iOS: ข้อบกพร่องทำให้สามารถเผยแพร่รหัส QR ที่เป็นอันตรายได้

หากคุณมี iPhone และคุ้นเคยกับการสแกนรหัส QR ด้วยแอปพลิเคชัน Camera โปรดระวัง! ข้อบกพร่องทำให้แฮกเกอร์สามารถหลอกลวงผู้ใช้ได้อย่างง่ายดาย และเปลี่ยนเส้นทางพวกเขาไปยังไซต์ที่ถูกหลอกเมื่อพวกเขาคิดว่าพวกเขากำลังไปที่ไซต์ที่เชื่อถือได้ การค้นพบโดยนักวิจัยด้านความปลอดภัยโรมัน มุลเลอร์ช่องโหว่นี้เชื่อมโยงกับตัวแยกวิเคราะห์ URL ซึ่งเห็นได้ชัดว่ามีปัญหาในการจัดการสตริงอักขระบางตัว

ยกตัวอย่างโค้ด QR ต่อไปนี้:

มันเข้ารหัส URL ที่แปลกมากนี้:

https://[ป้องกันอีเมล]-[ป้องกันอีเมล]

เมื่อสแกนด้วยแอพพลิเคชั่น Camera จะแสดงการแจ้งเตือนต่อไปนี้:

เปิด “facebook.com” ในซาฟารี

แต่ในความเป็นจริง หากผู้ใช้คลิกที่มัน เขาจะไม่จบลงที่ facebook.com แต่อยู่ที่ infosec.rm-it.de“ตัวแยกวิเคราะห์ URL ของแอปกล้องไม่สามารถตรวจพบชื่อโดเมนในลักษณะเดียวกับของ Safari”ขีดเส้นใต้นักวิจัยด้านความปลอดภัยในบล็อกของเขา อย่างไรก็ตาม เขาไม่ทราบสาเหตุหลักของข้อผิดพลาดนี้ โดยถือว่าในกรณีแรกตรวจพบ "xxx" เป็นชื่อผู้ใช้บนเว็บไซต์ facebook.com ในกรณีที่สอง น่าจะเป็นสตริง “[ป้องกันอีเมล]» ซึ่งจะเข้าใจได้ในฐานะผู้ใช้บนเว็บไซต์ infosec.rm-it.de Roman Mueller แจ้งเตือน Apple เมื่อเดือนธันวาคมปีที่แล้ว สามเดือนต่อมา ข้อผิดพลาดนี้ยังไม่ได้รับการแก้ไข ในระหว่างนี้ ทางที่ดีควรหลีกเลี่ยงรหัส QR

ปัญหายังบน Android

ปัญหาเกี่ยวกับรหัส QR ไม่ได้มีเฉพาะบน iOS เท่านั้น บน Android ผู้ใช้ยังต้องระมัดระวังด้วย นักวิจัยด้านความปลอดภัยจากโซฟอสตรวจพบเครื่องอ่านโค้ด QR ทั้งชุดบน Google Play ซึ่งในความเป็นจริงแล้วเป็นโฆษณาม้าโทรจันซึ่งแสดงโฆษณาบนอินเทอร์เฟซผู้ใช้ บางส่วนถูกดาวน์โหลดมากกว่า 500,000 ครั้ง สิ่งเหล่านี้ได้ถูกลบออกโดย Google แล้ว

🔴 เพื่อไม่ให้พลาดข่าวสารจาก 01net ติดตามเราได้ที่Google ข่าวสารetวอทส์แอพพ์-