Tags:
Node Thumbnail

บั๊ก Shellshock กำลังถูกจับตามองอย่างมาก จากคอมเมนต์ในข่าวที่ผ่านๆ มาผมคิดว่ายังมีสมาชิก Blognone บางท่านไม่เข้าใจการทำงานและผลกระทบของมันอยู่บ้าง เผอิญทาง Trend Micro ประเทศไทยส่งบทความนี้มาพอดี เลยคิดว่าน่าจะเป็นประโยชน์สำหรับผู้สนใจหาข้อมูลเพิ่มในเรื่องนี้ครับ Blognone จึงนำมาเผยแพร่ต่อโดยปรับปรุงข้อความและฟอร์แมตเล็กน้อยครับ

Bash คืออะไร?

Bash คือ Shell ของ Unix/Linux ที่ช่วยให้คุณผสานรวมคำสั่งบนระบบ Unix และ Linux ซึ่งโดยปกติแล้ว เปิดใช้งานด้วยการเชื่อมต่อผ่าน SSH หรือ Telnet นอกจากนี้ Bash ยังสามารถทำหน้าที่เป็นตัวแยกวิเคราะห์ สำหรับสคริปต์ CGI บนเว็บเซิร์ฟเวอร์ เช่น Apache ทั้งนี้ Bash เริ่มใช้งานมาตั้งแต่ปี 2532 และเป็น Shell ที่ได้รับความนิยมมากที่สุด แม้ว่าจะมี Shell อื่นๆ มากมายสำหรับ Unix แต่ละรุ่น แต่ Bash ถือเป็น Shell ตามค่าตั้งต้นสำหรับ Linux และ Mac OS X ซึ่งเป็นระบบปฏิบัติการที่ได้รับการใช้งานอย่างแพร่หลาย และนั่นคือปัจจัยหลักที่ทำให้ความเสี่ยงนี้มีความสำคัญอย่างมาก เพราะ Bash พบเห็นได้ทั่วทุกที่ และนับเป็น “หนึ่งในยูทิลิตี้ที่ได้รับการติดตั้งมากที่สุดบนระบบ Linux”

หากจะให้ยกตัวอย่าง เรียกได้ว่าประมาณครึ่งหนึ่งของเว็บเซิร์ฟเวอร์บนอินเทอร์เน็ตที่ทำงาน Apache ปกติแล้วจะทำงานบน Linux ซึ่งใช้ Bash เป็น Shell ตามค่าตั้งต้น และปัจจุบันมีการใช้งาน เว็บไซต์มากกว่า 1 พันล้านเว็บไซต์ทั่วโลก ดังนั้นจึงนับเป็นปัญหาที่ส่งผลกระทบในวงกว้างอย่างแท้จริง!

เกิดอะไรขึ้น?

มีการตรวจพบช่องโหว่ใหม่ล่าสุดซึ่งจะก่อให้เกิดผลกระทบอย่างกว้างขวางและเรียกได้ว่ารุนแรง โดยช่องโหว่ดังกล่าวมีชื่อว่า Shellshock (CVE-2014-6271 และ CVE-2014-7169) ถูกพบใน Bash (Bourne Again Shell) ซึ่งเป็น Shell หลักสำหรับ Unix และ Linux (ค่าตั้งต้น) และยังสามารถพบได้ใน Mac OS X, ระบบเซิร์ฟเวอร์ Windows บางระบบ และแม้กระทั่ง Android อีกด้วย ช่องโหว่นี้สามารถทำการรีโมทโค้ดคำสั่งที่ทำงานได้โดยข้ามขั้นตอนการตรวจสอบการยืนยันสิทธิ์ ซึ่งหากมีกลุ่มผู้ไม่หวังดีต้องการสร้างความเสียหาย อาจส่งโค้ดอันตรายเพื่อควบคุมระบบปฏิบัติการ สามารถเข้าถึงข้อมูลลับต่างๆ หรือแฝงตัวซุ่มโจมตีในอนาคตได้อย่างง่ายดาย

NIST ให้คะแนนความรุนแรงของช่องโหว่นี้ในลำดับที่ 10 (จากคะแนนเต็ม 10 คะแนน) โดยพิจารณาจากข้อเท็จจริงคือ

  1. สามารถแพร่กระจายและกระทบได้กับธุรกิจวงกว้าง
  2. มีอำนาจทะลุทะลวงเข้าระบบเพื่อโจมตีได้อย่างง่ายดาย (ความซับซ้อนต่ำ) และ
  3. สามารถหลบข้ามการยืนยันสิทธิ์เมื่อใช้ Bash ผ่านทางสคริปต์ CGI และที่สำคัญต่างจากช่องโหว่ Heartbleed คือสามารถแพร่หลายได้มากกว่า และเข้าถึงได้ง่ายกว่า จึงก่อให้เกิดความเสี่ยงต่อองค์กรในวงกว้างและรุนแรงได้มากกว่า

ใครเป็นผู้ตรวจพบ และเผยแพร่รายละเอียดเกี่ยวกับช่องโหว่นี้?

มีการเปิดเผยเป็นครั้งแรกในวันที่ 24 กันยายน 2557 โดยบริษัทเทคโนโลยีชั้นนำ เช่น Red Hat, Akamai และอื่นๆ

ใครที่ได้รับผลกระทบบ้าง?

องค์กรหรือผู้ใช้ที่ใช้งาน Bash บนเซิร์ฟเวอร์, เดสก์ท็อป หรืออุปกรณ์ที่ได้รับผลกระทบจากช่องโหว่นี้ รวมไปถึงเว็บเซิร์ฟเวอร์มากกว่า 500 ล้านเครื่องในโลกอินเทอร์เน็ตปัจจุบันนี้ นอกจากนี้ยังรวมไปถึงกลุ่มผู้ใช้ที่เข้าถึงเว็บไซต์หรือบริการที่ทำงานบนเซิร์ฟเวอร์ที่ได้รับผลกระทบของช่องโหว่นี้ ก็มีความเสี่ยงที่ข้อมูลส่วนตัวและข้อมูลธุรกิจสำคัญอาจตกไปอยู่ในมือของผู้ไม่ประสงค์ดี (อาชญากรไซเบอร์)

ผู้ใช้งานจะแก้ปัญหาอย่างไรได้บ้าง?

จากที่ชี้แจงไปข้างต้น ช่องโหว่นี้มีความรุนแรงอย่างมากและควรได้รับการแก้ไขโดยเร็วที่สุดเท่าที่จะเป็นไปได้ แต่ในความเป็นจริงลูกค้าองค์รยังมีความไม่พร้อมที่จะแก้ไขได้ทันทีเนื่องจาก การเร่งสร้างและทำการแพตช์ในจำนวนที่มากและแตกต่าง (เช่น Linux แต่ละรุ่นที่ใช้ Bash ที่ใช้แพตช์ที่เฉพาะเจาะจง) และอีกประเด็นที่สำคัญไม่แพ้กันคือจำนวนอุปกรณ์เฉพาะด้านที่ทำงานบนแพลตฟอร์ม Linux อาทิเช่น เราเตอร์ตัวเล็กๆ ไปจนกระทั้งอุปกรณ์ทางการแพทย์ อุปกรณ์เหล่านี้ไม่สามารถติดตั้งแพตช์ได้โดยง่าย

