Strapi เสี่ยงยึดบัญชีแอดมิน CVE-2023-22894 เข้า KEV
ผู้ดูแล Strapi รุ่นที่ได้รับผลกระทบควรเร่งอัปเกรดและตรวจร่องรอยการบุกรุก โดย CISA กำหนดวันครบกำหนดไว้ที่ 11 ตุลาคม 2026
สรุปใน 1 นาที
- อาการ/ปัญหา
- ตัวกรอง API อาจเปิดทางให้อนุมานข้อมูลลับ รวมถึงแฮชรหัสผ่านและโทเคนรีเซ็ตรหัสผ่าน จนนำไปสู่การยึดบัญชี
- ใครควรอ่าน
- Strapi ตั้งแต่ 3.2.1 แต่ต่ำกว่า 4.8.0 อยู่ในช่วงที่ผู้พัฒนาระบุว่าได้รับผลกระทบ
- ทางแก้แบบสั้น
- รุ่นที่เริ่มแก้ CVE นี้คือ 4.8.0 แต่ควรเลือกสายที่ยังได้รับการสนับสนุนและตรวจสอบเหตุบุกรุกควบคู่กัน
พอดีไล่ฟีด CISA KEV เจอ Strapi ถูกเพิ่มเข้ารายการเมื่อ 8 ตุลาคม 2026 ในชื่อ CVE-2023-22894 ซึ่งหมายถึงมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว ประเด็นคือข้อมูลสำคัญของผู้ใช้อาจรั่วผ่านตัวกรองคำค้น และนำไปสู่การยึดบัญชีผู้ดูแลได้ CISA กำหนดวันครบกำหนดดำเนินการไว้ที่ 11 ตุลาคม 2026 ผู้ดูแลระบบที่ใช้รุ่นเก่าควรหยิบเรื่องนี้ขึ้นมาจัดการเร่งด่วน (รายการ KEV ของ CISA)
เกิดอะไรขึ้น
CISA เรียกช่องโหว่นี้ว่า Cleartext Storage of Sensitive Information แต่กลไกที่ CVE อธิบายคือ ผู้โจมตีใช้ query filter กรองคอลัมน์ที่มีข้อมูลสำคัญ แล้วอนุมานค่าจากผลตอบกลับของ API ได้ แม้ข้อมูลนั้นไม่ควรถูกเปิดเผยโดยตรง คำอธิบาย CVE เดิมระบุรุ่นถึง 4.5.5 และกล่าวถึงผู้ที่เข้าถึงหน้าแอดมิน โดยสิทธิ์ Super Admin อาจใช้ค้นหาแฮชรหัสผ่านและโทเคนรีเซ็ตรหัสผ่านของผู้ใช้ทั้งหมด ส่วนบัญชีสิทธิ์ต่ำกว่าจะมีขอบเขตข้อมูลที่เข้าถึงต่างกัน (CVE Record ฉบับข้อมูล JSON)
ประกาศจาก Strapi ระบุเพิ่มเติมว่า ผู้โจมตีที่ยังไม่ผ่านการยืนยันตัวตนก็ใช้ช่องโหว่นี้ได้ และอาจนำโทเคนรีเซ็ตรหัสผ่านไปยึดบัญชี Super Administrator การจำกัดคนเข้าหน้าแอดมินอย่างเดียวเลยไม่ใช่เหตุผลให้ชะลอแพตช์ ผู้พัฒนาให้ระดับ Critical และ CVSS 3.1 ที่ 9.8 ขณะที่ข้อมูล CISA ADP ใน CVE Record ให้ 7.2 ระดับ High โดยใช้เงื่อนไขว่าต้องมีสิทธิ์สูง ทั้งช่วงรุ่น เงื่อนไขการเข้าถึง และคะแนนในสองแหล่งนี้ต่างกัน ให้ใช้ advisory ของผู้พัฒนาตรวจรุ่นและแพตช์ (ประกาศ Strapi, CISA ADP ใน CVE Record)
อีกความเสี่ยงคือการต่อช่องโหว่นี้กับ CVE-2023-22621 ซึ่งผู้พัฒนาระบุว่าสามารถนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องล็อกอินบน Strapi รุ่นไม่เกิน 4.5.5 ได้ ต้องแยกให้ออกว่าแพตช์ 4.5.6 แก้ช่องโหว่ตัวหลัง แต่ยังไม่ครอบคลุม CVE-2023-22894 (คำชี้แจงจากผู้พัฒนา)
ใครโดนและรุ่นที่แก้
ช่วงที่ได้รับผลกระทบตามประกาศผู้พัฒนาคือ ตั้งแต่ 3.2.1 แต่ต่ำกว่า 4.8.0 ตารางนี้แสดงรุ่นที่เริ่มแก้เฉพาะ CVE นี้ ไม่ใช่คำรับรองว่ารุ่นดังกล่าวยังเหมาะสำหรับใช้งานต่อในทุกกรณี (รายละเอียดรุ่นจาก Strapi)
| สายรุ่น / แพ็กเกจ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ / ทางออก |
|---|---|---|
| Strapi 3.x | ตั้งแต่ 3.2.1 ในสาย 3.x | ไม่มีแพตช์สำหรับสาย 3.x ต้องย้ายรุ่น |
Strapi 4.x / @strapi/strapi |
ก่อน 4.8.0 | เริ่มแก้ใน 4.8.0 |
Strapi ระบุว่าสาย 3.x หมดการสนับสนุนตั้งแต่ 31 ธันวาคม 2022 และจะไม่ได้รับแพตช์ช่องโหว่นี้ ส่วนบล็อกผู้พัฒนาแนะนำให้อัปเกรดไปสูงกว่า 4.8.0 แม้ตาราง advisory จะยืนยันว่าเริ่มแก้ตั้งแต่ 4.8.0 แล้ว สำหรับระบบที่ใช้รุ่นหมดการสนับสนุน CISA แนะนำให้ย้ายไปเวอร์ชันที่ยังรองรับ หรือเลิกใช้หากไม่มีมาตรการแก้ไข (บล็อก Strapi, CISA KEV)
ต้องทำอะไร
ตรวจเวอร์ชันที่รันจริงก่อน สำรองฐานข้อมูลและไฟล์ที่จำเป็น แล้วทดสอบอัปเกรดกับแอปและปลั๊กอิน เลือกสายที่ยังได้รับการสนับสนุนและนำขึ้นใช้งานโดยเร็ว หลัง deploy ให้ตรวจเวอร์ชันซ้ำ การสำรองและทดสอบเป็นคำแนะนำของผม เพื่อให้กู้คืนได้หากแอปมีปัญหา
ตรวจ request logs ควบคู่ไปด้วย ผู้พัฒนาให้สังเกต GET parameters ที่กรองฟิลด์ email, password, reset_password_token หรือ resetPasswordToken โดยเฉพาะคำขอซ้ำที่เกี่ยวกับรหัสผ่านและโทเคนรีเซ็ต หากพบรูปแบบน่าสงสัยให้เริ่มกระบวนการ incident response ทันที การติดตั้งแพตช์อย่างเดียวไม่ได้บอกว่าบัญชีที่อาจถูกยึดก่อนหน้านั้นปลอดภัยแล้ว (แนวทางตรวจร่องรอยจาก Strapi)
ส่วนตัวผมจัดเรื่องนี้เป็นงานแพตช์เร่งด่วน เพราะมีการโจมตีจริงและผลกระทบไปถึงบัญชีผู้ดูแล ควรตรวจร่องรอยพร้อมอัปเกรด ที่มา: CVE-2023-22894 (CVE Record) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย