อัปเดตความปลอดภัยเดือนเมษายน: สรุปช่องโหว่ร้ายแรงจาก Apple, Google, Microsoft และยักษ์ใหญ่ไอที

ในเดือนเมษายนที่ผ่านมา บริษัทเทคโนโลยีชั้นนำระดับโลกอย่าง Apple, Microsoft และ Google ต่างเร่งออกแพตช์ (Patch) หรือซอฟต์แวร์แก้ไขข้อผิดพลาดเพื่อปิดช่องโหว่ด้านความปลอดภัยที่สำคัญ ซึ่งหลายจุดถูกตรวจพบว่ามีการนำไปใช้โจมตีผู้ใช้งานจริงแล้ว นอกจากนี้ยังมีผู้ให้บริการซอฟต์แวร์ระดับองค์กรอย่าง Oracle, SolarWinds และ Cisco รวมถึงเบราว์เซอร์ Firefox ที่ออกอัปเดตเพื่อป้องกันภัยคุกคามเช่นกัน

เจาะลึกการอัปเดตจากยักษ์ใหญ่สาย Consumer Tech

Apple: ปิดช่องโหว่เร่งด่วนใน iOS และ macOS

Apple ได้ปล่อยอัปเดต iOS 16.4.1 เพื่อแก้ไขช่องโหว่ 2 จุดที่ถูกโจมตีแล้ว ได้แก่ CVE-2023-28206 ในส่วนของ IOSurfaceAccelerator ซึ่งอาจทำให้แอปพลิเคชันสามารถรันโค้ดด้วยสิทธิ์ระดับ Kernel (ส่วนลึกที่สุดของระบบปฏิบัติการ) และ CVE-2023-28205 ใน WebKit ซึ่งเป็นเอนจินหลักของ Safari ที่อาจนำไปสู่การรันโค้ดอันตรายได้

ผู้เชี่ยวชาญจาก Sophos ระบุว่า ช่องโหว่เหล่านี้อาจทำให้แฮกเกอร์ควบคุมเบราว์เซอร์หรือแอปที่ใช้ WebKit ได้เพียงแค่ผู้ใช้เข้าชมเว็บไซต์ที่ถูกวางกับดักไว้ ซึ่งมีความเป็นไปได้ว่าอาจถูกใช้เพื่อติดตั้งสปายแวร์ (Spyware) โดย Apple ยังได้ออก iOS 15.7.5 สำหรับรุ่นเก่า รวมถึงอัปเดต macOS Ventura, Monterey, Big Sur และ Safari เพื่อความปลอดภัยสูงสุด

Microsoft: การแก้ไขใน Patch Tuesday

Microsoft ได้ออกแพตช์แก้ไขช่องโหว่ถึง 98 รายการ โดยมีจุดที่น่ากังวลคือ CVE-2023-28252 ซึ่งเป็นบั๊กการยกระดับสิทธิ์ (Elevation-of-Privilege) ใน Windows Common Log File System Driver ที่ช่วยให้ผู้โจมตีได้รับสิทธิ์ระดับระบบ และ CVE-2023-21554 ซึ่งเป็นช่องโหว่ระดับวิกฤตใน Microsoft Message Queuing ที่เปิดโอกาสให้เกิดการรันโค้ดจากระยะไกล (Remote Code Execution - RCE) ผ่านการส่งแพ็กเก็ต MSMQ ที่เป็นอันตรายไปยังเซิร์ฟเวอร์

Google: อัปเดตครอบคลุมทั้ง Android และ Chrome

สำหรับฝั่ง Android Google ได้แก้ไขช่องโหว่ร้ายแรงที่สามารถทำ RCE ได้โดยไม่ต้องอาศัยการตอบโต้จากผู้ใช้ โดยมีการแก้ไขบั๊กในส่วน Framework 10 รายการ และในส่วน System อีก 16 รายการ รวมถึงแพตช์เฉพาะสำหรับอุปกรณ์ Pixel (CVE-2023-0266) ซึ่งอัปเดตนี้ครอบคลุมถึงสมาร์ทโฟน Samsung ตระกูล Galaxy S, Fold และ Flip ด้วย

ในส่วนของ Chrome มีการออกอัปเดตหลายครั้ง โดยครั้งแรกแก้ไข 16 จุด รวมถึงปัญหา Heap Buffer Overflow (การเขียนข้อมูลเกินขอบเขตหน่วยความจำ) และต่อมาได้ออกอัปเดตฉุกเฉินเพื่อปิดช่องโหว่ CVE-2023-2033 ในเอนจิน JavaScript V8 และ CVE-2023-2136 ในเอนจินกราฟิก Skia ซึ่งทั้งคู่เป็นช่องโหว่ประเภท Zero-day (ช่องโหว่ที่ถูกค้นพบและโจมตีก่อนที่ผู้พัฒนาจะออกแพตช์)

การอัปเดตซอฟต์แวร์ระดับองค์กรและเบราว์เซอร์ทางเลือก

Firefox และซอฟต์แวร์เฉพาะทาง

Mozilla ได้อัปเดต Firefox เวอร์ชัน 112 เพื่อแก้ไขปัญหาการเข้าถึงหน่วยความจำนอกขอบเขตใน WebGL บน macOS (CVE-2023-29531) และปัญหา Memory Corruption ใน libwebp (CVE-2023-1999) ซึ่งอาจนำไปสู่การรันโค้ดอันตรายได้

ด้าน SolarWinds ได้แก้ไขช่องโหว่ระดับสูง 2 จุด คือ CVE-2022-36963 ที่ป้องกันการฉีดคำสั่ง (Command Injection) สำหรับผู้ดูแลระบบ และ CVE-2022-47505 ที่ป้องกันการยกระดับสิทธิ์ในระบบ

Oracle, Cisco และ SAP

Oracle ออกแพตช์แก้ไขช่องโหว่จำนวนมหาศาลถึง 433 รายการ โดยมี 70 รายการอยู่ในระดับวิกฤต เช่น CVE-2022-23457 ใน Oracle GoldenGate ที่มีคะแนนความรุนแรง (CVSS) สูงถึง 9.8 ซึ่งสามารถโจมตีจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน

Cisco ได้แก้ไขช่องโหว่ CVE-2023-20121 และ CVE-2023-20122 ซึ่งช่วยป้องกันไม่ให้ผู้ใช้งานที่ได้รับอนุญาตในระดับต่ำสามารถเจาะทะลุ Restricted Shell เพื่อชิงสิทธิ์ Root (สิทธิ์สูงสุดของระบบ) ได้ ขณะที่ SAP ได้ออก Security Notes 19 ฉบับ รวมถึงการแก้ไขปัญหาการเปิดเผยข้อมูลรหัสผ่านใน SAP BusinessObjects (CVE-2023-28765)

สรุปช่องโหว่สำคัญและการอัปเดตเดือนเมษายน

ผู้พัฒนา	ซอฟต์แวร์/ระบบ	รหัสช่องโหว่ (CVE)	ประเภทความเสี่ยง
Apple	iOS / WebKit	CVE-2023-28205	Remote Code Execution (RCE)
Microsoft	Windows MSMQ	CVE-2023-21554	Critical RCE
Google	Chrome (V8 Engine)	CVE-2023-2033	Zero-day Exploit
Oracle	GoldenGate	CVE-2022-23457	Unauthenticated Remote Exploit
Cisco	ISE / EPNM	CVE-2023-20121	Privilege Escalation (Root)

ข้อเท็จจริงสำคัญ

• Apple แก้ไขช่องโหว่ใน iOS 16.4.1 ที่ถูกนำไปใช้โจมตีจริงแล้ว เพื่อป้องกันการติดตั้งสปายแวร์
• Microsoft ปิดช่องโหว่รวม 98 จุด โดยมีจุดวิกฤตที่เกี่ยวข้องกับการรันโค้ดระยะไกลใน MSMQ
• Google ออกแพตช์ Android และ Chrome หลายระลอกเพื่อจัดการกับ Zero-day และ RCE
• Oracle มีการอัปเดตครั้งใหญ่ที่สุดด้วยการแก้ไขช่องโหว่ถึง 433 รายการ
• Cisco และ SAP เน้นการป้องกันการยกระดับสิทธิ์และการรั่วไหลของข้อมูลรหัสผ่าน

คำถามที่พบบ่อย

การอัปเดต iOS 16.4.1 สำคัญอย่างไร?

สำคัญมากเพราะเป็นการปิดช่องโหว่ที่แฮกเกอร์ใช้โจมตีจริงในปัจจุบัน ซึ่งหากไม่อัปเดต ผู้ใช้อาจถูกควบคุมเบราว์เซอร์หรือถูกติดตั้งสปายแวร์ผ่านเว็บไซต์อันตรายได้

Remote Code Execution (RCE) คืออะไรและอันตรายแค่ไหน?

RCE คือช่องโหว่ที่อนุญาตให้ผู้โจมตีสามารถสั่งรันคำสั่งหรือโค้ดอันตรายจากระยะไกลบนเครื่องเป้าหมายได้ ถือเป็นความเสี่ยงระดับสูงเพราะแฮกเกอร์สามารถเข้าควบคุมระบบได้โดยไม่ต้องเข้าถึงเครื่องโดยตรง

Zero-day คืออะไร?

คือช่องโหว่ที่ผู้พัฒนาซอฟต์แวร์ยังไม่ทราบ หรือทราบแต่ยังไม่มีแพตช์แก้ไข ทำให้แฮกเกอร์มีโอกาสโจมตีได้ทันทีที่ค้นพบช่องโหว่นั้น

หากใช้ Android รุ่นเก่าหรือ Samsung ต้องทำอย่างไร?

ควรตรวจสอบการอัปเดตความปลอดภัยในเมนูการตั้งค่า เนื่องจากแพตช์เดือนเมษายนครอบคลุมทั้งอุปกรณ์ Pixel และ Samsung ตระกูล Galaxy S, Fold และ Flip

ทำไม Oracle ถึงต้องออกแพตช์จำนวนมากถึง 433 รายการ?

เนื่องจาก Oracle มีผลิตภัณฑ์ซอฟต์แวร์ระดับองค์กรที่หลากหลายและซับซ้อน การออก Critical Patch Update จึงเป็นการกวาดล้างช่องโหว่ในหลายผลิตภัณฑ์พร้อมกันเพื่อลดความเสี่ยงในภาพรวมขององค์กร