ช่องโหว่ *sshole บน Linux เปิดทางแฮกเกอร์เจาะระบบไม่ต้องใช้รหัสผ่าน
ค้นพบช่องโหว่ความปลอดภัยใหม่ในชื่อ *sshole ที่เปิดช่องให้ผู้ไม่หวังดีสามารถล็อกอินผ่าน SSH เข้าสู่ระบบปฏิบัติการ Linux ที่มีการกำหนดค่าบางแบบได้โดยไม่ต้องใช้รหัสผ่าน
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- พบช่องโหว่ความปลอดภัยตัวใหม่ในชื่อ *sshole บนระบบปฏิบัติการ Linux
- เปิดโอกาสให้แฮกเกอร์เข้าสู่ระบบผ่าน SSH ได้โดยไม่ต้องใช้รหัสผ่าน
- ระบบปฏิบัติการ Alpine ในบางการกำหนดค่าได้รับผลกระทบจากช่องโหว่นี้
- การกระจายตัว (Distros) ของ Linux รายอื่นอาจมีความเสี่ยงเช่นเดียวกัน
วงการความปลอดภัยไซเบอร์ต้องตื่นตัวอีกครั้งหลังมีการค้นพบช่องโหว่ความปลอดภัยใหม่ที่มีชื่อเรียกชวนสะดุ้งว่า *sshole ซึ่งความบกพร่องในระบบนี้ถูกออกแบบมาในลักษณะที่เปิดช่องให้ผู้ไม่หวังดีหรือแฮกเกอร์สามารถทำการเชื่อมต่อและล็อกอินเข้าสู่ระบบอุปกรณ์ Linux ได้โดยตรงผ่านโปรโตคอล SSH (Secure Shell) โดยไม่ต้องผ่านกระบวนการยืนยันตัวตนด้วยรหัสผ่านแต่อย่างใด
จากการตรวจสอบในเบื้องต้นพบว่า ช่องโหว่ดังกล่าวไม่ได้ส่งผลกระทบกับระบบทั้งหมดโดยอัตโนมัติ แต่จะเกิดขึ้นเฉพาะกับระบบปฏิบัติการ Linux ที่มีการกำหนดค่า (Configurations) เฉพาะบางรูปแบบเท่านั้น โดยเฉพาะในส่วนของการจัดการสิทธิ์และการเข้าถึงระยะไกลผ่านเครือข่าย
ช่องโหว่ในลักษณะที่ยอมให้ข้ามการยืนยันตัวตนผ่าน SSH ถือเป็นภัยคุกคามระดับความรุนแรงสูง เนื่องจากโปรโตคอล SSH เป็นประตูหลักที่ผู้ดูแลระบบใช้จัดการเซิร์ฟเวอร์จากระยะไกล หากแฮกเกอร์สามารถเจาะเข้ามาได้โดยไม่ต้องใช้รหัสผ่าน จะทำให้ได้สิทธิ์ในการควบคุมระบบเทียบเท่ากับผู้ดูแลระบบทันที ผู้ใช้งาน Linux จึงควรตรวจสอบการตั้งค่าความปลอดภัยของตนเองอย่างละเอียดเพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น
นอกจากระบบปฏิบัติการ Alpine ในบางการกำหนดค่าที่ได้รับการยืนยันแล้วว่าได้รับผลกระทบจากช่องโหว่ *sshole นี้ ทางนักวิจัยด้านความปลอดภัยยังเตือนด้วยว่า การกระจายตัวหรือดิสโทร (Distros) ของ Linux ตัวอื่นๆ ก็อาจมีความเสี่ยงที่จะได้รับผลกระทบจากช่องโหว่ลักษณะเดียวกันนี้ด้วยเช่นกัน ขึ้นอยู่กับการตั้งค่าระบบของแต่ละแห่ง
ผู้ดูแลระบบและผู้ใช้งานอุปกรณ์ Linux ทุกรายควรติดตามรายงานการอัปเดตแพตช์ความปลอดภัยอย่างใกล้ชิด รวมถึงตรวจสอบการกำหนดค่า SSH บนเซิร์ฟเวอร์ของตนเองเพื่อหาช่องโหว่และทำการปิดกั้นช่องทางการเข้าถึงที่ไม่ได้รับอนุญาตโดยเร็วที่สุด
ที่มา: Ars Technica
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น