TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
นักวิจัยด้านความมั่นคงปลอดภัยจากบริษัทสัญชาติออสเตรเลีย (Elttam) ได้พบช่องโหว่ซึ่งทำให้เกิด Remote Code Execution ได้ในแพ็กเกจของเว็บเซิร์ฟเวอร์จากบริษัท GoAhead ผู้ให้บริการ Embedded เว็บเซิร์ฟเวอร์สำหรับอุปกรณ์และมีบริษัทแม่คือ Embedthis Software ประเทศสหรัฐอเมริกา โดย Embedthis อ้างว่าผลิตภัณฑ์ของตนถูกนำไปใช้กับผู้ผลิตอุปกรณ์รายใหญ่อย่าง Comcast, Oracle, D-Link, ZTE, HP, Siemens, Canon และเจ้าอื่นๆ
GoAhead เว็บเซิร์ฟเวอร์มีช่องโหว่ที่ทำให้เกิด Remote Code Execution
นักวิจัยกล่าวว่าได้พบช่องทางที่สามารถทำ Remote Execution โค้ดอันตรายบนอุปกรณ์ที่ใช้แพ็กเกจเว็บเซิร์ฟเวอร์จาก GoAhead ได้ ช่องโหว่ดังกล่าวมีหมายเลขอ้างอิง CVE-2017-17562 โดยผู้โจมตีสามารถใช้ช่องโหว่นี้ได้หากมีการเปิดใช้ CGI และโปรแกรม CGI เป็น Dynamic Link ซึ่งเป็นการตั้งค่าที่ค่อนข้างธรรมดามาก สามารถติดตามรายละเอียดเพิ่มเติมได้ที่นี่
คาดว่าอุปกรณ์มากกว่า 5 แสนชิ้นได้รับผลกระทบ
หลังจากที่ Elttam รายงานช่องโหว่เข้าไปและเซิร์ฟเวอร์ได้รับการแพตซ์แล้ว ซึ่งสันนิษฐานว่าเว็บเซิร์ฟเวอร์จาก GoAhead ทุกเวอร์ชันก่อน 3.6.5 มีช่องโหว่นี้ เนื่องจากนักวิจัยได้ทดลองช่องโหว่เพียงแค่เวอร์ชัน 2.5.0 เท่านั้น ตอนนี้ Embedthis ได้ทำงานส่วนของตนเรียบร้อยแล้วเหลือเพียงแค่ให้เจ้าของฮาร์ดแวร์ที่ได้รับผลกระทบนำไปใช้อัปเดตแพทซ์บน Firmware ของตน โดยคาดว่าขั้นตอนนี้อาจจะใช้เวลาหลายเดือนหรือหลายปีเลยทีเดียวและอุปกรณ์บางตัวก็ไม่สามารถอัปเดตได้เนื่องจากหมดอายุการใช้งานแล้ว
จากการค้นหาด้วย Shodan Search พบว่ามีอุปกรณ์ของ GoAhead ออนไลน์อยู่ถึง 5 แสนชิ้นเลยทีเดียว โดยการใช้เว็บเซิร์ฟเวอร์ขนาดเล็กนิยมมากในผู้ผลิตฮาร์ดแวร์ที่มีทรัพยากรจำกัด เช่น อุปกรณ์ IoT, Router, Printer และอุปกรณ์เครือข่ายอื่นๆ นอกจากนี้ Elttam ได้ปล่อยโค้ดที่เป็น Proof of concept มาให้นักวิจัยรายอื่นนำไปทดสอบอุปกรณ์ได้ว่ามีช่องโหว่ดังกล่าวหรือไม่
