พบช่องโหว่ SQL Injection บน WordPress Plugin เสี่ยงข้อมูลถูกขโมย

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

ช่องโหว่ SQL Injection ที่ค้นพบบน NextGEN Gallery มี 2 จุด คือ

ช่องโหว่ที่เกิดจากการใช้ฟีเจอร์ NextGEN Basic TagCloud Gallery ซึ่งช่วยให้เจ้าของไซต์สามารถดูรูปภาพตาม Tag ได้ ซึ่งเมื่อคลิก Tag ที่ต้องการ จะทำให้ URL เปลี่ยนแปลงตาม ปัญหาคือ แฮ็คเกอร์สามารถแก้ไขพารามิเตอร์บน URL เพื่อแทรก SQL Query เข้าไปให้ Plugin ประมวลผล แล้วแอบดูหรือเปลี่ยนแปลงข้อมูลในฐานข้อมูลได้ ทั้งนี้ สาเหตุมาจากปัญหาพื้นฐานของเว็บแอพพลิเคชันทั่วไป (ทั้ง WordPress และแอพอื่นๆ ) คือ ขาดการกรองข้อมูลที่ใส่เข้าไปในพารามิเตอร์บน URL อย่างเหมาะสม

อีกช่องโหว่หนึ่งจะเกิดขึ้นในกรณีที่เจ้าของไซต์อนุญาตให้ผู้ใช้โพสต์ข้อความลงบน Blog ได้ ซึ่งแฮ็คเกอร์สามารถใส่โค้ดแปลกปลอมสำหรับ NextGEN Gallery เพื่อลอบส่งคำสั่ง SQL Query เข้าไปประมวลผลในฐานข้อมูลได้ ในกรณีที่แฮ็คเกอร์มีความเชี่ยวชาญด้าน SQL อาจทำให้สามารถขโมยข้อมูลในฐานข้อมูลทั้งหมด รวมไปถึงข้อมูลส่วนบุคคลของผู้ใช้ออกมาได้ทันที

Sucuri ให้คะแนนความเสี่ยงของช่องโหว่นี้ที่ 9 เต็ม 10 เนื่องจากสามารถเจาะช่องโหว่ได้ง่ายมาก ต่อให้เป็นแฮ็คเกอร์มือสมัครเล่นก็ตาม ข่าวดีคือ NextGEN Gallery ออกแพทช์เวอร์ชัน 2.1.79 เพื่ออุดช่องโหว่ SQL Injection นี้เป็นที่เรียบร้อย เพียงแต่ใช้คำพูดใน Change Log ว่า “Tag display adjustment” ซึ่งอาจไม่สื่อถึงความสำคัญของแพทช์ดังกล่าวมากนัก แต่แนะนำให้ผู้ที่ใช้ Plugin นี้อยู่รีบอัปเดตโดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/severe-sql-injection-flaw-discovered-in-wordpress-plugin-with-over-1-million-installs/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Microsoft เปิดตัว Azure Space รุกสู่ธุรกิจอวกาศ พร้อมเผยความร่วมมือกับ SpaceX

Microsoft ได้ออกมาประกาศเปิดตัวถึงการนำบริการ Microsoft Azure ไปสู่อุตสาหกรรมด้านอวกาศภายใต้ชื่อ Azure Space พร้อมเผยถึงความร่วมมือกับ SpaceX ในการบริการด้านโครงข่ายเชื่อมต่อ Cloud

NSA เผย 25 ช่องโหว่ที่ถูกใช้มากที่สุดโดยแฮ็คเกอร์ชาวจีนซึ่งได้รับการสนับสนุนจากภาครัฐ

U.S. National Security Agency หรือ NSA ได้ออกมาแจ้งเตือนถึงช่องโหว่ 25 รายการที่ถูกใช้งานมากที่สุดโดยแฮ็คเกอร์ชาวจีนที่ได้รับการสนับสนุนจากระดับภาครัฐ เพื่อใช้โจมตีหน่วยงานต่างๆ ของสหรัฐอเมริกา โดยช่องโหว่ที่หลากหลายเหล่านี้ถูกใช้งานในลำดับขั้นของการโจมตีที่แตกต่างกันออกไป ดังนี้