January 26, 2020

Language:

CamSA19-30: ក្រុមហ៊ុន Mozilla បានចេញផ្សាយការអាប់ដេតសុវត្ថិភាពសម្រាប់កម្មវិធី Firefox

១.​ ព័ត៌មានទូទៅ

ក្រុមហ៊ុន Mozilla​ បានចេញផ្សាយការអាប់ដេតសុវត្ថិភាពដើម្បីដោះស្រាយចំនុចដែលងាយរងគ្រោះ (vulnerability) នៅក្នុងកម្មវិធី Firefox និង​  Firefox ESR។ ការវាយប្រហារជោគជ័យទៅលើចំនុចខ្សោយនេះអាចអនុញ្ញាត​ឱ្យ អ្នកវាយប្រហារអាច​ដំណើរការនូវ​ពាក្យបញ្ជា ឬកូដនៅលើ​ម៉ាស៊ីនដែលប្រើកម្មវិធី Firefox ដែលរងគ្រោះនោះ ធ្វើអោយគាំងដំណើរការកម្មវិធី Firefox ហើយក៏អាចកែប្រែ លុប ទិន្នន័យ ឬបង្កើតគណនីអ្នកប្រើប្រាស់ថ្មីមួយ ដែលមានសិទ្ធជា root user ឬ​ administrator។

២. ផលិតផលប៉ះពាល់

កម្មវិធី Firefox ដែលរងផលប៉ះពាល់មានដូចខាងក្រោម៖

  • Firefox កំណែ 67.0.3 សម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Window 32-bit និង 64-bit
  • Firefox កំណែ 67.0.3 សម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Mac​ និង​ Linux
  • Firefox ESR កំណែ 60.7.1

៣. ផលវិបាក

ការវាយប្រហារទៅលើភាពងាយរងគ្រោះនេះ កើតឡើងនៅពេលមានការកែប្រែទៅលើ JavaScript Object តាមរយៈបញ្ហា​ដែលមាន​ក្នុង Array.pop ហើយការវាយប្រហារដោយជោគជ័យអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារ អាចដំណើរការនូវពាក្យបញ្ជា ឬកូដនៅលើ ម៉ាស៊ីន​ដែលប្រើកម្មវិធី Firefox ដែលរងគ្រោះនោះ ធ្វើអោយគាំងដំណើរការកម្មវិធី Firefox ឬបង្កើតគណនី​អ្នកប្រើប្រាស់​ថ្មីមួយដែល មានសិទ្ធជា root user ឬ​ administrator ដើម្បីអាចកែប្រែ លុប លួច ទិន្នន័យ និងចម្លងមេរោគ​ជាដើម តែកម្រិតប៉ះពាល់នៃ​ការវាយប្រហារនេះ គឺ​អាស្រ័យទៅលើសិទ្ធរបស់គណនីអ្នកប្រើប្រាស់ដែលទទួលរងការវាយប្រហារ សម្រាប់អ្នកប្រើប្រាស់ដែលមាន​ការកំណត់សិទ្ធរបស់គណនីជា normal user អាចមានផលប៉ះពាល់តិចជាងអ្នកដែលប្រតិបត្តិការជាមួយសិទ្ធជា root user ឬ​ administrator។

៤. ដំណោះស្រាយ

ក្រុមហ៊ុន Mozilla ណែនាំឱ្យអ្នកប្រើប្រាស់ធ្វើបច្ចុប្បន្នភាពកម្មវិធី ទៅកាន់កំណែថ្មីបំផុត ( Latest version ) តាមវិធីសាស្រ្តដូចខាងក្រោម:

  • អ្នកប្រើប្រាស់អាចធ្វើការអាប់ដេតកម្មវិធីដោយខ្លួនឯងតាមរយៈការជ្រើសយកម៉ឺនុយ Options បន្ទាប់មកជ្រើសយកពាក្យ Check for update
  • កម្មវិធីនេះអាចធ្វើបច្ចុប្បន្នភាពដោយស្វ័យប្រវត្តិនៅពេលមានការអាប់ដេតថ្មី  ប្រសិនបើកម្មវិធីត្រូវបានកំណត់នូវការអាប់- ដេតដោយស្វ័យប្រវត្តិ

. វេបសាយពាក់ព័ន្ធ

 

 

 

 

 

 

 

 

***Disclaimer: CamCERT own some of the content. Our purpose is pure to help spread the awareness, tips or other information related to security to everyone. Even though every information is true, accurate, completed and appropriate, we make no responsibility nor warranty since everything could go wrong.