แจ้งเตือนช่องโหว่ความปลอดภัยระดับสูงใน Apache Struts (CVE-2016-3081)
CISA KEV: Apache Struts Command Injection Vulnerability in Apache Struts (CVE-2016-3081)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2016-3081 ในระบบ Apache Struts ซึ่งส่งผลให้ผู้ไม่หวังสามารถโจมตีแบบ Remote Code Execution (RCE) ผ่านการใช้คำสั่งช่องโหว่ Command Injection ได้ ช่องโหว่นี้เกิดขึ้นเมื่อมีการเปิดใช้งานฟีเจอร์ Dynamic Method Invocation (DMI) ทำให้ผู้โจมตีสามารถสั่งประมวลผลคำสั่งอันตรายในระบบเป้าหมายได้โดยไม่ต้องมีการยืนยันตัวตน
รายละเอียดช่องโหว่ (Vulnerability Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2016-3081 เป็นช่องโหว่ประเภท Command Injection (CWE-77) ที่พบในระบบ Apache Struts เวอร์ชัน 2.3.19 ถึง 2.3.20.2, 2.3.21 ถึง 2.3.24.1 และ 2.3.25 ถึง 2.3.28 มีคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 สูงถึง 8.1 (High)
กลไกการโจมตี (Exploitation Mechanism)
ช่องโหว่นี้เกิดขึ้นเนื่องจากระบบมีการเปิดใช้งานคุณสมบัติ Dynamic Method Invocation (DMI) ร่วมกับการประมวลผลนิพจน์แบบ chained expressions ส่งผลให้ผู้โจมตีจากภายนอกสามารถส่งคำขอพิเศษผ่านทางคำนำหน้า method: เพื่อหลบเลี่ยงการตรวจสอบ และลักลอบสั่งประมวลผลคำสั่งระบบ (Arbitrary Code Execution) ได้จากระยะไกล
ผลกระทบต่อองค์กร (Impact)
- การควบคุมระบบ: ผู้โจมตีสามารถเข้าควบคุมเซิร์ฟเวอร์ที่รันแอปพลิเคชันได้โดยสมบูรณ์ (Remote Code Execution)
- การรั่วไหลของข้อมูล: เสี่ยงต่อการถูกเข้าถึง แก้ไข หรือขโมยข้อมูลสำคัญที่จัดเก็บอยู่ภายในระบบ
- ความพร้อมใช้งานของระบบ: ผู้โจมตีอาจใช้ช่องโหว่นี้ในการหยุดการทำงานของระบบหรือใช้เป็นฐานในการโจมตีระบบอื่น ๆ ภายในเครือข่าย
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation & Recommendations)
- อัปเดตซอฟต์แวร์: ดำเนินการอัปเดต Apache Struts ให้เป็นเวอร์ชันที่ปลอดภัยหรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่นี้จากผู้พัฒนา
- ปิดใช้งาน Dynamic Method Invocation (DMI): หากยังไม่สามารถอัปเดตแพตช์ได้ทันที ให้พิจารณาปิดใช้งานฟีเจอร์ DMI ในการกำหนดค่าของ Apache Struts เพื่อลดความเสี่ยงจากการถูกโจมตี
- การจำกัดการเข้าถึง: จำกัดการเข้าถึงเครือข่ายและจำกัดสิทธิ์การเชื่อมต่อมายังเซิร์ฟเวอร์ที่ใช้งาน Apache Struts ให้เฉพาะกิจความจำเป็นเท่านั้น
- การตรวจสอบและเฝ้าระวัง: ตรวจสอบ Log ของระบบเพื่อค้นหาความผิดปกติหรือรูปแบบการเรียกใช้งานที่มีการใช้คำนำหน้า
method:ที่น่าสงสัย