ตกเป็นประเด็นร้อนของวงการซีเคียวริตี้ในช่วงสัปดาห์นี้กับเหตุการณ์ที่ Christy Philip Mathew นักวิจัยจากแล็บของ The Hacker News พบช่องโหว่ที่ผู้โจมตีสามารถนำเข้าคุกกี้ของเหยื่อที่จะออกจากระบบไปแล้ว มาใช้ในการสวมรอยเพื่อเข้าสู่ระบบใหม่ได้ ซึ่งทำให้ผู้โจมตีสามารถอ่านอีเมลรวมไปถึงข้อมูลต่างๆ ภายในบัญชีของเหยื่อได้
จากปกติเมื่อเราทำการออกจากระบบนั้นเซสชันปัจจุบันก็จะถูกปิดไปด้วย แต่ในกรณีนี้นั้นเมื่อเราทำการส่งออกคุกกี้ตอนที่อยู่ในระบบ แล้วนำเข้าคุกกี้นี้อีกครั้งแม้จะออกจากระบบไปแล้ว ก็ยังสามารถใช้คุกกี้นั้นเข้าระบบได้ตลอดเวลา (ดูวีดีโอเพิ่มเติม)
แต่เรื่องนี้ไม่ได้จบเพียงแค่ค้นพบช่องโหว่ครับ ปกติการเจอช่องโหว่ที่กระทบต่อผู้ใช้งานก็จะมีการแจ้งไปยังผู้ให้บริการหรือ vender ก่อนเพื่อทำการแพตซ์ช่องโหว่ก่อนจะนำช่องโหว่เหล่านี้มาเผยแพร่ต่อสาธารณะ ซึ่งช่องโหว่นี้ตัวนี้ก็ได้มีการแจ้งไปยัง Microsoft Security Team เรียบร้อยแล้ว แต่กลับได้รับเมลตอบกลับด้วยเนื้อหาที่ดูเหมือนจะไม่ได้ตรงจุดของช่องโหว่นี้ซักเท่าไหร่นัก โดยได้บอกว่าช่องโหว่นี้ไม่ได้ทำให้เกิดการสูญเสียรหัสผ่าน ซึ่งอันที่จริงการที่มีคนมาแอบอ่านอีเมลของเราได้นั้นก็ถือว่าเป็นข้อผิดพลาดที่ร้ายแรงแล้ว (รูปประกอบอีเมลดังกล่าว) ทาง THN จึงตัดสินใจประกาศเรื่องนี้ออกสู่สาธารณะโดยอ้างว่าไมโครซอฟท์ยังไม่เข้าใจประเด็นนี้
ทาง THN ได้ทำการกล่าวถึงสถานการณ์ต่างๆ ที่ผู้โจมตีจะได้คุกกี้เหล่านี้หากช่องโหว่ยังมีอยู่ รวมถึงไทม์ไลน์ที่ช่วงเวลาที่ค้นพบช่องโหว่ด้วย มาดูกันต่อไปครับว่าเรื่องนี้จะจบอย่างไร
ที่มา - The Hacker News
