Black Hat Asia 2021

Google รีบแก้ไขบั๊ก Gmail เหตุเพราะผู้เชี่ยวชาญเผยรายละเอียดบั๊กหลังแจ้งมานานแล้ว

เมื่อวานนี้ Google (ตรงกับเวลาอเมริกา 19 สิงหาคม) ได้อัปเดตช่องโหว่ที่ทำให้แฮ็กเกอร์สามารถ Spoof Email เป็นใครก็ได้ที่ใช้ Gmail หรือ G Suite โดย Google ได้รับแจ้งมากว่า 4 เดือนแล้ว แต่ไม่แพตช์สักที นักวิจัยจึงเปิดข้อมูลต่อสาธารณะและไม่กี่ชั่วโมงต่อมา Gmail จึงถูกแก้ไขเบื้องต้นตามมา

credit : Allison Husain

ลำดับเหตุการณ์คือมีผู้เชี่ยวชาญที่ชื่อ Allison Husain พบบั๊กที่ช่วยให้ผู้โจมตีสามารถลัดผ่านการป้องกัน Spoof Email ใน Gmail อย่าง SPF (Sender Policy Framework) และ DMARC (Domain-based Message Authentication, Reporting, and Conformance) ทั้งนี้ได้แจ้งต่อทีมงานไปตั้งแต่วันที่ 1 เมษายนแล้ว ซึ่งเวลาก็ผ่านมาเนิ่นนานแต่ Google วางแผนแพตช์กลางเดือนกันยายน จนนักวิจัยทนไม่ไหวออกมาเปิดเผยรายละเอียดของช่องโหว่ หลังจากนั้นเองไม่กี่ชั่วโมงถัดมา Google จึงกุลีกุจออัปเดตแก้ไขเบื้องต้นไปก่อนและวางแผนจะอัปเดตอย่างสมบูรณ์กลางเดือนหน้า

ช่องโหว่บั๊ก 2 ส่วนคือ

1.) ส่วนแรกช่วยให้แฮ็กเกอร์สามารถส่ง Spoof Email ไปยัง Email Gateway บน Gmail และ G Suite Backend ได้ ดังนั้นคนร้ายสามารถรันเซิร์ฟเวอร์อีเมลต่อกับ Gmail หรือ G Suite Backend ได้นั่นเอง

2.) ส่วนหลังช่วยให้แฮ็กเกอร์สามารถสร้าง Email Routing Rule เพื่อรับอีเมลเข้าและ Forward ต่อได้ ซึ่งยังสามารถ Spoof Email เป็นผู้ใช้หรือลูกค้า Gmail หรือ G Suite ได้ผ่านฟีเจอร์ ‘Change envelope recipient’ โดยสิ่งที่เกิดประโยชน์กับแฮ็กเกอร์คืออีเมลที่ถูก Forward จะสามารถผ่านกลไกของ SPF และ DMARC ได้ (ดูรูปภาพประกอบได้ตามด้านบน)

ผู้สนใจสามารถติดตามรายละเอียดของช่องโหว่จากบล็อกของนักวิจัยได้ที่นี่

ที่มา :  https://www.zdnet.com/article/google-fixes-major-gmail-bug-seven-hours-after-exploit-details-go-public/

About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Fujitsu ขอเชิญร่วมงานสัมมนาออนไลน์ “Transform and grow your business with AI-powered Automation”

Fujitsu ขอเรียนเชิญผู้สนใจทุกท่านเข้าร่วมงานสัมมนาออนไลน์ “Transform and grow your business with AI-powered Automation” เพื่อรับฟังแนวทางการพลิกโฉมและขยายธุรกิจด้วยระบบอัตโนมัติที่ขับเคลื่อนด้วย AI ครอบคลุมกระบวนการทำงานทางธุรกิจหรือ business workflows …

สรุป Red Hat Webinar: เพิ่มขีดความสามารถของ Microservices Application บน Kubernetes ด้วย Event-Driven Architecture

ในการออกแบบระบบด้วยสถาปัตยกรรม Microservices Architecture นั้นอาจมีความท้าทายในการเชื่อมผสานการทำงานร่วมกันระหว่าง Service จำนวนมหาศาลเบื้องหลังระบบอยู่มากมาย ซึ่งใน Red Hat Webinar หัวข้อ เพิ่มขีดความสามารถของ Microservices Application บน Kubernetes ด้วย Event-Driven Architecture นี้ ก็จะนำ Apache Kafka มาช่วยตอบโจทย์ดังกล่าว โดยในบทความนี้ทีมงาน TechTalkThai ได้ทำการสรุปเนื้อหาของ Webinar เอาไว้ดังนี้แล้วครับ