Breaking News

นักวิจัยจาก Google เผยช่องโหว่ 5 รายการบน iOS แนะผู้ใช้งานควรอัปเดต

นักวิจัยด้านความมั่นคงปลอดภัยจาก Google Project Zero ได้ออกมาเปิดเผยถึงช่องโหว่ 5 รายการบน iOS ซึ่งบางรายการสามารถใช้โจมตีได้โดยที่ผู้ใช้งานไม่ต้องยุ่งเกี่ยวเลย นอกจากนี้มี 1 ช่องโหว่ที่ยังไม่ได้รับการแก้ไขในแพตช์ล่าสุดด้วย

ช่องโหว่ที่นักวิจัยเปิดเผยมีดังนี้

  • CVE-2019-8646 – เป็นช่องโหว่ที่ทำให้คนร้ายสามารถลอบอ่านไฟล์จากอุปกรณ์ทางไกลโดยไม่ต้องมีการปฏิสัมพันธ์ใดๆ จากผู้ใช้เลย ซึ่งนักวิจัยชี้ว่าเกิดจากคลาส _NSDataFileBackedFuture ที่สามารถถูกทำ Deserialize ได้แม้เปิด Secure Encoding อยู่ สำหรับ Apple แก้ไขด้วยการตรวจสอบค่าอินพุตน์ให้ดีขึ้น
  • CVE-2019-8660 – เป็นช่องโหว่ Memory Corruption ซึ่งการใช้งานก็ไม่ต้องอาศัยการตอบสนองจากผู้ใช้เช่นกัน โดยช่องโหว่อาจนำไปสู่การเกิดการจบโปรแกรมโดยไม่คาดคิดหรือการลอบรันโค้ด
  • CVE-2019-8647 และ CVE-2019-8662 – เป็นช่องโหว่ Use-after-free ที่ทำให้คนร้ายสามารถลอบรันโค้ดได้ โดยการใช้งานทำได้ผ่าน iMessage และทำให้เกิดความผิดพลาดกับ Springboard ได้ ทั้งนี้ CVE-2019-8647 เกิดขึ้นจาก NSArray Deserialization ซึ่งไปเรียกคลาสย่อยที่ไม่ได้อยู่ในการอ้างถึง สำหรับ CVE-2019-8662 เกิดขึ้นใน NSKeyedUnarchiver

อย่างไรก็ตามช่องโหว่ข้างต้นได้รับการแพตช์เรียบร้อยแล้วเมื่อวันที่ 22 ก.ค. ที่ผ่านมา แต่ยังมีอีกหนึ่งช่องโหว่คือ CVE-2019-8641 ที่ยังไม่มีแพตช์แก้ไข ซึ่งนักวิจัยยังไม่ได้เปิดเผยรายละเอียดมากนักเพียงแต่แง้มว่าเป็นช่องโหว่ที่คนร้ายสามารถทำให้เกิดการจบโปรแกรมโดยไม่คาดคิดหรือการลอบรันโค้ด

ที่มา :  https://www.securityweek.com/google-researchers-find-remotely-exploitable-vulnerabilities-ios



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Google Cloud VMware Engine ประกาศ GA แล้ว ใช้ VMware บน Google Cloud ได้โดยตรง

Google ได้ออกมาประกาศให้ Google Cloud VMware Engine หรือ GCVE บริการ Cloud ที่ใช้เทคโนโลยีของ VMware ทำงานอยู่บน Google Cloud เข้าสู่สถานะ Generally Available หรือ GA แล้วอย่างเป็นทางการ

Aruba Webinar: Simplified and Optimized your Branch with Aruba SDBranch 17 ก.ค. 2020 13.00

HPE Aruba และ CS Loxinfo ขอเรียนเชิญ IT Manager, Network Engineer, IT Admin และทุกท่านที่สนใจ เข้าร่วมฟัง Webinar ในหัวข้อเรื่อง “Simplified and Optimized your Branch with Aruba SDBranch” ที่มาตอบโจทย์ต่างๆ ทั้งทางด้านความสะดวกสบาย และการใช้งาน สำหรับผู้ดูแลระบบเครือข่ายที่มีหลายสาขา ในวันวันศุกร์ที่ 17 กรกฎาคม 2563 เวลา 13.00 – 14.00 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้