Clear
Lead Graphic Papers

ระวังภัย ช่องโหว่ Remote Code Execution ใน Windows Sidebar/Gadget

วันที่ประกาศ: 12 กรกฎาคม 2555
ปรับปรุงล่าสุด: 12 กรกฎาคม 2555
เรื่อง: ระวังภัย ช่องโหว่ Remote Code Execution ใน Windows Sidebar/Gadgets

ประเภทภัยคุกคาม: Intrusion

Share on Facebook Share on Twitter Share on Google+

ข้อมูลทั่วไป

Windows Sidebar เป็นคุณสมบัติที่มีใน Windows Vista โดยจะปรากฏเป็นแถบยาวแนวตั้งอยู่ทางขวาของ Desktop ภายในสามารถบรรจุ Gadgets ซึ่งเป็นโปรแกรมย่อยที่ช่วยอำนวยความสะดวกในการทำงานหรือติดตามข้อมูล เช่น แสดงนาฬิกา แสดงเปอร์เซนต์การใช้ CPU แสดง RSS Feed เป็นต้น [1] ใน Windows Vista นั้น Gadgets จะถูกจำกัดไว้ใน Sidebar แต่ใน Windows 7 ทาง Microsoft ได้ตัด Windows Sidebar ออกไป และปรับปรุงให้ Gadgets สามารถอยู่บนหน้า Desktop ได้อย่างอิสระ พร้อมทั้งเรียกชื่อคุณสมบัติใหม่นี้ว่า Windows Gadgets [2] ตัวอย่าง Windows Sidebar เป็นดังรูปที่ 1 และตัวอย่าง Windows Gadgets เป็นดังรูปที่ 2

Al2012co0013-1.png
รูปที่ 1 Windows Sidebar ใน Windows Vista [1]

Al2012co0013-2.png
รูปที่ 2 Windows Gadgets ใน Windows 7 [2]


เมื่อวันที่ 10 กรกฎาคม 2555 Microsoft ประกาศ Security Advisory รหัส KB2719662 เพื่อแจ้งเตือนการโจมตีผ่านช่องโหว่ใน Windows Sidebar และ Windows Gadgets พร้อมปล่อยซอฟต์แวร์ Fix it เพื่อแก้ไขปัญหาดังกล่าว [3]

ผลกระทบ

ผู้ไม่ประสงค์ดีสามารถสร้างไฟล์ Gadgets (.gadget) ที่มีคำสั่งโจมตีผ่านช่องโหว่ดังกล่าวอยู่ หากผู้ใช้ติดตั้ง Gadgets นั้นลงในระบบโดยไม่ตั้งใจ อาจถูกผู้ไม่ประสงค์ดีสั่งประมวลผลคำสั่งอันตรายจากระยะไกลได้ (Remote Code Execution) โดยผู้ไม่ประสงค์ดีจะได้รับสิทธิในการทำงานเท่ากับสิทธิของผู้ใช้ที่ล็อกอิน

ระบบที่ได้รับผลกระทบ

Windows Vista และ Windows 7 ทั้งเวอร์ชั่น 32 บิตและ 64 บิต

ข้อแนะนำในการป้องกันและแก้ไข

Microsoft ได้ออกซอฟต์แวร์ Fix it 50907 เพื่อปิดการทำงานของ Windows Sidebar/Gadgets โดยซอฟต์แวร์ดังกล่าวนี้เป็นการปิดการทำงานเพื่อแก้ปัญหาแบบชั่วคราวระหว่าง รอแพทช์แก้ไขช่องโหว่ต่อไป ผู้ใช้สามารถดาวน์โหลดซอฟต์แวร์ Fix it ได้จาก เว็บไซต์ของ Microsoft [4]

ปัจจุบัน Microsoft ได้ยกเลิกบริการดาวน์โหลด Gadgets จากหน้าเว็บไซต์ของ Microsoft แล้ว [5] แต่ผู้ใช้ยังสามารถดาวน์โหลดและติดตั้ง Gadgets จากเว็บไซต์อื่นๆ ได้ตามปกติ อย่างไรก็ตาม การติดตั้ง Gadgets จากแหล่งที่มาที่ไม่น่าเชื่อถืออาจเป็นอันตรายต่อระบบได้ ผู้ใช้ควรพิจารณาให้รอบคอบก่อนทำการติดตั้ง Gadget ใดๆ ลงในเครื่อง โดยอาจติดตั้งเฉพาะ Gadgets จากบริษัทที่มีความน่าเชื่อถือ และหลีกเลี่ยงการติดตั้ง Gadgets จากนักพัฒนาภายนอก

อ้างอิง

  1. http://windows.microsoft.com/en-US/windows-vista/Windows-Sidebar-and-gadgets-overview
  2. http://windows.microsoft.com/en-us/windows7/products/features/gadgets
  3. http://technet.microsoft.com/en-us/security/advisory/2719662
  4. http://support.microsoft.com/kb/2719662
  5. http://windows.microsoft.com/th-TH/windows/downloads/personalize/gadgets

Clear