on
บริษัทด้านความปลอดภัย MWR InfoSecurity ได้ปล่อยรายละเอียดช่องโหว่บนแอพพลิเคชั่น PayPal บนแอนดรอยด์ ซึ่งทำให้ผู้โจมตีสามารถสั่งรันคำสั่งอันตรายได้จากระยะไกลผ่านทางช่องโหว่ man-in-the-middle ช่องโหว่นี้ยังคงมีอยู่ในแอพพลิเคชั่นที่มีเวอร์ชันน้อยกว่า 5.3 และบนแอนดรอยด์เวอร์ชันน้อยกว่า 4.2
ในรายละเอียดที่ถูกปล่อยมานั้นกล่าวว่า ปัญหาของช่องโหว่นี้เกิดจาก PayPal มีการใช้ WebView เพื่อตรวจสอบใบอนุญาต SSL แต่ยังมีการทำงานต่อแม้ว่าจะตรวจเจอข้อผิดพลาดของใบอนุญาต SSL แทนที่จะทำการแสดงข้อความผิดพลาดหรือปิดการเชื่อมต่อนั้นทิ้งไป (CVE-2013-7201) อีกทั้งยังมีการอิมพลีเมนต์จาวาสคริปต์อินเตอร์เฟสใน WebView ซึ่งจะทำให้สั่งรันคำสั่งต่างๆ ได้ด้วย (CVE-2013-7202)
ทาง PayPal ปฏิเสธที่จะจ่ายเงินตามโปรแกรม Bug Bounty ให้เนื่องจากปัญหา SSL ไม่ได้อยู่ในขอบเขตของโปรแกรมนี้ แม้ว่าทาง MWR จะมีการส่งรายละเอียดของช่องโหว่หรือแม้กระทั่งวีดิโอที่มีการทำ PoC ไปแล้ว แต่ทาง PayPal อ้างว่าไม่มีผลกระทบต่อแบรนด์ของ PayPal
สำหรับการป้องกันการโจมตีผ่านทางช่องโหว่นี้นั้น แนะนำให้ผู้ใช้งานทำการอัพเดตแอพเป็นเวอร์ชันล่าสุด (5.4) โดยด่วนครับ
ที่มา - MWR Labs
เอ่อ ...
PaPaSEK Wed, 19/03/2014 - 13:44
เอ่อ ... อ่านแล้วอยากสบถเป็นคำหยาบมากๆ
ให้หยาบประมาณไหนดีครับ
NoppawanConan Wed, 19/03/2014 - 14:26
In reply to เอ่อ ... by PaPaSEK
ให้หยาบประมาณไหนดีครับ หยาบน้อย หยาบมาก หยาบปานกลาง //เอ๊ะเดี๋ยวนะ!!!
เพื่อนผมก็ชวนจังเลยให้ใช้ Paypal แต่ที่ผ่านๆมาก็เจอปัญหามากมายสารพัดเลยไม่กล้าเสี่ยงดีกว่า แล้วดันบอกว่าวิธีดังกล่าวไม่เสี่ยงต่อแบรนด์เลย (ตามข่าวนี้) เลยสงสัยว่า ไอ้ตอนที่ประธานของ Paypal โดนแฮ็กเงินนี่ยังไม่เข็ดสินะ
ข่าวนั้นเป็นเรื่องว่า
Zeball Wed, 19/03/2014 - 15:04
In reply to ให้หยาบประมาณไหนดีครับ by NoppawanConan
ข่าวนั้นเป็นเรื่องว่า "ประธานของ Paypal โดนแฮ็ก" จากช่องทางบัตรเครดิต แม้ว่าจะใช้เทคโนโลยีชิป EMV ไม่ใช่หรือครับ ไม่ใช่ประธาน Paypal โดนแฮ็กบัญชี Paypal และในข่าวยังโฆษณาอีกว่าถ้าใช้ Paypal จะไม่มีเหตุการณ์นี้(skimming Credit Card).
