ช่องโหว่ใหม่ที่ถูกค้นพบใน Philips Smart Lighting และ Matrix Door Controller

The Indian Computer Emergency Response Team (CERT-In) ได้ออกคำแนะนำเกี่ยวกับช่องโหว่ระดับ Critical สองรายการที่เกี่ยวข้องกับผลิตภัณฑ์ Philips Smart Lighting และ Matrix Door Controller โดยช่องโหว่ทั้งสองรายการมีระดับความรุนแรงสูง แสดงให้เห็นถึงความเสี่ยงที่สำคัญสำหรับผู้ใช้งานที่ไม่สามารถเพิกเฉยได้ หากปล่อยไว้โดยไม่มีการแก้ไข ช่องโหว่นี้อาจส่งผลกระทบที่ร้ายแรง รวมถึงการเข้าถึงข้อมูลที่สำคัญโดยไม่ได้รับอนุญาต และความเสี่ยงต่อการละเมิดข้อมูล

ผลกระทบจากช่องโหว่เหล่านี้เป็นภัยคุกคามต่อความปลอดภัย และความสมบูรณ์ของเครือข่ายภายในบ้าน และอุปกรณ์ที่เชื่อมต่อของผู้ใช้ ผู้ใช้งานที่ได้รับผลกระทบจำเป็นต้องดำเนินการอย่างเร่งด่วนเพื่อป้องกันระบบของตน เพื่อไม่ให้มีความเสี่ยงต่อการโจมตีที่อาจจะเกิดขึ้น

การติดตามข้อมูลข่าวสาร และดำเนินการตามมาตรการรักษาความปลอดภัยในคำแนะนำเกี่ยวกับช่องโหว่นี้ ผู้ใช้งานสามารถลดความเสี่ยงเหล่านี้ และป้องกันข้อมูลส่วนบุคคลของตนได้จากผู้ไม่หวังดี

รายละเอียดคำแนะนำเกี่ยวกับช่องโหว่

คำแนะนำเกี่ยวกับช่องโหว่แรกมีหมายเลข CIVN-2024-0329 เป็นช่องโหว่ที่ส่งผลกระทบกับอุปกรณ์ Philips smart lighting หลายรุ่น ได้แก่ Philips Smart Wi-Fi LED Batten 24-Watt, Philips Smart Wi-Fi LED T Beamer 20-Watt, Philips Smart Bulb รุ่น (9, 10 และ 12-Watt) รวมถึง Philips Smart T-Bulb รุ่น (10 และ 12-Watt)

อุปกรณ์ทั้งหมดนี้มีความเสี่ยงหากทำงานบนเวอร์ชันเฟิร์มแวร์ก่อนเวอร์ชัน 1.33.1 ช่องโหว่นี้เกิดจากการเก็บข้อมูลที่สำคัญ โดยเฉพาะข้อมูล Wi-Fi credentials ในรูปแบบ plaintext ภายในเฟิร์มแวร์ของอุปกรณ์ ช่องโหว่นี้ทำให้ผู้ไม่หวังดีที่สามารถเข้าถึงอุปกรณ์ในแบบ physical ได้ สามารถดึงข้อมูลเฟิร์มแวร์ และวิเคราะห์ข้อมูลไบนารี ทำให้เปิดเผย Wi-Fi credentials ในรูปแบบ plaintext ได้

เมื่อได้ข้อมูลเหล่านี้แล้ว ผู้ไม่หวังดีสามารถเข้าถึงเครือข่าย Wi-Fi โดยไม่ได้รับอนุญาต ซึ่งจะทำให้ความปลอดภัยของอุปกรณ์ที่เชื่อมต่ออื่น ๆ และข้อมูลส่วนบุคคลตกอยู่ในอันตราย ทีมวิจัยจาก CoE-CNDS Lab ที่ VJTI Mumbai ประเทศอินเดีย ประกอบด้วย Shravan Singh, Amey Chavekar, Vishal Giri และ Dr. Faruk Kazi เป็นผู้รายงานช่องโหว่นี้

เพื่อลดผลกระทบจากช่องโหว่นี้ CERT-In ขอแนะนำอย่างยิ่งให้ผู้ใช้งานทำการอัปเกรดเฟิร์มแวร์ Philips Smart Wi-Fi LED Batten, LED T Beamer, Smart Bulb, และ Smart T-Bulb เป็นเวอร์ชัน 1.33.1 หรือสูงกว่า การอัปเดตนี้จะช่วยป้องกันอุปกรณ์จากการถูกโจมตีที่อาจเกิดขึ้นได้

คำแนะนำที่สองหมายเลข CIVN-2024-0328 เป็นช่องโหว่ authentication bypass ใน Matrix Door Controller รุ่น Cosec Vega FAXQ ช่องโหว่นี้ส่งผลกระทบต่อทุกเวอร์ชันของเฟิร์มแวร์ก่อนเวอร์ชัน V2R17

ช่องโหว่ใน Matrix Door Controller เกิดจากการนำการจัดการเซสชันมาใช้อย่างไม่เหมาะสมภายในอินเทอร์เฟซการจัดการบนเว็บ ผู้ไม่หวังดีจากภายนอกสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการส่ง HTTP request ที่ถูกสร้างขึ้นเป็นพิเศษไปยังอุปกรณ์ ซึ่งอาจนำไปสู่การเข้าถึง และเข้าควบคุมอุปกรณ์ได้ทั้งหมด

หากช่องโหว่นี้ถูกโจมตีได้สำเร็จ จะส่งผลกระทบต่อการรักษาความลับ, ความสมบูรณ์ และความพร้อมใช้งานของระบบ แม้ว่าในปัจจุบันยังไม่มีหลักฐานของการใช้ประโยชน์ของ proof-of-concept (POC) นี้ แต่ความเสี่ยงที่อาจเกิดขึ้นยังคงมีความสำคัญ ผู้ใช้งานจึงต้องให้ความสนใจอย่างเร่งด่วน

คำแนะนำ และการลดผลกระทบ

  • ควรมีการกลไกการ authentication ที่ดีกว่าสำหรับอินเทอร์เฟซการจัดการบนเว็บ
  • จำกัดการเข้าถึงอุปกรณ์ Matrix Door Controller ผ่าน network segmentation ที่มีประสิทธิภาพ
  • ตรวจสอบ และ monitor log ความพยายามในการเข้าถึงอุปกรณ์เหล่านี้เป็นประจำเพื่อตรวจจับพฤติกรรมที่ไม่ได้รับอนุญาต
  • อัปเดตแพตช์ด้านความปลอดภัยทันทีที่พร้อมใช้งาน
  • พิจารณาปรับใช้อุปกรณ์ WAF เพื่อป้องกัน HTTP request ที่เป็นอันตราย

ที่มา : cyble.com