Google รีบแก้ไขบั๊ก Gmail เหตุเพราะผู้เชี่ยวชาญเผยรายละเอียดบั๊กหลังแจ้งมานานแล้ว

เมื่อวานนี้ Google (ตรงกับเวลาอเมริกา 19 สิงหาคม) ได้อัปเดตช่องโหว่ที่ทำให้แฮ็กเกอร์สามารถ Spoof Email เป็นใครก็ได้ที่ใช้ Gmail หรือ G Suite โดย Google ได้รับแจ้งมากว่า 4 เดือนแล้ว แต่ไม่แพตช์สักที นักวิจัยจึงเปิดข้อมูลต่อสาธารณะและไม่กี่ชั่วโมงต่อมา Gmail จึงถูกแก้ไขเบื้องต้นตามมา

credit : Allison Husain

ลำดับเหตุการณ์คือมีผู้เชี่ยวชาญที่ชื่อ Allison Husain พบบั๊กที่ช่วยให้ผู้โจมตีสามารถลัดผ่านการป้องกัน Spoof Email ใน Gmail อย่าง SPF (Sender Policy Framework) และ DMARC (Domain-based Message Authentication, Reporting, and Conformance) ทั้งนี้ได้แจ้งต่อทีมงานไปตั้งแต่วันที่ 1 เมษายนแล้ว ซึ่งเวลาก็ผ่านมาเนิ่นนานแต่ Google วางแผนแพตช์กลางเดือนกันยายน จนนักวิจัยทนไม่ไหวออกมาเปิดเผยรายละเอียดของช่องโหว่ หลังจากนั้นเองไม่กี่ชั่วโมงถัดมา Google จึงกุลีกุจออัปเดตแก้ไขเบื้องต้นไปก่อนและวางแผนจะอัปเดตอย่างสมบูรณ์กลางเดือนหน้า

ช่องโหว่บั๊ก 2 ส่วนคือ

1.) ส่วนแรกช่วยให้แฮ็กเกอร์สามารถส่ง Spoof Email ไปยัง Email Gateway บน Gmail และ G Suite Backend ได้ ดังนั้นคนร้ายสามารถรันเซิร์ฟเวอร์อีเมลต่อกับ Gmail หรือ G Suite Backend ได้นั่นเอง

2.) ส่วนหลังช่วยให้แฮ็กเกอร์สามารถสร้าง Email Routing Rule เพื่อรับอีเมลเข้าและ Forward ต่อได้ ซึ่งยังสามารถ Spoof Email เป็นผู้ใช้หรือลูกค้า Gmail หรือ G Suite ได้ผ่านฟีเจอร์ ‘Change envelope recipient’ โดยสิ่งที่เกิดประโยชน์กับแฮ็กเกอร์คืออีเมลที่ถูก Forward จะสามารถผ่านกลไกของ SPF และ DMARC ได้ (ดูรูปภาพประกอบได้ตามด้านบน)

ผู้สนใจสามารถติดตามรายละเอียดของช่องโหว่จากบล็อกของนักวิจัยได้ที่นี่

ที่มา :  https://www.zdnet.com/article/google-fixes-major-gmail-bug-seven-hours-after-exploit-details-go-public/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[Guest Post] งานแถลงข่าวกลุ่มย่อย ในหัวข้อ “The Culture of Innovation” การสร้างวัฒนธรรมของสตาร์ทอัพ กุญแจสู่การสร้างวัฒนธรรมด้านนวัตกรรม ของ อะเมซอน เว็บ เซอร์วิสเซส (ประเทศไทย)

วันที่ 28 มิถุนายน 2565 : Amazon เป็นแพลตฟอร์มที่สร้างสตาร์ทอัพที่ประสบความสำเร็จระดับโลกมากมาย เช่น Netflix, Stripe และ Airbnb ไปจนถึงสตาร์ทอัพในภูมิภาคเอเชียแปซิฟิค ไม่ว่าจะเป็น Grab, …

Effortless: เทรนด์ใหม่ที่เหนือกว่าแค่คำว่าง่าย ในการบริหารจัดการ Enterprise Storage

การบริหารจัดการระบบ IT ได้อย่างง่ายดายนั้นถือเป็นสิ่งที่จะสามารถช่วยให้ผู้ดูแลระบบ IT สามารถทำงานได้อย่างมีประสิทธิภาพมากยิ่งขึ้น แต่นิยามคำว่าง่ายของผู้พัฒนาเทคโนโลยีนั้นก็แตกต่างกันออกไป ทำให้หลายครั้งถึงแม้ว่าระบบ IT หนึ่งๆ จะดูเหมือนว่าสามารถบริหารจัดการได้ง่าย แต่เมื่อใช้งานจริงแล้วกลับต้องพบกับอุปสรรคอย่างมากมาย Pure Storage ในฐานะของผู้นำทางด้านเทคโนโลยี All …