ผู้เชี่ยวชาญเผยช่องโหว่ใหม่บน Safari ที่ยังไม่ถูกแพตช์

Pawel Wylecial ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยชาวโปแลนด์ได้ตัดสินใจ เผยรายละเอียดช่องโหว่บน Safari ที่นำไปสู่การลอบขโมยไฟล์บนเครื่องผู้ใช้ได้ เช่น Local Password หรือ Browsing History เป็นต้น

credit : developer.apple.com

Wylecial ได้พบช่องโหว่ตั้งแต่เดือนเมษายนที่ผ่านมา แต่ Apple ก็ล่าช้าแถมบอกกลับว่าขอไปแก้ปีหน้าเลยละกัน ทำให้นักวิจัยนำออกมาเผยแพร่สาธารณะเสียเลย

ช่องโหว่เกิดขึ้นจาก Web Share API ที่อนูญาตให้ผู้ใช้สามารถแชร์ลิงก์จาก Safari ผ่านไปทางแอป Third-party ได้ โดยนักวิจัยชี้แจงว่า “ปัญหาคือส่วน file: มีการถูกอนุญาตและเมื่อเว็บไซต์ชี้ไปยัง URL ก็จะเกิดพฤติกรรมที่ไม่คาดคิดขึ้น โดยลิงก์จะถูกส่งไปยัง ฟังก์ชัน navigator.share ซึ่งไฟล์จริงบนเครื่องผู้ใช้จึงถูกประกอบเข้ามาในข้อความที่แชร์ออกไป นำไปสู่การเปิดเผยไฟล์ หากผู้ใช้แชร์ไฟล์โดยไม่ระวัง

รูปแบบที่นักวิจัยสาธิตก็คือสร้างเว็บไซต์ที่มีรูปแมวแสนน่ารักเพื่อล่อให้เหยื่อสนใจและแชร์ผ่านแอปอื่นออกไปด้วยการกดปุ่ม Dedicate ซึ่งในวีดีโอส่งผ่านอีเมล และเกิดการแนบไฟล์สำคัญจากเครื่องเหยื่อ อย่างไรก็ดีประเด็นคือ Wylecial ชี้ว่าในบางแอปพลิเคชันก็จะสังเกตไฟล์ที่ถูกแนบไปได้ยากหรือไม่มีการเตือนให้เห็นเลย

ปัจจุบัน Wylecial ได้ทดสอบกับ iOS 13.4.1 และ 13.6 รวมถึง macOS 10.14.16 ด้วย Safari เวอร์ชัน 13.1 และ macOS 10.15.5 ด้วย Safari เวอร์ชัน 13.1.1 ผู้สนใจสามารถชมวีดีโอสาธิตได้ตามด้านล่าง

ที่มา :  https://www.securityweek.com/unpatched-safari-vulnerability-allows-theft-local-files



About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Tableau & AWS Webinar: ใช้ประโยชน์จากพลังของโปรแกรมวิเคราะห์ข้อมูลแบบคลาวด์อันทันสมัย [27 ต.ค. 2020 เวลา 10.00น.]

TechTalkThai ขอเรียนเชิญ Chief Data Officer, Data Scientist, Data Analyst, Data Engineer, IT Manager, ผู้ดูแลระบบ IT และผู้ที่สนใจทุกท่าน เข้าร่วมฟัง Tableau & AWS Webinar ในหัวข้อเรื่อง "ใช้ประโยชน์จากพลังของโปรแกรมวิเคราะห์ข้อมูลแบบคลาวด์อันทันสมัย" เพื่อทำความรู้จักกับภาพรวมของการวิเคราะห์ข้อมูลในธุรกิจองค์กรอย่างครบวงจรบน Cloud ด้วยเครื่องมือจาก Amazon Web Services (AWS) และ Tableau ในวันอังคารที่ 27 ตุลาคม 2020 เวลา 10.00 – 11.00 น. โดยมีกำหนดการและวิธีการลงทะเบียนดังนี้

Microsoft เปิดตัว Azure Space รุกสู่ธุรกิจอวกาศ พร้อมเผยความร่วมมือกับ SpaceX

Microsoft ได้ออกมาประกาศเปิดตัวถึงการนำบริการ Microsoft Azure ไปสู่อุตสาหกรรมด้านอวกาศภายใต้ชื่อ Azure Space พร้อมเผยถึงความร่วมมือกับ SpaceX ในการบริการด้านโครงข่ายเชื่อมต่อ Cloud