แจ้งเตือนกรณี Google กำหนดช่องโหว่ใหม่ หมายเลข CVE-2023-5129 เป็นช่องโหว่ด้านความปลอดภัยใน libwebp ที่ถูกนำไปใช้ในการโจมตีรูปแบบ zero-day
-
แจ้งเตือนกรณี Google กำหนดช่องโหว่ใหม่ หมายเลข CVE-2023-5129 เป็นช่องโหว่ด้านความปลอดภัยใน libwebp ที่ถูกนำไปใช้ในการโจมตีรูปแบบ zero-day
Google กำหนดช่องโหว่ใหม่ หมายเลข CVE-2023-5129 เป็นช่องโหว่ด้านความปลอดภัยใน libwebp ที่ถูกนำไปใช้ในการโจมตีช่องโหว่แบบ zero-day บริษัทได้มีการเปิดเผยเกี่ยวช่องโหว่ที่เป็นจุดอ่อนของ Chrome ที่หมายเลข CVE-2023-5129 เป็นการกำหนดช่องโหว่ใน open-source ไลบรารี libwebp ที่ใช้ในการ encode และ decode ภาพในรูปแบบของ Webp โดยช่องโหว่ดังกล่าวได้รับการรายงานร่วมมือกันระหว่าง Apple Security Engineering and Architecture (SEAR) และ Citizen Lab ที่ Munk School ของมหาวิทยาลัยโตรอนโตเมื่อวันพุธที่ 6 กันยายน 2023 และแก้ไขโดย Google ซึ่งนักวิจัยด้านความปลอดภัยของ Citizen Lab การมีเปิดเผยช่องโหว่ zero-day ที่ถูกโจมตีจาก สปายแวร์แบบกำหนดเป้าหมาย โดยกลุ่มผู้โจมตีภัยได้รับการสนับสนุนจากรัฐ โดยมีเป้าหมายไปที่บุคคลที่มีความเสี่ยงสูงเป็นหลัก
โดย Ben Hawkes ผู้ก่อตั้งบริษัทที่ปรึกษาด้านความปลอดภัย ได้เชื่อมโยงถึงช่องโหว่ CVE-2023-4863 และช่องโหว่ CVE-2023-41064 ที่ Apple แก้ไขเมื่อวันพฤหัสบดีที่ 7 กันยายน 2023 ซึ่งถูกใช้เป็นส่วนหนึ่งของการโจมตีแบบ Zero-click ใน iMessage (หรือที่เรียกว่า BLAST PASS) ด้วย Pegasus Spyware ของ NSO Group บน iPhone ที่ถึงแม้จะได้รับการอัปเดตแพตช์อย่างเต็มรูปแบบก็ตาม
โดยในขณะนี้ทาง Google ได้กำหนด CVE ID ใหม่แล้วคือ CVE-2023-5129 ซึ่งระบุว่าเป็นความรุนแรง libwebp โดยมีระดับความรุนแรงสูงสุดถึง 10/10 การเปลี่ยนแปลงนี้มีผลกระทบอย่างมีนัยสำคัญต่อโปรเจ็กต์อื่น ๆ ที่ใช้ใน Open-source ไลบรารี libwebp
ทั้งนี้ แนะนำให้ผู้ใช้งานและผู้ดูแลระบบปฏิบัติตามคำแนะนำเบื้องต้น สามารถดูรายละเอียดเพิ่มเติมได้ที่ https://www.bleepingcomputer.com/news/security/google-assigns-new-maximum-rated-cve-to-libwebp-bug-exploited-in-attacks/อ้างอิง
สามารถติดตามข่าวสารได้ที่ webboard หรือ Facebook NCSA Thailand
