Breaking News

พบช่องโหว่ XSS ในไลบรารี่ JavaScript กระทบ Search และผลิตภัณฑ์อื่นของ Google

Masato Kinugawa นักวิจัยความมั่นคงปลอดภัยชาวญี่ปุ่นได้ค้นพบช่องโหว่ XSS บนไลบรารี่ JavaScript ซึ่งถูกใช้ใน Google Search และผลิตภัณฑ์อื่นๆ จาก Google ด้วย

credit : LiveOverflow

LiveOverflow ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยได้เผยว่าช่องโหว่ XSS เกิดขึ้นจากไลบรารี่ที่ชื่อ ‘Closure’ ที่ไม่สามารถตรวจสอบอินพุตน์จากผู้ใช้งานได้ดีเพียงพอ โดย Google เป็นผู้ออกไลบรารี่ตัวนี้สำหรับเว็บแอปพลิเคชันที่ทำงานอย่างซับซ้อนและต้องการ Scalable พร้อมทั้งปล่อยเป็นโอเพ่นซอร์สและยังใช้กับผลิตภัณฑ์ของตนด้วย เช่น Search, Gmail, Maps และ Docs

โดยช่องโหว่เกิดมาเป็นเวลาเกือบ 5 เดือนแล้วตั้งแต่ 26 กันยายน 2018 เพราะมีการลบกลไกตรวจสอบออกเนื่องจากปัญหาเกี่ยวกับการออกแบบ UI อย่างไรก็ตามทาง Google ได้แก้ไขปัญหาแล้วเมื่อ 22 กุมภาพันธ์ที่ 2019 ผ่านมาซึ่งคอมเม้นของนักวิจัยได้รับการยืนยันว่าปัญหาเกิดจาก HTML santizer ทำให้มีช่องโหว่ XSS บนซอฟต์แวร์ Web Server ของ Google

สำหรับทาง LiveOverflow ได้โพสต์วิดีโอวิเคราะห์และสอนช่องโหว่ XSS อย่างละเอียดได้ตามด้านล่างผู้สนใจสามารถเข้าไปรับชมได้

ที่มา :   https://www.securityweek.com/javascript-library-introduced-xss-flaw-google-search



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Cloudflare รับมือกับ DDoS Attack ขนาด 754 ล้านแพ็กเก็ตต่อวินาที ด้วยระบบอัตโนมัติได้อย่างไร

Cloudflare ได้ออกมาเปิดเผยว่าตนถูก DDoS Attack หลายต่อหลายครั้งช่วงปลายมิถุนายนที่ผ่านมา ซึ่งความน่าประทับใจคือระบบอัตโนมัติสามารถจัดการการโจมตีขนาดสูงสุดกว่า 754 ล้านแพ็กเก็ตต่อวินาทีได้ตลอดความพยายามหลายรูปแบบกว่า 4 วันของคนร้าย โดยที่ทีมงานไม่ได้รับการเตือนจากระบบหรือเสียงบ่นจากลูกค้าว่ามีปัญหาด้วยซ้ำ

Imperva ออกบริการ Cloud Data Security

Imperva ได้เล็งเห็นถึงความสำคัญของการใช้งาน Database-as-a-Service (DBaaS) ซึ่งปัจจุบันยังไม่มีโซลูชันป้องกันเพียงพอ ด้วยเหตุนี้เองจึงนำเสนอบริการ SaaS ใหม่ที่ชื่อ Cloud Data Security เพื่อเติมเต็มจุดประสงค์นี้