ถ้าเช่นนั้นผมก็ขออภัยในความผิ
NoppawanConan Wed, 19/03/2014 - 16:24
In reply to ข่าวนั้นเป็นเรื่องว่า by Zeball
ถ้าเช่นนั้นผมก็ขออภัยในความผิดพลาดที่แสดงความเห็นเช่นนั้นไปครับ ผมคงจะกรองข้อความไม่ดีก่อนที่จะแสดงความเห็นครับ
ข่าวไม่ได้ลงละเอียดครับว่า
Wang_Peter Thu, 20/03/2014 - 10:20
In reply to ข่าวนั้นเป็นเรื่องว่า by Zeball
ข่าวไม่ได้ลงละเอียดครับว่า โดนแฮ็ก แบบไหน
ถึงแม้จะมี Chip ก็ใช่ว่าจะปลอดภัย 100% จากการนำข้อมูลบัตรไปใช้ในรูปแบบอื่น
เช่น ถ้ามีใครสักคนแอบจดหมายเลขบัตร 16 หลัก, วันหมดอายุ และ เลข CVV 3 ตัวหลัง
ก็สามารถนำไปซื้อของ Online ได้ทันที
ซึ่งกรณีที่ผมว่านี้ ต้องไม่เคยสมัคร Verified by VISA ด้วยนะครับ
ซึ่งผมเชื่อว่าที่ America ยังไม่ comply 3D secure แน่ๆ
บัตรผมมี chip ครับ สมัคร
hisoft Thu, 20/03/2014 - 21:23
In reply to ข่าวไม่ได้ลงละเอียดครับว่า by Wang_Peter
บัตรผมมี chip ครับ สมัคร Verified by VISA ไว้เรียบร้อย ไปรูดจ่ายเงินตู้ทรู รูดปรื๊ด รูดปรื๊ด chip ไม่ได้ใช้ Verified by VISA ไม่เกี่ยวกันเลยทีเดียว
จริงๆ
PaPaSEK Wed, 19/03/2014 - 15:53
In reply to ให้หยาบประมาณไหนดีครับ by NoppawanConan
จริงๆ แล้วตั้งแต่ใช้มาผมเจอปัญหาที่เกี่ยวข้องกับระบบน้อยมากนะครับ
แต่มันขึ้นตอนเห็นคำตอบนี่แหละ คือ ... เฮียอย่าเพิ่งห่วงภาพลักษณ์ครับ เฮียห่วง user ก่อนเลย
ผมว่าสั่งของออนไลน์ใช้ PayPal
PowerBerry Wed, 19/03/2014 - 16:07
In reply to ให้หยาบประมาณไหนดีครับ by NoppawanConan
ผมว่าสั่งของออนไลน์ใช้ PayPal น่าจะเป็นตัวเลือกที่ปลอดภัยที่สุดอยู่นะ จากประสบการณ์สั่งสินค้ามากกว่าเดือนละร้อยรายการมาหลายปี PayPal ยังไม่เคยมีปัญหาแต่บัตรเครดิตนี้ต้องโทรระงับแจ้งเปลี่ยนบัตรเฉลี่ยตกปีละ 1-2 ครั้ง
Paypal อาจทำถูกแล้ว
heart Wed, 19/03/2014 - 16:24
Paypal อาจทำถูกแล้ว เพราะเป็นช่องโหว่ของ OS เอง ( Webview SSL นั้นคือความสามารถของ OS ใช่มะ )
ที่สำคัญกว่านั้น ถ้าหากว่า ยอมจ่ายเงิน อาจเป็นการยอมรับว่ามีช่องโหว่ และเสียความเชื่อถือไป เพราะ Paypal มันเกี่ยวข้องกับเงินทอง
ภาพลักษณ์อาจสำคัญ
ตามความคิดของผมนะครับ
pe3z Wed, 19/03/2014 - 17:19
In reply to Paypal อาจทำถูกแล้ว by heart
ตามความคิดของผมนะครับ ปัญหาอยู่ตรงที่นักพัฒนาออกแบบแอพพลิเคชั่นผิดพลาดทำให้เกิดช่องโหว่สามารภโจมตีได้ ดังนั้นปัญหาไม่ได้อยู่ที่คลาสของ WebView แต่อยู่ที่การนำมาใช้โดยนักพัฒนามากกว่า
สำหรับในเรื่องของการจ่ายเงินนั้นก็ค่อนข้างไม่เข้าใจอยู่ คือถึงตอนนี้ถ้า PayPal จะปฏิเสธว่าไม่มีช่องโหว่ก็ไม่ช่วยอะไรแล้วเพราะมีรายละเอียดมาขนาดนี้ ความเชื่อถือจะเสียก็ตรงที่การไม่สนับสนุนด้านความปลอดภัย และภาพลักษณ์ก็จะหายไปถ้ายังคงมีการเพิกเฉย
บริษัทที่มีโปรแกรม "มาหาช่องโหว่สิ แล้วจะจ่ายตังค์ให้" ไม่ควรจะกลัวการยอมรับว่ามีช่องโหว่นะครับ
สำหรับการป้องกันการโจมตีผ่านท
hoolala Wed, 19/03/2014 - 18:03
เปลี่ยนเป็นเลิกใช้ PayPal หรือ Android ดีกว่ามั้งครับ ^^
ไม่ให้ตังค์ค่าเจอบั๊คอีกต่างห
มายองเนสจัง Wed, 19/03/2014 - 21:14
ไม่ให้ตังค์ค่าเจอบั๊คอีกต่างหาก แหม...
สุดยอดครับ
Thaitop_BN Wed, 19/03/2014 - 21:16
สุดยอดครับ ตอบได้น่าเลิกใช้มาก แปะๆๆ //ลุกขึ้นปรบมือ
คราวก่อนก็ Paypal เจอปัญหา
Architec Wed, 19/03/2014 - 21:51
คราวก่อนก็ Paypal เจอปัญหา XSS, ผู้พบอายุไม่ถึงเกณ์รับรางวัล
นะ..... จะหาคำมาด่ายังไงถึงสาสมดี?
วีดิโอ > วิดีโอ
Virusfowl Fri, 21/03/2014 - 17:23