  • หากคุณเป็นกลุ่มลูกค้าองค์กร

    • ทำการประเมินสภาพแวดล้อมของคุณทั้งหมด แยกคัดกลุ่มเสี่ยงอุปกรณ์ที่อาจมีช่องโหว่ Bash และทำการแพตช์ระบบโดยเร็วที่สุดเท่าที่จะเป็นไปได้
    • การมี IPS เวอร์ชั่นล่าสุดเป็นเรื่องจำเป็น ลดความเสี่ยงจนกว่าคุณจะทำการแพตช์ได้อย่างสมบูรณ์ และครบถ้วนทุกอุปกรณ์ ถ้าไม่มี IPS แนะนำให้ลองใช้ในรูปแบบบริการ (service-base) ในช่วงเวลาที่คุณจำเป็น ตามระยะเวลาการวางแผนแพตช์ที่กำหนด ซึ่งในกรณีเร่งด่วนแบบนี้ ถือเป็นทางออกที่คุ้มค่าที่สุด
  • หากคุณเป็นผู้ใช้ (End-user) ให้มองหาแพตช์สำหรับเครื่อง Mac, โทรศัพท์ Android หรืออุปกรณ์อื่นๆ ที่คุณอาจใช้งานอยู่
    • Mac OSX มีช่องโหว่ Bash ที่ติดตั้งมา และเป็น Shell ที่มีค่าคำสั่งตั้งต้น (Default Command Shell) อย่างไรก็ตาม ในค่าตั้งต้น Shell สามารถเข้าถึงได้โดยการเข้าระบบ (log on) ของผู้ใช้ นั่นหมายความว่าผู้ใช้ Apple Mac OSX ไม่เปิดให้ใช้ประโยชน์จากช่องโหว่โดยค่าตั้งต้น ยกเว้นคนที่ล็อกออนเข้าสู่ระบบ ผู้ใช้ Mac OS X ที่เปิดใช้งานรีโมทล็อกอินหรือมีการเขียนสคริปต์ของเซิร์ฟเวอร์โดยใช้ Bash จะมีโอกาสใช้ประโยชน์จากช่องโหว่ระยะไกล ผู้ใช้ Mac OSX ควรทำการแพตช์เมื่อ Apple ออกแพตช์มาเพื่อได้รับการปกป้องอย่างเต็มที่
    • นอกจากนี้ การใช้ประโยชน์จากโซลูชั่นชั้นนำ เช่น Trend Micro Free Tool สำหรับเครื่อง Mac ยังสามารถเตือนคุณเมื่อคุณอยู่บนเว็บไซต์ที่มีช่องโหว่ และป้องกันไม่ให้คุณใส่ข้อมูลที่มีความเสี่ยง
  • หากคุณมีผู้ใช้ที่คุณมีหน้าที่ดูแลรับผิดชอบ (ในฐานะองค์กร) ให้ติดตั้งแพตช์ทันทีที่พร้อมใช้งานสำหรับอุปกรณ์ที่มีความเสี่ยง ขณะเดียวกันคุณอาจใช้ Interscan Web Security as a Service เพื่อปิดกั้นการเข้าถึงไซต์ที่มีความเสี่ยง (โดยใช้ประโยชน์จากบริการฐานข้อมูลเว็บหรือ Web Reputation ของเทรนด์ไมโคร)
    • หากคุณกำลังรันระบบ Linux ให้ปิดใช้งาน Bash จนกว่าจะมีแพตช์ออกมาและจนกว่าคุณจะติดตั้งแพตช์ ระหว่างนั้นให้ใช้ระบบป้องกันการบุกรุก (IPS) เช่น Deep Security เพื่อแก้ไขจุดอ่อนในแบบเสมือนจริง
    • หากคุณใช้งาน Linux/Apache เว็บเซิฟเวอร์ซึ่งมีการใช้งาน Bash สคริปต์ ควรพิจารณาปรับปรุงสคริปต์ให้ไปใช้เครื่องมืออื่นแทน Bash จนกว่าจะมีแพตช์ออกมา ระหว่างนั้นให้ใช้ระบบป้องกันการบุกรุก (IPS) เช่น Deep Security เพื่อแก้ไขจุดอ่อนในแบบเสมือนจริง
  • หากคุณเป็นลูกค้าที่ใช้บริการโฮสต์ ให้ติดต่อผู้ให้บริการเพื่อสอบถามว่าระบบของเขามีความเสี่ยงหรือไม่ และสอบถามเกี่ยวกับแผนการแก้ไขปัญหา หากต้องการแก้ไขจุดอ่อนอย่างรวดเร็วสำหรับเซิร์ฟเวอร์และแอพพลิเคชั่นที่คุณรันบนบริการดังกล่าว ให้ใช้ IPS เช่น Deep Security เพื่อแก้ไขจุดอ่อนในแบบเสมือนจริง

เทรนด์ไมโคร ให้ความช่วยเหลือเกี่ยวกับเรื่องนี้ได้อย่างไรบ้าง?

เทรนด์ไมโคร มีข้อแนะนำหลายวิธีในการช่วยให้ลดความเสี่ยงจากช่องโหว่รุนแรงตัวนี้ได้ดังนี้

สำหรับการปกป้องเซิร์ฟเวอร์ ระดับองค์กร

  • Deep Security สามารถแก้ไขจุดอ่อนในแบบเสมือนจริงบนเซิร์ฟเวอร์ที่มีช่องโหว่นี้ โดยช่วยปกป้องระบบไว้จนกว่าจะแพตช์พร้อมสำหรับการติดตั้ง ลูกค้าปัจจุบันของเทรนด์ไมโครสามารถเปิดใช้กฎใหม่ (DSRU14-028) ที่พร้อมให้โหลดใช้งานได้จากเซิร์ฟเวอร์ไลฟ์อัพเดตของเทรนด์ไมโคร และจะได้รับการปกป้องทันที นอกจากนี้เทรนด์ไมโครนำเสนอการทดลองใช้งานฟรีด้วยฟีเจอร์ที่พร้อมสรรพผ่านทาง Deep Security as a Service ซึ่งจะช่วยแก้ไขจุดอ่อนในแบบเสมือนจริงสำหรับเซิร์ฟเวอร์ที่มีความเสี่ยง พร้อมการปกป้องที่อัพเดตอย่างต่อเนื่อง
  • Deep Security for Web Apps สามารถตรวจจับความเสี่ยงต่อช่องโหว่บนเว็บแอพพลิเคชั่นต่างๆ ให้ผู้ดูแลระบบสามารถรู้จุดเสี่ยงต่างๆ ที่อาจมีบนเว็บแอพพลิเคชั่นขององค์กร และรับมือได้อย่างเหมาะสมต่อไป (โดยการใช้ IPS ในการแพตช์แบบเวอร์ช่วล)
  • Deep Discovery สามารถตรวจสอบและค้นพบการโจมตีที่ใช้ประโยชน์จากช่องโหว่นี้ (ใช้กฎใหม่ # 1618) ผ่านเข้ามาในระบบองค์กร และสามารถแจ้งการบุกรุกระบบได้แบบเรียลไทม์ องค์กรขนาดใหญ่ที่ไม่ต้องการให้เกิดความเสี่ยงและต้องการจัดการความเสียหายล่วงหน้า ขอแนะนำโซลูชั่นโดดเด่นตัวนี้
  • เครื่องมือฟรี: เทรนด์ไมโครเปิดทูลสำหรับการสแกนเซิร์ฟเวอร์ลินุกซ์ เพื่อใช้ในการค้นหาช่องโหว่ฟรี เพื่อให้องค์กรสามารถประเมินความเร่งด่วน ของการวางแผนแพตช์ และ/หรือต้องทำการป้องกันต่อไป

สำหรับการปกป้องผู้ใช้งาน

  • Interscan Web Security as a Service ใช้ฐานข้อมูลเว็บเพื่อระบุไซต์และเว็บแอพพลิเคชั่น ที่เทรนด์ไมโครระบุว่าได้รับผลกระทบจากช่องโหว่ Bash ซึ่งจะช่วยให้คุณสามารถปิดกั้นการเข้าถึงเว็บไซต์เสี่ยงดังกล่าว และปกป้องผู้ใช้งานและข้อมูลสำคัญ ข้อมูลความลับไม่ว่าผู้ใช้จะใช้อุปกรณ์ใด หรืออยู่ที่ใดก็ตาม (นอกจากนี้ยังมีผลิตภัณฑ์ OfficeScan โซลูชั่นรักษาความปลอดภัยสำหรับอุปกรณ์ ลูกข่ายสามารถป้องกันได้เช่นกัน) สามารถทดลองใช้งานฟรี 30 วันสำหรับ InterScan Web Security as a Service ได้ที่ https://forms.trendmicro.com/product_trials/service/index/us/144
  • Trend Micro AntiVirus for Mac แนะนำให้ใช้งาน รวมถึงทูลฟรีต่างๆ ที่เรามีแนะนำให้ เพื่อตรวจสอบว่ามีช่องโหว่ Bashไหม ระบบมีความเสี่ยงที่จะถูกโจมตีหรือไม่ ได้ทำการปิดกั้นการเข้าถึงเว็บไซต์เสี่ยงที่ได้รับผลกระทบจากช่องโหว่ Bash หรือยัง ลดความเสี่ยงที่อาจเกิดขึ้นผ่านเครื่องของท่าน
Get latest news from Blognone

