Breaking News

พบบั๊กบน macOS เสี่ยงการตั้งค่าของ App Store ถูกแก้ไขแม้ไม่รู้รหัสผ่าน

Open Radar คอมมูนิตี้สำหรับรายงานบั๊ก ออกมาเปิดเผยถึงช่องโหว่บนระบบปฏิบัติการ macOS 10.13.2 ซึ่งช่วยให้ใครก็ตามสามารถปลดล็อก System Preferences ของ App Store ในขณะที่ล็อกอินเป็น Local Admin อยู่ได้ทันที โดยไม่จำเป็นต้องทราบ Username และ Password

อธิบายให้เห็นภาพมาขึ้นคือ ถ้าคุณล็อกอินด้วย Username ที่มีสิทธิ์เป็น Admin ของเครื่อง แล้วลุกออกจากหน้าจอไป ผู้ใช้คนอื่นสามารถเข้ามาเปลี่ยนการตั้งค่าของ App Store บนเครื่องของคุณได้ทันทีโดยไม่จำเป็นต้องรู้รหัสผ่าน ถึงแม้ว่าการตั้งค่าเหล่านั้นจะถูกล็อกอยู่ก็ตาม ดังแสดงในวิดีโอสาธิตด้านล่าง

จากวิดีโอ จะเห็นว่าการโจมตีบั๊กนี้ทำได้ง่ายมาก เพียงแค่เปิด System Preferences ของ App Store แล้วกดปลดล็อกแม่กุญแจด้านซ้ายล่าง จากนั้นใส่ Username และ Password อะไรก็ได้ จากนั้นกด Unlock ก็จะสามารถปลดล็อกการตั้งค่า App Store ได้ทันที ส่งผลให้ใครก็ตามสามารถเปลี่ยนการตั้งค่า เช่น อัปเดตไหนที่ต้องการติดตั้ง ต้องการติดตั้งอัปเดตอัตโนมัติหรือไม่ เป็นต้น

ถึงแม้ว่าบั๊กนี้จะไม่ร้ายแรงเท่าบั๊กก่อนหน้าที่ทำให้ใครก็ตามสามารถได้สิทธิ์ Root โดยกดไม่ใส่รหัสผ่านรัวๆ แต่ก็แสดงให้เห็นถึงปัญหาด้านการตรวจสอบและประเมินโค้ดในส่วนของการใช้รหัสผ่านบน macOS ซึ่งนับว่านี่เป็นบั๊กที่ 2 แล้วที่ค้นพบในช่วง 3 เดือนที่ผ่านมาที่ทำให้ผู้ใช้ได้สิทธิ์สูงกว่าที่ควรจะเป็น

บั๊กที่ค้นพบนี้ส่งผลกระทบต่อระบบปฏิบัติการ macOS เวอร์ชัน 10.13.2 เท่านั้น เวอร์ชันต่ำกว่านี้ไม่ได้รับผลกระทบแต่อย่างใด

ที่มา: https://www.bleepingcomputer.com/news/apple/macos-bug-lets-local-admin-unlock-app-store-system-prefs-with-any-password/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[Video Webinar] Secure Remote Workforce with Fortinet

สำหรับผู้ที่ไม่ได้เข้าชมการบรรยาย Fortinet Webinar เรื่อง “Secure Remote Workforce with Fortinet” พร้อมสาธิตการนำ FortiGate, FortiClient และ FortiToken มาใช้ทำ …

Alcatel-Lucent Enterprise พร้อมช่วยธุรกิจไทย สื่อสารในช่วงวิกฤตได้โดยไม่มีค่าใช้จ่าย พร้อมมั่นใจความปลอดภัยของข้อมูลด้วยมาตรฐาน GPDR และ ISO-27001

ท่ามกลางวิกฤตโรคระบาดในครั้งนี้ ทีมงาน TechTalkThai ได้มีโอกาสพูดคุยกับคุณสาธิต พันธ์ไพศาล ผู้ดำรงตำแหน่ง Country Manager ของ Alcatel-Lucent Enterprise ประจำประเทศไทย ที่ได้มีโอกาสเข้าไปช่วยเหลือให้ธุรกิจองค์กรหลายแห่งในไทย ยังคงทำการสื่อสารเพื่อให้ธุรกิจยังคงดำเนินต่อไปได้แม้จะต้องปรับไปใช้นโยบาย Work from Home โดยยังคงมีความมั่นคงปลอดภัยสูง ตอบโจทย์การทำ PDPA ด้วยมาตรฐาน GPDR (General Data Protection Regulation) และ ISO-27001และไม่มีค่าใช้จ่ายใดๆ เนื่องจาก Alcatel-Lucent Enterprise เปิดให้ใช้งานโซลูชันด้าน Enterprise Collaboration ฟรีโดยไม่จำกัดจำนวนผู้ใช้งานเป็นเวลานานถึง 3 เดือน พร้อมทั้งแบ่งปันบทเรียนและวิสัยทัศน์สำหรับธุรกิจองค์กรในการฝ่าฟันวิกฤตครั้งนี้ไปด้วยกัน