Google ออกมาเปิดเผยช่องโหว่ 0-day ร้ายแรงบน Microsoft หลังแจ้งไป 10 วันแล้วทาง Microsoft ยังไม่แก้ไข

เมื่อวันที่ 21 ตุลาคมที่ผ่านมา ทาง Google ได้ทำการแจ้งช่องโหว่ 0-day ไปยัง Adobe และ Microsoft ซึ่งทาง Adobe นั้นแก้ไขและออก Patch มาเรียบร้อยแล้ว แต่ทาง Microsoft ยังไม่ได้ออก Patch มาแต่อย่างใด ทาง Google จึงตัดสินใจออกมาเปิดเผยข้อมูลช่องโหว่เพื่อความปลอดภัยของผู้ใช้งานทุกคน

Credit:alexmillos/ShutterStock
Credit:alexmillos/ShutterStock

ช่องโหว่ของ Adobe ที่ตรวจพบนั้นคือ CVE-2016-7855 บน Adobe Flash ซึ่ง Adobe ออก Patch มาเรียบร้อยแล้วตั้งแต่วันที่ 26 ตุลาคม 2016 และทาง Google ก็แนะนำให้ Patch โดยด่วน

ส่วนช่องโหว่ของ Microsoft นั้นปรากฎอยู่บน Windows โดยเป็นช่องโหว่ที่ผู้โจมตีสามารถทำการยกระดับสิทธิ์ของตนเอง (Local Privilege Escalation) บน Windows Kernel ได้ และสามารถใช้วิธีนี้เพื่อทำ Security Sandbox Escape ได้ ซึ่งช่องโหว่นี้สามารถถูกเรียกใช้งานได้ผ่านทางการทำ System Call NtSetWindowLongPtr() จาก win32k.sys ที่ Index ของ GWLP_ID บน Window Handle โดยกำหนดค่า GWL_STYLE ให้เป็น WS_CHILD

ปัจจุบัน Google ทำการบล็อค win32k.sys ใน Google Chrome ไปแล้ว เพื่อป้องกันไม่ให้มีการโจมตีด้วยช่องโหว่นี้ผ่านทาง Google Chrome และแนะนำให้ผู้ใช้งานรีบอัปเดตทันทีที่ Microsoft ออก Patch มาอุดช่องโหว่

ที่มา: https://security.googleblog.com/2016/10/disclosing-vulnerabilities-to-protect.htmlhttp://venturebeat.com/2016/10/31/google-discloses-actively-exploited-windows-vulnerability-just-10-days-after-reporting-it-to-microsoft/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

OpenSSL อัปเดตแพตช์แก้ไขช่องโหว่รุนแรงสูง 2 รายการ

สำหรับท่านใดที่ใช้ OpenSSL เวอร์ชัน 3.0.0 หรือสูงกว่า มีช่องโหว่ 2 รายการที่ได้รับการอัปเดต แนะนำให้ผู้ใช้อัปเดตเป็น 3.0.7

ServiceNow GRC: ปรับการกำกับควบคุมดูแลและจัดการความเสี่ยงในธุรกิจองค์กร ให้เป็นดิจิทัล และจัดการได้แบบอัตโนมัติบน Cloud

ในการดำเนินธุรกิจใดๆ นั้น การตรวจสอบให้มั่นใจอยู่เสมอว่าทุกกระบวนการในการดำเนินธุรกิจจะเป็นไปตามข้อกำหนดและกฎหมาย รวมถึงบริหารจัดการความเสี่ยงที่อาจเกิดขึ้นได้นั้นถือเป็นอีกหนึ่งส่วนที่มีความสำคัญเป็นอย่างยิ่ง โดยเฉพาะสำหรับธุรกิจองค์กรที่มีขนาดใหญ่อย่างสถาบันการเงิน หน่วยงานภาครัฐ ธุรกิจข้ามชาติ ธุรกิจในตลาดหลักทรัพย์ หรือแม้แต่ธุรกิจที่มีแผนจะเข้าตลาดหลักทรัพย์ก็ตาม ด้วยเหตุนี้ เหล่าผู้นำในธุรกิจองค์กรจึงต้องควรทำความรู้จักกับ GRC ที่จะเป็น Framework และเครื่องมือสำคัญเพื่อช่วยให้ธุรกิจสามารถดำเนินต่อไปได้อย่างถูกต้อง …