Ajax.NET Professional เสี่ยงรันโค้ดระยะไกล CVE-2021-23758

พอดีไล่ฟีด CISA KEV เจอ Ajax.NET Professional หรือ AjaxPro ถูกเพิ่มเข้ารายการเมื่อ 26 สิงหาคม 2026 ด้วยช่องโหว่ CVE-2021-23758 ซึ่งเปิดทางให้รันโค้ดจากระยะไกลผ่านการถอดข้อมูลที่ไม่น่าเชื่อถือ ประเด็นที่ต้องรีบจัดการคือช่องโหว่นี้ ถูกนำไปโจมตีจริงแล้ว และ CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 9 กันยายน 2026 ตามรายการ KEV ทางการ

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ตรวจเว็บแอปที่ใช้ AjaxPro และเร่งนำรุ่นแก้จากแหล่งทางการขึ้นใช้งาน โดยให้ระบบที่เปิดรับจากอินเทอร์เน็ตเป็นลำดับแรก
• นักพัฒนา: ตรวจชื่อแพ็กเกจและ DLL ที่แอปใช้งานจริง แล้วเร่งอัปเดตหรือย้ายออกจากแพ็กเกจที่ไม่มีรุ่นแก้พร้อมทดสอบก่อนนำขึ้นระบบ

เกิดอะไรขึ้น

AjaxPro เป็นไลบรารี .NET ที่ช่วยให้เว็บกับเซิร์ฟเวอร์สื่อสารกันผ่าน AJAX ปัญหาอยู่ตอน deserialization หรือแปลงข้อมูลที่รับเข้ามากลับเป็นออบเจ็กต์ ข้อมูลจากภายนอกอาจกำหนดให้ระบบสร้างคลาส .NET ที่ผู้โจมตีเลือกได้ ขั้นตอนนี้อาจนำไปสู่การรันโค้ดจากระยะไกล หรือ RCE ตามคำอธิบาย CVE

ช่องโหว่นี้กระทบเว็บแอปบนเซิร์ฟเวอร์ Snyk ซึ่งเป็นผู้จัดทำระเบียน CVE ให้คะแนน CVSS 3.1 เท่ากับ 8.1 ระดับ High ผู้โจมตีเข้าถึงผ่านเครือข่ายได้ ไม่ต้องมีบัญชีและไม่ต้องให้ผู้ใช้กดอะไร แต่การโจมตีมีความซับซ้อนสูง หากสำเร็จอาจอ่านหรือแก้ข้อมูล และทำให้บริการใช้งานไม่ได้ ตามระเบียน CVE ฉบับข้อมูลทางการ

NVD ให้คะแนนต่างออกไปที่ 9.8 ระดับ Critical โดยประเมินความซับซ้อนในการโจมตีเป็น Low ส่วน Snyk ประเมินเป็น High ทั้งสองคะแนนใช้ CVSS 3.1 เหมือนกัน

การอยู่ใน KEV เป็นหลักฐานเรื่องการใช้งานโจมตีจริง ส่วนการมีไลบรารีในระบบใดระบบหนึ่งยังไม่ได้ยืนยันว่าระบบนั้นถูกเจาะแล้ว ควรตรวจทั้งการเปิดรับคำขอและหลักฐานการทำงานผิดปกติประกอบการแก้ไข

ใครโดนและรุ่นที่แก้

ต้องแยกชื่อแพ็กเกจให้ชัด เพราะ DLL ที่ชื่อคล้ายกันอาจมาจากคนละแหล่ง ผู้พัฒนาระบุแพ็กเกจ NuGet ทางการว่าเป็น AjaxNetProfessional และเตือนว่าแพ็กเกจที่บุคคลอื่นเผยแพร่อาจยังบรรจุรุ่นที่มีช่องโหว่ ตารางนี้แยกตามประกาศผู้พัฒนา และประกาศ Snyk สำหรับ AjaxPro.2

ข้อมูลในประกาศผู้พัฒนาไม่ตรงกัน: ช่อง Affected versions ของ AjaxNetProfessional ระบุ <21.12.21.1 แต่ข้อความ Releases และช่อง Patched versions ระบุรุ่นแก้ 21.11.29.1 ส่วน AjaxPro.2 ตารางผู้พัฒนาระบุ <21.12.21.1 ขณะที่ CVE และ Snyk ระบุว่ากระทบทุกรุ่น ทั้งสองแหล่งไม่ให้รุ่นแก้สำหรับแพ็กเกจนี้ Release note ของ 21.11.29.1 ระบุว่าเพิ่มตัวกรอง deserialization ที่ขาดใน converter บางตัว ควรเลือกแพ็กเกจทางการรุ่นล่าสุดและทดสอบกับแอปก่อนใช้งาน

รายการซอฟต์แวร์ที่กระทบใน NVD ยังระบุ Ajax.NET Professional ว่าต่ำกว่า 21.10.30.1 ซึ่งต่างจากประกาศผู้พัฒนา อย่าใช้ขอบเขตนี้ตัดสินว่ารุ่นหลังจากนั้นปลอดภัย ให้ตรวจแพ็กเกจและแพตช์ตามคำแนะนำผู้พัฒนาด้วย

ต้องทำอะไร

ตรวจ dependency ของโครงการให้ตรงกับ DLL ที่ติดตั้งจริง สำรองแอปและค่าตั้ง แล้วทดสอบแพ็กเกจจากผู้พัฒนา โดยเน้นฟังก์ชัน AJAX และการส่งออบเจ็กต์ หลังนำขึ้นระบบให้ตรวจว่าไม่มี DLL รุ่นเก่าค้างอยู่ และทดสอบงานหลักอีกครั้ง

CISA เตือนว่าผลิตภัณฑ์ที่ได้รับผลกระทบอาจหมดอายุการสนับสนุนหรือบริการแล้ว ให้หยุดใช้หรือย้ายไปยังรุ่นที่ยังได้รับการสนับสนุน หากไม่มีมาตรการแก้ไขที่ใช้ได้ การจำกัดการเข้าถึงระหว่างรอเปลี่ยนเป็นเพียงการลดพื้นที่เสี่ยง ควรตรวจบันทึกคำขอและพฤติกรรมของเว็บแอปด้วย เพราะการอัปเดตไม่ได้ลบผลจากการบุกรุกที่อาจเกิดขึ้นก่อนหน้า

ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแก้เร่งด่วน โดยเฉพาะเว็บที่เปิดรับจากอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2021-23758, CVE-2021-23758 และประกาศความปลอดภัยผู้พัฒนา AjaxPro หากมีข้อมูลรุ่นแก้ที่ชัดขึ้น เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