พบช่องโหว่ XSS ในไลบรารี่ JavaScript กระทบ Search และผลิตภัณฑ์อื่นของ Google

Masato Kinugawa นักวิจัยความมั่นคงปลอดภัยชาวญี่ปุ่นได้ค้นพบช่องโหว่ XSS บนไลบรารี่ JavaScript ซึ่งถูกใช้ใน Google Search และผลิตภัณฑ์อื่นๆ จาก Google ด้วย

credit : LiveOverflow

LiveOverflow ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยได้เผยว่าช่องโหว่ XSS เกิดขึ้นจากไลบรารี่ที่ชื่อ ‘Closure’ ที่ไม่สามารถตรวจสอบอินพุตน์จากผู้ใช้งานได้ดีเพียงพอ โดย Google เป็นผู้ออกไลบรารี่ตัวนี้สำหรับเว็บแอปพลิเคชันที่ทำงานอย่างซับซ้อนและต้องการ Scalable พร้อมทั้งปล่อยเป็นโอเพ่นซอร์สและยังใช้กับผลิตภัณฑ์ของตนด้วย เช่น Search, Gmail, Maps และ Docs

โดยช่องโหว่เกิดมาเป็นเวลาเกือบ 5 เดือนแล้วตั้งแต่ 26 กันยายน 2018 เพราะมีการลบกลไกตรวจสอบออกเนื่องจากปัญหาเกี่ยวกับการออกแบบ UI อย่างไรก็ตามทาง Google ได้แก้ไขปัญหาแล้วเมื่อ 22 กุมภาพันธ์ที่ 2019 ผ่านมาซึ่งคอมเม้นของนักวิจัยได้รับการยืนยันว่าปัญหาเกิดจาก HTML santizer ทำให้มีช่องโหว่ XSS บนซอฟต์แวร์ Web Server ของ Google

สำหรับทาง LiveOverflow ได้โพสต์วิดีโอวิเคราะห์และสอนช่องโหว่ XSS อย่างละเอียดได้ตามด้านล่างผู้สนใจสามารถเข้าไปรับชมได้

ที่มา :   https://www.securityweek.com/javascript-library-introduced-xss-flaw-google-search


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

เตือนผู้ใช้ VLC เล่นไฟล์วิดีโอแปลกปลอมเสี่ยงถูกแฮ็กได้

Symeon Paraschoudis นักวิจัยด้านความมั่นคงปลอดภัยจาก Pen Test Partners ออกมาแจ้งเตือนถึงช่องโหว่บน VLC แอปพลิเคชันสำหรับเล่นวิดีโอยอดนิยม ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้าควบคุมระบบคอมพิวเตอร์จากระยะไกล ถ้าผู้ใช้เผลอเล่นไฟล์วิดีโออะไรก็ไม่รู้ที่ดาวน์โหลดมาจากอินเทอร์เน็ต

Cisco Webinar: Cisco Ransomware Defense Webinar โดย Cisco

Cisco ขอเรียนเชิญเหล่าผู้บริหาร, CSO, Security Engineer, ผู้จัดการฝ่าย IT และผู้ดูแลระบบ IT เข้าร่วมงาน Webinar หรือสัมมนาออนไลน์ฟรีในหัวข้อ "Cisco Ransomware Defense Webinar โดย Cisco" เพื่อเรียนรู้ถึงโซลูชันด้าน Security ล่าสุดของ Cisco และการประยุกต์นำมาใช้รับมือกับ Ransomware โดยเฉพาะ ในวันอังคารที่ 9 กรกฎาคม 2019 เวลา 14.00 - 15.30 โดยมีรายละเอียดและวิธีการลงทะเบียนดังนี้