Mozilla แก้ไขปัญหาซึ่งทำให้เว็บเบราว์เซอร์ Firefox หยุดการทำงานเมื่อคัดลอกข้อความบนอุปกรณ์ Windows 11 ที่เปิดใช้งาน Suggested Actions

โดยปัญหานี้ได้ส่งผลกระทบต่อผู้ใช้ Firefox ที่ใช้ระบบปฏิบัติการรุ่นล่าสุดของ Microsoft Windows 11 เวอร์ชัน 22H2 ซึ่งฟีเจอร์ใหม่นี้จะถูกเปิดใช้งานเป็นค่าเริ่มต้น โดยมีผู้ใช้งานรายหนึ่งระบุว่า เบราว์เซอร์จะหยุดทำงานชั่วขณะหนึ่ง (มากกว่า 20 วินาที) และไม่ตอบสนองต่อการสั่งการจากผู้ใช้งาน

โดย Mozilla ได้แก้ไขข้อผิดพลาดดังกล่าวใน Firefox 106.0.3 ซึ่งเป็นเวอร์ชันล่าสุดที่ถูกเผยแพร่เมื่อวันจันทร์ที่ผ่านมา

สำหรับผู้ที่ยังไม่สามารถอัปเดต Firefox ได้ แนะนำให้ผู้ใช้งานปิดใช้งาน Suggested Actions บน Windows 11 ไปก่อน เพื่อหลีกเลี่ยงปัญหาเว็บเบราว์เซอร์หยุดการทำงานในลักษณะดังกล่าว โดยทำตามขั้นตอนต่อไปนี้:

กดปุ่ม Windows บนแป้นพิมพ์ หรือเปิด เมนู Start แล้วพิมพ์ Clipboard ในช่องค้นหา
กดปุ่ม Enter หรือเลือก Clipboard Settings ซึ่งจะนำไปยังการตั้งค่าคลิปบอร์ดของระบบ
เลือกปิดสวิตช์ Suggested Actions

ที่มา : bleepingcomputer

Mozilla ได้แก้ไขช่องโหว่ที่อาจทำให้แฮกเกอร์สามารถ hijack เบราว์เซอร์ Firefox สำหรับ Android ที่ทำงานบนอุปกรณ์ที่เชื่อมต่อกับเครือข่าย Wi-Fi เดียวกัน ซึ่งช่องโหว่นี้อาจถูกใช้เพื่อบังคับให้ผู้ใช้เข้าเยี่ยมชมเว็บไซต์ที่มีเนื้อหาที่เป็นอันตรายที่ออกเบบมาเพื่อทำการฟิชชิ่งผู้ใช้หรือให้ดาวน์โหลดมัลแวร์ไปยังอุปกรณ์ของผู้ใช้

ช่องโหว่ที่ได้รับการเเก้ไขนี้อยู่ในโปรโตคอล Simple Service Discovery Protocol (SSDP) ของ Firefox ซึ่ง SSDP เป็นโปรโตคอลที่ใช้ UDP และเป็นส่วนหนึ่งของ Universal Plug and Play ( UPnP ) ใช้สำหรับค้นหาอุปกรณ์อื่นที่เชื่อมต่อกับเครือข่าย Wi-Fi เดียวกันเพื่อแชร์หรือรับเนื้อหาเช่นสตรีมวิดีโอที่แชร์โดยใช้อุปกรณ์ที่อยู่ภายในเครือข่าย โดย Firefox สำหรับ Android จะส่งข้อความการค้นหา SSDP ไปยังโทรศัพท์มือถือที่เชื่อมต่อกับเครือข่ายเดียวกันเป็นระยะเพื่อค้นหาอุปกรณ์หน้าจอที่สองที่จะส่ง หลังจากค้นหาอุปกรณ์ที่เชื่อมต่อแล้วคอมโพเนนต์ SSDP ของ Firefox จะติดตามตำแหน่งของไฟล์ XML ซึ่งเก็บรายละเอียดการกำหนดค่าของอุปกรณ์

