🖼️ “Qt อุดช่องโหว่ SVG ร้ายแรง 2 จุด — เสี่ยงล่มระบบและรันโค้ดอันตรายจากไฟล์ภาพ” Qt Group ได้ออกประกาศแจ้งเตือนความปลอดภัยระดับวิกฤตเกี่ยวกับช่องโหว่ 2 รายการในโมดูล SVG ซึ่งมีรหัส CVE-2025-10728 และ CVE-2025-10729 โดยทั้งสองช่องโหว่มีคะแนนความรุนแรง CVSS 4.0 อยู่ที่ 9.4 ถือว่าอยู่ในระดับ “Critical” และส่งผลกระทบต่อ Qt เวอร์ชัน 6.7.0 ถึง 6.8.4 และ 6.9.0 ถึง 6.9.2 ช่องโหว่แรก (CVE-2025-10728) เกิดจากการเรนเดอร์ไฟล์ SVG ที่มี <pattern> แบบวนซ้ำ ซึ่งอาจทำให้เกิดการเรียกซ้ำไม่รู้จบ (infinite recursion) จนเกิด stack overflow และทำให้แอปพลิเคชันหรือระบบล่มได้ทันที แม้จะไม่สามารถใช้โจมตีเพื่อรันโค้ดโดยตรง แต่ก็เป็นภัยคุกคามต่อความเสถียรของระบบ โดยเฉพาะในอุปกรณ์ฝังตัวหรือ UI ที่ต้องประมวลผลภาพจากภายนอก ช่องโหว่ที่สอง (CVE-2025-10729) อันตรายยิ่งกว่า เพราะเป็นบั๊กแบบ use-after-free ที่เกิดขึ้นเมื่อโมดูล SVG พยายาม parse <pattern> ที่ไม่ได้อยู่ภายใต้โหนดโครงสร้างหลักของไฟล์ SVG ซึ่งจะทำให้โหนดนั้นถูกลบหลังสร้าง แต่ยังถูกเรียกใช้งานภายหลัง ส่งผลให้เกิดพฤติกรรมไม่คาดคิด เช่น การรันโค้ดจากระยะไกล (RCE) หากหน่วยความจำถูกจัดสรรใหม่ในลักษณะที่เอื้อให้โจมตี ช่องโหว่เหล่านี้มีผลกระทบกว้าง เพราะ Qt SVG ถูกใช้งานในหลายระบบ เช่น KDE Plasma, UI ฝังตัวในรถยนต์ อุปกรณ์การแพทย์ และ IoT ซึ่งมักต้องประมวลผล SVG จากผู้ใช้หรือจากอินเทอร์เน็ต ทำให้แม้แต่การอัปโหลดภาพธรรมดาก็อาจกลายเป็นช่องทางโจมตีได้ Qt แนะนำให้ผู้พัฒนาอัปเดตเป็นเวอร์ชัน 6.9.3 หรือ 6.8.5 โดยเร็วที่สุด และหลีกเลี่ยงการเรนเดอร์ SVG ที่ไม่ได้รับการตรวจสอบความปลอดภัย พร้อมตรวจสอบไลบรารีของบุคคลที่สามว่ามีการใช้โมดูล SVG ที่มีช่องโหว่หรือไม่ ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่ CVE-2025-10728 และ CVE-2025-10729 อยู่ในโมดูล SVG ของ Qt ➡️ CVE-2025-10728 เกิดจากการเรนเดอร์ <pattern> แบบวนซ้ำ ทำให้เกิด stack overflow ➡️ CVE-2025-10729 เป็นบั๊ก use-after-free ที่อาจนำไปสู่การรันโค้ดจากระยะไกล ➡️ ช่องโหว่มีผลกับ Qt เวอร์ชัน 6.7.0 ถึง 6.8.4 และ 6.9.0 ถึง 6.9.2 ➡️ Qt แนะนำให้อัปเดตเป็นเวอร์ชัน 6.9.3 หรือ 6.8.5 ➡️ ช่องโหว่มีคะแนน CVSS 4.0 อยู่ที่ 9.4 ถือว่า “Critical” ➡️ Qt SVG ถูกใช้งานในระบบหลากหลาย เช่น KDE Plasma, รถยนต์, อุปกรณ์การแพทย์ และ IoT ➡️ ช่องโหว่สามารถถูกโจมตีผ่านไฟล์ SVG ที่อัปโหลดจากผู้ใช้ ➡️ ไม่มีรายงานการโจมตีจริงในขณะนี้ แต่มีความเสี่ยงสูง ✅ ข้อมูลเสริมจากภายนอก ➡️ SVG เป็นไฟล์ภาพแบบเวกเตอร์ที่นิยมใช้ในเว็บและ UI เพราะขนาดเล็กและปรับขนาดได้ ➡️ use-after-free เป็นบั๊กที่อันตรายเพราะสามารถนำไปสู่การควบคุมหน่วยความจำ ➡️ Qt เป็นเฟรมเวิร์กที่ใช้ในซอฟต์แวร์ระดับองค์กรและอุปกรณ์ฝังตัวจำนวนมาก ➡️ การโจมตีผ่าน SVG เคยถูกใช้ใน phishing และการฝังโค้ด HTML ในภาพ ➡️ การตรวจสอบไฟล์ SVG ก่อนเรนเดอร์เป็นแนวทางป้องกันที่สำคัญ https://securityonline.info/qt-fixes-dual-critical-vulnerabilities-cve-2025-10728-cve-2025-10729-in-svg-module/