Palo Alto ยืนยันผลกระทบจากช่องโหว่ Brotli บน PAN-OS พร้อมเผยแนวทางแก้ไขชั่วคราว

Palo Alto Networks ได้ออกมายืนยันว่า ช่องโหว่ระดับ Critical ของ Brotli ส่งผลกระทบต่อ Firewall PAN-OS ในบางรูปแบบการติดตั้ง รวมถึง Prisma Cloud Application Security Transporter Client ของบริษัทด้วย

ช่องโหว่ดังกล่าวซึ่งถูกระบุหมายเลขเป็น CVE-2026-111497 อาจทำให้ผู้โจมตีสามารถทำให้เกิด Memory corrupt, เข้าถึงข้อมูลสำคัญ, ทำให้ระบบหยุดทำงาน หรืออาจถึงขั้นเรียกใช้โค้ดที่เป็นอันตรายได้โดยไม่ต้องยืนยันตัวตน ทั้งนี้ ทางบริษัทได้เผยแพร่ประกาศแจ้งเตือนความปลอดภัยดังกล่าวเมื่อวันที่ 26 ตุลาคม 2026

ช่องโหว่ดังกล่าวมีคะแนน CVSS สูงถึง 9.2 แม้ว่าทาง Palo Alto Networks จะประเมินระดับความเร่งด่วนในการรับมือไว้ที่ระดับปานกลางก็ตาม โดยทางบริษัทระบุว่า ยังไม่พบหลักฐานว่ามีการนำช่องโหว่นี้ไปใช้ในการโจมตีจริง ขณะเดียวกันการตรวจสอบผลิตภัณฑ์ และบริการคลาวด์อื่น ๆ ยังคงดำเนินอยู่อย่างต่อเนื่อง ดังนั้น ลูกค้าจึงควรติดตามประกาศแจ้งเตือนความปลอดภัยอย่างเป็นทางการ เพื่อดูการอัปเดตเกี่ยวกับเวอร์ชันที่ได้รับผลกระทบ และกำหนดการปล่อยแพตช์แก้ไข

ช่องโหว่ใน Brotli ส่งผลกระทบต่อ PAN-OS

ช่องโหว่นี้อยู่ในไฟล์ c/dec/decode.c ซึ่งเป็นส่วนหนึ่งของตัว decoder ของ Brotli ที่พัฒนาโดย Google โดยข้อมูลที่ถูก compressed  และสร้างขึ้นมาเป็นพิเศษสามารถทำให้เกิดการเขียนข้อมูลนอกขอบเขตหน่วยความจำที่กำหนด ส่งผลให้ตัว decoder เขียนข้อมูลเกินกว่าพื้นที่ Memory ที่จัดสรรไว้ ทั้งนี้ เวอร์ชันของ Brotli ที่ได้รับการแก้ไขแล้ว ได้แก่ เวอร์ชัน 1.0.10, 1.1.1 และ 1.2.1 ตาม Release Branch ของแต่ละเวอร์ชันดังกล่าว

ซึ่งช่องโหว่เดียวกันนี้ยังส่งผลกระทบต่อซอฟต์แวร์อื่น ๆ ที่ใช้งาน Brotli ด้วยเช่นกัน โดยสำนักข่าว Cybersecurity News ได้เคยนำเสนอรายงานเกี่ยวกับการอัปเดตความปลอดภัยของ Node.js เพื่อแก้ไขช่องโหว่ในตัว decoder ดังกล่าว รวมถึงงานวิจัยเรื่อง HTTP2Shell ที่แสดงให้เห็นว่าผลกระทบไม่ได้จำกัดอยู่เพียงแค่ Traffic ของเว็บเท่านั้น รายงานเหล่านี้แสดงให้เห็นว่า เหตุใดการอัปเดตแอปพลิเคชันเพียงตัวเดียวจึงอาจไม่เพียงพอที่จะแก้ไขไลบรารีเวอร์ชันที่มีช่องโหว่ซึ่งกระจายตัวอยู่ในส่วนอื่น ๆ ขององค์กรได้ทั้งหมด

สำหรับ PAN-OS ระดับความเสี่ยงในการถูกโจมตีจะขึ้นอยู่กับการตั้งค่าระบบ โดยไฟร์วอลล์ตระกูล PA-Series และ VM-Series จะได้รับผลกระทบก็ต่อเมื่อมีการเปิดใช้งานทั้งฟังก์ชันการตรวจสอบทราฟฟิก Brotli (Brotli Traffic Inspection) และ TLS/SSL decryption ควบคู่กันบนส่วน Dataplane ซึ่งทำหน้าที่ประมวลผล network traffic ในขณะที่ส่วน management web interface และ API ไม่ได้รับผลกระทบ ทั้งนี้ ฟังก์ชันการตรวจสอบ Brotli จะถูกปิดการใช้งานไว้เป็นค่าเริ่มต้น และไม่รองรับใน PAN-OS เวอร์ชันที่ต่ำกว่า 11.2.4

