พบช่องโหว่ PDF Reader บน Google Chrome อีกครั้ง เสี่ยงถูกโจมตีด้วย Code Execution

นักวิจัยจาก Talos ทีม Threat Intelligence ของ Cisco ค้นพบช่องโหว่ off-by-one read/write บน PDFium ซึ่งเป็น PDF Reader ที่เป็นค่าเริ่มต้นของ Google Chrome โดยช่องโหว่นี้ช่วยให้แฮ็คเกอร์สามารถรันโค้ดแปลกปลอม (Code Execution) ได้ผ่านทางรูปภาพ TIFF ที่ฝังมากับเอกสาร PDF ค้นพบใน Google Chome เวอร์ชัน 60.0.3112.101.

Credit: ShutterStock.com

 

ช่องโหว่รหัส Talos-2017-0432 / CVE-2017-5133 ถูกค้นพบโดย Aleksander Nikolic จาก Cisco Talos ซึ่งเป็นคนเดียวกันกับผู้ที่ค้นพบช่องโหว่บน PDFium เมื่อช่วงกลางปี 2016 ช่องโหว่นี้เกิดขึ้นในส่วนของฟังก์ชันที่ทำหน้าที่ในการ parsing pixel ของข้อมูล ระหว่างที่ทำการโปรเซสฟังก์ชันนี้จะอ่านค่าจาก “dest_buffer” ขนาด 4 bytes เสมอ ถึงแม้ว่า buffer นั้นจะมีขนาดน้อยกว่า 4 bytes ก็ตาม ซึ่งนำไปสู่ off-by-one read บน heap แล้วตามด้วย off-by-one write

ช่องโหว่นี้ต้องอาศัยการโจมตีเป็นลำดับขั้น ทำให้เกิด memory corruption, ข้อมูลอาจรั่วไหล และมีความเป็นไปได้ที่จะสามารถรันโค้ดแปลกปลอมผ่านช่องโหว่นี้ อย่างไรก็ตาม ช่องโหว่นี้ถูกแก้ไขแล้วใน Google Chrome เวอร์ชัน 62.0.3202.62. แนะนำให้ผู้ใช้งานรีบอัปเดตให้เป็นเวอร์ชันล่าสุดทันที

ผู้ที่สนใจสามารถศึกษารายละเอียดของช่องโหว่นี้เพิ่มเติมได้ที่:
https://www.talosintelligence.com/reports/TALOS-2017-0432

ที่มา: http://blog.talosintelligence.com/2017/10/GooglePDFium-Vulnerabilitiy.html



About นักเขียนฝึกหัดหมายเลข 3

Check Also

Google อัปเดตใช้ File Signature ตรวจสอบแอปพลิเคชันบน Android

Google เปลี่ยนวิธีการตรวจสอบความถูกต้องของแอปพลิเคชันบน Android ก่อนการติดตั้ง โดยทางบริษัทได้แก้ไข Header ของ APK ไฟล์เพื่อเพิ่ม metadata ข้อมูลที่เป็น Signature ของไฟล์ Application นั้นลงไป …

คนร้ายชาวยูเครน 4 คนถูกจับฐานตั้งเว็บปลอมเทรด Cryptocurrency

ตำรวจของยูเครเข้าจับชายอายุระหว่าง 20-26 ปี 4 คนผู้ต้องสงสัยข้อหาตั้ง 6 เว็บปลอมเพื่อขโมยเงินเทรด Cryptocurrency ของเหยื่อ โดยทางตำรวจกล่าวว่า “พวกเขามีทักษะเฉพาะในด้านการเขียนโปรแกรมและสร้างระบบบริหารจัดการเนื้อหา (CMS) ขั้นมาสำหรับไซต์เหล่านั้น” คนร้ายนั้นได้ใช้วิธีการสร้างความน่าเชื่อถือของเว็บด้วยการแสดงความเห็นบนโลกออนไลน์และให้คะแนนในด้านบวก