastructureที่ทำการ deploy บน Kubernetes clusterซึ่งจะเป็นแนวทางช่วยเหลือสำหรับ security, system admin และ developer อีกด้วยมีความเสี่ยง 10 ข้อที่แนะนำมา ดังนี้ลองดูรายละเอียดกันนะครับ น่าจะมีประโยชน์
ลองใช้งาน Go Vulnerability Management ในการตรวจสอบเรื่องความปลอดภัย
ทางทีมพัฒนา Go ได้ปล่อย Go Vulnerability Management ออกมาเมื่อปลายปี 2022ซึ่งมีเป้าหมายเพื่อตรวจสอบความปลอดภัยของ codeที่เขียนด้วยภาษา Go รวมทั้ง 3-party library ต่าง ๆว่าอาจจะเสี่ยงหรือมีช่องโหว่ในการโจมตีหรือไม่โดยได้ปล่อย CLI tool ทซึ่งเป็น opensource มาให้ใช้งานชื่อว่า vulncheck
น่าสนใจกับ Top 10 CI/CD Security Risks จาก OWASP
เพิ่งเห็นว่าทาง OWASP นั้นได้ทำ project ด้าน security ของ CI/CD ออกมานอกจากจะมี Web, API, Mobile และ Docker Securityเนื่องจาก CI/CD ได้รับความนิยม หรือ เรียกได้ว่าเป็นสิ่งที่ต้องทำเป็นปกติทั้ง environmentทั้ง process การทำงานทั้งระบบงาน และ pipeline การทำงานเพื่อให้สามารถส่งมอบระบบงานได้อย่างรวดเร็ว และ มีคุณภาพ