Google เผยช่องโหว่ Microsoft Edge และ IE ผู้โจมตีเข้าควบคุมเครื่องเป้าหมายได้

Ivan Fratric นักวิจัยด้านความปลอดภัยจาก Google Project Zero ได้ออกมาเปิดเผยถึงช่องโหว่ Type Confusion บน Microsoft Edge และ Internet Explorer ที่เปิดให้ผู้โจมตีสามารถสั่ง Execute Code บนเครื่องเป้าหมายและเข้าควบคุมเครื่องได้ทันที

ช่องโหว่นี้ถูกตั้งรหัสว่า CVE-2017-0037 พร้อมเปิดเผยรายละเอียดและวิธีการทดสอบเอาไว้ที่ https://bugs.chromium.org/p/project-zero/issues/detail?id=1011 โดยตัวอย่างโค้ดทดสอบนี้จะทำให้ Browser นั้น Crash ได้ แต่หากผู้โจมตีมีทักษะในระดับสูง ก็จะสามารถนำช่องโหว่นี้ไปใช้ในการโจมตีที่รุนแรงกว่านี้ได้

ทาง Google เปิดเผยว่าได้แจ้งช่องโหว่นี้แก่ทาง Microsoft ไปตั้งแต่ปลายเดือนพฤศจิกายน 2016 ที่ผ่านมา และเลยกำหนด 90 วันที่ทาง Microsoft ยังไม่ได้ Patch ช่องโหว่นี้ จึงได้นำออกมาเปิดเผยเพื่อให้เหล่าผู้ใช้งานได้ระวังตัวกัน

ที่มา: https://www.bleepingcomputer.com/news/security/google-goes-public-with-unpatched-microsoft-edge-and-ie-vulnerability/