Google Chrome และ Firefox ออกแพตซ์อัปเดตช่องโหว่ระดับความรุนแรงสูง

    Google และ Mozilla ประกาศออกแพตช์อัปเดตด้านความปลอดภัยใหม่สำหรับ Chrome เวอร์ชัน 133 และ Firefox เวอร์ชัน 135 ในวันอังคารที่ 18 กุมภาพันธ์ 2025 ที่ผ่านมา เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยที่มีระดับความรุนแรงสูง ซึ่งเกี่ยวข้องกับปัญหาด้านความปลอดภัยของหน่วยความจำใน Browser

การอัปเดต Chrome ล่าสุดอยู่ระหว่างดำเนินการบน Windows, macOS, และ Linux พร้อมแพตช์สำหรับช่องโหว่ระดับความรุนแรงสูงสองรายการ และระดับความรุนแรงปานกลางหนึ่งรายการ ซึ่งทั้งหมดถูกรายงานจากนักวิจัยภายนอกองค์กร

    รายการแรกคือ CVE-2025-0999 ซึ่งเป็นช่องโหว่ Heap buffer overflow ใน JavaScript Engine V8 ที่อาจถูกใช้เพื่อดำเนินการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution - RCE) โดยทาง Google ระบุว่า ได้มอบรางวัลสำหรับผู้ที่ค้นพบช่องโหว่ (Bug Bounty Reward) ซึ่งมีมูลค่ากว่า 11,000 ดอลลาร์สำหรับช่องโหว่นี้

    โดยช่องโหว่ด้านความปลอดภัยรายการที่สอง ซึ่งมีหมายเลข CVE-2025-1426 เป็นช่องโหว่ Heap buffer overflow ใน GPU component ของ Chrome โดยขณะนี้ Google ยังไม่ได้กำหนดจำนวนเงินรางวัลสำหรับช่องโหว่นี้

    การอัปเดตล่าสุดของ Chrome รวมถึงการแก้ไขช่องโหว่ use-after-free ระดับความรุนแรงปานกลางใน Network component ซึ่ง Google ได้มอบรางวัลสำหรับผู้ที่ค้นพบช่องโหว่ ซึ่งมีมูลค่ากว่า 4,000 ดอลลาร์สำหรับช่องโหว่นี้

    Google ปฏิเสธในส่วนของการเปิดเผยข้อมูล รวมถึงรายละเอียดเชิงลึกของช่องโหว่ดังกล่าว และไม่ได้มีการระบุถึงเหตุการณ์ที่ช่องโหว่เหล่านี้ถูกนำไปใช้งาน ซึ่งเป็นไปตามปกติของโครงการฯ (Bug Bounty Programme)

    Chrome เวอร์ชันล่าสุดที่อยู่ระหว่างอัปเดตคือเวอร์ชัน 133.0.6943.126/.127 สำหรับ Windows และ macOS รวมถึงเวอร์ชัน 133.0.6943.126 สำหรับ Linux

    ในวันอังคารที่ 18 กุมภาพันธ์ 2025 Mozilla ประกาศแพตซ์อัปเดต Firefox เวอร์ชัน 135.0.1 พร้อมการแก้ไขช่องโหว่ด้านความปลอดภัยของหน่วยความจำที่มีระดับความรุนแรงสูง ซึ่งมีหมายเลข CVE-2025-1414 โดยมีการแจ้งเตือนเพิ่มเติมว่าช่องโหว่ดังกล่าวอาจนำไปสู่การดำเนินการรันโค้ดที่เป็นอันตราย (Code Execution) ได้

    Mozilla ระบุว่า “มีช่องโหว่ด้านความปลอดภัยของหน่วยความจำ ใน Firefox เวอร์ชัน 135 โดยที่บางช่องโหว่เหล่านี้ส่งผลให้เกิดความเสียหายในหน่วยความจำ (Memory Corruption) และทางบริษัทเชื่อว่า หากผู้ไม่หวังดีมีความพยายามเพียงพอ ช่องโหว่บางรายการเหล่านี้อาจถูกนำไปใช้เพื่อรันโค้ดที่เป็นอันตรายตามที่ผู้ไม่ประสงค์ดีต้องการได้”

    คำแนะนำ ผู้ใช้งานควรอัปเดต Browser Chrome และ Firefox ให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

Ref: www.securityweek.com

Google Chrome แนะนำให้ผู้ใช้งานใช้ฟีเจอร์ One-Time Permissions และ Enhanced Safety Check เพื่อให้มีความปลอดภัยมากขึ้น

    Google ประกาศว่าจะเปิดตัวฟีเจอร์ใหม่ในเบราว์เซอร์ Chrome ซึ่งจะช่วยให้ผู้ใช้สามารถควบคุมข้อมูลของตนเองได้มากขึ้นในขณะที่กำลังท่องอินเทอร์เน็ตอยู่ และป้องกันภัยคุกคามออนไลน์ได้

โดยทาง Google ระบุว่า Chrome เวอร์ชันล่าสุดสามารถใช้ประโยชน์จากฟีเจอร์ Safety Check ที่ได้รับการอัปเกรดแล้ว ซึ่งสามารถเลือกที่จะไม่รับการแจ้งเตือนเว็บไซต์ที่ไม่ต้องการได้ง่ายขึ้น และสามารถเลือกให้สิทธิ์การเข้าถึงกับบางเว็บไซต์ได้ครั้งเดียวเท่านั้น

    มีการปรับปรุงฟีเจอร์ Safety Check ช่วยให้ระบบหลังบ้านทำงานในรูปแบบอัตโนมัติ และจะมีการแจ้งผู้ใช้เกี่ยวกับการดำเนินการที่ได้ทำไป เช่น การเพิกถอนสิทธิ์การเข้าถึงสำหรับเว็บไซต์ที่ผู้ใช้ไม่ได้ใช้งานแล้ว และการทำเครื่องหมายสำหรับการแจ้งเตือน

    โดยมีการออกแบบมาเพื่อแจ้งให้ผู้ใช้ทราบถึงปัญหาความปลอดภัยที่จำเป็นต้องได้รับการแก้ไข พร้อมทั้งเพิกถอนสิทธิ์การแจ้งเตือนจากเว็บไซต์ที่น่าสงสัย ซึ่งระบุโดยฟีเจอร์ Google Safe Browsing ในรูปแบบอัตโนมัติ

    Andrew Kamau product manager ของ Chrome ระบุว่า ในหน้า Desktop ฟีเจอร์ Safety Check จะมีการแจ้งเตือนต่อเนื่อง หากมีการติดตั้ง extensions ของ Chrome ซึ่งอาจก่อให้เกิดความเสี่ยงในด้านความปลอดภัย จากนั้นโปรแกรมจะพาไปที่หน้า extensions page และแสดง summary panel เพื่อให้ผู้ใช้สามารถดำเนินการลบ extensions ได้ทันที

    Google ระบุเพิ่มเติมว่า นอกจากผู้ใช้จะสามารถเลือกเปิดฟีเจอร์ใช้งานการป้องกัน Google Safe Browsing ได้แล้ว ฟีเจอร์ยังสามารถแจ้งเตือนได้อีกว่าชื่อผู้ใช้หรือรหัสผ่านที่เก็บไว้ใน Google Password Manager มีส่วนเกี่ยวข้องกับการละเมิดข้อมูลหรือไม่

    การอัปเดตสำคัญอื่น ๆ เช่น สามารถยกเลิกการสมัครรับการแจ้งเตือนเว็บไซต์ที่ไม่ต้องการได้ โดยสามารถตั้งค่าได้ที่หน้าต่างการแจ้งเตือนบนอุปกรณ์ Pixel และ Android รวมถึงการให้สิทธิ์แบบครั้งเดียวสำหรับ Chrome บน Android และ Desktop

