ໃນການພັດທະນາທີ່ຜ່ານມາ, ອົງການຄວາມປອດໄພທາງອິນເຕີເນັດແລະໂຄງສ້າງພື້ນຖານຂອງສະຫະລັດ (CISA) ໄດ້ກໍານົດຈຸດອ່ອນທີ່ສໍາຄັນໃນຊອບແວອີເມລ໌ Roundcube, ກໍານົດເປັນ CVE-2023-43770. ຊ່ອງໂຫວ່ນີ້, ຖືກຈັດປະເພດເປັນຂໍ້ບົກພ່ອງຂອງການຂຽນແບບຂ້າມເວັບໄຊ (XSS) ທີ່ມີຄະແນນ CVSS ຂອງ 6.1, ໄດ້ຖືກນຳໃຊ້ຢ່າງຈິງຈັງໃນທຳມະຊາດ. ບົດຄວາມນີ້ຈະເຈາະເລິກລາຍລະອຽດຂອງ CVE-2023-43770, ຜົນສະທ້ອນທີ່ເປັນໄປໄດ້ຂອງມັນ, ສະບັບທີ່ໄດ້ຮັບຜົນກະທົບ ແລະຂັ້ນຕອນການແກ້ໄຂທີ່ແນະນໍາໂດຍເຈົ້າໜ້າທີ່ຄວາມປອດໄພທາງອິນເຕີເນັດ.
ລາຍລະອຽດຂອງ CVE-2023-43770
CVE-2023-43770 ສຸມໃສ່ການຈັດການທີ່ບໍ່ຖືກຕ້ອງຂອງ linkrefs ໃນຂໍ້ຄວາມທໍາມະດາພາຍໃນ ເວທີ Roundcube Webmail. ຂໍ້ບົກພ່ອງນີ້ສ້າງເສັ້ນທາງທີ່ເປັນໄປໄດ້ສໍາລັບການໂຈມຕີສະຄຣິບຂ້າມເວັບໄຊທ໌ (XSS) ຢ່າງຕໍ່ເນື່ອງ, ເຊິ່ງມີຄວາມສ່ຽງຫຼາຍຕໍ່ການເປີດເຜີຍຂໍ້ມູນໂດຍຜ່ານການອ້າງອີງການເຊື່ອມຕໍ່ທີ່ເປັນອັນຕະລາຍ. ເຖິງແມ່ນວ່າລາຍລະອຽດສະເພາະຂອງການຂຸດຄົ້ນບໍ່ຖືກເປີດເຜີຍ, ຄວາມຮຸນແຮງຂອງຊ່ອງໂຫວ່ XSS ຊີ້ໃຫ້ເຫັນເຖິງຄວາມຮີບດ່ວນສໍາລັບການດໍາເນີນການທັນທີທັນໃດ.
ຊ່ອງໂຫວ່ມີຜົນກະທົບກັບລຸ້ນ Roundcube ກ່ອນ 1.4.14, 1.5.x ກ່ອນ 1.5.4, ແລະ 1.6.x ກ່ອນ 1.6.3. ຜູ້ຮັກສາ Roundcube ໄດ້ຕອບສະໜອງທັນທີໂດຍການອອກເວີຊັ່ນ 1.6.3 ໃນວັນທີ 15 ກັນຍາ 2023, ເຊິ່ງແກ້ໄຂ ແລະ ຫຼຸດຜ່ອນຊ່ອງໂຫວ່ທີ່ໄດ້ລະບຸໄວ້. ສິນເຊື່ອສໍາລັບການຄົ້ນພົບແລະການລາຍງານຂອງ CVE-2023-43770 ໄປຫາ Zscaler ນັກຄົ້ນຄວ້າຄວາມປອດໄພ Niraj Shivtarkar.
ຜົນສະທ້ອນ ແລະທ່າແຮງທີ່ເປັນໄພຂົ່ມຂູ່ຕໍ່ນັກສະແດງ
ເຫດການທີ່ຜ່ານມາໄດ້ສະແດງໃຫ້ເຫັນວ່າຈຸດອ່ອນຂອງລູກຂ່າຍອີເມລ໌ໃນເວັບສາມາດກາຍເປັນອາວຸດທາງເລືອກສໍາລັບນັກຂົ່ມຂູ່. ກຸ່ມທີ່ໂດດເດັ່ນ, ເຊັ່ນ APT28 ແລະ Winter Vivern, ໄດ້ຂູດຮີດຊ່ອງໂຫວ່ທີ່ຄ້າຍຄືກັນໃນອະດີດ. ຜົນສະທ້ອນທີ່ເປັນໄປໄດ້ຂອງການຂູດຮີດ CVE-2023-43770 ລວມມີການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ, ການລັກຂໍ້ມູນ, ແລະການປະນີປະນອມທີ່ເປັນໄປໄດ້ຂອງຂໍ້ມູນທີ່ອ່ອນໄຫວ. ຄວາມຮີບດ່ວນສໍາລັບຜູ້ໃຊ້ແລະອົງການຈັດຕັ້ງເພື່ອປະຕິບັດມາດຕະການຄວາມປອດໄພບໍ່ສາມາດເວົ້າເກີນ.
