CVE-2026-53561 ช่องโหว่ SAML ใน Apache Hive กระทบเวอร์ชัน 4.0.0-4.2.0
Apache Hive เปิดเผยช่องโหว่ CVE-2026-53561 ระดับวิกฤต เปิดทางให้ผู้โจมตีสวมรอยเป็นผู้ใช้ใดก็ได้ผ่าน HTTP SAML พร้อมแนะรีบอัปเดตเป็น 4.2.1 ทันที
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- ช่องโหว่ CVE-2026-53561 กระทบ Apache Hive เวอร์ชัน 4.0.0 ถึง 4.2.0 บนพาธ HTTP SAML
- ผู้โจมตีที่เข้าถึงพอร์ต HTTP /cliservice สามารถส่งโทเค็นปลอมเพื่อสวมรอยเป็นผู้ใช้ใดก็ได้โดยไม่ต้องใช้รหัสผ่าน
- Apache ออกแพตช์แก้ไขในเวอร์ชัน 4.2.1 พร้อมแก้ปัญหา Metastore SQL injection และ Avro SerDe SSRF
- ผู้ดูแลระบบควรตรวจสอบไฟล์ hive-site.xml ว่าใช้งานโหมด SAML และ HTTP หรือไม่ก่อนอัปเดต
วงการความปลอดภัยไซเบอร์ต้องตื่นตัวอีกครั้งหลังการประกาศแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-53561 ซึ่งได้รับการจัดระดับความรุนแรงในระดับวิกฤต โดยเป็นช่องโหว่ที่เกิดขึ้นกับระบบการยืนยันตัวตนแบบ SAML 2.0 ผ่านโปรโตคอล HTTP ในซอฟต์แวร์จัดการฐานข้อมูล Apache Hive ส่งผลให้โครงสร้างการตรวจสอบสิทธิ์เกิดช่องว่างที่ยอมรับโทเค็นปลอมแปลงให้กลายเป็นเซสชันจริงได้ทันที
รายละเอียดจากบันทึกระบุว่าช่องโหว่นี้ถูกพบใน Apache Hive เวอร์ชัน 4.0.0 ถึง 4.2.0 รวมถึงสาขาที่ยังไม่ออกตัวอย่างเป็นทางการอื่นๆ โดยจุดอ่อนดังกล่าวเกิดขึ้นบริเวณขั้นตอนที่ไดรเวอร์ JDBC หรือ ODBC ส่งโทเค็นระยะสั้นรูปแบบ Authorization: Bearer กลับไปยังเอนด์พอยต์ /cliservice ของ HiveServer2 ซึ่งในระบบที่ได้รับผลกระทบ ตัวตรวจสอบโทเค็นล้มเหลวในการคัดกรองข้อมูลอย่างถูกต้อง ทำให้ผู้ไม่หวังพฤษ์สามารถส่งโทเค็นปลอมเพื่อเปิดเซสชันในฐานะผู้ใช้ใดก็ได้ตามต้องการ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ความน่ากลัวของช่องโหว่นี้คือผู้โจมตีไม่จำเป็นต้องมีข้อมูลประจำตัวของระบบ Hive ข้อมูลเข้าสู่ระบบ SAML IdP หรือแม้แต่ความลับในการเซ็นชื่อของเซิร์ฟเวอร์ ขอเพียงแค่สามารถเข้าถึงเน็ตเวิร์กที่เชื่อมต่อกับพอร์ต HTTP ได้ ไม่ว่าจะเป็นการเชื่อมต่อโดยตรงหรือผ่านรีverse proxy อย่าง Apache Knox ที่ส่งต่อคำขอแบบไม่ตรวจสอบสิทธิ์ก็เพียงพอที่จะโจมตีได้ทันที ทั้งนี้ Andrew Rukin จากบริษัท Arenadata เป็นผู้รายงานช่องโหว่ดังกล่าวต่อทาง Apache โดยมีการเผยแพร่การแจ้งเตือนอย่างเป็นทางการเมื่อวันที่ 25 สิงหาคม 2026
แม้ลักษณะของการโจมตีนี้จะไม่ใช่การรันคำสั่งจากระยะไกลหรือ Remote Code Execution โดยตรง แต่ผู้โจมตีจะได้รับเซสชันของ HiveServer2 ในนามของผู้ใช้ที่ตนแอบอ้าง ซึ่งมีสิทธิ์กระทำการใดๆ ตามที่บัญชีผู้ใช้นั้นสามารถทำได้ผ่านระบบ Hive ทุกประการ นอกจากนี้ในชุดการอัปเดตเดียวกันยังมีแพตช์สำหรับช่องโหว่พี่น้องอีกสองรายการ ได้แก่ ปัญหา SQL injection ในส่วนของ Metastore และช่องโหว่ SSRF ผ่าน Avro SerDe
"ผู้โจมตีสามารถปลอมแปลงโทเค็นเพื่อสวมรอยเป็นผู้ใช้ Hive ใดก็ได้ผ่านเอนด์พอยต์ HTTP /cliservice โดยไม่ต้องอาศัยข้อมูลรับรองระบบหรือรหัสผ่านใดๆ ทั้งสิ้น"
Apache CVE Record
ในมุมมองเชิงเทคนิค ช่องโหว่นี้ (จัดอยู่ในหมวดหมู่ CWE-287, CWE-345 และ CWE-305) สะท้อนให้เห็นความท้าทายในการตรวจสอบความถูกต้องของโทเค็นที่ถูกส่งต่อผ่านระบบยืนยันตัวตนภายนอกอย่าง SAML เมื่อสถาปัตยกรรมระบบเปลี่ยนผ่านจากการตรวจสอบแบบดั้งเดิมอย่าง Kerberos หรือ LDAP มาสู่ HTTP-based token การจัดการกับสตริงข้อมูลก่อนเข้าสู่ฟังก์ชันตรวจสอบลายเซ็นจึงต้องมีความรัดกุมเป็นพิเศษ การที่แพตช์เวอร์ชัน 4.2.1 ต้องเพิ่มกระบวนการ Base64-decode ข้อมูลโทเค็นก่อนประมวลผล แสดงให้เห็นว่าระบบเดิมเคยข้ามขั้นตอนสำคัญในการอ่านเนื้อหาภายในโทเค็นเพื่อตรวจสอบสถานะรีเลย์และตัวระบุตัวตนไคลเอนต์
แนวทางการแก้ไขปัญหาที่ดีที่สุดในขณะนี้คือการอัปเดตซอฟต์แวร์ทั้งหมดให้เป็นเวอร์ชัน 4.2.1 โดยผู้ดูแลระบบควรตรวจสอบสถานะปัจจุบันของระบบผ่านคำสั่ง hive --version และตรวจสอบการกำหนดค่าในไฟล์ hive-site.xml ว่าพารามิเตอร์ hive.server2.authentication ถูกตั้งค่าเป็น SAML และ hive.server2.transport.mode ถูกตั้งค่าเป็น HTTP หรือไม่ หากระบบใช้งานโหมดดังกล่าวจำเป็นต้องเร่งอัปเดตทันที ส่วนระบบที่ใช้ Kerberos หรือ LDAP จะไม่ได้รับผลกระทบจากช่องโหว่นี้โดยตรง แต่ก็ยังควรรับแพตช์ 4.2.1 เพื่อป้องกันช่องโหว่ข้างเคียงอื่นๆ ต่อไป
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น