อัปเดตด่วน พบช่องโหว่ร้ายแรงใน Microsoft Edge อาจถูกแฮกควบคุมเครื่องได้ มีโค้ดตัวอย่างสำหรับใช้โจมตีออกมาแล้ว
 |
Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ประจำเดือนตุลาคม 2561 (https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/aa99ba28-e99f-e811-a978-000d3a33c573) โดยหนึ่งในนั้นเป็นการแก้ไขปัญหาร้ายแรงในเบราว์เซอร์ Microsoft Edge ที่อาจส่งผลให้ผู้ประสงค์ร้ายสามารถควบคุมเครื่องคอมพิวเตอร์ของเหยื่อได้โดยการหลอกให้เปิดหน้าเว็บไซต์ที่มีโค้ดอันตรายฝังอยู่ ช่องโหว่นี้มีรหัส CVE-2018-8495 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-8495)
สาเหตุของช่องโหว่เกิดจากฟังก์ชันที่ใช้ในการจัดการโพรโทคอลนั้นสามารถเรียกใช้งานแอปพลิเคชันอื่นพร้อมส่งพารามิเตอร์ไปได้ด้วย ทำให้ผู้ประสงค์ร้ายสามารถใช้ช่องทางนี้ในการสั่งเปิดโปรแกรม Windows Script Host แล้วสั่งให้ประมวลผลสคริปต์อันตรายได้ ซึ่งสคริปต์ดังกล่าวอาจมีไว้เพื่อสั่งการควบคุมเครื่องคอมพิวเตอร์ของเหยื่อจากระยะไกล อย่างไรก็ตาม การจะโจมตีผ่านช่องโหว่นี้ได้สำเร็จ ผู้ใช้จำเป็นต้องคลิกอนุญาตให้มีการรันโปรแกรมจากภายนอกด้วย
นักวิจัยที่ค้นพบช่องโหว่นี้ได้เปิดเผยรายละเอียดและข้อมูลช่องโหว่ภายหลังจากที่ Microsoft ได้แก้ไขปัญหานี้แล้ว เนื่องจากข้อมูลการโจมตีถูกเผยแพร่สู่สาธารณะ อาจมีผู้ประสงค์ร้ายนำวิธีนี้ไปใช้โจมตีได้ ผู้ใช้งานระบบปฏิบัติการ Windows ควรติดตั้งอัปเดตเพื่อ ลดผลกระทบและแก้ไขปัญหา |
|
| ที่มา: Bleeping COMPUTER | Abdulrahman Al-Qabandi | ThaiCERT |