ການຕອບໂຕ້ແລະການຫຼຸດຜ່ອນ
ເພື່ອຕອບສະໜອງຕໍ່ໄພຂົ່ມຂູ່ທີ່ລະບຸໄວ້, ອົງການສາຂາບໍລິຫານພົນລະເຮືອນຂອງລັດຖະບານກາງສະຫະລັດ (FCEB) ໄດ້ອອກຄຳສັ່ງເພື່ອຈັດຕັ້ງປະຕິບັດການແກ້ໄຂທີ່ສະໜອງໃຫ້ໂດຍຜູ້ຂາຍພາຍໃນວັນທີ 4 ມີນາ 2024. ຄຳສັ່ງສະບັບນີ້ມີຈຸດປະສົງເພື່ອເສີມສ້າງຄວາມປອດໄພເຄືອຂ່າຍ ແລະ ປົກປ້ອງໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດທີ່ອາດເກີດມາຈາກ. ຊ່ອງໂຫວ່ CVE-2023-43770.
ການປະຕິບັດທີ່ດີທີ່ສຸດສໍາລັບການປ້ອງກັນ
ການປ້ອງກັນການຕິດເຊື້ອໃນອະນາຄົດຮຽກຮ້ອງໃຫ້ມີວິທີການຕັ້ງຫນ້າເພື່ອຄວາມປອດໄພທາງອິນເຕີເນັດ. ພິຈາລະນາການປະຕິບັດທີ່ດີທີ່ສຸດຕໍ່ໄປນີ້:
- ຮັກສາຊອບແວການປັບປຸງ: ອັບເດດ Roundcube ແລະຊອບແວອື່ນໆເປັນປະຈໍາເປັນເວີຊັນຫຼ້າສຸດເພື່ອແກ້ໄຂຊ່ອງໂຫວ່ ແລະເພີ່ມຄວາມປອດໄພ.
- ປະຕິບັດຕົວແກ້ໄຂຄວາມປອດໄພ: ນຳໃຊ້ແພັດ ແລະອັບເດດທີ່ສະໜອງໃຫ້ໂດຍຜູ້ຂາຍຊອບແວໃນທັນທີເພື່ອແກ້ໄຂຈຸດອ່ອນທີ່ລະບຸໄວ້.
- ການຝຶກອົບຮົມຄວາມຮັບຮູ້ຂອງຜູ້ໃຊ້: ຝຶກອົບຮົມໃຫ້ຜູ້ໃຊ້ຮັບຮູ້ ແລະລາຍງານອີເມລ໌ທີ່ໜ້າສົງໄສ ຫຼືກິດຈະກໍາຕ່າງໆ ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການຕົກເປັນເຫຍື່ອຂອງການຂູດຮີດ.
- ການແບ່ງສ່ວນເຄືອຂ່າຍ: ປະຕິບັດການແບ່ງສ່ວນເຄືອຂ່າຍເພື່ອຈໍາກັດຜົນກະທົບທີ່ອາດເກີດຂຶ້ນຂອງການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດແລະຄວບຄຸມການແຜ່ກະຈາຍຂອງໄພຂົ່ມຂູ່.
ສະຫຼຸບ
ການຂຸດຄົ້ນຂອງ CVE-2023-43770 ໃນຊອບແວອີເມລ໌ Roundcube ຊີ້ໃຫ້ເຫັນພູມສັນຖານໄພຂົ່ມຂູ່ທີ່ພັດທະນາແລະຄວາມຕ້ອງການສໍາລັບມາດຕະການຄວາມປອດໄພທາງອິນເຕີເນັດທີ່ເຂັ້ມແຂງ. ຜູ້ໃຊ້ ແລະອົງການຈັດຕັ້ງຕ້ອງປະຕິບັດຢ່າງວ່ອງໄວເພື່ອນຳໃຊ້ແຜ່ນປ້ອງກັນຄວາມປອດໄພທີ່ຈໍາເປັນ, ອັບເດດຊອບແວ, ແລະປູກຈິດສໍານຶກໃຫ້ແກ່ຜູ້ໃຊ້ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງທີ່ຈະຕົກເປັນເຫຍື່ອຂອງຊ່ອງໂຫວ່ດັ່ງກ່າວ. ຄວາມພະຍາຍາມຮ່ວມກັນຂອງນັກຄົ້ນຄວ້າຄວາມປອດໄພ, ຜູ້ຂາຍຊອບແວ, ແລະເຈົ້າຫນ້າທີ່ຄວາມປອດໄພທາງອິນເຕີເນັດມີບົດບາດສໍາຄັນໃນການປົກປ້ອງສະພາບແວດລ້ອມດິຈິຕອນຈາກການປະກົດຕົວ. ໄພຂົ່ມຂູ່ທາງອິນເຕີເນັດ.