MWR ปล่อยรายละเอียดช่องโหว่บนแอพ PayPal, PayPal อ้างไม่ส่งผลกระทบต่อแบรนด์

By: pe3z
Writer
on 19 March 2014 - 12:50 Tags:
Topics: 
Security
PayPal
Application
Node Thumbnail

บริษัทด้านความปลอดภัย MWR InfoSecurity ได้ปล่อยรายละเอียดช่องโหว่บนแอพพลิเคชั่น PayPal บนแอนดรอยด์ ซึ่งทำให้ผู้โจมตีสามารถสั่งรันคำสั่งอันตรายได้จากระยะไกลผ่านทางช่องโหว่ man-in-the-middle ช่องโหว่นี้ยังคงมีอยู่ในแอพพลิเคชั่นที่มีเวอร์ชันน้อยกว่า 5.3 และบนแอนดรอยด์เวอร์ชันน้อยกว่า 4.2

ในรายละเอียดที่ถูกปล่อยมานั้นกล่าวว่า ปัญหาของช่องโหว่นี้เกิดจาก PayPal มีการใช้ WebView เพื่อตรวจสอบใบอนุญาต SSL แต่ยังมีการทำงานต่อแม้ว่าจะตรวจเจอข้อผิดพลาดของใบอนุญาต SSL แทนที่จะทำการแสดงข้อความผิดพลาดหรือปิดการเชื่อมต่อนั้นทิ้งไป (CVE-2013-7201) อีกทั้งยังมีการอิมพลีเมนต์จาวาสคริปต์อินเตอร์เฟสใน WebView ซึ่งจะทำให้สั่งรันคำสั่งต่างๆ ได้ด้วย (CVE-2013-7202)

ทาง PayPal ปฏิเสธที่จะจ่ายเงินตามโปรแกรม Bug Bounty ให้เนื่องจากปัญหา SSL ไม่ได้อยู่ในขอบเขตของโปรแกรมนี้ แม้ว่าทาง MWR จะมีการส่งรายละเอียดของช่องโหว่หรือแม้กระทั่งวีดิโอที่มีการทำ PoC ไปแล้ว แต่ทาง PayPal อ้างว่าไม่มีผลกระทบต่อแบรนด์ของ PayPal

สำหรับการป้องกันการโจมตีผ่านทางช่องโหว่นี้นั้น แนะนำให้ผู้ใช้งานทำการอัพเดตแอพเป็นเวอร์ชันล่าสุด (5.4) โดยด่วนครับ

ที่มา - MWR Labs

Get latest news from Blognone

Comments

By: PaPaSEK
ContributorAndroidWindowsIn Love
on 19 March 2014 - 13:44 #688918
PaPaSEK's picture

เอ่อ ... อ่านแล้วอยากสบถเป็นคำหยาบมากๆ

By: NoppawanConan
ContributoriPhoneAndroidWindows
on 19 March 2014 - 14:26 #688932 Reply to:688918
NoppawanConan's picture

ให้หยาบประมาณไหนดีครับ หยาบน้อย หยาบมาก หยาบปานกลาง //เอ๊ะเดี๋ยวนะ!!!

เพื่อนผมก็ชวนจังเลยให้ใช้ Paypal แต่ที่ผ่านๆมาก็เจอปัญหามากมายสารพัดเลยไม่กล้าเสี่ยงดีกว่า แล้วดันบอกว่าวิธีดังกล่าวไม่เสี่ยงต่อแบรนด์เลย (ตามข่าวนี้) เลยสงสัยว่า ไอ้ตอนที่ประธานของ Paypal โดนแฮ็กเงินนี่ยังไม่เข็ดสินะ

แค่มนุษย์คนนึงที่อยากรู้เกี่ยวกับวงการไอที

By: Zeball
iPhoneWindows PhoneAndroidUbuntu
on 19 March 2014 - 15:04 #688944 Reply to:688932

ข่าวนั้นเป็นเรื่องว่า "ประธานของ Paypal โดนแฮ็ก" จากช่องทางบัตรเครดิต แม้ว่าจะใช้เทคโนโลยีชิป EMV ไม่ใช่หรือครับ ไม่ใช่ประธาน Paypal โดนแฮ็กบัญชี Paypal และในข่าวยังโฆษณาอีกว่าถ้าใช้ Paypal จะไม่มีเหตุการณ์นี้(skimming Credit Card).

By: NoppawanConan
ContributoriPhoneAndroidWindows
on 19 March 2014 - 16:24 #688965 Reply to:688944
NoppawanConan's picture

ถ้าเช่นนั้นผมก็ขออภัยในความผิดพลาดที่แสดงความเห็นเช่นนั้นไปครับ ผมคงจะกรองข้อความไม่ดีก่อนที่จะแสดงความเห็นครับ

แค่มนุษย์คนนึงที่อยากรู้เกี่ยวกับวงการไอที

By: Wang_Peter
iPhoneAndroid
on 20 March 2014 - 10:20 #689159 Reply to:688944
Wang_Peter's picture

ข่าวไม่ได้ลงละเอียดครับว่า โดนแฮ็ก แบบไหน
ถึงแม้จะมี Chip ก็ใช่ว่าจะปลอดภัย 100% จากการนำข้อมูลบัตรไปใช้ในรูปแบบอื่น
เช่น ถ้ามีใครสักคนแอบจดหมายเลขบัตร 16 หลัก, วันหมดอายุ และ เลข CVV 3 ตัวหลัง
ก็สามารถนำไปซื้อของ Online ได้ทันที
ซึ่งกรณีที่ผมว่านี้ ต้องไม่เคยสมัคร Verified by VISA ด้วยนะครับ
ซึ่งผมเชื่อว่าที่ America ยังไม่ comply 3D secure แน่ๆ

By: hisoft
ContributorWindows PhoneWindows
on 20 March 2014 - 21:23 #689307 Reply to:689159
hisoft's picture

บัตรผมมี chip ครับ สมัคร Verified by VISA ไว้เรียบร้อย ไปรูดจ่ายเงินตู้ทรู รูดปรื๊ด รูดปรื๊ด chip ไม่ได้ใช้ Verified by VISA ไม่เกี่ยวกันเลยทีเดียว

By: PaPaSEK
ContributorAndroidWindowsIn Love
on 19 March 2014 - 15:53 #688958 Reply to:688932
PaPaSEK's picture

จริงๆ แล้วตั้งแต่ใช้มาผมเจอปัญหาที่เกี่ยวข้องกับระบบน้อยมากนะครับ

แต่มันขึ้นตอนเห็นคำตอบนี่แหละ คือ ... เฮียอย่าเพิ่งห่วงภาพลักษณ์ครับ เฮียห่วง user ก่อนเลย

By: PowerBerry
Android
on 19 March 2014 - 16:07 #688962 Reply to:688932

ผมว่าสั่งของออนไลน์ใช้ PayPal น่าจะเป็นตัวเลือกที่ปลอดภัยที่สุดอยู่นะ จากประสบการณ์สั่งสินค้ามากกว่าเดือนละร้อยรายการมาหลายปี PayPal ยังไม่เคยมีปัญหาแต่บัตรเครดิตนี้ต้องโทรระงับแจ้งเปลี่ยนบัตรเฉลี่ยตกปีละ 1-2 ครั้ง

By: heart
ContributoriPhone
on 19 March 2014 - 16:24 #688966
heart's picture

Paypal อาจทำถูกแล้ว เพราะเป็นช่องโหว่ของ OS เอง ( Webview SSL นั้นคือความสามารถของ OS ใช่มะ )
ที่สำคัญกว่านั้น ถ้าหากว่า ยอมจ่ายเงิน อาจเป็นการยอมรับว่ามีช่องโหว่ และเสียความเชื่อถือไป เพราะ Paypal มันเกี่ยวข้องกับเงินทอง
ภาพลักษณ์อาจสำคัญ

By: pe3z
Writer
on 19 March 2014 - 17:19 #688976 Reply to:688966

ตามความคิดของผมนะครับ ปัญหาอยู่ตรงที่นักพัฒนาออกแบบแอพพลิเคชั่นผิดพลาดทำให้เกิดช่องโหว่สามารภโจมตีได้ ดังนั้นปัญหาไม่ได้อยู่ที่คลาสของ WebView แต่อยู่ที่การนำมาใช้โดยนักพัฒนามากกว่า

สำหรับในเรื่องของการจ่ายเงินนั้นก็ค่อนข้างไม่เข้าใจอยู่ คือถึงตอนนี้ถ้า PayPal จะปฏิเสธว่าไม่มีช่องโหว่ก็ไม่ช่วยอะไรแล้วเพราะมีรายละเอียดมาขนาดนี้ ความเชื่อถือจะเสียก็ตรงที่การไม่สนับสนุนด้านความปลอดภัย และภาพลักษณ์ก็จะหายไปถ้ายังคงมีการเพิกเฉย

บริษัทที่มีโปรแกรม "มาหาช่องโหว่สิ แล้วจะจ่ายตังค์ให้" ไม่ควรจะกลัวการยอมรับว่ามีช่องโหว่นะครับ

By: hoolala
Android
on 19 March 2014 - 18:03 #689001

สำหรับการป้องกันการโจมตีผ่านทางช่องโหว่นี้นั้น แนะนำให้ผู้ใช้งานทำการอัพเดตแอพเป็นเวอร์ชันล่าสุด (5.4) โดยด่วนครับ

เปลี่ยนเป็นเลิกใช้ PayPal หรือ Android ดีกว่ามั้งครับ ^^

By: มายองเนสจัง
iPhone
on 19 March 2014 - 21:14 #689050
มายองเนสจัง's picture

ไม่ให้ตังค์ค่าเจอบั๊คอีกต่างหาก แหม...

By: Thaitop_BN
Windows PhoneUbuntuWindows
on 19 March 2014 - 21:16 #689051
Thaitop_BN's picture

สุดยอดครับ ตอบได้น่าเลิกใช้มาก แปะๆๆ //ลุกขึ้นปรบมือ

By: Architec
ContributorWindows PhoneAndroidWindows
on 19 March 2014 - 21:51 #689060

คราวก่อนก็ Paypal เจอปัญหา XSS, ผู้พบอายุไม่ถึงเกณ์รับรางวัล

นะ..... จะหาคำมาด่ายังไงถึงสาสมดี?

By: Virusfowl
ContributorAndroidSymbianWindows
on 21 March 2014 - 17:23 #689525
  • วีดิโอ > วิดีโอ

@ Virusfowl

I'm not a dev. not yet a user.