อัพเดต: ทาง McDonald's แก้ไขเรียบร้อยแล้วครับ

มีรายงานจาก @nuuneoi หรือคุณสิทธิพล พรรณวิไล นักพัฒนาแอพพลิเคชั่นบนโทรศัพท์มือถือว่าเว็บ McDonald ประเทศไทย (www.mcthai.co.th) ถูกแฮก และ redirect ผู้ใช้ไปยังหน้าดาวน์โหลดแอพพลิเคชั่น

ผมตรวจสอบดูพบว่าหน้าดาวน์โหลดนี้จะทำงานต่อเมื่อเข้าเว็บผ่านโทรศัพท์มือถือเท่านั้น และเมื่อถูก redirect ไปแล้ว หากใช้โทรศัพท์แอนดรอยด์ จะสามารถกดดาวน์โหลด Mobile_Version.apk มาลงเครื่องได้ แต่หากใช้อุปกรณ์ iOS เมื่อกดดาวน์โหลดก็จะถูก redirect ไปยังหน้าเว็บกูเกิลแทน

บั๊กใน Roby on Rails ที่ใช้โมดูล XML parameter เพื่อรับค่าพารามิเตอร์ในการโพสแบบ XML กำลังทำให้เว็บไซต์ที่รัน Ruby on Rails แทบทั้งหมดเจอปัญหา remote code execution หรือการรันโค้ดที่รับมาจากผู้ใช้

ปัญหาเกิดจากโมดูลสำหรับ parse XML นั้นรองรับค่าชนิด symbol และ yaml โดยโครงสร้างความปลอดภัยของภาษา Ruby นั้นไม่ควรให้ค่า symbol ถูกส่งมาจากภายนอกได้ รวมถึงค่าของ yaml นั้นสามารถใช้รันโค้ดบางส่วนได้โดยโครงสร้างของมันเอง จึงไม่ควรนำมาใช้รับค่าจากผู้ใช้ภายนอก