Technology newsroom
CISA สั่งด่วน! 🚨 ผู้ใช้ Zimbra ทั่วโลกเร่งอัปเดตแพตช์ปิดช่องโหว่ร้ายแรง CVE-2022-41352 หลังพบการโจมตีแล้ว
CISA สั่งการด่วนให้ผู้ดูแลระบบ Zimbra ทั่วโลกเร่งแพตช์ช่องโหว่ CVE-2022-41352 ซึ่งเป็นช่องโหว่ Remote Code Execution ที่ถูกแฮกเกอร์ใช้โจมตีจริงแล้ว โดยแนะนำให้ติดตั้ง cpio utility และรีสตาร์ทเซอร์วิสโดยทันที
📌 สรุปประเด็นสำคัญ:
- ช่องโหว่ CVE-2022-41352 ใน Zimbra Collaboration Suite (ZCS) ถูกแฮกเกอร์ใช้โจมตีจริงแล้ว มีความรุนแรงระดับ Remote Code Execution (RCE)
- ปัญหานี้เกิดจาก Zimbra ใช้เครื่องมือ pax ที่ไม่ปลอดภัยในการแตกไฟล์ .tar เมื่อไม่พบ cpio บนระบบ ทำให้แฮกเกอร์สามารถลอบรันโค้ดอันตรายผ่านการอัปโหลดไฟล์ได้
- CISA สั่งการให้หน่วยงานรัฐบาลกลางของสหรัฐฯ ต้องแพตช์ช่องโหว่นี้ภายใน 3 วัน และแนะนำให้ผู้ดูแลระบบ Zimbra ทุกรายดำเนินการโดยด่วนที่สุด
หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกคำสั่งด่วนถึงหน่วยงานรัฐบาลกลางทั้งหมด ให้ทำการอัปเดตแพตช์ช่องโหว่ความรุนแรงสูงใน Zimbra Collaboration Suite (ZCS) ซึ่งเป็นแพลตฟอร์มอีเมลและ Collaboration ยอดนิยม โดยช่องโหว่ดังกล่าวมีรหัส CVE-2022-41352 และถูกบรรจุเข้าในรายการ Known Exploited Vulnerabilities (KEV) Catalog เป็นที่เรียบร้อยแล้ว ซึ่งหมายความว่ามีหลักฐานชัดเจนว่าแฮกเกอร์กำลังใช้ช่องโหว่นี้โจมตีเป้าหมายอย่างจริงจังอยู่ในขณะนี้
สำหรับรายละเอียดทางเทคนิคของช่องโหว่ CVE-2022-41352 นี้ เกิดขึ้นจากวิธีการที่ ZCS จัดการกับไฟล์แนบที่เป็นไฟล์บีบอัด (.tar) โดยปกติแล้ว Zimbra จะใช้ยูทิลิตี้ที่ชื่อว่า cpio ในการแตกไฟล์ แต่หากบนเซิร์ฟเวอร์ไม่ได้ติดตั้ง cpio ไว้ ระบบจะเปลี่ยนไปใช้ pax ซึ่งเป็นเครื่องมือทางเลือกที่มีช่องโหว่ ทำให้นักโจมตีสามารถสร้างไฟล์ .tar ที่ฝังโค้ดอันตรายเอาไว้ และเมื่อผู้ใช้สแกนไฟล์ดังกล่าวด้วยโปรแกรม Antivirus บนเซิร์ฟเวอร์ Zimbra โค้ดที่แฝงมาก็จะถูกรันทันที เปิดช่องให้แฮกเกอร์เข้าควบคุมเซิร์ฟเวอร์ได้จากระยะไกล (Remote Code Execution)
🛡️ แนวทางการแก้ไขและป้องกัน
CISA ได้กำหนดเส้นตายให้หน่วยงานรัฐบาลกลางต้องทำการแพตช์ช่องโหว่นี้ภายในวันที่ 28 ตุลาคม 2022 แต่สำหรับองค์กรเอกชนและผู้ดูแลระบบทั่วไป ก็ควรดำเนินการแก้ไขโดยเร็วที่สุดเช่นกัน วิธีการแก้ไขเบื้องต้นที่ง่ายและรวดเร็วที่สุดคือการติดตั้งแพ็กเกจ cpio ลงบนเซิร์ฟเวอร์ที่รัน Zimbra (เช่น ใช้คำสั่ง `sudo apt install cpio` บน Debian/Ubuntu หรือ `sudo yum install cpio` บน CentOS/RHEL) จากนั้นทำการรีสตาร์ทเซอร์วิสของ Zimbra ทั้งหมด เพื่อให้ระบบกลับมาใช้ cpio ที่ปลอดภัยกว่าในการทำงาน
เนื่องจาก Zimbra เป็นแพลตฟอร์มที่ถูกใช้งานอย่างแพร่หลายในองค์กรหลายพันแห่งทั่วโลก ทั้งภาครัฐและเอกชน การปล่อยให้ช่องโหว่นี้คงอยู่จึงมีความเสี่ยงสูงมากที่จะตกเป็นเหยื่อของการโจมตี ซึ่งอาจนำไปสู่การรั่วไหลของข้อมูลสำคัญ การเรียกค่าไถ่ หรือการที่เซิร์ฟเวอร์ถูกยึดเพื่อใช้เป็นฐานในการโจมตีต่อไป ดังนั้นผู้ดูแลระบบทุกท่านจึงควรรีบตรวจสอบและดำเนินการแก้ไขโดยทันที
💬 ใครใช้ Zimbra อยู่บ้างครับ? ตรวจสอบและอัปเดตกันเรียบร้อยหรือยัง? มาแชร์สถานะกันได้ใต้คอมเมนต์นี้เลยครับ