Microsoft Azure by Ingram Micro (Thailand)

พบช่องโหว่ Zero-day บน MySQL เสี่ยงถูกแฮ็คเกอร์เข้าควบคุมระบบจัดการฐานข้อมูล

Dawid Golunski นักวิจัยด้านความมั่นคงปลอดภัยออกมาเปิดเผยถึงช่องโหว่ความรุนแรงสูงหลายรายการบนระบบบริหารจัดการฐานข้อมูลแบบ Open Source ชื่อดังอย่าง MySQL และฐานข้อมูลอื่นๆ ที่ Fork ออกมา เช่น MariaDB และ Percona ซึ่งช่วยให้แฮ็คเกอร์สามารถรันโค้ดคำสั่งบนเซิร์ฟเวอร์ตามความต้องการได้

Credit: Maxim Maksutov/ShutterStock
Credit: Maxim Maksutov/ShutterStock

หนึ่งในช่องโหว่เหล่านั้นได้รับรหัส CVE-2016-6662 ซึ่งช่วยให้แฮ็คเกอร์ลอบส่ง Malicious Settings เข้าไปยัง MySQL Configuration Files หรือสร้างไฟล์ขึ้นมาใหม่ได้ ส่งผลให้แฮ็คเกอร์สามารถสั่งรันโค้ดด้วยสิทธิ์ของ Root เมื่อ MySQL Service ถูกรีสตาร์ท ผลลัพธ์คือ แฮ็คเกอร์สามารถเข้าควบคุมเซิร์ฟเวอร์ที่รัน MySQL เวอร์ชันที่มีช่องโหว่ได้ทันที

ช่องโหว่นี้ส่งผลกระทบต่อเซิร์ฟเวอร์ MySQL เวอร์ชัน 5.5, 5.6 และ 5.7 ที่ใช้การตั้งค่าดั้งเดิมจากโรงงาน โดยแฮ็คเกอร์สามารถโจมตีจากภายใน (Local) หรือจากระยะไกล (Remote) ผ่าน 2 วิธี คือ พิสูจน์ตัวตนเข้ามายังฐานข้อมูล MySQL ก่อน (ผ่านทางการเชื่อมต่อเครือข่ายหรือผ่านทาง Web Interface เช่น phpMyAdmin) หรือเจาะช่องโหว่โดยใช้ SQL Injection ก็ได้

Golunski ได้แจ้งปัญหาดังกล่าวไปยัง Oracle และเจ้าของผลิตภัณฑ์อื่นๆ ที่ได้รับผลกระทบเมื่อปลายเดือนกรกฎาคมที่ผ่านมา แต่มีเพียง MariaDB และ Percona เท่านั้นที่ออกเวอร์ชันใหม่เพื่ออุดช่องโหว่ CVE-2016-6662 ส่งผลให้ Golunski ตัดสินใจออกมาเปิดช่องโหว่ดังกล่าวสู่สาธารณะเพื่อให้ผู้ใช้งานระบบจัดการฐานข้อมูลสามารถวางแผนรับมือกับความเสี่ยงนี้ได้

นอกจาก CVE-2016-6662 แล้ว ยังมีอีกหนึ่งช่องโหว่คือ CVE-2016-6663 ซึ่งช่วยให้แฮ็คเกอร์ที่มีสิทธิ์ต่ำ (Low-privileged Attackes) สามารถโจมตี MySQL และให้ผลลัพธ์ที่เหมือนกันได้ โดยรายละเอียดการเจาะระบบจะถูกเผยแพร่เร็วๆ นี้

รายละเอียดเพิ่มเติม: http://legalhackers.com/advisories/MySQL-Exploit-Remote-Root-Code-Execution-Privesc-CVE-2016-6662.html

ที่มา: https://www.helpnetsecurity.com/2016/09/12/mysql-0-day-cve-2016-6662/

About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Brother ประกาศวิสัยทัศน์ “ทรานส์ฟอร์มเพื่ออนาคตที่ยั่งยืน” พร้อมตั้งเป้าโต 7% ในปี 2568

Brother ผู้นำโซลูชันด้านการพิมพ์จากประเทศญี่ปุ่นที่ดำเนินธุรกิจในประเทศไทยมากว่า 28 ปีแล้ว ล่าสุดปลายสัปดาห์ที่ผ่านมาได้ประกาศความสำเร็จโดยปิดปีงบประมาณ 2567 เติบโตโดยภาพรวมถึง 9% สูงกว่าตลาดโดยรวมเกือบ 2 เท่า พร้อมประกาศวิสัยทัศน์ “Transforming for a …

ไมโครซอฟท์ ต่อยอดความร่วมมือกับรัฐบาลไทย เปิดตัวโครงการ THAI Academy มุ่งยกระดับทักษะ AI ให้คนไทย 1 ล้านคน [PR]  

รัฐบาลไทย โดย กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ผนึกกำลัง ไมโครซอฟท์ ประเทศไทย เปิดตัวโครงการ “THAI Academy ขับเคลื่อนอนาคต AI ประเทศไทย” ยกระดับพันธกิจการเสริมทักษะด้าน AI ให้ครอบคลุมคนไทยกว่า 1 ล้านคน ภายใต้ความร่วมมืออย่างใกล้ชิดระหว่างไมโครซอฟท์และรัฐบาลไทย พร้อมพันธมิตรจากภาครัฐและภาคเอกชนกว่า 35 องค์กร และขยายเพิ่มขึ้นอย่างต่อเนื่อง ในการขับเคลื่อนประเทศสู่ยุค AI …