พบช่องโหว่ Zero-day ของ Jet Database Engine บน Windows

ทีมงานด้านความมั่นคงปลอดภัยของ Trend Micro (Zero Day Initiative) ได้เปิดเผยรายละเอียดของช่องโหว่ Zero-day ที่นำไปสู่การเกิด Remote Code Execution ซึ่งเกิดกับ JET Database Engine บน Windows ต่อสาธารณะ หลังแจ้ง Microsoft ไปแล้วครบ 120 วัน แต่จนถึงบัดนี้ยังไม่มีแพตช์จาก Microsoft ออกมา

Credit: ShutterStock.com

JET Database Engine หรือส่วนประกอบสำคัญของ Database โดยรายละเอียดจากทีม Trend Micro มีดังนี้ “ผู้โจมตีสามารถทำการ Remote Code Execution ได้บน Windows ที่มีช่องโหว่เงื่อนไขคือต้องทำให้เหยื่อเปิดไฟล์หรือไปยังเพจอันตรายให้ได้ โดยช่องโหว่เกิดกับการบริหารจัดการ index ใน Jet Database Engine เพราะข้อมูลที่ถูกสร้างขึ้นในไฟล์ Database อาจทำให้เกิดการเขียนเกินขอบเขตของ Buffer ที่จองเอาไว้ ดังนั้นผู้โจมตีจึงสามารถใช้ประโยชน์เพื่อ Execute โค้ดในบริบทของโปรเซสปัจจุบัน

อย่างไรก็ตามหลังทีม Trend Micro แจ้งเหตุเข้าไปกับ Microsoft เกิน 120 วันแล้วแต่ก็ยังไม่มีแพตช์ออกมา ดังนั้นทางที่ดีที่สุดในตอนนี้คืออย่าเปิดไฟล์ Jet Database ที่ไม่น่าไว้ใจแต่ก็มีความเชื่อว่าทีม Microsoft กำลังพยายามแก้ไขอยู่และจะน่าจะแก้ไขในแพตช์เดือนตุลาคม ซึ่งในขณะนี้มีผลกระทบกับ Windows 7 แน่นอนแล้วแต่จากโค้ด PoC คาดว่าจะส่งผลกระทบกับ Windows ได้ทุกเวอร์ชันเลยทีเดียว โดยคะแนนความรุนแรงของช่องโหว่ หรือ CVSS อยู่ที่ 6.8

ที่มา : https://www.bleepingcomputer.com/news/security/0day-windows-jet-database-vulnerability-disclosed-by-zero-day-initiative/ และ https://www.securityweek.com/zdi-shares-details-microsoft-jet-database-zero-day


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[Black Hat Asia 2023] ทำลายห่วงโซ่: มุมมองของคนวงในเกี่ยวกับช่องโหว่ของห่วงโซ่อุปทานซอฟต์แวร์

ยินดีต้อนรับสู่มุมมองของคนวงในเกี่ยวกับช่องโหว่ของห่วงโซ่อุปทานซอฟต์แวร์ หัวข้อนี้ถูกนำเสนอโดยนักวิจัยด้านความปลอดภัยชื่อ Yakir Kadkoda และ Ilay Goldman จาก Aqua Security ซึ่งมีประสบการณ์มากมายในงานด้าน Red Team พวกเขาให้ข้อมูลเชิงลึกอันมีค่าเกี่ยวกับช่องโหว่ที่แฝงตัวอยู่ในช่วงการพัฒนาซอฟต์แวร์ ที่เผยถึงความเสี่ยงที่องค์กรต้องเผชิญในการรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์

[Black Hat Asia 2023] สรุป Keynote วันที่ 1 เรื่อง “เตรียมตัวสำหรับการเดินทางอันยาวนานเพื่อความปลอดภัยของข้อมูล”

ข้อมูลถือเป็นปัจจัยที่ 5 ของการผลิต และความปลอดภัยของข้อมูล (Data Security) ก็ได้รับการจัดอันดับให้มีความสำคัญสูงสุดโดยรัฐบาลทั่วโลก ในประเทศจีน กฎหมายที่เกี่ยวข้องกับความปลอดภัยข้อมูล เช่น “กฎหมายความปลอดภัยของข้อมูล” และ “กฎหมายคุ้มครองข้อมูลส่วนบุคคล” ได้รับการประกาศใช้และมีผลบังคับใช้ในปี 2565 …