HPE ออกแพตช์แก้ไขช่องโหว่ใน StoreOnce ที่ทำให้สามารถ Bypass การยืนยันตัวตนจากระยะไกลได้

บริษัท Hewlett Packard Enterprise (HPE) ได้ออกอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่จำนวน 8 รายการ ในโซลูชันการสำรองข้อมูล และการลดความซ้ำซ้อนของข้อมูลที่ชื่อว่า StoreOnce ที่อาจทำให้ผู้ไม่หวังดีสามารถ bypass การยืนยันตัวตน และการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

HPE ได้ระบุว่า "ช่องโหว่เหล่านี้สามารถถูกโจมตีจากระยะไกล เพื่อทำให้ผู้ไม่หวังดีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล, เปิดเผยข้อมูล, ปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ (SSRF), bypass ขั้นตอนการยืนยันตัวตน, ลบไฟล์โดยพลการ และเปิดเผยข้อมูลผ่านการเข้าถึงไดเรกทอรีโดยไม่ได้รับอนุญาต"

ซึ่งรวมถึงการแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ที่มีหมายเลข CVE-2025-37093 ซึ่งได้คะแนนความรุนแรง CVSS 9.8 โดยช่องโหว่ดังกล่าวเป็นช่องโหว่การ bypass การยืนยันตัวตน ที่ส่งผลกระทบต่อซอฟต์แวร์ทุกรุ่นในเวอร์ชันก่อนหน้า 4.3.11 ช่องโหว่ดังกล่าว และช่องโหว่อื่น ๆ ถูกรายงานต่อ HPE เมื่อวันที่ 31 ตุลาคม 2024 ที่ผ่านมา

ตามรายงานจาก Zero Day Initiative (ZDI) ได้ให้เครดิตแก่นักวิจัยที่ไม่ประสงค์ออกนามในการค้นพบ และรายงานช่องโหว่นี้ โดยระบุว่าปัญหาดังกล่าวมีต้นตอมาจากการทำงานของ method ที่ชื่อว่า machineAccountCheck

ZDI ระบุว่า "ปัญหานี้เกิดจากการนำอัลกอริธึมสำหรับการยืนยันตัวตนมาใช้งานอย่างไม่ถูกต้อง ซึ่งผู้โจมตีสามารถใช้ช่องโหว่นี้เพื่อ bypass การยืนยันตัวตนในระบบได้"

ถ้าหากสามารถโจมตีได้สำเร็จด้วยช่องโหว่ CVE-2025-37093 อาจทำให้ผู้ไม่หวังดีจากภายนอกสามารถ bypass การยืนยันตัวตนบนระบบที่ได้รับผลกระทบได้ สิ่งที่ทำให้ช่องโหว่นี้มีความรุนแรงยิ่งขึ้นก็คือ มันสามารถถูกใช้ร่วมกับช่องโหว่อื่น ๆ ที่เหลือ เพื่อดำเนินการเรียกใช้โค้ด, เปิดเผยข้อมูล และลบไฟล์โดยพลการในบริบทของผู้ใช้ในระดับสิทธิ์ root ได้

• CVE-2025-37089 - การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)
• CVE-2025-37090 - การปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ (Server-Side Request Forgery)
• CVE-2025-37091 - การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)
• CVE-2025-37092 - การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)
• CVE-2025-37093 - การ Bypass ขั้นตอนการยืนยันตัวตน (Authentication Bypass)
• CVE-2025-37094 - การเข้าถึงไดเรกทอรีเพื่อการลบไฟล์โดยพลการ (Directory Traversal Arbitrary File Deletion)
• CVE-2025-37095 - การเข้าถึงไดเรกทอรีเพื่อเปิดเผยข้อมูล (Directory Traversal Information Disclosure)
• CVE-2025-37096 - การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution)

การเปิดเผยข้อมูลนี้เกิดขึ้นในขณะที่ HPE ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ระดับ Critical หลายรายการใน HPE Telco Service Orchestrator (CVE-2025-31651, คะแนน CVSS: 9.8) และ OneView (CVE-2024-38475, CVE-2024-38476, คะแนน CVSS: 9.8) โดยเป็นการแก้ไขช่องโหว่ที่ถูกเปิดเผยมาก่อนหน้านี้ใน Apache Tomcat และ Apache HTTP Server

แม้ว่าจะยังไม่มีรายงานการโจมตีที่เกิดขึ้นจริงในขณะนี้ แต่ผู้ใช้ควรติดตั้งอัปเดตแพตช์ล่าสุดโดยเร็ว เพื่อป้องกันภัยคุกคามที่อาจเกิดขึ้นได้

ที่มา : thehackernews