ระวังช่องโหว่ Zero-Click ในแอป Dolby Digital Plus บน Android เปิดช่องให้แฮกเกอร์ทำ RCE แบบผู้ใช้ไม่รู้ตัวได้

ช่องโหว่ความปลอดภัยหลายตัวนั้นสามารถสร้างอันตรายแก่ผู้ใช้งานได้โดยไม่รู้ตัว โดยเฉพาะอย่างยิ่ง ช่องโหว่ประเภทที่สามารถทำร้ายเหยื่อได้โดยที่ไม่ต้องให้เหยื่อกระทำการใด หรือ ช่องโหว่แบบ Zero-Click นั้นจัดได้ว่าเป็นอันตรายมาก อย่างเช่น ช่องโหว่นี้

จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการตรวจพบช่องโหว่ประเภท Zero-Click บนแอปพลิเคชัน Dolby Digital Plus (DDP) ซึ่งเป็นแอปพลิเคชันสำหรับการถอดรหัสเสียงเวอร์ชัน Android โดยทางทีมวิจัยจาก Google Project Zero ซึ่งเป็นหน่วยงานย่อยของทาง Google ซึ่งทางทีมวิจัยได้ระบุว่า ช่องโหว่ดังกล่าวนั้นเป็นช่องโหว่ประเภท Out-of-Bound Write (ช่องโหว่ที่ปล่อยให้แฮกเกอร์สามารถแทรกแซงโค้ดเกิดขอบข่ายของตัวโปรแกรมอนุญาตได้) ในส่วนของ DDPlus Unified Decoder ซึ่งเป็นส่วนสำหรับการประมวลผลไฟล์เสียงของแอปพลิเคชันดังกล่าว

ซึ่งตัวช่องโหว่จะเปิดขึ้นเมื่อเกิดเหตุการณ์ Integer Overflow (ตัวแปร Interger เกินขอบเขตที่กำหนด) ระหว่างตัวเครื่องมือดังกล่าวกำลังทำการคำนวณ ทำให้เกิดการจับจองหน่วยความจำ (Buffer Allocation) ที่น้อยเกินไป ทำให้เกิดการเขียนโค้ดที่ข้ามการตรวจสอบขอบข่ายของพื้นที่ที่ได้รับอนุญาต (Bound Check) จนนำไปสู่การเขียนทับส่วนของโครงสร้างข้อมูลสำคัญ (Key Struct Members) รวมไปถึงในส่วนของ Pointers ที่ถูกประมวลจากการทำ Syncframe

โดยการใช้ช่องโหว่ดังกล่าวนั้นสามารถทำได้ง่าย ๆ เพียงแค่แฮกเกอร์ทำการสร้างไฟล์เสียงนามสกุล .ec3 หรือ .mp4 ที่ถูกสร้างขึ้นมาเพื่อการแฮกโดยเฉพาะ แล้วส่งเข้ามายังเครื่องของเหยื่อผ่านทาง RCS (Rich Communication Services) ของแอปพลิเคชัน Google Messages โดยส่งแบบเป็นไฟล์แนบ ซึ่งแอปพลิเคชัน DDP จะทำการประมวลไฟล์เสียงดังกล่าวอย่างอัตโนมัติจนเกิดการค้างในส่วนของ C2 (Codec 2.0) และนำไปสู่การรันโค้ดที่แอบซ่อนอยู่ในตัวไฟล์ในทันที ซึ่งเรียกว่าเป็นการโจมตีด้วยการรันโค้ดจากระยะไกล หรือ Remote Code Execution หรือ RCE

ปัจจุบันถึงแม้จะมีการรายงานช่องโหว่ดังกล่าวไปทาง Google แล้ว แต่ก็ยังไม่การตอบกลับมาแต่อย่างใด แต่แหล่งข่าวก็แนะนำว่า ขอให้ผู้อ่านทำการอัปเดตทั้งในส่วนของ Android และ แอปพลิเคชันที่เกี่ยวข้องทั้งหมดให้เป็นรุ่นล่าสุดไว้ก่อนเพื่อเป็นการทำตามมาตรฐานความปลอดภัยพื้นฐาน ถึงแม้จะยังไม่ชัดเจนว่า แพทช์สำหรับอุดช่องโหว่โดยตรงนั้นจะออกมาเมื่อไหร่