จากการ release ตัว LIFF SDK v2.31.1 เมื่อวันที่ 30 ก.ย. ที่ผ่านมา ทาง LINE ได้มีการสรุปเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ได้รับการแก้ไขแล้วใน LIFF app / LINE MINI App และข้อจำกัดการใช้งานที่เกี่ยวข้องสำหรับ LIFF SDK เวอร์ชันเก่าออกมาเพิ่มเติม
ข้อมูลเกี่ยวกับช่องโหว่
ช่องโหว่ดังกล่าวเป็น cross-site scripting (XSS) ที่พบใน LIFF SDK v2.20.0 - v2.31.0 โดยมีนักวิจัยด้านความปลอดภัยจากภายนอกเป็นผู้แจ้งเข้ามายัง LINE
โดยช่องโหว่นี้จะเกิดขึ้นในกรณีที่เปิดใช้งาน LIFF app / LINE MINI App จาก URL ที่มีการแนบ query parameter ที่ไม่ปกติบน External Browser ซึ่งส่งผลให้สามารถเรียกใช้ JavaScript ใดๆ ก็ได้บนโดเมนของแอป LIFF app / LINE MINI App และผู้ไม่หวังดีจะสามารถดึงข้อมูล authentication เช่น access tokens ของผู้ใช้งาน
ผลการตรวจสอบ
ปัจจุบัน ทาง LINE ยังไม่พบการโจมตีที่ประสบความสำเร็จใดๆ ที่ใช้ประโยชน์จากช่องโหว่นี้ หรือความเสียหายใดๆ เช่น การรั่วไหลของข้อมูล หรือการใช้งานโดยไม่ได้รับอนุญาต อย่างไรก็ตามเพื่อป้องกันความเสียหายใดๆที่อาจเกิดขึ้นได้ในอนาคต หากคุณกำลังใช้งาน LIFF SDK v2.20.0 - v2.31.0 โปรดอัปเดต LIFF SDK เป็นเวอร์ชันที่ใหม่กว่าทันที
การจำกัดการใช้งาน LIFF SDK เวอร์ชันเก่า (v2.20.0 - v2.31.0)
เพื่อป้องกันความเสียหายใดๆ ทาง LINE วางแผนที่จะจำกัดการใช้งาน LIFF SDK เวอร์ชันเก่า (v2.20.0 - v2.31.0) ในวันอังคารืที่ 24 พ.ย นี้ โดยเมื่อการจำกัดการใช้งานมีผล จะทำให้การใช้งาน LIFF app / LINE MINI App บน External Browser ไม่สามารถใช้งาน LINE Login และฟีเจอร์อื่นๆ ของ LIFF ได้
อัปเดท LIFF SDK เป็น v2.31.1 หรือใหม่กว่าทันที
