Jake Archibald นักวิจัยและนักพัฒนาจาก Google ออกมาแจ้งเตือนถึงช่องโหว่ความรุนแรงสูงบนเว็บเบราว์เซอร์สมัยใหม่อย่าง Microsoft Edge และ Mozilla Firefox ซึ่งช่วยให้เว็บไซต์ที่ผู้ใช้เข้าถึงสามารถขโมยข้อมูลจากเว็บไซต์อื่นๆ เช่น ข้อมูลล็อกอิน ที่เปิดใช้บนเบราว์เซอร์เดียวกันได้<span id="more-46628"></span>
<figure id="attachment_45430" class="wp-caption alignnone"><a href="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?ssl=1"><img class="wp-image-45430 size-large tie-appear" src="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?resize=600%2C313&amp;ssl=1" sizes="(max-width: 600px) 100vw, 600px" srcset="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?resize=600%2C313&amp;ssl=1 600w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?resize=300%2C156&amp;ssl=1 300w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?resize=768%2C400&amp;ssl=1 768w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2018/05/ttt_hacker_steals_file_1-Chaliya.jpg?w=800&amp;ssl=1 800w" alt="" width="600" height="313" /></a><figcaption class="wp-caption-text">Credit: Chaliya/ShutterStock.com</figcaption></figure>
โดยปกติแล้ว เว็บเบราว์เซอร์สมัยใหม่จะไม่อนุญาตให้ส่งคำร้องขอเพื่อเรียกดูข้อมูลบนเว็บไซต์อื่นๆ ที่ไม่ได้มีที่มามาจากเว็บไซต์ที่ผู้ใช้กำลังเข้าชมอยู่ เว้นแต่ว่าเว็บไซต์นั้นๆ จะยินยอมเอง เพื่อป้องกันไม่ให้เกิดการร้องขอที่ไม่ได้อนุญาตโดยแอบอ้างนามของผู้ใช้เพื่อขโมยข้อมูลบนเว็บไซต์อื่นๆ ได้

อย่างไรก็ตาม Archibald พบว่า เว็บเบราว์เซอร์กลับไม่ตอบสนองดังที่ควรจะเป็นเมื่อมีการร้องขอข้อมูลไฟล์มัลติมีเดียบนเว็บไซต์อื่นๆ ส่งผลให้เว็บไซต์ที่ผู้ใช้กำลังเข้าชมอยู่นั้นสามารถโหลดไฟล์เสียงหรือวิดีโอจากเว็บไซต์ (โดเมน) อื่นๆ ได้อย่างไม่ติดเงื่อนไขใดๆ เขาเรียกช่องโหว่ที่ค้นพบนี้ว่า <a href="https://jakearchibald.com/2018/i-discovered-a-browser-bug/">Wavethrough</a>

นอกจากนี้ เว็บเบราว์เซอร์สมัยใหม่ยังรองรับการเรียกดูไฟล์เสียงหรือวิดีโอแบบเป็นส่วนๆ แล้วนำมาประกอบกันภายหลังในกรณีที่ไฟล์มัลติมีเดียมีขนาดใหญ่ ซึ่งช่วยให้สามารถกดหยุดหรือเล่นไฟล์ต่อขณะเล่นไฟล์หรือดาวน์โหลดไฟล์ได้ แต่การประกอบไฟล์ตรงจุดนี้เองกลับยินยอมให้นำไฟล์จากหลายๆ แหล่งที่มาประกอบกันได้ ซึ่งก่อให้เกิดช่องโหว่ให้แฮ็กเกอร์โจมตีเข้ามาได้เช่นกัน

ด้านล่างเป็นตัวอย่างวิดีโอสาธิตการโจมตีที่ Archibald ทำเพื่อบายพาสกลไกการป้องกัน Cross-origin Request ของเว็บเบราว์เซอร์ แล้วขโมยข้อมูลจาก Gmail และ Facebook
<div class="fluid-width-video-wrapper" style="text-align: center;">        <iframe src="https://www.youtube.com/embed/D5wu_za7ows" name="fitvid0" width="300" height="150" frameborder="0" allowfullscreen="allowfullscreen" data-mce-fragment="1"></iframe></div>
จากการตรวจสอบพบว่า ช่องโหว่ Wavethrough ส่งผลกระทบบน Mozilla Firefox และ Microsoft Edge แต่ไม่ส่งผลกระทบบน Google Chrome และ Apple Safari แต่อย่างใด อย่างไรก็ตาม ทั้ง Mozilla และ Microsoft ก็ได้ออกแพตช์สำหรับอุดช่องโหว่บนเบราว์เซอร์เวอร์ชันล่าสุดเป็นที่เรียบร้อย

รายละเอียดเชิงเทคนิค: <a href="https://jakearchibald.com/2018/i-discovered-a-browser-bug/">https://jakearchibald.com/2018/i-discovered-a-browser-bug/</a>

<em><strong>ที่มา:</strong> <a href="https://thehackernews.com/2018/06/browser-cross-origin-vulnerability.html">https://thehackernews.com/2018/06/browser-cross-origin-vulnerability.html </a>| <a href="https://www.techtalkthai.com/wavethrough-vulnerability-leads-to-cross-origin-bypass-attack/">techtalkthai</a></em>
<div class="sharedaddy sd-sharing-enabled"></div>