Advertisement

เตือนช่องโหว่บน Moodle ระบบ e-Learning ยอดนิยม พบสาเหตุมาจาก “ตรรกะ”​ ผิดพลาด

Netanel Rubin นักวิจัยด้านความมั่นคงปลอดภัยออกมาเปิดเผยถึงช่องโหว่บน Moodle ระบบ CMS สำหรับบริหารจัดการ e-Learning ยอดนิยม ซึ่งช่วยให้แฮ็คเกอร์สามารถเข้าควบคุมเว็บไซต์โดยมีสิทธิ์เป็น Admin รวมไปถึงลอบส่งโค้ด PHP เข้ามารันบน Web Server ได้ แนะนำให้สถานศึกษารีบอัปเดตแพทช์โดยทันที

Moodle เป็นแพลตฟอร์ม Open-source สำหรับให้บริการเว็บไซต์แบบ e-Learning ที่นักศึกษาและคณาจารย์สามารถเชื่อมต่อหากันได้ ส่งผลให้เป็นแพลตฟอร์มที่มหาวิทยาลัย โรงเรียน และสถานศึกษาจากทั่วโลกนิยมใช้ ปัจจุบันนี้มีเว็บไซต์ E-Learning ที่เบื้องหลังเป็น Moodle รวมแล้วมากกว่า 78,000 เว็บจาก 234 ประเทศทั่วโลก และมีผู้ใช้มากกว่า 100 ล้านคน

สัปดาห์ที่ผ่านมา Moodle ได้ออกแพทช์ใหม่สำหรับแพลตฟอร์มหลายเวอร์ชัน ได้แก่ 3.2.2, 3.1.5, 3.0.9 และ 2.7.19 โดยระบุใน Release Note ว่า ได้ทำการแก้ไขปัญหาด้านความมั่นคงปลอดภัยหลายรายการ แต่ไม่ได้ระบุรายละเอียดแต่อย่างใด ส่งผลให้ Rubin ทำการตรวจสอบแพทช์ดังกล่าว และค้นพบช่องโหว่หลายรายการ ถึงแม้ว่าช่องโหว่เหล่านั้นจะไม่ได้มีความรุนแรงมากนัก แต่เมื่อนำมารวมกับกลับช่วยให้แฮ็คเกอร์สามารถสร้างบัญชีระดับ Admin แบบลับๆ และลอบส่งโค้ด PHP เข้ามารันบน Web Server ได้

Rubin ระบุใน Blog ของเขาว่า ช่องโหว่ที่ค้นพบส่วนใหญ่เกิดจากสมมติฐานที่ผิดพลาดของนักพัฒนา ไม่ว่าจะเป็นตรรกะที่มีช่องโหว่, Object Injection, Double SQL Injection และ Dashboard บริหารจัดการที่มีสิทธิ์มากเกินไป ซึ่งตรรกะที่ผิดพลาดนี้เกิดจากการเขียนฟังก์ชันใหม่โดยไม่สนใจการตัดสินใจของฟังก์ชันเดิมที่นักพัฒนาคนอื่นได้ทำไว้ ส่งผลให้ Moodle มีโค้ดมากเกินไป นักพัฒนาที่มากเกินความต้องการ แต่กลับขาดการจัดทำเอกสาร

อย่างไรก็ตาม ถือว่ายังพอโชคดีที่การเจาะช่องโหว่แฮ็คเกอร์จำเป็นต้องมีบัญชีและพิสูจน์ตัวตนเข้าไปก่อน แต่อย่าลืมว่า Moodle เป็นเว็บสำหรับคณาจารย์และนักศึกษาที่มีผู้ใช้ลงทะเบียนเป็นจำนวนมาก การปลอมเป็นนักศึกษาหรือขโมยบัญชีไม่ใช่เรื่องยากเกินความสามารถของแฮ็คเกอร์แต่อย่างใด วิธีการที่ดีที่สุดคือการอัปเดตแพทช์ล่าสุดเพื่ออุดช่องโหว่

อ่านรายละเอียดช่องโหว่เชิงเทคนิค: http://netanelrub.in/2017/03/20/moodle-remote-code-execution/

ที่มา: http://www.csoonline.com/article/3183533/security/flaws-in-moodle-cms-put-thousands-of-e-learning-websites-at-risk.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Webroot อัปเดตฐานข้อมูลมัลแวร์พลาด เกิด False Positive ขึ้นทั่วโลก

หลังจากที่ Webroot ระบบ Endpoint Protection ชื่อดังอัปเดตฐานข้อมูลมัลแวร์ล่าสุดเมื่อวานนี้ ปรากฎเกิดข้อผิดพลาดบางประการ ส่งผลให้ Webroot ตรวจจับแอพพลิเคชันและไฟล์ปกติหลายรายการเป็นมัลแวร์ ไม่ว่าจะเป็นไฟล์สำคัญของระบบปฏิบัติการ Windows หรือแม้แต่การเล่น Facebook เอง …

Interpol เผย พบ Server สำหรับควบคุม Malware กว่า 9,000 เครื่องใน Asean รวมไทยด้วย

Interpol ได้ออกมาเปิดเผยถึงความสำเร็จในการค้นพบ Command & Control (C&C) Server กว่า 8,800 เครื่อง พร้อม Web Site อีกกว่า 270 …