ຊ່ອງໂຫວ່ໃນ Firefox ສໍາລັບ Android ທີ່ອະນຸຍາດໃຫ້ຕົວທ່ອງເວັບສາມາດຄວບຄຸມຜ່ານ Wi-Fi ທີ່ໃຊ້ຮ່ວມກັນ

ໃນ Firefox ສໍາລັບ Android ກໍານົດ ຮ້າຍແຮງ ຄວາມອ່ອນແອ ໃນການຈັດຕັ້ງປະຕິບັດພິທີການ ເອພີເອພີພີ, ໃຊ້ເພື່ອຄົ້ນພົບການບໍລິການເຄືອຂ່າຍໃນເຄືອຂ່າຍທ້ອງຖິ່ນ. ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີທີ່ຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນ ຫຼືເຄືອຂ່າຍໄຮ້ສາຍດຽວກັນ ຕອບສະໜອງຕໍ່ການຮ້ອງຂໍການສືບສວນຂອງ Firefox ດ້ວຍຂໍ້ຄວາມ UPnP XML "LOCATION" ກັບ ຄໍາສັ່ງຕັ້ງໃຈ, ທີ່ທ່ານສາມາດເປີດ URI ທີ່ບໍ່ມັກໃນຕົວທ່ອງເວັບຫຼືໂທຫາ handlers ຂອງຄໍາຮ້ອງສະຫມັກອື່ນໆ.

ບັນຫາ manifests ຕົວຂອງມັນເອງຈົນກ່ວາການປ່ອຍ Firefox ສໍາລັບ Android 68.11.0 ແລະລົບລ້າງໃນສະບັບຂອງ Firefox ສໍາລັບ Android 79, i.e. ສະບັບເກົ່າແກ່ຂອງ Firefox ສໍາລັບ Android ແມ່ນມີຄວາມສ່ຽງແລະຕ້ອງການການຍົກລະດັບ ສະບັບໃຫມ່ browser (Fenix), ເຊິ່ງໃຊ້ເຄື່ອງຈັກ GeckoView, ສ້າງຂຶ້ນໃນເຕັກໂນໂລຊີ Firefox Quantum, ແລະຊຸດຂອງຫ້ອງສະຫມຸດ. ອົງປະກອບຂອງ Mozilla Android. ເວີຊັ່ນເດັສທັອບຂອງ Firefox ບໍ່ໄດ້ຮັບຜົນກະທົບຈາກບັນຫານີ້.

ສໍາລັບການທົດສອບຄວາມອ່ອນແອ ກະກຽມ ຕົ້ນແບບທີ່ເຮັດວຽກຂອງການຂຸດຄົ້ນ. ການໂຈມຕີແມ່ນດໍາເນີນໂດຍບໍ່ມີການດໍາເນີນການໃດໆໃນສ່ວນຂອງຜູ້ໃຊ້; ມັນພຽງພໍທີ່ຕົວທ່ອງເວັບ Firefox ທີ່ມີຄວາມສ່ຽງສໍາລັບ Android ກໍາລັງແລ່ນຢູ່ໃນອຸປະກອນມືຖືແລະຜູ້ຖືກເຄາະຮ້າຍຢູ່ໃນເຄືອຂ່າຍຍ່ອຍດຽວກັນກັບເຄື່ອງແມ່ຂ່າຍ SSDP ຂອງຜູ້ໂຈມຕີ.

Firefox ສໍາລັບ Android ສົ່ງຂໍ້ຄວາມ SSDP ເປັນໄລຍະໆໃນໂຫມດອອກອາກາດ (multicast UDP) ເພື່ອກໍານົດອຸປະກອນການອອກອາກາດເຊັ່ນເຄື່ອງຫຼິ້ນມັນຕິມີເດຍ ແລະໂທລະທັດອັດສະລິຍະທີ່ມີຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນ. ອຸປະກອນທັງໝົດໃນເຄືອຂ່າຍທ້ອງຖິ່ນໄດ້ຮັບຂໍ້ຄວາມເຫຼົ່ານີ້ ແລະມີຄວາມສາມາດສົ່ງຄຳຕອບໄດ້. ໂດຍປົກກະຕິ, ອຸປະກອນຈະສົ່ງຄືນລິ້ງໄປຫາສະຖານທີ່ຂອງໄຟລ໌ XML ທີ່ມີຂໍ້ມູນກ່ຽວກັບອຸປະກອນທີ່ເປີດໃຊ້ UPnP. ເມື່ອປະຕິບັດການໂຈມຕີ, ແທນທີ່ຈະເຊື່ອມຕໍ່ກັບ XML, ທ່ານສາມາດຜ່ານ URI ດ້ວຍຄໍາສັ່ງທີ່ຕັ້ງໃຈສໍາລັບ Android.

ການນໍາໃຊ້ຄໍາສັ່ງທີ່ຕັ້ງໃຈ, ທ່ານສາມາດໂອນຜູ້ໃຊ້ໄປຫາເວັບໄຊທ໌ phishing ຫຼືຜ່ານການເຊື່ອມຕໍ່ໄປຫາໄຟລ໌ xpi (ຕົວທ່ອງເວັບຈະເຕືອນໃຫ້ທ່ານຕິດຕັ້ງ add-on). ເນື່ອງຈາກການຕອບໂຕ້ຂອງຜູ້ໂຈມຕີບໍ່ຈໍາກັດໃນທາງໃດກໍ່ຕາມ, ລາວສາມາດພະຍາຍາມອຶດຫິວແລະນ້ໍາຖ້ວມຕົວທ່ອງເວັບດ້ວຍການສະເຫນີການຕິດຕັ້ງຫຼືເວັບໄຊທ໌ທີ່ເປັນອັນຕະລາຍໂດຍຫວັງວ່າຜູ້ໃຊ້ຈະເຮັດຜິດພາດແລະກົດເພື່ອຕິດຕັ້ງແພັກເກັດທີ່ເປັນອັນຕະລາຍ. ນອກເຫນືອຈາກການເປີດການເຊື່ອມຕໍ່ທີ່ມັກໃນຕົວທ່ອງເວັບຂອງມັນເອງ, ຄໍາສັ່ງທີ່ຕັ້ງໃຈສາມາດຖືກນໍາໃຊ້ເພື່ອປຸງແຕ່ງເນື້ອຫາໃນແອັບພລິເຄຊັນ Android ອື່ນໆ, ຕົວຢ່າງເຊັ່ນ, ທ່ານສາມາດເປີດແມ່ແບບຈົດຫມາຍໃນອີເມວລູກຄ້າ (URI mailto:) ຫຼືເປີດການໂຕ້ຕອບສໍາລັບການໂທ. (URI tel:).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru