Breaking News

พบช่องโหว่ XSS ในไลบรารี่ JavaScript กระทบ Search และผลิตภัณฑ์อื่นของ Google

Masato Kinugawa นักวิจัยความมั่นคงปลอดภัยชาวญี่ปุ่นได้ค้นพบช่องโหว่ XSS บนไลบรารี่ JavaScript ซึ่งถูกใช้ใน Google Search และผลิตภัณฑ์อื่นๆ จาก Google ด้วย

credit : LiveOverflow

LiveOverflow ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยได้เผยว่าช่องโหว่ XSS เกิดขึ้นจากไลบรารี่ที่ชื่อ ‘Closure’ ที่ไม่สามารถตรวจสอบอินพุตน์จากผู้ใช้งานได้ดีเพียงพอ โดย Google เป็นผู้ออกไลบรารี่ตัวนี้สำหรับเว็บแอปพลิเคชันที่ทำงานอย่างซับซ้อนและต้องการ Scalable พร้อมทั้งปล่อยเป็นโอเพ่นซอร์สและยังใช้กับผลิตภัณฑ์ของตนด้วย เช่น Search, Gmail, Maps และ Docs

โดยช่องโหว่เกิดมาเป็นเวลาเกือบ 5 เดือนแล้วตั้งแต่ 26 กันยายน 2018 เพราะมีการลบกลไกตรวจสอบออกเนื่องจากปัญหาเกี่ยวกับการออกแบบ UI อย่างไรก็ตามทาง Google ได้แก้ไขปัญหาแล้วเมื่อ 22 กุมภาพันธ์ที่ 2019 ผ่านมาซึ่งคอมเม้นของนักวิจัยได้รับการยืนยันว่าปัญหาเกิดจาก HTML santizer ทำให้มีช่องโหว่ XSS บนซอฟต์แวร์ Web Server ของ Google

สำหรับทาง LiveOverflow ได้โพสต์วิดีโอวิเคราะห์และสอนช่องโหว่ XSS อย่างละเอียดได้ตามด้านล่างผู้สนใจสามารถเข้าไปรับชมได้

ที่มา :   https://www.securityweek.com/javascript-library-introduced-xss-flaw-google-search


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

พบช่องโหว่บนซิมมือถือ ‘Simjacker’ คาดกระทบผู้ใช้งานกว่าพันล้าน

AdaptiveMobile Security ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยได้เปิดเผยถึงช่องโหว่บนซิมของโทรศัพท์มือถือ ‘Simjacker’ เพียงแค่ส่ง SMS ไปหาเหยื่อเพื่อใช้งาน นอกจากนี้ยังได้ยืนยันว่ามีการใช้งานจริงมาสักพักใหญ่แล้วซึ่งอาจจะเป็นบริษัทลับที่รัฐบาลสนับสนุน โดยหากประเมินถึงผู้ที่ได้รับผลกระทบน่าจะเป็นไปได้กว่าพันล้านราย

เตือนสาวผู้ใช้แอปติดตามรอบเดือน เสี่ยงข้อมูลถูกแชร์ให้ Facebook

Privacy International กลุ่มผู้สนับสนุนการคุ้มครองข้อมูลส่วนบุคคลจากสหราชอาณาจักร ออกมาแจ้งเตือนหญิงสาวผู้ใช้แอปพลิเคชันสำหรับติดตามรอบเดือนหลายล้านราย เสี่ยงข้อมูลสุขภาพไม่ว่าจะเป็น รอบเดือน ชีวิตบนเตียง การใช้ยาคุม อาการป่วย และอื่นๆ ถูกเปิดเผยให้ Facebook โดยไม่รู้ตัว แม้ว่าคุณจะไม่ได้เล่น Facebook …