ด้วยเหตุนี้ผู้โจมตีสามารถเรียกใช้เซิร์ฟเวอร์ SSDP ที่เป็นอันตรายที่ตอบสนองด้วยข้อความที่สร้างขึ้นเป็นพิเศษชี้ไปที่ Android intent URI. จากนั้นผู้ใช้ Android ที่เข้าเว็บไซต์ผ่าน Firefox จะถูก hijack เบราว์เซอร์และจะทำให้ผู้โจมตีสามารถรีไดเร็คผู้ใช้ไปยังหน้าเว็บฟิชชิ่งหรือทำให้เครื่องของผู้ใช้ดาว์นโหลดมัลแวร์จากเว็บไซต์ที่เป็นอันตรายหรือติดตั้งส่วนขยายของ Firefox ที่เป็นอันตราย ช่องโหว่ถูกค้นพบโดย Chris Moberly นักวิจัยด้านความปลอดภัยชาวออสเตรเลียและช่องโหว่นี้จะส่งผลต่อ Firefox สำหรับ Android เวอร์ชัน 68.11.0 และต่ำกว่า

ผู้ใช้ Firefox สำหรับ Android ควรทำการอัปเดตเบราว์เซอร์เป็นเวอร์ชัน 79 หรือเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตี

ที่มา : Hackread | Welivesecurity

บริษัท Mozilla ได้เปิดตัว Firefox เวอร์ชัน 75 ซึ่งได้อัพเดตแพตช์ความปลอดภัย 6 รายการสำหรับเดสก์ทอป และ 2 รายการสำหรับแอพพลิเคชั่นบนแอนดรอยด์

ช่องโหว่ที่มีระดับความรุนแรงสูง 3 รายการซึ่งมีจุดบกพร่องด้านความปลอดภัยของหน่วยความจำ ได้แก่ CVE-2020-6825, CVE-2020-6826,CVE-2020-6828 ที่อาจนำไปสู่การรันโค้ดโดยไม่รับอนุญาต

ช่องโหว่ที่มีระดับความรุนแรงปานกลาง 3 รายการคือ CVE-2020-6822, CVE-2020-6823 และ CVE-2020-6824 ที่อาจนำไปสู่การรันโค้ดโดยไม่รับอนุญาต

ช่องโหว่แอพพลิเคชั่นบนแอนดรอยด์ 2 รายการคือ CVE-2020-6821 ที่เป็นช่องโหว่สามารถอ่านความจำเริ่มต้นจึงทำให้เป็นช่องทางในการอ่านข้อมูลที่สำคัญได้ CVE-2020-6827 เป็นช่องโหว่ที่หลอกให้เบราว์เซอร์มือถือแสดง URI ที่ไม่ถูกต้อง

บริษัท Google ได้เปิดตัว Chrome เวอร์ชัน 81.0.4044.92 ที่มีเเก้ไขข้อบกพร่องด้านความปลอดภัย 32 รายการ โดย 3 รายการเป็นช่องโหว่ที่มีระดับความรุนแรงสูง 8 รายการช่องโหว่ที่มีระดับความรุนแรงปานกลางและ 12 รายการช่องโหว่ที่มีระดับความรุนแรงงต่ำ เปิดให้อัพเดตใน Windows, Mac และ Linux

ช่องโหว่ที่รุนแรงที่สุด CVE-2020-6454 เป็นช่องโหว่ use-after-free ใน extensions ส่วนที่ CVE-2020-6423 เป็นช่องโหว่ use-after-free ใน audio tracked และ CVE-2020-6455 ที่เป็นช่องโหว่ WebSQL

ส่วนช่องโหว่ที่มีความรุนแรงปานกลางเป็นข้อบกพร่องในการบังคับใช้นโยบาย, การตรวจสอบอินพุตที่ไม่น่าเชื่อถือในคลิปบอร์ด, use-after-free ใน devtools และ use-after-free ใน window management

Google ยังมอบรางวัลเงินรางวัลให้กับนักวิจัยด้านความปลอดภัยที่ได้ทำการรายงานช่องโหว่ และทำการจ่ายเงินมากกว่า $26,000 เพื่อเป็นรางวัล

ทั้งนี้ผู้ใช้งานควรอัพเดตเเพตซ์อยู่เสมอเพื่อความปลดภัยในการใช้งาน

ที่มา: securityaffairs

นักพัฒนาจากทีม Google Chrome "Jake Archibald" ค้นพบช่องโหว่ด้านความปลอดภัย "Wavethrough" ในเบราว์เซอร์รุ่นใหม่ๆ ซึ่งส่งผลให้เว็บไซต์ที่ถูกเปิดอยู่ในโปรแกรมเว็บเบราว์เซอร์เดียวกันในขณะนั้นสามารถเข้าถึงข้อมูลระหว่างกันได้

โดยปกตินั้นเมื่อผู้ใช้งานเข้าชมเว็บไซต์ เบราว์เซอร์จะไม่ได้รับอนุญาตให้เรียกดูข้อมูลของเว็บไซต์อื่นๆ ที่ไม่ได้มีที่มาจากเว็บไซต์ที่ผู้ใช้งานเข้าชมอยู่ อย่างไรก็ตามช่องโหว่ Wavethrough นั้นเกิดขึ้นในกรณีของการเรียกหาข้อมูลในลักษณะที่เป็นไฟล์เสียงหรือไฟล์วีดิโอ ที่สามารถถูกเรียกข้ามเว็บไซต์ได้อย่างไม่มีเงื่อนไข

การเรียกหาข้อมูลที่เป็นไฟล์เสียงหรือไฟล์วีดิโอสามารถถูกเรียกได้เป็นส่วนๆ ในกรณีที่ไฟล์อาจมีขนาดใหญ่ เมื่อส่วนย่อยๆ ถูกเรียกและถูกใช้งานจนเกือบครบ เบราว์เซอร์จะพยายามค้นหาชิ้นส่วนต่อไปของไฟล์เพื่อที่จะเรียกและนำมาใช้งานใหม่ อย่างไรก็ตามการเรียกหาข้อมูลแบบเป็นส่วนๆ นี้กลับไม่ได้ถูกครอบคลุมโดยมาตรฐานความปลอดภัยที่ดีพอ ทำให้เกิดการนำไปพัฒนาที่แตกต่างกันและเกิดเป็นช่องโหว่ขึ้นมาได้

Jake Archibald ค้นพบช่องโหว่ Wavethrough ใน Microsoft Edge และ Mozilla Firefox ซึ่งทำให้การเรียกส่วนของข้อมูลนั้นสามารถูกบังคับให้เป็นการเรียกข้ามขอบเขตที่ควรจะเป็น หรือเรียกข้ามเว็บไซต์ได้ โดย Jake ได้แสดงตัวอย่างการโจมตีซึ่งทำให้เขาสามารถดึงข้อมูลของเว็บไซต์ที่มีการล็อกอินค้างอยู่ในโปรแกรมเว็บเบราว์เซอร์ได้

Recommendation : ในขณะนี้ช่องโหว่ดังกล่าวซึ่งตรวจพบใน Microsoft Edge และ Mozilla Firefox ได้ถูกแพตช์แล้ว แนะนำให้ผู้ใช้งานดำเนินการอัปเดตโปรแกรมเว็บเบราว์เซอร์ให้เป็นเวอร์ชันล่าสุดเพื่อรับแพตช์ช่องโหว่โดยด่วน
Affected Platform : Microsoft Edge และ Mozilla Firefox

ที่มา : thehackernews

นักวิจัยแจ้งอันตรายจากลิงก์วิดีโอที่ส่งมาจากใครก็ตาม บน Facebook Messenger ไม่ควรเปิดลิงก์ดังกล่าว เนื่องจากจะทำการเปิดเว็บไซต์ปลอมที่หลอกให้ติดตั้ง Software ที่เป็นอันตราย ซึ่ง URL ที่เปิดจะพาเหยื่อไปยังปลายทางที่ต่างกันออกไปขึ้นอยู่กับ Browser และ Operating System ตัวอย่างเช่น
- ผู้ใช้ Mozilla Firefox บน Windows จะถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ที่แจ้งให้อัพเดต Flash Player พร้อมไฟล์ Windows ซึ่งมีค่าสถานะเป็น Adware Software
- ผู้ใช้ Google Chrome ถูกเปลี่ยนเส้นทางไปยังเว็บไซต์ที่ปลอมแปลงเป็น YouTube ซึ่งจะแสดง popup หลอกให้ผู้ที่ตกเป็นเหยื่อดาวน์โหลดส่วนขยาย Chrome ที่เป็นอันตรายจาก Google Web Store
- ผู้ใช้ Safari บน Apple Mac OS X จะคล้ายกับ Firefox คือแจ้งอัพเดต Flash Player พร้อมไฟล์ระบบ MacOS ซึ่งเป็น Adware Software

เพื่อความปลอดภัย ควรระมัดระวังในการเปิดดูภาพหรือลิงก์วิดีโอที่ส่งมา ถึงแม้มาจากเพื่อนของคุณ ควรตรวจสอบความถูกต้องก่อน และให้อัพเดต Software Antivirus บนเครื่องให้เป็นรุ่นล่าสุดยู่เสมอ

ที่มา : TheHackerNews