Microsoft Entra ID พบช่องโหว่ร้ายแรงที่เกือบทำให้บัญชี Azure ทั่วโลกถูกยึดครอง
ในยุคที่ธุรกิจทั่วโลกเปลี่ยนผ่านโครงสร้างพื้นฐานดิจิทัลจากเซิร์ฟเวอร์ส่วนตัวไปสู่ระบบคลาวด์ ความปลอดภัยที่มาพร้อมกับผู้ให้บริการรายใหญ่อย่าง Microsoft กลายเป็นหัวใจสำคัญ อย่างไรก็ตาม ความไว้วางใจนี้อาจนำไปสู่หายนะครั้งใหญ่หากระบบเกิดข้อผิดพลาด ดังเช่นกรณีล่าสุดที่ Dirk-jan Mollema นักวิจัยด้านความปลอดภัย ค้นพบช่องโหว่สองจุดในระบบจัดการอัตลักษณ์และการเข้าถึงของ Microsoft Azure ที่อาจเปิดทางให้ผู้ไม่หวังดีเข้าควบคุมบัญชีลูกค้า Azure ได้ทั้งหมด
เจาะลึกความเสี่ยงใน Entra ID: ประตูสู่ 'โหมดพระเจ้า'
ระบบที่เกิดปัญหาคือ Entra ID (หรือชื่อเดิมคือ Azure Active Directory) ซึ่งทำหน้าที่จัดเก็บข้อมูลอัตลักษณ์ผู้ใช้ ควบคุมการเข้าถึงการลงชื่อเข้าใช้ จัดการแอปพลิเคชัน และเครื่องมือการสมัครสมาชิกของลูกค้าคลาวด์ Azure ทั้งหมด
Mollema ผู้เชี่ยวชาญจากบริษัท Outsider Security พบว่าช่องโหว่ดังกล่าวสามารถถูกนำมาใช้เพื่อยกระดับสิทธิ์เป็น Global Administrator หรือที่เรียกกันว่า "โหมดพระเจ้า" ซึ่งทำให้ผู้โจมตีสามารถเข้าถึงและควบคุม Tenant (พื้นที่จัดเก็บข้อมูลและตั้งค่าแยกส่วนของแต่ละองค์กร) ของ Entra ID ได้เกือบทุกแห่งทั่วโลก ยกเว้นเพียงโครงสร้างพื้นฐานคลาวด์ของรัฐบาลบางส่วนเท่านั้น
ความน่ากลัวของช่องโหว่นี้คือ ผู้โจมตีสามารถใช้เพียงบัญชีทดลอง (Trial Tenant) ของตนเอง เพื่อขอ Token และปลอมตัวเป็นใครก็ได้ใน Tenant ของผู้อื่น ซึ่งนำไปสู่การแก้ไขการตั้งค่าระบบ หรือสร้างบัญชีผู้ดูแลระบบใหม่เพื่อยึดครองระบบอย่างสมบูรณ์
กลไกทางเทคนิค: เมื่อระบบเก่ากลายเป็นจุดอ่อน
ช่องโหว่ที่เกิดขึ้นเกิดจากการทำงานร่วมกันของระบบเก่า (Legacy Systems) สองส่วน ดังนี้:
- Actor Tokens: เป็นโทเคนยืนยันตัวตนประเภทหนึ่งที่ออกโดยกลไกที่ชื่อว่า Access Control Service ซึ่งมีคุณสมบัติพิเศษที่ผู้โจมตีสามารถนำไปใช้ประโยชน์ได้
- Azure AD Graph: เป็น API (Application Programming Interface หรือช่องทางการเชื่อมต่อระหว่างซอฟต์แวร์) รุ่นเก่าที่ใช้เข้าถึงข้อมูลใน Microsoft 365 ซึ่งปัจจุบัน Microsoft กำลังเปลี่ยนไปใช้ Microsoft Graph แทน
ปัญหาหลักเกิดขึ้นเมื่อ Azure AD Graph ไม่สามารถตรวจสอบได้อย่างถูกต้องว่าคำขอเข้าถึงข้อมูลมาจาก Tenant ใด ทำให้ระบบยอมรับ Actor Token จาก Tenant อื่นที่ควรจะถูกปฏิเสธ ซึ่งเป็นการข้ามผ่านระบบรักษาความปลอดภัย เช่น การเข้าถึงแบบมีเงื่อนไข (Conditional Access) และการบันทึก Log ทั้งหมด
การตอบสนองของ Microsoft และบทเรียนจากอดีต
