Breaking News

นักวิจัยจาก Google เผยช่องโหว่ 5 รายการบน iOS แนะผู้ใช้งานควรอัปเดต

นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ได้ออกมาเปิดเผยถึงช่องโหว่ 5 รายการบน iOS ซึ่งบางรายการสามารถใช้โจมตีได้โดยที่ผู้ใช้งานไม่ต้องยุ่งเกี่ยวเลย นอกจากนี้มี 1 ช่องโหว่ที่ยังไม่ได้รับการแก้ไขในแพตช์ล่าสุดด้วย

ช่องโหว่ที่นักวิจัยเปิดเผยมีดังนี้

  • CVE-2019-8646 – เป็นช่องโหว่ที่ทำให้คนร้ายสามารถลอบอ่านไฟล์จากอุปกรณ์ทางไกลโดยไม่ต้องมีการปฏิสัมพันธ์ใดๆ จากผู้ใช้เลย ซึ่งนักวิจัยชี้ว่าเกิดจากคลาส _NSDataFileBackedFuture ที่สามารถถูกทำ Deserialize ได้แม้เปิด Secure Encoding อยู่ สำหรับ Apple แก้ไขด้วยการตรวจสอบค่าอินพุตน์ให้ดีขึ้น
  • CVE-2019-8660 – เป็นช่องโหว่ Memory Corruption ซึ่งการใช้งานก็ไม่ต้องอาศัยการตอบสนองจากผู้ใช้เช่นกัน โดยช่องโหว่อาจนำไปสู่การเกิดการจบโปรแกรมโดยไม่คาดคิดหรือการลอบรันโค้ด
  • CVE-2019-8647 และ CVE-2019-8662 – เป็นช่องโหว่ Use-after-free ที่ทำให้คนร้ายสามารถลอบรันโค้ดได้ โดยการใช้งานทำได้ผ่าน iMessage และทำให้เกิดความผิดพลาดกับ Springboard ได้ ทั้งนี้ CVE-2019-8647 เกิดขึ้นจาก NSArray Deserialization ซึ่งไปเรียกคลาสย่อยที่ไม่ได้อยู่ในการอ้างถึง สำหรับ CVE-2019-8662 เกิดขึ้นใน NSKeyedUnarchiver

อย่างไรก็ตามช่องโหว่ข้างต้นได้รับการแพตช์เรียบร้อยแล้วเมื่อวันที่ 22 ก.ค. ที่ผ่านมา แต่ยังมีอีกหนึ่งช่องโหว่คือ CVE-2019-8641 ที่ยังไม่มีแพตช์แก้ไข ซึ่งนักวิจัยยังไม่ได้เปิดเผยรายละเอียดมากนักเพียงแต่แง้มว่าเป็นช่องโหว่ที่คนร้ายสามารถทำให้เกิดการจบโปรแกรมโดยไม่คาดคิดหรือการลอบรันโค้ด

ที่มา :  https://www.securityweek.com/google-researchers-find-remotely-exploitable-vulnerabilities-ios



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

ขอเชิญร่วมงานสัมมนาออนไลน์ฟรี VMware EVOLVE Online 2020 ลุ้นรับฟรี iPad Pro และ Apple Watch

ขอเชิญทุกท่านในวงการ IT เข้าร่วมงานสัมมนาออนไลน์ฟรี VMware EVOLVE Online 2020 งานสัมมนาออนไลน์ใหญ่จาก VMware ที่อัปเดตเทคโนโลยีล่าสุดพร้อมกันทั่วโลก พร้อมทำ Online Hands-on Lab เพื่อทำความรู้จักกับ VMware vSphere 7, VMware Tanzu Mission Control, Container, Software-Defined Networking, Hybrid Cloud และ VMware Cloud on AWS ซึ่งสามารถเข้าร่วมในเวลาใดก็ได้จนถึงวันที่ 30 มิถุนายน 2020 พร้อมลุ้นรับรางวัลสุดพิเศษ Apple iPad Pro, Apple Watch, Apple AirPods Pro และ Bang & Olufsen BeoPlay E8 2.0 โดยมีรายละเอียดของกิจกรรมต่างๆ ภายในงาน และวิธีการลงทะเบียนเข้าร่วมงานฟรีดังนี้

[Video Webinar] แนะนำ 6 เทคโนโลยีการปกป้องข้อมูลให้สอดคล้องกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล

สำหรับผู้ที่ไม่ได้เข้าชมการบรรยาย TechTalk Webinar เรื่อง “แนะนำ 6 เทคโนโลยีการปกป้องข้อมูลให้สอดคล้องกับ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล” พร้อมเจาะลึกความต้องการของ พ.ร.บ.ฯ ฉบับดังกล่าว และทำความรู้จักเทคโนโลยีแต่ละประเภทที่องค์กรสามารถนำไปประยุกต์ใช้เพื่อให้ตอบโจทย์ความต้องการเหล่านั้น ที่เพิ่งจัดไปเมื่อเดือนมีนาคมที่ผ่านมา หรือต้องการรับชมการบรรยายซ้ำอีกครั้ง …