ช่องโหว่ร้ายแรง 0.0.0.0-Day ส่งผลกระทบต่อเบราว์เซอร์หลักบน macOS และ Linux
ช่องโหว่ด้านความปลอดภัยที่เพิ่งค้นพบซึ่งถูกเรียกว่า 0.0.0.0-day exploit ได้ถูกพบว่าส่งผลกระทบต่อเบราว์เซอร์ Google Chrome, Mozilla Firefox และ Apple Safari บนระบบ macOS และ Linux ช่องโหว่นี้ซึ่งอาจมีอยู่มานานถึง 18 ปีแล้ว อาจทำให้เว็บไซต์ที่เป็นอันตรายสามารถเข้าถึงเครือข่ายภายในและอุปกรณ์ต่างๆ ได้
อธิบายช่องโหว่
บริษัทด้านความปลอดภัยทางไซเบอร์ Oligo ได้ค้นพบช่องโหว่นี้ ซึ่งใช้ประโยชน์จากวิธีที่เบราว์เซอร์จัดการคำขอไปยัง IP แอดเดรส 0.0.0.0 แอดเดรสนี้ไม่ได้รวมอยู่ในรายการที่ป้องกันของแอดเดรสส่วนตัวหรือแอดเดรสภายใน ทำให้ผู้โจมตีสามารถหลีกเลี่ยงมาตรการรักษาความปลอดภัยเช่น ข้อกำหนด Private Network Access (PNA) ของ Google ได้
ประเด็นสำคัญเกี่ยวกับช่องโหว่:
- ส่งผลกระทบต่อ Chrome, Firefox และ Safari บน macOS และ Linux
- ระบบ Windows ไม่ได้รับผลกระทบเนื่องจากมีการบล็อกที่ระดับระบบสำหรับ 0.0.0.0
- อาจถูกใช้ประโยชน์ได้ตั้งแต่ปี 2006
- อนุญาตให้เว็บไซต์สาธารณะสื่อสารกับบริการบนเครือข่ายภายในได้
ผลกระทบและขอบเขต
แม้ว่าเปอร์เซ็นต์ของเว็บไซต์ที่อาจใช้ประโยชน์จากช่องโหว่นี้จะค่อนข้างน้อย (0.015% ตามตัวนับของ Chromium) แต่จำนวนเว็บไซต์ที่ใช้งานอยู่มหาศาลหมายความว่าอาจมีเว็บไซต์ที่ได้รับผลกระทบถึง 100,000 เว็บไซต์ จำนวนที่แท้จริงของผู้ไม่ประสงค์ดีที่ใช้ประโยชน์จากช่องโหว่นี้ยังไม่เป็นที่ทราบแน่ชัด
การตอบสนองของผู้พัฒนาเบราว์เซอร์
ผู้พัฒนาเบราว์เซอร์หลักกำลังดำเนินการแก้ไขช่องโหว่นี้:
- Google Chrome: ค่อยๆ บล็อกการเข้าถึง 0.0.0.0 ตั้งแต่เวอร์ชัน 128 ถึง 133
- Apple Safari: บล็อกใน WebKit โดยการแก้ไขจะมาใน Safari 18 (ปัจจุบันอยู่ในเวอร์ชันเบต้า)
- Mozilla Firefox: วางแผนที่จะบล็อก 0.0.0.0 ในอนาคต แต่ยังไม่มีการแก้ไขทันทีเนื่องจากอาจมีปัญหากับเซิร์ฟเวอร์
สิ่งที่ผู้ใช้ควรทำ
- อัปเดตเบราว์เซอร์ให้เป็นเวอร์ชันล่าสุดเพื่อให้แน่ใจว่าคุณมีการแก้ไขความปลอดภัยล่าสุด
- ระมัดระวังเมื่อคลิกลิงก์หรือดาวน์โหลดไฟล์แนบจากแหล่งที่ไม่รู้จัก
- ผู้ใช้ macOS และ Linux ควรระมัดระวังเป็นพิเศษจนกว่าการแก้ไขเบราว์เซอร์ทั้งหมดจะถูกนำไปใช้อย่างเต็มที่
เหตุการณ์นี้เป็นการเตือนว่าแม้แต่ซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายและมีมานานก็อาจมีข้อบกพร่องด้านความปลอดภัยที่สำคัญ นอกจากนี้ยังเน้นย้ำถึงความสำคัญของการวิจัยด้านความปลอดภัยอย่างต่อเนื่องและการดำเนินการอย่างรวดเร็วของผู้พัฒนาซอฟต์แวร์เพื่อแก้ไขช่องโหว่