SQL Server รันโค้ดผ่านช่องโหว่ CVE-2019-1068 ถูกโจมตีจริง
ผู้ดูแล SQL Server รุ่นที่ได้รับผลกระทบควรเร่งตรวจ build และติดตั้งแพตช์ เพราะมีหลักฐานการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่ยืนยันตัวตนกับฐานข้อมูลได้อาจรันโค้ดด้วยสิทธิ์บัญชีบริการ SQL Server Database Engine
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ SQL Server 2014 SP2/SP3, 2016 SP1/SP2 หรือ 2017 ที่ยังไม่มีแพตช์นี้
- ทางแก้แบบสั้น
- ติดตั้ง security update ให้ตรง release และสาย GDR/CU ตามตาราง แล้วตรวจ build ของทุก instance อีกครั้ง
พอดีไล่ฟีด CISA KEV เจอ CVE-2019-1068 ของ Microsoft SQL Server ถูกเพิ่มเข้ารายการเมื่อ 26 สิงหาคม 2026 เพราะมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว ช่องโหว่นี้เปิดทางให้รันโค้ดด้วยสิทธิ์บัญชีบริการฐานข้อมูล แม้ Microsoft มีแพตช์ตั้งแต่ 9 กรกฎาคม 2019 แต่เครื่องที่ยังขาดแพตช์ก็ยังต้องเร่งจัดการ โดยรายการ KEV กำหนดวันแก้ไขไว้ที่ 29 สิงหาคม 2026 ตามข้อมูลทางการของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ SQL Server รุ่นที่ระบุด้านล่าง ให้เร่งตรวจและติดตั้งแพตช์ให้ครบทุกเครื่อง เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
เกิดอะไรขึ้น
SQL Server มีข้อผิดพลาดตอนประมวลผลฟังก์ชันภายใน ผู้โจมตีต้องล็อกอินเข้า SQL Server ได้ก่อน แล้วส่ง query ที่สร้างมาเฉพาะ หากสำเร็จ โค้ดจะทำงานด้วยสิทธิ์บัญชีบริการ SQL Server Database Engine บัญชีนี้มีสิทธิ์อะไร โค้ดก็อาจใช้สิทธิ์นั้นได้ แพตช์แก้การประมวลผลฟังก์ชันที่เป็นปัญหา ตามประกาศ Microsoft
Microsoft จัดระดับเป็น Important ส่วนข้อมูล CISA-ADP ใน CVE record ให้คะแนน CVSS 3.1 เท่ากับ 8.8 ระดับ High โดยระบุว่าการโจมตีผ่านเครือข่ายต้องมีสิทธิ์ระดับต่ำและไม่ต้องอาศัยผู้ใช้กดอะไร KEV ยืนยันว่ามีการโจมตีจริงแล้ว ส่วนการใช้ในแคมเปญ ransomware ยังระบุว่า Unknown
ใครโดนและรุ่นที่แก้
รุ่นที่ประกาศระบุคือ SQL Server 2014 SP2/SP3 ทั้ง 32-bit และ x64, SQL Server 2016 SP1/SP2 แบบ x64 และ SQL Server 2017 แบบ x64 โดย Microsoft ยืนยันว่าแพตช์ SQL Server 2017 ครอบคลุม Linux และ Docker container ด้วย ตารางนี้แสดง build ที่แก้ช่องโหว่นี้ในแพตช์วันที่ 9 กรกฎาคม 2019 พร้อมลิงก์ KB ของแต่ละสาย
วันที่ในเอกสาร Microsoft ไม่ตรงกัน: ตาราง FAQ ใน ข้อมูล MSRC ระบุ 11 มิถุนายน 2019 แต่หน้า KB ระบุ 9 กรกฎาคม 2019 บทความนี้ใช้วันที่จากหน้า KB
| Release ที่ได้รับผลกระทบ | GDR ที่แก้ | CU พร้อมแพตช์ที่แก้ |
|---|---|---|
| SQL Server 2014 SP2 | 12.0.5223.6 (KB4505217) | 12.0.5659.1 (KB4505419) |
| SQL Server 2014 SP3 | 12.0.6108.1 (KB4505218) | 12.0.6293.0 (KB4505422) |
| SQL Server 2016 SP1 | 13.0.4259.0 (KB4505219) | 13.0.4604.0 (KB4505221) |
| SQL Server 2016 SP2 | 13.0.5101.9 (KB4505220) | 13.0.5366.0 (KB4505222) |
| SQL Server 2017 | 14.0.2027.2 (KB4505224) | 14.0.3192.2 (KB4505225) |
ให้เทียบ build ใน release และสายอัปเดตเดียวกัน GDR กับ CU ใช้เลข build ต่างกัน หากติดตั้งรุ่นใหม่กว่าตาราง ให้ตรวจว่าอัปเดตนั้นรวมแพตช์ CVE นี้แล้ว
ต้องทำอะไร
เริ่มจากตรวจทุก instance ผ่าน SQL Server Management Studio หรือเครื่องมือเชื่อมต่อฐานข้อมูลที่ใช้อยู่ คำสั่งนี้อ่านข้อมูลรุ่นโดยไม่เปลี่ยนฐานข้อมูล
SELECT SERVERPROPERTY('ProductVersion') AS ProductVersion,
SERVERPROPERTY('ProductLevel') AS ProductLevel,
SERVERPROPERTY('Edition') AS Edition;
สำรองข้อมูลและทดสอบแอปก่อนติดตั้งแพตช์ เลือกแพ็กเกจให้ตรง Service Pack และสายที่ใช้อยู่ Microsoft ระบุว่าสาย GDR รวมแพตช์ความปลอดภัย ส่วน CU รวมทั้งการแก้บั๊กและความปลอดภัย ถ้าเคยติดตั้ง CU แล้ว ให้เลือกแพตช์สาย CU ต่อ บน Windows รับผ่าน Microsoft Update หรือดาวน์โหลดแพ็กเกจจาก KB ส่วน Linux/container ให้ใช้ repository หรือ image ที่มีการแก้ไขแล้ว หลังติดตั้งให้ตรวจ build ซ้ำและทดสอบการเชื่อมต่อของแอป
สำหรับ SQL Server 2016 SP1/SP2 และ 2017 แบบ cluster ที่มี passive node Microsoft แนะนำให้ตรวจและแพตช์โหนดที่ไม่ได้ทำงานก่อน แล้วทำโหนดที่ทำงานอยู่ให้ครบ ประกาศไม่ได้ให้ workaround เฉพาะสำหรับใช้แทนแพตช์ การจำกัดผู้เข้าถึงฐานข้อมูลเลยควรเป็นมาตรการเสริมระหว่างเตรียมอัปเดต
ส่วนตัวผมให้เร่งแพตช์กรณีนี้ เพราะมีหลักฐานการโจมตีจริงแล้ว โดยวันที่ 29 สิงหาคม 2026 เป็นกำหนดใน KEV สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนด ไม่ใช่เส้นตายตามกฎหมายของผู้ดูแลไทย ที่มา: CVE-2019-1068, Microsoft Security Update Guide และ CISA KEV ถ้ามีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย