กองเทคโนโลยีสารสนเทศ โรงเรียนนายร้อยพระจุลจอมเกล้า

Google Project Zero ได้ออกมาเปิดเผยถึงช่องโหว่บน Microsoft Windows หลังจาก Microsoft ประกาศเลื่อน Patch เดือนกุมภาพันธ์ไปเป็นเดือนมีนาคมแทน หลังจากแจ้งช่องโหว่ไปแล้วเกินกว่า 90 วันและยังไม่ได้รับการแก้ไข

ช่องโหว่นี้เป็นช่องโหว่บน Graphics Device Interface (GDI) บน Windows ซึ่งเคยเป็นช่องโหว่ที่ Google เคยรายงานไปแล้วเมื่อกลางปี 2016 ที่ผ่านมา และ Microsoft ก็ทำการแก้ไขแล้วแต่แก้ไขยังไม่เรียบร้อยดี ทำให้ Google ต้องรายงานช่องโหว่พร้อมวิธีการทำ Proof-of-Concept ด้วย โดยช่องโหว่นี้จะเปิดให้ผู้โจมตีสามารถทำการโจมตีผ่าน Application ใดๆ ที่มีการเรียกใช้งาน GDI Library และเข้าถึงข้อมูลบนหน่วยความจำได้

ในส่วนของผู้ใช้งานนั้นอาจไม่ต้องเป็นกังวลกับช่องโหว่นี้มากนัก เพราะผู้โจมตีต้องอาศัยการเข้าถึงเครื่องเป้าหมายในแบบ Physical Access ก่อนที่จะทำการโจมตีได้ แต่ช่องโหว่นี้ก็เป็นช่องโหว่ที่ทาง Microsoft ควรเร่งแก้ไขก่อนที่จะมีการโจมตีร้ายแรงตามมาในภายหลัง

สำหรับผู้ที่สนใจรายละเอียดฉบับเต็มของช่องโหว่และวิธีการ PoC สามารถศึกษาได้ที่ https://bugs.chromium.org/p/project-zero/issues/detail?id=992 เลยนะครับ ส่วนผู้ใช้งานก็รอ Patch 15 มีนาคมที่หวังว่าจะมีการแก้ไขช่องโหว่นี้กันได้ครับ

ที่มา: http://thehackernews.com/2017/02/google-windows-vulnerability.html