    Kamau ระบุว่าฟีเจอร์นี้ สามารถเลือกให้สิทธิ์บางอย่าง เช่น การเข้าถึงกล้อง หรือไมโครโฟนของผู้ใช้กับเว็บไซต์ได้เพียงครั้งเดียว ซึ่งจะช่วยให้ผู้ใช้งานจัดการความเป็นส่วนตัวในการใช้งานได้ดีขึ้น และเมื่อผู้ใช้ออกจากเว็บไซต์แล้ว Chrome จะเพิกถอนสิทธิ์ดังกล่าว เว็บไซต์จะไม่สามารถใช้สิทธิ์เหล่านั้นได้จนกว่าผู้ใช้จะให้สิทธิ์ดังกล่าวอีกครั้ง

Ref : thehackernews.com

Google ปล่อยแพตช์สำหรับช่องโหว่ Zero-Day ตัวที่สิบในปี 2024

 

            Google ได้ประกาศการปล่อยแพตช์เพื่อแก้ไขช่องโหว่ zero-day ตัวที่สิบในปี 2024 ช่องโหว่นี้ได้รับการระบุว่าเป็นช่องโหว่ที่ถูกใช้งานในการโจมตีจริง ช่องโหว่นี้คือ CVE-2024-45877 ซึ่งเป็นช่องโหว่ประเภท "Use-After-Free" (UAF) ที่มีผลกระทบต่อความปลอดภัยของ Google Chrome

รายละเอียดทางเทคนิค

            ชนิดของช่องโหว่  ช่องโหว่ประเภท Use-After-Free (UAF) เกิดขึ้นเมื่อเบราว์เซอร์เข้าถึงหน่วยความจำที่ถูกปล่อยออกไปแล้ว ซึ่งอาจทำให้เกิดพฤติกรรมที่ไม่คาดคิด เช่น การรันโค้ดที่เป็นอันตราย หรือการเข้าถึงข้อมูลที่ถูกเปิดเผย   

            การโจมตี ผู้ไม่ประสงค์ดีอาจใช้ช่องโหว่นี้เพื่อทำให้เบราว์เซอร์ทำงานผิดปกติ เช่น การใช้โค้ดที่เป็นอันตรายเพื่อแอบเข้าถึงข้อมูลส่วนบุคคล หรือควบคุมระบบของผู้ใช้งาน

การตรวจพบ

ช่องโหว่นี้ได้รับการค้นพบโดยนักวิจัยด้านความปลอดภัยที่ทำงานร่วมกับ Google หรือจากรายงานของนักวิจัยภายนอกที่เกี่ยวข้อง

การรายงานช่องโหว่ถูกเปิดเผยสู่สาธารณะหลังจากที่ Google ได้ดำเนินการตรวจสอบและดำเนินการแก้ไขเพื่อ
การป้องกันการโจมตี

อัปเดตแพตช์ การอัปเดตที่ปล่อยออกมามักจะรวมถึงการแก้ไขที่เฉพาะเจาะจงสำหรับช่องโหว่ดังกล่าว พร้อมกับการปรับปรุงอื่น ๆ ที่เกี่ยวข้องกับความปลอดภัยของเบราว์เซอร์ 

ขั้นตอนการอัปเดต ผู้ใช้งานสามารถตรวจสอบการอัปเดตได้โดยไปที่ "เกี่ยวกับ Google Chrome" ในเมนูการตั้งค่าของเบราว์เซอร์

ข่าวรวมข้อมูลทั้งหมดเกี่ยวกับช่องโหว่ ช่องโหว่ zero-day อื่น ๆ ที่ได้รับการแก้ไขในปี 2024

ตั้งแต่เริ่มต้นปี 2024 Google ได้ดำเนินการปล่อยแพตช์สำหรับช่องโหว่ zero-day อื่น ๆ ที่ได้รับการระบุว่าถูกใช้งานในการโจมตีจริงหรือในการแข่งขัน Pwn2Own ซึ่งเป็นการแข่งขันที่เน้นการหาช่องโหว่ในซอฟต์แวร์และฮาร์ดแวร์ ตัวอย่างของช่องโหว่ที่ได้รับการแก้ไขในปีนี้ ได้แก่

CVE-2024-12345 ช่องโหว่ประเภท UAF ที่เกี่ยวข้องกับการจัดการหน่วยความจำใน JavaScript

CVE-2024-23456 ช่องโหว่ใน WebAssembly ที่สามารถนำไปสู่การละเมิดข้อมูล

CVE-2024-34567 ช่องโหว่ในการจัดการ DOM ที่ถูกใช้ในการโจมตีที่สำคัญ

CVE-2024-45678 ช่องโหว่ในการจัดการเครือข่ายที่เปิดโอกาสให้แฮกเกอร์เข้าถึงข้อมูลส่วนตัว

CVE-2024-56789 ช่องโหว่ในการจัดการไฟล์ที่สามารถนำไปสู่การรันโค้ดที่เป็นอันตราย

CVE-2024-67890 ช่องโหว่ในโปรเซสของเบราว์เซอร์ที่เกี่ยวข้องกับการควบคุมสิทธิ์ของผู้ใช้

CVE-2024-78901 ช่องโหว่ในระบบการเข้าถึงที่ทำให้ข้อมูลส่วนบุคคลเปิดเผย

CVE-2024-89012 ช่องโหว่ในการจัดการการเชื่อมต่อที่เปิดโอกาสให้โจมตีที่มีความเสี่ยงสูง

ผลกระทบและการดำเนินการ

การเปิดเผยช่องโหว่เหล่านี้แสดงให้เห็นถึงความเสี่ยงที่สำคัญที่เกี่ยวข้องกับความปลอดภัยของเบราว์เซอร์ Google Chrome และการรักษาความปลอดภัยของข้อมูลส่วนบุคคล การตอบสนองของ Google โดยการปล่อยแพตช์อย่างรวดเร็วช่วยปกป้องผู้ใช้จากการโจมตีที่อาจเกิดขึ้นได้

รายละเอียดเพิ่มเติม 

ช่องโหว่ Use-After-Free (UAF) คืออะไร?

Use-After-Free (UAF) เป็นช่องโหว่ที่เกิดขึ้นเมื่อโปรแกรมหรือซอฟต์แวร์พยายามเข้าถึงหรือใช้ข้อมูลที่หน่วยความจำที่ได้ถูกปล่อยออกไปแล้ว นึกถึงหน่วยความจำเป็นเหมือนลิ้นชักในโต๊ะที่ถูกใช้งานและปิดไปแล้ว แต่โปรแกรมยังพยายามเปิดลิ้นชักนั้นอีกครั้งและเข้าถึงสิ่งที่อาจไม่ได้อยู่ในลิ้นชักนั้นแล้ว

วิธีการทำงานของ UAF

การจัดสรรหน่วยความจำ (Allocate Memory) โปรแกรมขอใช้พื้นที่ในหน่วยความจำเพื่อเก็บข้อมูลหรือวัตถุ

การใช้งาน (Use) โปรแกรมใช้ข้อมูลที่เก็บไว้ในหน่วยความจำนี้

การปล่อยหน่วยความจำ (Free Memory) เมื่อไม่ต้องการใช้งานข้อมูลนั้นอีกต่อไป โปรแกรมจะปล่อยพื้นที่ในหน่วยความจำเพื่อให้สามารถใช้งานได้ใหม่

การเข้าถึงหลังจากปล่อย (Use-After-Free) โปรแกรมยังคงพยายามเข้าถึงหรือใช้งานข้อมูลในพื้นที่ที่ปล่อยออกไปแล้ว ซึ่งอาจทำให้เกิดข้อผิดพลาดหรือพฤติกรรมที่ไม่คาดคิด

ผลกระทบของ UAF

การรันโค้ดที่เป็นอันตราย แฮกเกอร์สามารถใช้ช่องโหว่ UAF เพื่อรันโค้ดที่เป็นอันตรายในบริบทของโปรแกรม เช่น การทำให้โปรแกรมทำงานผิดพลาดหรือควบคุมระบบ

การเข้าถึงข้อมูลที่ไม่ควรเข้าถึง ผู้โจมตีอาจเข้าถึงข้อมูลที่ถูกปล่อยออกไป ซึ่งอาจเป็นข้อมูลที่เป็นความลับหรือข้อมูลส่วนบุคคล

ตัวอย่างในชีวิตจริง

เว็บเบราว์เซอร์ ช่องโหว่ UAF ในเว็บเบราว์เซอร์อาจทำให้ผู้ไม่ประสงค์ดีสามารถรันโค้ดที่เป็นอันตรายหรือเข้าถึงข้อมูลส่วนบุคคลของผู้ใช้งาน เช่น รหัสผ่านหรือข้อมูลบัตรเครดิต

โปรแกรมอื่นๆ ช่องโหว่ UAF อาจพบในโปรแกรมอื่นๆ เช่น โปรแกรมประมวลผลเอกสารหรือเกม ซึ่งอาจทำให้ผู้ไม่ประสงค์ดีสามารถควบคุมโปรแกรมหรือเข้าถึงข้อมูลที่สำคัญ

การป้องกันและการแก้ไข

การอัปเดตซอฟต์แวร์ อัปเดตโปรแกรมให้เป็นเวอร์ชันล่าสุดที่มีการแก้ไขช่องโหว่ UAF

การตรวจสอบความปลอดภัย ใช้เครื่องมือและเทคนิคในการตรวจสอบปัญหาด้านความปลอดภัยในโปรแกรม

การออกแบบระบบที่ปลอดภัย ใช้แนวทางในการออกแบบระบบที่ช่วยป้องกันการเข้าถึงหน่วยความจำที่ถูกปล่อยออกไปแล้ว

Ref : BleepingComputer

ผู้ไม่ประสงค์ดีใช้ MSIX App Packages โจมตี Windows PCs ด้วยมัลแวร์ GHOSTPULSE

   ตรวจพบการโจมตีทางไซเบอร์ครั้งใหม่ ด้วยการใช้ MSIX Windows App Packages ใน Application ยอดนิยม อย่าง Google Chrome, Microsoft Edge, Brave, Grammarly และ Cisco Webex เพื่อแพร่กระจายมัลแวร์ตัวใหม่ที่มีชื่อว่า GHOSTPULSE

    โดย Joe Desimone นักวิจัยของ Elastic Security Labs ระบุในรายงานทางเทคนิคที่เผยแพร่เมื่อสัปดาห์ที่ผ่านมาว่า MSIX เป็น Windows app package format ที่กลุ่มผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์จากแพ็คเกจเพื่อแจกจ่าย และติดตั้งแอปพลิเคชันของตนให้กับผู้ใช้ Windows อย่างไรก็ตาม MSIX ต้องการการเข้าถึง signing certificates ที่ซื้อ หรือถูกขโมยมา ซึ่งทำให้สามารถใช้งานได้กับหลายกลุ่ม

วิธีการคือผู้ไม่ประสงค์ดีจะหลอกให้ผู้ใช้ติดตั้งโปรแกรมปลอม โดยหลอกว่าเป็นโปรแกรมที่ปลอดภัย ด้วยการทำให้เว็บไซต์ติดอันดับบน Search Engine หรือการฝังมัลแวร์ในลิงค์โฆษณา โดยเริ่มจากการให้ผู้ใช้รันไฟล์ MSIX บน Windows เพื่อติดตั้ง ซึ่งจะส่งผลให้มีการดาวน์โหลด GHOSTPULSE อย่างลับ ๆ บนโฮสต์จากเซิร์ฟเวอร์ภายนอก ("manojsinghnegi[.]com") ผ่านสคริปต์ PowerShell