PAN-OS เวอร์ชัน 11.1 และ 10.2 รวมถึง Panorama virtual appliance และอุปกรณ์ตระกูล M-Series ไม่ได้รับผลกระทบ สำหรับผู้ดูแลระบบที่ใช้งาน PAN-OS เวอร์ชัน 11.2.4 ขึ้นไป สามารถตรวจสอบสถานะการตั้งค่าได้โดยใช้คำสั่ง 'show system setting brotli' หากผลลัพธ์แสดงเป็น 'Enabled: yes' แสดงว่าระบบกำลังเปิดใช้งานการตรวจสอบ Brotli อยู่ อย่างไรก็ตาม เงื่อนไขความเสี่ยงดังกล่าวจะเกิดขึ้นได้ก็ต่อเมื่อมีการเปิดใช้งานฟังก์ชัน TLS/SSL decryption ควบคู่ไปด้วยเท่านั้น

แนวทางแก้ไขปัญหาชั่วคราวที่ผู้ดูแลระบบสามารถนำไปใช้ได้

ทาง Palo Alto Networks แนะนำให้ปิดการใช้งานฟังก์ชันตรวจสอบ Brotli ไว้ชั่วคราวในระหว่างที่รอการปล่อยแพตช์แก้ไข โดยผู้ดูแลระบบสามารถสั่งการผ่าน Command-line interface ด้วยคำสั่ง 'set system setting brotli-encoding disable' จากนั้นใช้คำสั่ง 'show system setting brotli' เพื่อตรวจสอบ และยืนยันว่าผลลัพธ์แสดงเป็น Enabled: no สำหรับผู้ที่ใช้งาน PAN-OS เวอร์ชัน 12.1.2 ขึ้นไป สามารถเลือกตั้งค่าผ่านหน้าเว็บ Interface ได้โดยไปที่ Device > Setup > Content-ID แล้วยกเลิกการเลือกช่อง 'Allow Brotli Encoding' จากนั้นกด Commit เพื่อบันทึกการตั้งค่า

ผู้ใช้บริการ Threat Prevention จะได้รับการป้องกันบางส่วนผ่าน Signature Threat ID 97686 ซึ่งรวมอยู่ในชุดข้อมูล Applications and Threats เวอร์ชัน 9165 หรือใหม่กว่า อย่างไรก็ตาม การป้องกันนี้มีเงื่อนไข และไม่ใช่การแก้ไขปัญหาอย่างสมบูรณ์ เนื่องจากคำแนะนำดังกล่าวระบุข้อกำหนดเฉพาะหลายประการเพื่อให้ Signature ทำงานได้ ทั้งในส่วนของ Traffic Routing, การ Decryption,  Certificate ตลอดจน Policy ดังนั้น ลูกค้าจึงไม่ควรเข้าใจว่าการติดตั้งตัวอัปเดตเนื้อหาเพียงอย่างเดียวจะช่วยป้องกันความเสี่ยงได้ทั้งหมด

กำหนดการปล่อยแพตช์แก้ไขสำหรับ PAN-OS จะทยอยปล่อยระหว่างวันที่ 27–30 ตุลาคม ครอบคลุมเวอร์ชัน 12.2.4-h1, 12.1.4-h13, 12.1.7-h11, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 และ 11.2.16-h1 ทั้งนี้ กำหนดการดังกล่าวเป็นเพียงการคาดการณ์เบื้องต้น ไม่ใช่การยืนยันว่าซอฟต์แวร์ทุกเวอร์ชันจะพร้อมให้ดาวน์โหลดได้ทันที โดยมีจุดสังเกตสำคัญคือ เวอร์ชัน 11.2.10-h16 จะแก้ไขเฉพาะช่องโหว่ที่เกี่ยวกับ PHP เท่านั้น ขณะที่เวอร์ชัน 11.2.10-h17 จะแก้ไขทั้งช่องโหว่ของ PHP และช่องโหว่ Brotli ควบคู่กัน

ผู้ใช้งาน Prisma Cloud Application Security Transporter Client ควรดำเนินการอัปเกรดเป็นเวอร์ชัน 0.2.9 หรือใหม่กว่า ทั้งนี้ Palo Alto ระบุว่าบริการคลาวด์ตามรายชื่อที่ระบุ ซึ่งรวมถึง ADEM, Cloud Identity Engine, Hub และ Prisma AIRS Gateway ได้รับการแก้ไขเรียบร้อยแล้วโดยที่ลูกค้าไม่จำเป็นต้องดำเนินการใด ๆ เพิ่มเติม สำหรับ Firewall ที่มีความเสี่ยง สิ่งที่ต้องดำเนินการเป็นลำดับแรกอย่างเร่งด่วนคือ การปิดการใช้งานฟังก์ชันตรวจสอบ Brotli, ตรวจสอบความถูกต้องของการตั้งค่าดังกล่าว และติดตามข้อมูลเกี่ยวกับแพตช์แก้ไขที่เหมาะสมเพื่อเตรียมนำมาติดตั้งใช้งานทันทีที่ปล่อยออกมา

ที่มา : Cybersecuritynews