Comments

By: nat3738
ContributorAndroidRed HatUbuntu
on 30 September 2014 - 18:40 #748972

แปลกที่ไม่มีการพูดถึง dhcpcd บนลินุกซ์ หรือว่าช่องโหว่นั้นใช้เจาะจริงไม่เข้า?

By: frameonthai
ContributoriPhoneAndroidSymbian
on 30 September 2014 - 19:27 #748992 Reply to:748972
frameonthai's picture

ผมคิดว่าแก้ไขที่ dhcpcd มันเป็นการแก้ไขปัญหาที่ปลายเหตุอ่ะครับ เหมือนกับ mod_cgi ของ Apache แหละครับ เพราะยังไงมันก็ต้องเข้า env ของ bash อยู่แล้ว

By: nat3738
ContributorAndroidRed HatUbuntu
on 30 September 2014 - 19:43 #748997 Reply to:748992

แต่ก็ไม่ได้แปลว่าต้องไม่ป้องกันนิครับ เพราะนี่มันบทความเกี่ยวกับการป้องกัน

By: Ford AntiTrust
ContributorAndroidBlackberryUbuntu
on 30 September 2014 - 18:51 #748977
Ford AntiTrust's picture

ตอนนี้ล่าสุด Shellshock มี CVE ออกมาเป็น 5 ตัวแล้ว คือ CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187 และ CVE-2014-6277 และคาดว่าจะออกมาอีกเรื่อยๆ

ตอนนี้หลายๆ distro ไล่ออก patch เข้า repository update ให้ครบแล้ว ที่เร็วๆ หน่อยก็ centos, redhat, debian กับ ubuntu

By: panuzlife
iPhone
on 30 September 2014 - 18:50 #748979

ช่องโหว่ ShellShock นี่ James moriarty เป็นคนทำหรือเปล่า ?

ปล. แป๊กกราบขออภัยมา ณ ที่นี้

By: pasathaioum5
AndroidSymbianWindows
on 30 September 2014 - 20:15 #749003 Reply to:748979

นั่นมัน Sherlock

By: chettaphong
iPhoneWindows PhoneAndroidRed Hat
on 30 September 2014 - 18:54 #748981

ตกลงแล้วผลกระทบหลัก ที่จะเกิดขึ้นเพราะใช้ bash กับ CGI ใช่ไหมครับ
แล้ว ถ้าเป็น user shell ธรรมดา มีผลกระทบน้อยมาก ถูกไหมครับ

By: materaj
AndroidUbuntu
on 30 September 2014 - 18:57 #748983

ไม่ต่างอะไรกับบทความขายของ ไม่ค่อยได้ความรู้อะไรเพิ่มเติมเลย

By: viroth
ContributorBlackberryIn Love
on 30 September 2014 - 20:21 #749006 Reply to:748983
viroth's picture

เทน้ำออกหน่อยก็ดีนะครับ

By: achidad
UbuntuWindows
on 30 September 2014 - 21:52 #749028 Reply to:748983

ผมเห็นด้วยนะครับ ดูขายของ ๆ ยังไงไม่รู้

By: xvfb on 30 September 2014 - 18:57 #748984
xvfb's picture

ดูแล้วถ้าใช้ Linux หรือ OSX ก็มี patch ออกมาแล้ว UNIX-based ตัวอื่นๆ ก็คง compile กันได้ไม่ยาก เช่น 1,2,3 เป็นต้น ถ้าองค์กรไม่เทอะทะมาก คงไม่ต้องรอฤกษ์อะไรมากมาย รีบ patch กันได้เลย

By: none on 30 September 2014 - 18:59 #748985
none's picture

หากจะให้ยกตัวอย่าง เรียกได้ว่าประมาณครึ่งหนึ่งของเว็บเซิร์ฟเวอร์บนอินเทอร์เน็ตที่ทำงาน Apache ปกติแล้วจะทำงานบน Linux ซึ่งใช้ Bash เป็น Shell ตามค่าตั้งต้น และปัจจุบันมีการใช้งาน เว็บไซต์มากกว่า 1 พันเว็บไซต์ทั่วโลก ดังนั้นจึงนับเป็นปัญหาที่ส่งผลกระทบในวงกว้างอย่างแท้จริง!

หนึ่งพันล้านหรือเปล่าครับ

By: mk
FounderAndroid
on 30 September 2014 - 20:19 #749005 Reply to:748985
mk's picture

ต้นฉบับมาแบบนั้นครับ แก้ตามที่เสนอมาครับ

By: zendz
iPhone
on 1 October 2014 - 11:20 #749270 Reply to:749005

แสดงว่าบทความนี้ไม่ได้เขียนเองหรือครับ งั้นน่าจะควรเป็น user แยกต่างหากดีไหม ว่าอันนี้เป็นบทความที่มีที่มาจาก Trand Micro Thailand หรือเปล่า เพราะยังไม่เห็น link ที่มาของข่าวเลยอ่ะครับ

By: mk
FounderAndroid
on 1 October 2014 - 11:56 #749291 Reply to:749270
mk's picture

รบกวนอ่านย่อหน้าแรกสุดครับ

By: zendz
iPhone
on 1 October 2014 - 14:21 #749388 Reply to:749291

ขอโทษครับ ผมอ่านไม่ละเอียด แต่ว่าอยากเสนอว่าสามารถทำได้หรือเปล่าหากเป็นกรณีเป็นบทความส่งผ่านมาให้ลง แล้วคนลงกลายเป็นอะไรซักอย่างแยกออกไปเลย จะได้ชัดเจน

By: panurat2000
ContributorSymbianUbuntuIn Love
on 30 September 2014 - 23:02 #749042 Reply to:748985
panurat2000's picture

แต่ในความเป็นจริงลูกค้าองค์รยังมีความไม่พร้อมที่จะแก้ไขได้ทันทีเนื่องจาก

องค์ร => องค์กร

By: HudchewMan
ContributorAndroidWindowsIn Love
on 30 September 2014 - 21:36 #749022
HudchewMan's picture

อาทิเช่น เราเตอร์ตัวเล็กๆ ไปจนกระทั้งอุปกรณ์

  • อาทิ ไม่ต้องตามด้วยเช่น
  • เราท์เตอร์
  • กระทั่ง

.

ปัญหาของผมคือ เมื่อไหร่ที่ web hosting ที่ผมฝากเว็บไว้ จะอัพเดต T-T


~ HudchewMan's Station & @HudchewMan~

By: pruet
WriterAndroidRed HatUbuntu
on 7 October 2014 - 15:06 #751122
pruet's picture

ผมคิดว่าไม่มีที่มาของข่าวที่ชัดเจนนะครับ (อ้างถึง https://www.blognone.com/writing_guideline )

ในภาพใหญ่ มีหลาย ๆ ครั้ง ที่ข่าวจะเขียนว่า "ที่มาจากจดหมายประชาสัมพันธ์ของ XYZ" โดยไม่มี Link ไปหาเว็บต้นทาง หรือว่า Permanent Copy ซึ่งผมก็สงสัยว่า มันเป็นอ้างที่มาที่ชัดเจนหรือเปล่า เพราะคนอ่านไม่มีทางรู้เลยว่าข่าวต้นทางมีจริงตามที่อ้างหรือเปล่า

ไม่ทราบว่า มีนโยบายอย่างไรครับ สำหรับกรณีแบบนี้