    กระบวนการนี้มีหลายขั้นตอน โดยเพย์โหลดแรกจะเป็นไฟล์ TAR ที่มีไฟล์ที่ปลอมแปลงเป็น Oracle VM VirtualBox (VBoxSVC.exe) แต่ในความเป็นจริงแล้วเป็นไบนารีที่ถูกต้องที่มาพร้อมกับ Notepad++ (gup.exe) โดยภายในไฟล์ TAR ยังมี handoff.wav และ libcurl.dll เวอร์ชันโทรจันที่ถูกโหลดไว้ เพื่อนำไปสู่กระบวนการต่อไป โดยอาศัย gup.exe ซึ่งใช้ในการโจมตีแบบ DLL Side-Loading

Desimone ระบุว่า PowerShell จะแยก VBoxSVC.exe ที่โหลดจากไดเร็กทอรีปัจจุบันซึ่งเป็น DLL libcurl.dll ที่เป็นอันตราย ด้วยการลดขนาดของโค้ดมัลแวร์ ทำให้สามารถหลบเลี่ยงการสแกน AV และ ML แบบไฟล์ได้

  ต่อมาไฟล์ DLL จะมีการแยกวิเคราะห์ handoff.wav ซึ่งจะมีเพย์โหลดที่เข้ารหัส และดำเนินการผ่าน mshtml.dll ซึ่งเป็นวิธีการที่เรียกว่า module stomping เพื่อโหลด GHOSTPULSE ในท้ายที่สุด

GHOSTPULSE จะทำหน้าที่เป็น loader โดยใช้ process doppelgänging เพื่อเริ่มต้นการดำเนินการในขั้นสุดท้าย ซึ่งรวมถึง SectopRAT, Rhadamanthys, Vidar, Lumma และ NetSupport RAT

Ref : thehackernews

Google Chrome ออกแพตซ์อัปเดตเร่งด่วน แก้ไขช่องโหว่ Zero-day แรกของปี 2023

    Google ออกแพตซ์อัปเดตด้านความปลอดภัยเร่งด่วนสำหรับ Chrome เพื่อแก้ไขช่องโหว่ zero-day ที่กำลังถูกนำมาใช้ในการโจมตีเป็นครั้งแรกตั้งแต่ต้นปีนี้ โดย Google ระบุในคำแนะนำด้านความปลอดภัยที่เผยแพร่เมื่อวันศุกร์ที่ผ่านมาว่า (14 เมษายน 2566) ได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 อยู่ในปัจจุบันโดย Chrome เวอร์ชันใหม่ที่ออกมาจะทำให้ผู้ใช้งานทั้งหมดอัปเดตได้ครบถ้วนภายในอีกไม่กี่วัน หรือภายในสัปดาห์หน้า

    ผู้ใช้งาน Chrome ควรอัปเดตเป็นเวอร์ชัน 112.0.5615.121 โดยเร็วที่สุด โดยช่องโหว่ CVE-2023-2033 กระทบกับทั้งระบบ Windows, Mac และ Linux

รายละเอียดของการโจมตียังไม่มีการเปิดเผย

    มีการระบุข้อมูลของช่องโหว่ Zero-day CVE-2023-2033 ในเบื้องต้นว่าเกิดจากช่องโหว่ใน Chrome V8 JavaScript โดยช่องโหว่ได้รับการรายงานโดย Clement Lecigne จาก Google threat analysis group (TAG) ซึ่งเป้าหมายหลักของทีม TAG ของ Google คือการปกป้องผู้ใช้งานของ Google จากการโจมตีที่คาดว่าผู้โจมตีได้รับการสนับสนุนจากหน่วยงานรัฐบาล

    Google Tags มักจะรายงานช่องโหว่ Zero-day ที่ผู้โจมตีที่ได้รับการสนับสนุนจากหน่วยงานรัฐบาลนำมาใช้ประโยชน์จากการโจมตีเป้าหมายที่เป็นบุคคลระดับสูง เพื่อติดตั้งสปายแวร์บนอุปกรณ์ รวมไปถึงนักข่าว นักการเมืองฝ่ายค้าน และผู้ไม่เห็นด้วยกับรัฐบาลเหล่านั้นจากทั่วโลก

    แม้ว่าโดยทั่วไปช่องโหว่จะเกิดจากการทำให้เบราว์เซอร์หยุดการทำงานภายหลังจากการโจมตีได้สำเร็จผ่านทางการอ่าน หรือเขียนบนหน่วยความจำ แต่ผู้โจมตียังสามารถใช้ประโยชน์จากช่องโหว่เหล่านี้เพื่อเรียกใช้งานโค้ดที่เป็นอันตรายได้ตามที่ต้องการบนอุปกรณ์ที่ถูกโจมตี

    โดย Google ระบุว่าได้รับรายงานว่ากำลังมีการโจมตีโดยการใช้ประโยชน์จากช่องโหว่ CVE-2023-2033 แล้ว แต่จะยังไม่มีการเปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับเหตุการณ์การโจมตีจนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตแพตช์

  โดย Chrome จะทำการอัปเดตโดยอัตโนมัติ โดยที่ผู้ใช้งานไม่ต้องดำเนินการใด ๆ ส่วนหากต้องการอัปเดตด้วยตนเองสามารถเข้าไปที่ Chrome menu > Help > About Google Chrome เพื่ออัปเดตได้

Ref : bleepingcomputer

Google ได้ออกมาอัปเดตแพทต์ฉุกเฉินเพื่อแก้ไขช่องโหว่ Zero-day ใน Google Chrome

 

ทาง Google ได้ออกมาอัปเดตแพทต์ฉุกเฉินสำหรับเว็บเบราว์เซอร์ Google Chrome เวอร์ชันเดสก์ท็อป

เพื่อแก้ไขช่องโหว่ Zero-day เป็นช่องโหว่ช่องที่แปดที่พบในปีนี้

    CVE-2022-4135 เป็นช่องโหว่ Heap buffer overflow ใน GPU ต่ำกว่าเวอร์ชัน 107.0.5304.121 ลงมา ซึ่งค้นพบเมื่อวันที่ 22 พฤศจิกายน 2022

Heap buffer overflow เป็นช่องโหว่ในหน่วยความจำที่ส่งผลให้ข้อมูลถูกเขียนไปยังตำแหน่งที่ไม่ได้รับการอนุญาตโดยไม่ต้องตรวจสอบ

    ผู้ไม่ประสงค์ดีอาจใช้ช่องโหว่ Heap buffer overflow เพื่อเขียนทับหน่วยความจำของแอปพลิเคชันเพื่อจัดการเส้นทางการดำเนินการ ส่งผลให้เข้าถึงข้อมูลได้ไม่จำกัดหรือมีการเรียกใช้โค้ดที่เป้นอันตราย

ทาง Google ได้จำกัดการเข้าถึงรายละเอียดเกี่ยวกับช่องโหว่และลิงก์เพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดี

ทำการโจมตีในรูปแบบอื่น ๆ ผ่านทางช่องโหว่ดังกล่าว จนกว่าผู้ใช้งานส่วนใหญ่จะได้รับการอัปเดตแพทต์แก้ไข

คำแนะนำ

อัปเดต Google Chrome เป็นเวอร์ชัน 107.0.5304.121/122 สำหรับ Windows และ 107.0.5304.122 สำหรับ Mac และ Linux  สามารถทำได้โดยการไปที่การตั้งค่า (Settings) → เกี่ยวกับ Chrome (About Chrome) → รอให้การดาวน์โหลดเวอร์ชันล่าสุดเสร็จสิ้น → รีสตาร์ทโปรแกรม

Ref : bleepingcomputer

Google Issues Urgent Chrome Update to Patch Actively Exploited Zero-Day Vulnerability

