พบ 3 ช่องโหว่บน Safari เปิดเว็บปุ๊บ ถูกแฮ็กเลย

เมื่อต้นสัปดาห์ที่ผ่านมา ทีมนักพัฒนาของ Dropbox ออกมาเปิดเผยถึง 3 ช่องโหว่ความรุนแรงระดับสูงบนระบบปฏิบัติการ Apple macOS ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันโค้ดแปลกปลอมบนเครื่อง Mac ได้ทันที เพียงแค่หลอกให้เหยื่อเปิดหน้าเว็บไซต์ของตนเท่านั้น

ช่องโหว่เหล่านี้แต่เดิมถูกค้นพบโดย Syndis บริษัทด้านความมั่นคงปลอดภัยไซเบอร์ที่ Dropbox จ้างมาทดสอบเจาะระบบ IT Infrastructure ในฐานะ Red Team เมื่อเดือนกุมภาพันธ์ 2018 ซึ่งการเจาะระบบครั้งนั้นครอบคลุมไปถึงซอฟต์แวร์ของ Apple ที่เหล่านักพัฒนาของ Dropbox ใช้

ช่องโหว่ทั้ง 3 รายการไม่เพียงแค่ส่งผลกระทบต่อ macOS เท่านั้น แต่ยังส่งผลกระทบต่อผู้ใช้ Safari ทั้งหมดที่รันเว็บเบราว์เซอร์และระบบปฏิบัติการเวอร์ชันล่าสุด ณ เวลานั้นด้วย ช่องโหว่ที่พบนี้ประกอบด้วย

  • CVE-2017-13890: ช่องโหว่บน CoreTypes ของ macOS ซึ่งช่วยให้ Safari ดาวน์โหลดและเมาท์ Disk Image บนระบบของผู้เข้าชมเว็บผ่านทางการเข้าถึงเว็บเพจที่ถูกออกแบบมาเป็นพิเศษได้
  • CVE-2018-4176: ช่องโหว่บนวิธีการที่ Disk Image จัดการไฟล์ .bundle ที่ซึ่งแอปพลิเคชันถูกบรรจุเป็น Directories การโจมตีช่องโหว่นี้ช่วยให้แฮ็กเกอร์สามารถรันแอปพลิเคชันแปลกปลอมจากดิสก์ที่เมาท์โดยใช้ Bootable Volume Utility ได้
  • CVE-2018-4175: ช่องโหว่บน Gatekeeper Anti-malware ของ macOS ช่วยให้แอปพลิเคชันแปลกปลอมสามารถบายพาสการบังคับใช้ Code Signing และรันแอปพลิเคชัน Terminal เวอร์ชันพิเศษเพื่อรันคำสั่งแปลกปลอมได้

วิดีโอสาธิตการโจมตีด้านล่างแสดงให้เห็นว่า ทีม Syndis สามารถสร้างการโจมตีแบบ 2 ขั้นโดยเชื่อมช่องโหว่ทั้ง 3 เข้าด้วยกัน ก่อนที่จะหลอกให้เหยื่อเข้าเว็บอันตรายของตนผ่าน Safari เพื่อเข้าควบคุมระบบคอมพิวเตอร์

Dropbox ได้รายงานช่องโหว่ทั้ง 3 รายการไปยังทีมรักษาความมั่นคงปลอดภัยของ Apple ตั้งแต่เดือนกุมภาพันธ์ ซึ่งทาง Apple ก็ได้ออกแพตช์เพื่ออุดช่องโหว่อย่างรวดเร็วในเดือนถัดมา หลังจากที่แน่ใจแล้วว่าผู้ใช้ Apple ส่วนใหญ่อัปเดตแพตช์กันถ้วนหน้า Dropbox จึงตัดสินใจเปิดเผยรายละเอียดของช่องโหว่ดังกล่าว

ที่มา: https://thehackernews.com/2018/11/apple-macos-zeroday.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

เปลี่ยนประสบการณ์การทำงานและการให้บริการ ผสานข้อมูล Location ภายในอาคารเข้ากับ Application ของธุรกิจและองค์กร

"ประสบการณ์" ได้กลายเป็นประเด็นสำคัญที่หลายๆ ธุรกิจเริ่มหยิบยกมาเป็นประเด็นแข่งขันเพื่อเอาชนะใจลูกค้าด้วย Customer Experience ไปจนถึงการเพิ่มประสิทธิภาพการทำงานของพนักงานในองค์กรเองก็ตามที ซึ่ง Aruba ผู้นำทางด้านระบบเครือข่ายสำหรับธุรกิจองค์กรเองนั้น ก็ได้มีลูกค้าทั่วโลกมากมายที่ทำการเปลี่ยนประสบการณ์ทั้งสำหรับลูกค้าและพนักงานภายในองค์กร ด้วยการนำข้อมูล Location หรือตำแหน่งภายในอาคารมาประยุกต์ใช้ เพื่อสร้างประสบการณ์รูปแบบใหม่ให้กับสินค้า, บริการ และกระบวนการในการทำงานต่างๆ ให้ดียิ่งขึ้นในมุมที่หลายคนอาจคิดไม่ถึงกันมาก่อน

Tenable Webinar: ลด Cyber Exposure ในองค์กร ด้วยพรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์ โดย Tenable

Tenable ขอเรียนเชิญผู้บริหารฝ่าย IT, ผู้จัดการ IT Security, ผู้จัดการ IT, ทีมงาน Security Engineer และผู้ดูแลระบบ IT เข้าร่วมฟัง Webinar ในหัวข้อเรื่อง "ลด Cyber Exposure ในองค์กร ด้วยพรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์ โดย Tenable" เพื่อทำความรู้จักกับ Cyber Exposure, บทเรียนด้าน Cybersecurity จากเหตุการณ์ต่างๆ และการประยุกต์นำพรบ.การรักษาความมั่นคงปลอดภัยไซเบอร์มาใช้เสริมความมั่นคงปลอดภัยให้กับธุรกิจองค์กร ในวันพุธที่ 7 สิงหาคม 2019 เวลา 14.00 – 15.30 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้