Technology newsroom
ด่วน! F5 ออกแพตช์ฉุกเฉิน NGINX อุดช่องโหว่ร้ายแรงระดับ Critical เสี่ยงถูกยึดเครื่อง 🚨
F5 ออกแพตช์ความปลอดภัยฉุกเฉินสำหรับ NGINX เพื่อแก้ไขช่องโหว่ร้ายแรงระดับ Critical หลายรายการ ซึ่งอาจนำไปสู่การรันโค้ดจากระยะไกล (RCE) แนะผู้ดูแลระบบอัปเดตโดยด่วน
📌 สรุปประเด็นสำคัญ:
- F5 ได้ออกแพตช์ความปลอดภัยฉุกเฉิน (Out-of-band) สำหรับ NGINX เพื่อแก้ไขช่องโหว่ร้ายแรงหลายรายการ
- มีช่องโหว่ระดับ Critical ถึง 3 รายการ ที่อาจทำให้ผู้ไม่หวังดีสามารถรันโค้ดจากระยะไกล (Remote Code Execution) บนระบบได้
- ผู้ดูแลระบบที่ใช้ NGINX Plus, NGINX Open Source และผลิตภัณฑ์ที่เกี่ยวข้องควรรีบอัปเดตโดยด่วนที่สุด
แจ้งเตือนภัยเร่งด่วนสำหรับผู้ดูแลระบบและผู้ใช้งาน NGINX ทุกท่าน! บริษัท F5 ได้ประกาศปล่อยแพตช์ความปลอดภัยนอกรอบ (out-of-band) เพื่อแก้ไขช่องโหว่หลายรายการในซอฟต์แวร์เว็บเซิร์ฟเวอร์ NGINX ที่ได้รับความนิยมอย่างสูง การออกแพตช์นอกรอบแบบนี้บ่งชี้ถึงความรุนแรงและความเร่งด่วนของปัญหาที่ไม่สามารถรอรอบการอัปเดตปกติได้
ในบรรดาช่องโหว่ที่ถูกค้นพบ มี 3 รายการที่ถูกจัดอยู่ในระดับความรุนแรง 'Critical' ซึ่งเป็นระดับสูงสุด ช่องโหว่เหล่านี้มีความเสี่ยงสูงมาก เนื่องจากเปิดโอกาสให้ผู้โจมตีจากระยะไกลสามารถสั่งรันโค้ดอันตรายบนเซิร์ฟเวอร์ที่ใช้ NGINX เวอร์ชันที่มีปัญหาได้สำเร็จ หรือที่เรียกว่า Remote Code Execution (RCE) ซึ่งหมายความว่าแฮกเกอร์อาจเข้าควบคุมเซิร์ฟเวอร์ของคุณได้อย่างสมบูรณ์ ขโมยข้อมูล หรือใช้เป็นฐานในการโจมตีต่อไปได้
🛡️ รายละเอียดช่องโหว่และแนวทางแก้ไข
ช่องโหว่หลักๆ เกี่ยวข้องกับโมดูล ngx_http_mp4_module และการจัดการโปรโตคอล HTTP/3 QUIC โดยผู้โจมตีสามารถสร้างไฟล์วิดีโอ MP4 หรือส่งแพ็กเก็ต QUIC ที่ออกแบบมาเป็นพิเศษเพื่อกระตุ้นให้เกิดช่องโหว่และเข้าควบคุมระบบได้ ทาง F5 ได้ออกเวอร์ชันที่แก้ไขแล้วสำหรับผลิตภัณฑ์ต่างๆ ดังนี้
NGINX Open Source: อัปเดตเป็นเวอร์ชัน 1.27.0 (mainline), 1.26.1 (stable)
NGINX Plus: อัปเดตเป็นเวอร์ชัน R32, R31 P1, R30 P2
NGINX Ingress Controller: อัปเดตเป็นเวอร์ชัน 3.5.0, 3.4.4
สำหรับผู้ดูแลระบบที่ไม่สามารถอัปเดตได้ทันที มีคำแนะนำให้ปิดการใช้งานโมดูลที่มีปัญหา เช่น ngx_http_mp4_module หรือปิดการใช้งาน HTTP/3 เพื่อลดความเสี่ยงชั่วคราว แต่ทางที่ดีที่สุดคือการอัปเดตแพตช์โดยเร็วที่สุดเพื่อความปลอดภัยสูงสุดของระบบ
💬 ใครใช้ NGINX รุ่นไหนกันอยู่บ้างครับ? ตรวจสอบและอัปเดตแพตช์ความปลอดภัยตัวนี้กันเรียบร้อยหรือยังครับ?