หลังจาก Mollema รายงานเรื่องนี้ไปยัง Microsoft Security Response Center ในวันที่ 14 กรกฎาคม ทาง Microsoft ได้ดำเนินการแก้ไขอย่างรวดเร็วและประกาศให้การแก้ไขเสร็จสิ้นทั่วโลกภายในวันที่ 17 กรกฎาคม พร้อมออกหมายเลข CVE (Common Vulnerabilities and Exposures หรือรหัสมาตรฐานสำหรับระบุช่องโหว่ความปลอดภัย) ในวันที่ 4 กันยายน โดย Tom Gallagher รองประธานฝ่ายวิศวกรรมของ Microsoft ยืนยันว่าไม่พบหลักฐานการนำช่องโหว่นี้ไปใช้ในทางที่ผิด
เหตุการณ์นี้ตอกย้ำถึงความสำคัญของ Secure Future Initiative ซึ่งเป็นโครงการยกระดับความปลอดภัยของ Microsoft หลังจากที่เคยเกิดเหตุการณ์กลุ่มจารกรรมไซเบอร์ Storm-0558 จากจีน ขโมยคีย์เข้ารหัสเพื่อเข้าถึงอีเมล Outlook ของหน่วยงานรัฐบาลสหรัฐฯ เมื่อปี 2023 ซึ่งแม้จะมีวิธีการต่างกัน แต่ผลลัพธ์ของการถูกยึดครองสิทธิ์นั้นรุนแรงไม่แพ้กัน
ข้อเท็จจริงสำคัญ
- จุดอ่อน: เกิดจาก Actor Tokens และความบกพร่องในการตรวจสอบ Tenant ของ Azure AD Graph API
- ผลกระทบ: ผู้โจมตีอาจได้รับสิทธิ์ Global Administrator และเข้าถึงบริการทุกอย่างที่ใช้ Entra ID เช่น Azure, SharePoint และ Exchange
- สถานะปัจจุบัน: Microsoft แก้ไขช่องโหว่แล้วและกำลังยกเลิกการใช้โปรโตคอลรุ่นเก่า
- การตรวจพบ: ค้นพบโดย Dirk-jan Mollema จากบริษัท Outsider Security
| วันที่ | เหตุการณ์สำคัญ |
|---|---|
| 14 กรกฎาคม | Dirk-jan Mollema ค้นพบช่องโหว่และแจ้ง Microsoft |
| 17 กรกฎาคม | Microsoft ออกแพตช์แก้ไขระบบทั่วโลก |
| 23 กรกฎาคม | Microsoft ยืนยันการแก้ไขเสร็จสมบูรณ์ |
| 4 กันยายน | มีการออกหมายเลข CVE อย่างเป็นทางการ |
คำถามที่พบบ่อย
Entra ID คืออะไรและสำคัญอย่างไร?
Entra ID (เดิมคือ Azure Active Directory) คือระบบจัดการอัตลักษณ์และสิทธิ์การเข้าถึงของ Microsoft ซึ่งทำหน้าที่เป็นประตูด่านแรกในการตรวจสอบว่าใครสามารถเข้าถึงทรัพยากรใดในระบบคลาวด์ของ Azure และ Microsoft 365 ได้บ้าง
ช่องโหว่นี้ส่งผลกระทบต่อผู้ใช้ทั่วไปอย่างไร?
หากมีผู้ไม่หวังดีใช้ช่องโหว่นี้ พวกเขาจะสามารถปลอมตัวเป็นผู้ดูแลระบบสูงสุดขององค์กร และเข้าถึงข้อมูลทุกอย่างใน Tenant นั้นๆ ได้ รวมถึงอีเมล ไฟล์เอกสาร และการตั้งค่าระบบทั้งหมด
ปัจจุบันผู้ใช้งานต้องดำเนินการแก้ไขอะไรหรือไม่?
ผู้ใช้งานไม่ต้องดำเนินการใดๆ เนื่องจาก Microsoft ได้ดำเนินการแก้ไขที่ฝั่งเซิร์ฟเวอร์ (Backend) และอัปเดตระบบให้ทั่วโลกเรียบร้อยแล้ว
ทำไมระบบเก่า (Legacy System) ถึงยังเป็นปัญหา?
ในระบบซอฟต์แวร์ขนาดใหญ่ มักมีการคงฟังก์ชันเก่าไว้เพื่อให้รองรับผู้ใช้งานรุ่นเดิม แต่ฟังก์ชันเหล่านี้อาจไม่ได้ถูกออกแบบมาให้ทนทานต่อวิธีการโจมตีสมัยใหม่ ทำให้กลายเป็นจุดอ่อนที่แฮกเกอร์ใช้เจาะเข้าสู่ระบบปัจจุบันได้
Secure Future Initiative ของ Microsoft คืออะไร?
คือโครงการเชิงรุกที่ Microsoft จัดตั้งขึ้นเพื่อยกระดับความปลอดภัยของคลาวด์ โดยเน้นการตอบสนองต่อช่องโหว่ที่รวดเร็วขึ้น และการกำจัดโปรโตคอลเก่าที่ไม่มีความปลอดภัยออกไปจากระบบ
