พบช่องโหว่บน Instagram สามารถใช้เข้ายึดบัญชีได้

Check Point ผู้เชี่ยวชาญด้าน Cybersecurity ได้ออกมาเปิดเผยช่องโหว่ในแอป Social Media อย่าง Instagram (IG) ซึ่งสามารถใช้โจมตีเพื่อเข้ายึดบัญชี โดยที่ผู้ใช้แทบไม่รู้ตัวเลย

Check Point ได้เผยช่องโหว่บนไลบรารีจาก 3rd party (พัฒนาโดยทีมงาน Mozilla) ของ IG ใช้งานที่ชื่อ Mozjpeg โดยทำหน้าที่บีบอัดภาพบนเว็บ ทั้งนี้ทีมงานได้ใช้ Fuzzer เพื่อตรวจสอบฟังก์ชัน decompression และช่องโหว่ที่นำไปสู่การเกิด Heap Buffer Overflow และเข้ายึดบัญชีได้

โดยเพียงแค่คนร้ายส่งรูปภาพอันตรายที่ประดิษฐ์ขึ้นแบบพิเศษไปหาเหยื่อและเหยื่อบันทึกเก็บไว้ในเครื่อง จากนั้นเพียงแค่เปิดแอป IG ก็จะนำไปสู่การใช้ช่องโหว่และให้สิทธิ์ผู้โจมตีเข้าถึงได้สมบูรณ์ผ่านทางไกล ทั้งนี้หากโจมตีสำเร็จคนร้ายจะสามารถควบคุมแอปพลิเคชันได้ เช่น อ่านข้อความในบัญชีนั้น ลบหรือโพสต์ เปลี่ยนแปลงโปรไฟล์ของบัญชี

อย่างไรก็ตาม Facebook ได้รับแจ้งนานแล้ว โดยช่องโหว่มีหมายเลขอ้างอิงคือ CVE-2020-1895 ซึ่ง Check Point ตั้งใจเปิดเผยช้าหน่อยเพื่อให้ทีมงานแก้ทัน แต่ว่าโปรเจ็คการสำรวจแอปก็ยังไม่จบเพราะทีมงานเชื่อว่าน่าจะมีช่องโหว่อื่นหรือในมุมอื่นที่เล่นได้อีก นอกจากนี้ยังฝากเตือนถึงโปรแกรมเมอร์ว่าเอาไลบรารีภายนอกมาใช้ก็ตรวจสอบความมั่นคงปลอดภัยกันด้วย

ที่มา : https://www.securityweek.com/instagram-remote-account-takeover-required-no-action-victim



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Tableau & AWS Webinar: ใช้ประโยชน์จากพลังของโปรแกรมวิเคราะห์ข้อมูลแบบคลาวด์อันทันสมัย [27 ต.ค. 2020 เวลา 10.00น.]

TechTalkThai ขอเรียนเชิญ Chief Data Officer, Data Scientist, Data Analyst, Data Engineer, IT Manager, ผู้ดูแลระบบ IT และผู้ที่สนใจทุกท่าน เข้าร่วมฟัง Tableau & AWS Webinar ในหัวข้อเรื่อง "ใช้ประโยชน์จากพลังของโปรแกรมวิเคราะห์ข้อมูลแบบคลาวด์อันทันสมัย" เพื่อทำความรู้จักกับภาพรวมของการวิเคราะห์ข้อมูลในธุรกิจองค์กรอย่างครบวงจรบน Cloud ด้วยเครื่องมือจาก Amazon Web Services (AWS) และ Tableau ในวันอังคารที่ 27 ตุลาคม 2020 เวลา 10.00 – 11.00 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้

Microsoft เปิดตัว Azure Space รุกสู่ธุรกิจอวกาศ พร้อมเผยความร่วมมือกับ SpaceX

Microsoft ได้ออกมาประกาศเปิดตัวถึงการนำบริการ Microsoft Azure ไปสู่อุตสาหกรรมด้านอวกาศภายใต้ชื่อ Azure Space พร้อมเผยถึงความร่วมมือกับ SpaceX ในการบริการด้านโครงข่ายเชื่อมต่อ Cloud