วันนี้ผู้ใช้ทวิตเตอร์นามว่า @lemiorhan ได้พบ Bug บน macOS High Sierra เวอร์ชั่น 10.13 และ 10.13.1 มีช่องโหว่ขนาดใหญ่เกี่ยวการเข้าถึงสิทธิ์บนตัวเครื่อง คือ ในเวอร์ชั่นนี้ไม่ว่าใครก็สามารถเข้าถึงสิทธิ์ผู้ใช้สูงสุดของระบบ macOS ได้แบบไม่ต้องใช้รหัสผ่าน โดยการพิมพ์ชื่อผู้ใช้เป็น “root” ปล่อยช่องรหัสผ่านว่างไว้แล้วกด Unlock ทำแบบนี้ซ้ำๆ ไปเรื่อยๆ ประมาณ 5 ครั้งเครื่องก็จะปล่อยให้ผู้ที่ทำได้สิทธิ์เข้าไปแก้ไขระบบต่างๆได้ รวมไปถึงการเปลี่ยนพาสเวิดเครื่องไปเลยด้วย
macOS High Sierra
Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as “root” with empty password after clicking on login button several times. Are you aware of it @Apple?
— Lemi Orhan Ergin (@lemiorhan) November 28, 2017
ซึ่งหลังจากที่ @lemiorhan ทวีตเรื่องนี้ในทวิตเตอร์ส่วนตัวนั้น ก็มีผู้ใช้หลายคนรวมถึงหนังสือพิพม์ The Register ยืนยันว่าทำตามวิธีนี้ได้จริงๆ และขณะนี้แอปเปิ้ลยังไม่มีการปล่อยอัปเดตเพื่อแก้ไขบั๊คนี้แต่อย่างใด และยังไม่มีการยืนยันว่า macOS หรือ OS X รุ่นเก่ากว่า 10.13 นั้นมีรูรั่วเดียวกันนี้หรือไม่ สำหรับผู้ใช้แมคที่เป็น Os เวอร์ชั่น High Sierra ที่มีปัญหานี้ สามารถอุดรูรั่วดังกล่าวไปก่อนชั่วคราว โดยทำตามวิธีนี้
1. เปิดโปรแกรม Directory Utility (อยู่ในโฟลเดอร์ /System/Library/CoreServices/Applications หรือคลิกที่ไอคอนแว่นขยายมุมขวาบนของจอแล้วพิมพ์คำว่า “Directory Utility” เพื่อค้นหา)
2. ที่เมนูด้านบนของโปรแกรม Directory Utility เลือก Edit > Enable Root User
* ถ้าเลือกไม่ได้ ตัวอักษรเป็นสีเทาอยู่ แปลว่ายังไม่มีสิทธิ์ตั้งค่านี้ ให้คลิกปลดล็อกก่อน (ดูที่หน้าต่างของโปรแกรม Directory Utility จะมีรูปแม่กุญแจสีเหลืองอยู่มุมซ้ายล่าง) หรือติดต่อผู้ดูแลระบบ/ฝ่ายไอที
** ถ้าไม่มีเมนู Enable Root User แต่มี Disable Root User, ให้เลือก Disable Root User ก่อน แล้วค่อยกลับมาเลือก Enable Root User อีกที
3. ที่เมนูด้านบนของโปรแกรม Directory Utility เลือก Edit > Change Root Password… แล้วตั้งรหัสผ่านเป็นอะไรก็ได้ (ที่ปลอดภัยหน่อย)
4. ออกจากโปรแกรม Directory Utility แล้วทดลองว่ายังใช้ชื่อผู้ใช้ root แบบไม่ต้องใส่รหัสผ่านได้อยู่หรือไม่ 5. รอแอปเปิลออกแพตช์แก้ไขความปลอดภัย แล้วรีบอัปเดตทันที
**สำหรับผู้ใช้ที่ใช้ command line ได้วิธีที่อาจจะสะดวกกว่าคือเปิด Terminal ขึ้นมา แล้วใช้คำสั่งนี้เพื่อตั้งรหัสผ่านให้กับ root
sudo passwd root นั่นเอง ยังไงลองเอาวิธีนี้ไปทำกันดูฮะ
ที่มา Frobe , qz.com , thainetizen
