นักวิจัยด้านความปลอดภัยชาวอินเดีย Ashutosh Barot ได้ออกมาแจ้งเตือนเกี่ยวกับช่องโหว่ Cross-Site Request Forgery (CSRF) ใน phpMyAdmin เวอร์ชั่น 4.7.x (ตั้งแต่เวอร์ชั่น 4.7.6 ลงไป) ช่องโหว่นี้เปิดช่องให้ Hacker สามารถปลอมแปลงคำขอ โดยใช้ URL ที่สร้างขึ้นมาเป็นพิเศษเพื่อรันสคริปต์ในเว็บเบราเซอร์เมื่อ URL ถูกคลิก Hacker จะใช้ช่องโหว่นี้เพื่อดำเนินการในระบบฐานข้อมูล phpMyAdmin ได้ เช่น สามารถทำการลบข้อมูล แก้ไขข้อมูล เพิ่มฐานข้อมูล หรือลบ Table ฐานข้อมูลได้
CSRF เป็นการโจมตีเว็บ โดย Hacker จะปลอมแปลงคำขอ โดยใช้ URL ที่สร้างขึ้นมาเป็นพิเศษ โดย Hacker จะใช้วิธีการหลอกผู้ใช้ให้คลิก URL จากนั้นจะใช้ช่องโหว่นี้ดำเนินการเข้าสู่ระบบในฐานะผู้ดูแลระบบ เมื่อเข้าสู่ระบบได้แล้วจะทำการดำเนินการบางอย่างที่เป็นอันตรายต่อผู้ใช้งาน เช่น ข้อมูลธุรกรรมทางการเงิน เป็นต้น
นี่เป็นวิดีโอที่ Barot ได้สาธิตถึงวิธีการของ Hacker ในการลบ (Drop) Table ของฐานข้อมูล โดยที่ผู้ดูแลระบบไม่รู้ตัวเลย
ที่มาวิดีโอ : The Hacker News
เว็บไซต์ส่วนมากสร้างขึ้นด้วย WordPress, Joomla และ CMS อื่นๆ อีกทั้งผู้ให้บริการโฮสต์ติ้งยังนิยมใช้ phpMyAdmin เพราะสะดวกในการจัดการฐานข้อมูล โดยทั่วไป phpMyAdmin จะขอใช้คำสั่ง GET หลังจากนั้นจะขอใช้คำสั่ง POST เพื่อเข้าสู่การจัดการฐานข้อมูล ไม่ว่าจะเป็นการใช้คำสั่ง DROP TABLE table_name; ซึ่งการขอใช้คำสั่ง GET นี้จะต้องป้องกันจากการโจมตีแบบ CSRF ได้ แต่ในกรณีนี้ เมื่อมีใช้คำขอ POST โดยส่งผ่านทาง URL และเมื่อผู้ดูแลระบบคลิกที่ URL นั้น แล้ว Hacker ก็จะสามารดำเนินการโจมตีด้วยการ drop table database query แต่ถึงกระนั้น มันก็เป็นเรื่องยุ่งยากเพราะ การที่จะสร้าง URL เพื่อใช้ในการโจมตีแบบ CSRF Hacker จะต้องทราบ database and table เสียก่อน และหากสร้าง URL ได้แล้ว เมื่อผู้ดูแลระบบทำการคลิกที่ URL นั้น จากนั้นถ้าผู้ดูแลระบบทำการ query ฐานข้อมูลโดยคลิกที่ปุ่ม เพิ่ม ลบ หรือปุ่มอื่นๆ จาก URL ที่ Hacker สร้างมานั้นจะมีข้อมูล ชื่อฐานข้อมูล กับตารางฐานข้อมูลทันที
Barot ได้กล่าวอีกว่า ช่องโหว่นี้อาจทำให้มีการเปิดเผยข้อมูลที่สำคัญ เนื่องจาก URL จะถูกเก็บไว้ในที่ต่างๆ ไม่ว่าจะเป็น ประวัติการเข้าชมในบราวเซอร์, SIEM logs, Firewall Logs, ISP Logs และที่อื่นๆ โดยการโจมตี CSRF จะเริ่มทำงานก็ต่อเมื่อสิทธิ์ของผู้ใช้ได้รับการตรวจสอบสิทธิ์แล้วว่าสามารถเข้าใช้งานใน cPanel และ phpMyAdmin ได้ และเมื่อมีการปิด cPanel และ phpMyAdmin การโจมตีก็จะหยุดลง ซึ่ง Hacker จะใช้ประโยชน์จากช่องโหว่นี้ได้ก็ต่อเมื่อมีผู้ใช้งานเท่านั้น ดังนั้นความรุนแรงของช่องโหว่นี้จึงอยู่ในระดับ ปานกลาง
Barot ได้รายงานช่องโหว่นี้ไปยังผู้พัฒนา phpMyAdmin และได้ออก phpMyAdmin เวอร์ชัน 4.7.7 เพื่อแก้ไขปัญหาที่เกิดขึ้น ดังนั้นผู้ดูแลระบบควรทำการอัปเดตโดยเร็ว
ที่มา : CYBER WORLD MIRROR, The Hacker News
About the author