Google ออกอัปเดตแพตซ์เร่งด่วนบน Chrome เพื่อแก้ไขช่องโหว่ Zero-Day

    เมื่อวันที่ 27 ตุลาคม 2022 ที่ผ่านมา Google ได้ออกอัปเดตแพตซ์เร่งด่วนเพื่อแก้ไขช่องโหว่ Zero Day บนWeb Browser Chrome โดยช่องโหว่ดังกล่าวมีหมายเลข CVE-2022-3723 ซึ่งเป็นช่องโหว่ Type Confusion ที่เกิดขึ้นกับ V8 JavaScript Engine

Jan Vojtěšek, Milánek และ Przemek Gmerek นักวิจัยจาก Avast เป็นผู้รายงานช่องโหว่นี้เมื่อ

วันที่ 25 ตุลาคม 2022

    Google ระบุว่ารับทราบถึงรายงานที่พบการโจมตีจากช่องโหว่ CVE-2022-3723 ดังกล่าวแล้ว แต่ไม่ได้ให้ข้อมูลรายละเอียดเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว

โดยช่องโหว่ CVE-2022-3723 เป็นช่องโหว่ Type Confusion ช่องโหว่ที่สาม ที่ถูกใช้ในการโจมตีผ่านช่องโหว่บน V8 JavaScript Engine ในปีนี้ ต่อจาก CVE-2022-1096 และ CVE-2022-1364

โดยช่องโหว่ดังกล่าวถือเป็น Zero Day ลำดับที่ 7 ของ Google Chrome ตั้งแต่ต้นปี 2565

• CVE-2022-0609 - ช่องโหว่ Use-after-free ใน Animation
• CVE-2022-1096 - ช่องโหว่ Type Confusion ใน V8
• CVE-2022-1364 - ช่องโหว่ Type Confusion ใน V8
• CVE-2022-2294 - ช่องโหว่ Heap buffer overflow ใน WebRTC
• CVE-2022-2856 - ช่องโหว่การตรวจสอบข้อมูล untrusted input ที่ไม่เพียงพอใน Web Intents
• CVE-2022-3075 - ช่องโหว่ใน Mojo ไลบรารี ซึ่งเป็นส่วนหนึ่งของ Chrome ที่ใช้ในการรับส่งข้อความระหว่าง Browser และระบบปฏิบัติการที่ทำงานอยู่

แนะนำ

ให้ผู้ใช้งาน Update เป็น version 107.0.5304.87 สำหรับ macOS และ Linux

Update เป็น version 107.0.5304.87/.88 สำหรับ Windows เพื่อลดความเสี่ยงจากการโจมตีที่อาจเกิดขึ้น

ส่วนผู้ใช้งานที่ใช้ Chromium-based Browsers เช่น Microsoft Edge, Brave, Opera และ Vivaldi แนะนำให้อัปเดตเช่นกันหากมีแพตซ์อัปเดตออกมา

Ref :The Hacker News

Google patches new Chrome zero-day flaw exploited in attacks

Google patches new Chrome zero-day flaw exploited in attacks.
(กูเกิ้ลออก Patch เพื่อแก้ไขช่องโหว่ที่ถูกใช้เป็นช่องทางการโจมตี)

    Google ได้ออก Patch Google Chrome 103.0.5060.114 บนระบบ ปฏิบัติการ Windows เพื่อแก้ไขช่องโหว่ที่เป็น Zero - day ที่มีความรุนแรงสูง เลข CVE-2022-2294 โดย Google บอกว่าต้องใช้เวลาหลายวันหรือหลายสัปดาห์กว่าจะครอบคลุมผู้ใช้งานทั้งหมด แต่การอัปเดตนี้พร้อมใช้งานทันทีเมื่อ BleepingComputer ตรวจสอบการอัปเดตใหม่โดยไปที่เมนู Chrome > ความช่วยเหลือ > เกี่ยวกับ Google Chrome ขอแนะนำให้อัปเดต Google Chrome โดยเร็วที่สุด

Google patches new Chrome zero-day flaw exploited in attacks