TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
มีการเผยแพร่ proof-of-concept exploit สำหรับช่องโหว่ SQL injection ระดับ Critical ใน Fortinet FortiWeb ที่สามารถใช้ในการเข้าควบคุมระบบจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน
FortiWeb เป็น web application firewall (WAF) ที่ใช้ในการปกป้องเว็บแอปพลิเคชันจากทราฟฟิก HTTP ที่เป็นอันตรายและภัยคุกคามต่างๆ ช่องโหว่ที่พบมีรหัสติดตามเป็น CVE-2025-25257 และมีคะแนนความรุนแรงสูงถึง 9.8 จาก 10 คะแนน โดย Fortinet ได้ออกแพตช์แก้ไขในสัปดาห์ที่ผ่านมาสำหรับ FortiWeb เวอร์ชัน 7.6.4, 7.4.8, 7.2.11, 7.0.11 และเวอร์ชันที่ใหม่กว่า ช่องโหว่นี้ถูกค้นพบโดย Kentaro Kawane จาก GMO Cybersecurity ซึ่งเป็นผู้ค้นพบช่องโหว่รหัสผ่านฝังตายตัวใน Cisco ISE เมื่อเดือนที่แล้วด้วย
ช่องโหว่เกิดจากปัญหาการกรองข้อมูลพิเศษที่ใช้ในคำสั่ง SQL ไม่เหมาะสม (SQL Injection) ใน FortiWeb ทำให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถรันโค้ด SQL หรือคำสั่งที่ไม่ได้รับอนุญาตผ่านคำขอ HTTP หรือ HTTPS ที่ถูกสร้างขึ้นมาเป็นพิเศษ ปัญหาพบในส่วน Fabric Connector ของ FortiWeb ซึ่งเป็นซอฟต์แวร์ที่ใช้ sync ข้อมูลการยืนยันตัวตนและนโยบายระหว่างผลิตภัณฑ์ของ Fortinet โดยเฉพาะในฟังก์ชัน get_fabric_user_by_token() ที่ไม่ได้ทำการกรองข้อมูล bearer token ที่ส่งมาใน HTTP request headers อย่างเหมาะสม
ผู้วิจัยจากบริษัท WatchTowr และนักวิจัยที่รู้จักกันในชื่อ “faulty *ptrrr” ได้เผยแพร่รายละเอียดทางเทคนิคและ proof-of-concept exploits ที่สามารถเปิด reverse shell หรือ web shell ได้ โดยผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ SQL injection นี้เพื่อยกระดับไปสู่การรันโค้ดจากระยะไกล (remote code execution) ผ่านการใช้คำสั่ง MySQL ในการสร้างไฟล์ตามต้องการบนอุปกรณ์ รวมถึงการเขียนไฟล์ Python .pth ลงในไดเรกทอรี site-packages ซึ่งไฟล์ .pth จะถูกโหลดและรันโดยอัตโนมัติเมื่อ Python ถูกเรียกใช้งาน ทำให้สามารถเข้าควบคุมระบบได้ในที่สุด
เนื่องจากขณะนี้มีการเผยแพร่ exploit สาธารณะแล้ว ผู้ดูแลระบบควรให้ความสำคัญกับการติดตั้งแพตช์โดยเร็วที่สุดเพื่อป้องกันไม่ให้เซิร์ฟเวอร์ถูกบุกรุก แม้ว่าในขณะนี้ยังไม่มีหลักฐานว่าช่องโหว่นี้ถูกใช้โจมตีในสถานการณ์จริง แต่มีแนวโน้มสูงว่าจะเกิดขึ้นในอนาคตอันใกล้นี้
