ประเด็นที่น่ากลัวก็คือ ช่องโหว่ใหม่ที่หลุดรั่วออกไปสามารถใช้ได้กับ IE ที่อัพเดตแพตช์แล้วด้วย Michal Zalewski นักวิจัยระบบรักษาความปลอดภัยที่ Google ได้โพสต์บล็อกถึงความกังวลเกี่ยวกับข้อมูลช่องโหว่ที่พบใน IE ซึ่งสามารถใช้ล่มการทำงาน เพื่อเปิดทางในการเจาะระบบของผูั้ใช้ได้ถูกเปิดเผยไปยังผู้ใช้อินเทอร์เน็ตที่ IP ระบุว่ามาจากจีน โดยข้อมูลดังกล่าวจะเป็นรายละเอียดเกี่ยวข้อผิดพลาดของการทำงานที่พบในไฟล์ mshtml.dll ซึ่งทีมวิจัยได้เก็บข้อมุลนั้นไว้บนเซิร์ฟเวอร์ตัวหนึ่ง แต่มันเกิดการผิดพลาดที่ไปเปิดให้ Google เข้ามาทำ index ในเซิร์ฟเวอร์ดังกล่าวได้ โดยรายละเอียดการค้นข้อมูลของวันที่ 30 ธันวาคมที่ผ่านมาเผยให้เห็นว่า มันมีการเสิร์ชพบข้อมูลดังกล่าวตลอดจนไฟล์ต่างๆ ของเครื่องมือระบบรักษาความปลอดภัยที่ยังไม่มีการเผยแพร่ แต่ได้ถูกดึงออกไปโดยใครบางคนที่ไม่สามารถระบุได้
ข้อผิดพลาดดังกล่าวจะสามารถล่มการทำงานของ EIP (Extended Instruction Pointer) บนเครื่องคอมพิวเตอร์ที่รันบราวเซอร์ IE โดย Zalewski กล่าวว่า ช่องโหว่ที่พบนี้จะเปิดช่องให้ผู้บุกรุกสามารถเข้าโจมตี และควบคุมคอมพิวเตอร์ของผู้ใช้ที่ตกเป็นเหยื่อได้อย่างสมบูรณ์ ช่องโหว่นี้ถูกค้นพบโดย cross fuzz ซอฟต์แวร์ที่สามารถค้นหาบั๊กในบราวเซอร์ IE, Firefox และบราวเซอร์ตัวอื่นๆ ที่เขาพัฒนาขึ้นเองในยามว่างเมื่อสองปีก่อน ซึ่งที่ผ่านมา มันสามารถช่วยให้ค้นพบบั๊กในบราวเซอร์ได้เกือบ 100 แห่งแล้ว อย่างไรก็ดี ทาง Google ได้เปิดเผยว่า ได้ประสานงานกับ Microsoft ในการตรวจสอบข้อผิดพลาดดังกล่าว เพื่อแก้ไขเป็นการด่วนล้ว ในขณะเดียวกันทาง Microsoft ได้ขอร้องให้ Zalewski เลื่อนการออก cross_fuzz เครื่องมือค้นหาบั๊กในบราวเซอร์ออกไปก่อน ล่าสุด Zalewski ยืนยันในบล็อกว่า ผู้ใช้นิรนามที่เข้าถึงข้อมูลของ cross_fuzz ได้ล่วงรู้ช่องโหว่ของ IE ที่ยังไม่ได้แพตช์นี้แล้ว
ข้อมูลจาก: icamtuf
แสดงบนเว็บไซด์ : http://www.it4x.com
ที่อยู่ของข้อความต้นฉบับ: http://arip.co.th/news.php?id=412927
บันทึกการเข้า
