แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 10.0) ใน WSO2 Multiple Products (CVE-2026-5430)
CISA KEV: WSO2 Multiple Products Path Traversal Vulnerability in WSO2 Multiple Products (CVE-2026-5430)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-5430 ซึ่งเกี่ยวข้องกับกลไกการยืนยันตัวตน JWT และช่องโหว่ Path Traversal ในผลิตภัณฑ์ WSO2 หลากหลายผลิตภัณฑ์ ช่องโหว่นี้มีความรุนแรงระดับวิกฤตสูงสุด (CVSS 10.0) ช่วยให้ผู้โจมตีจากภายนอกสามารถอัปโหลดไฟล์ได้อย่างไร้ขีดจำกัด บายพาสระบบยืนยันตัวตน และนำไปสู่การรันคำสั่งระยะไกล (Remote Code Execution) ได้ทันทีโดยไม่ต้องมีการยืนยันตัวตนล่วงหน้า
รายละเอียดทางเทคนิคของช่องโหว่ (Technical Details)
รหัสช่องโหว่: CVE-2026-5430
ความรุนแรง: วิกฤต (CVSS Base Score: 10.0)
ประเภทข้อบกพร่อง (CWE): CWE-347 (Improper Verification of Cryptographic Signature)
ระบบที่ได้รับผลกระทบ: WSO2 Multiple Products (รวมถึง WSO2 API Control Plane, API Manager, Traffic Manager และ Universal Gateway)
กลไกการโจมตีและการทำงานของช่องโหว่:
- กลไก JWT Authentication: ยอมรับ Token ที่ลงนามด้วยอัลกอริทึมอื่นๆ นอกเหนือจากที่กำหนดค่าหรือรองรับไว้ชัดเจน ส่งผลให้ผู้โจมตีสามารถสร้าง JWT ปอมแปลงด้วยอัลกอริทึมที่ไม่รองรับ และระบบตรวจสอบความถูกต้องผิดพลาด นำไปสู่การเข้าถึงระบบโดยไม่ได้รับอนุญาต (Unauthorized Access) การเข้ายึดบัญชีผู้ดูแลระบบ และการยึดครองระบบทั้งหมด (Full Account Takeover)
- ช่องโหว่ Path Traversal: มีช่องโหว่การเข้าถึงเส้นทางไฟล์ในส่วนประกอบต่างๆ ทำให้ผู้โจมตีสามารถอัปโหลดไฟล์อันตรายเข้าสู่ระบบได้อย่างไร้ขีดจำกัด (Unrestricted File Upload) และนำไปสู่การรันคำสั่งจากระยะไกล (Remote Code Execution: RCE) บนเซิร์ฟเวอร์เป้าหมาย
ผลกระทบต่อองค์กร: หากถูกโจมตีสำเร็จ ผู้ไม่หวังดีสามารถเข้าถึงระบบ ควบคุมบัญชีผู้ดูแลระบบ และสั่งประมวลผลคำสั่งอันตรายบนโครงสร้างพื้นฐานขององค์กร ส่งผลให้ความลับ ความถูกต้อง และความพร้อมใช้งานของระบบถูกทำลายลงอย่างสมบูรณ์
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation & Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตผลิตภัณฑ์ WSO2 ทุกตัวที่ได้รับผลกระทบให้เป็นเวอร์ชันล่าสุดที่ทางผู้พัฒนาได้จัดทำแพตช์แก้ไขช่องโหว่แล้วทันที ตามคำแนะนำอย่างเป็นทางการของ WSO2
- ปฏิบัติตามคำสั่งของ CISA (BOD 26-04): หน่วยงานที่ใช้งานควบรวมบริการคลาวด์หรือระบบภายใน ต้องประเมินความเสี่ยงและช่องทางการเชื่อมต่ออินเทอร์เน็ตของสินทรัพย์แต่ละรายการ พร้อมทั้งดำเนินมาตรการด้านการตรวจพิสูจน์หลักฐาน (Forensics Triage Requirements) หากพบร่องรอยการถูกเจาะ
- จำกัดการเข้าถึงเครือข่าย: ปิดกั้นการเข้าถึงหน้าจัดการระบบหรือพอร์ตที่เกี่ยวข้องจากอินเทอร์เน็ตสาธารณะโดยตรง หากยังไม่สามารถอัปเดตแพตช์ได้ทันที ให้จำกัดการเข้าถึงเฉพาะเครือข่ายภายในที่เชื่อถือได้เท่านั้น
- เฝ้าระวังและตรวจสอบログ (Monitoring): ตรวจสอบบันทึกการใช้งาน (Log) ย้อนหลังเพื่อค้นหาพฤติกรรมผิดปกติ เช่น การอัปโหลดไฟล์ที่ไม่คาดคิด, การพยายามเข้าถึงเส้นทางระบบ (Path Traversal) หรือการใช้ Token ยืนยันตัวตนที่ผิดปกติ