TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
พบช่องโหว่ระดับ Critical บน expr-eval JavaScript library ที่มีผู้ใช้งานกว่า 800,000 ดาวน์โหลดต่อสัปดาห์บน NPM ทำให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลผ่าน malicious input
ช่องโหว่ที่ถูกค้นพบโดยนักวิจัยด้านความปลอดภัย Jangwoo Choe ได้รับหมายเลข CVE-2025-12735 โดย U.S. Cybersecurity and Infrastructure Security Agency (CISA) ระบุว่ามีความรุนแรงระดับ Critical ด้วยคะแนน CVSS 9.8 expr-eval ที่พัฒนาโดย Matthew Crumley เป็น JavaScript expression parser และ evaluator ขนาดเล็กที่ใช้ในโปรเจ็คต์ต่างๆ ที่ต้องการประมวลผลและคำนวณ mathematical expressions จากผู้ใช้งานอย่างปลอดภัย Library นี้ถูกใช้งานในหลายระบบ รวมถึงเครื่องคิดเลขออนไลน์ ระบบการศึกษา เครื่องมือ simulation เครื่องมือทางการเงิน และระบบ AI และ Natural Language Processing (NLP) ที่ต้องแปลง mathematical expressions จาก text prompts
CERT Coordination Center (CERT-CC) ของ Carnegie Mellon’s Software Engineering Institute เปิดเผยว่าช่องโหว่เกิดจากการที่ library ไม่ได้ตรวจสอบ variables/context object ที่ส่งเข้าไปใน Parser.evaluate() function ทำให้ผู้โจมตีสามารถส่ง malicious function objects ที่ parser จะเรียกใช้ระหว่างการประมวลผล ส่งผลให้ผู้โจมตีสามารถควบคุมพฤติกรรมของซอฟต์แวร์หรือเข้าถึงข้อมูลทั้งหมดบนระบบที่มีช่องโหว่ได้อย่างสมบูรณ์ CVE-2025-12735 ส่งผลกระทบต่อทั้ง expr-eval เวอร์ชันดั้งเดิมที่ปล่อย stable version มา 6 ปีแล้ว และ expr-eval-fork ที่ยังมีการพัฒนาอยู่และมีผู้ใช้งานกว่า 80,000 ดาวน์โหลดต่อสัปดาห์บน NPM โดย library นี้ถูกใช้งานในโปรเจ็คต์มากกว่า 250 โปรเจ็คต์
การแก้ไขช่องโหว่ CVE-2025-12735 มีให้ใช้งานแล้วใน expr-eval-fork version 3.0.0 ซึ่งแนะนำให้โปรเจ็คต์ที่ได้รับผลกระทบเปลี่ยนไปใช้โดยเร็วที่สุด การแพตช์ประกอบด้วยการบังคับใช้ allowlist ของ safe functions สำหรับการประมวลผล ระบบลงทะเบียนสำหรับ custom functions และการปรับปรุง test coverage สำหรับข้อจำกัดเหล่านี้ สำหรับผู้ใช้งาน expr-eval เวอร์ชันดั้งเดิม มี pull request ที่แก้ไขปัญหาแล้ว แต่ยังไม่ทราบว่าจะถูก merge เข้าสู่ release ใหม่เมื่อไหร่เนื่องจากทีมผู้ดูแลโปรเจ็คต์ไม่ตอบสนอง นักพัฒนาซอฟต์แวร์ที่ได้รับผลกระทบควรย้ายไปใช้ expr-eval-fork v3.0.0 ทันทีและ republish libraries เพื่อให้ผู้ใช้งานได้รับการแก้ไข
