แฮกเกอร์ใช้โซ่ช่องโหว่สองรายการใน Microsoft SharePoint ทำให้เกิด RCE

การโจมตีโดยใช้โซ่ของช่องโหว่สองรายการใน Microsoft SharePoint ที่สามารถทำให้ผู้ไม่ประสงค์ดีรันโค้ดอิสระบนเซิร์ฟเวอร์ที่ไม่ได้รับการอัปเดตได้เพิ่มขึ้นตามรายงานของบริษัทข่าวกรองด้านความปลอดภัย Defused การเปิดเผย PoC (proof‑of‑concept) ทำให้กลไกการโจมตีนี้เป็นที่เข้าถึงง่ายยิ่งขึ้นและสร้างความเสี่ยงต่อองค์กรที่ยังคงใช้ SharePoint เวอร์ชันเก่าโดยไม่ติดตั้งแพตช์ล่าสุด

Overview

SharePoint เป็นหนึ่งในผลิตภัณฑ์หลักของ Microsoft ที่ใช้ในการทำงานร่วมกันและจัดการเอกสารระดับองค์กร ช่องโหว่สองรายการที่ถูกเชื่อมต่อกันนี้อนุญาตให้ผู้โจมตีส่งคำขอพิเศษผ่านเว็บอินเทอร์เฟซเพื่อหลบเลี่ยงการตรวจสอบสิทธิ์ หลังจากนั้นสามารถฉีดโค้ดที่เป็นอันตรายเข้าสู่ระบบได้โดยตรง การทำงานแบบ “chain” ทำให้แต่ละช่องโหว่ไม่สามารถก่อความเสียหายอย่างเต็มที่ได้ถ้าไม่ได้รับการผสานกัน

แม้ว่าแต่ละช่องโหว่จะมีระดับความรุนแรงแตกต่างกันตามการประเมินของ Microsoft แต่เมื่อรวมเข้าด้วยกัน ความเสี่ยงโดยรวมยกระดับเป็น **Remote Code Execution (RCE) ซึ่งถือเป็นหนึ่งในภัยคุกคามที่สำคัญที่สุด เนื่องจากผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์ได้เต็มรูปแบบ

Technical Details

ช่องโหว่แรกเกี่ยวข้องกับการจัดการไฟล์ที่อัปโหลดผ่าน SharePoint Web Services ทำให้เกิด Server‑Side Request Forgery (SSRF) ซึ่งเปิดช่องทางให้ส่งคำขอไปยังภายในเครือข่ายโดยไม่ได้รับการตรวจสอบอย่างเพียงพอ ช่องโหว่ที่สองเป็นข้อบกพร่องในส่วนของการประมวลผลข้อมูล JSON ที่ทำให้เกิด deserialization** ของอ็อบเจ็กต์ที่ไม่ปลอดภัย การผสานสองช่องนี้เข้าด้วยกันทำให้ผู้โจมตีสามารถส่งไฟล์ที่มีโค้ดอันตรายผ่าน SSRF ไปยังตัวประมวลผล deserialization ได้

PoC ที่เผยแพร่โดยกลุ่มแฮกเกอร์ในชุมชนความปลอดภัยได้รวมสคริปต์สองส่วนไว้ในหนึ่งไฟล์เดียว โดยใช้ PowerShell เพื่อส่งคำขอและเรียกใช้งานฟังก์ชันที่เป็นเป้าหมาย การทำเช่นนี้สามารถทดสอบความสำเร็จของการโจมตีภายในไม่กี่นาทีบนเซิร์ฟเวอร์ที่ไม่มีแพตช์

Affected Products & Patch Status

Microsoft ได้ออกประกาศอัปเดตแก้ไขช่องโหว่เหล่านี้ในเดือนมีนาคม 2567 โดยระบุเวอร์ชัน SharePoint Server ที่ได้รับผลกระทบดังต่อไปนี้

• SharePoint Server 2016 (รุ่นทั้งหมดที่ยังคงใช้ระบบปฏิบัติการ Windows Server 2012 R2 หรือสูงกว่า)
• SharePoint Server 2019 (รวมถึงเวอร์ชันที่ติดตั้งบน Windows Server 2019)
• SharePoint Subscription Edition (รุ่นล่าสุดที่เผยแพร่ก่อนเดือนมีนาคม)

สำหรับผู้ใช้ SharePoint Online ระบบคลาวด์ของ Microsoft ได้ทำการอัปเดตโดยอัตโนมัติแล้ว อย่างไรก็ตาม ผู้ดูแลระบบที่ยังคงใช้งาน SharePoint on‑premises จำเป็นต้องดำเนินการติดตั้งแพตช์ทันทีเพื่อปิดช่องโหว่

Threat Landscape

Defused ระบุว่าได้ตรวจพบกิจกรรมสแกนพอร์ตและการส่งคำขอที่มีลักษณะคล้าย PoC ไปยังเซิร์ฟเวอร์ SharePoint จำนวนหลายร้อยเครื่องทั่วโลกในช่วงสองสัปดาห์ที่ผ่านมา การใช้ PoC อย่างเปิดเผยทำให้กลุ่มแฮกเกอร์ระดับกลาง‑สูงสามารถปรับแต่งโค้ดเพื่อหลบเลี่ยงระบบตรวจจับได้ง่ายขึ้น

แม้ว่าจะยังไม่มีรายงานการเจาะข้อมูลจริงจากช่องโหว่นี้อย่างเป็นทางการ แต่ความเสี่ยงต่อการละเมิดข้อมูลสำคัญ เช่น เอกสารภายในองค์กร หรือการติดตั้งมัลแวร์เพิ่มเติม ถือว่าอยู่ในระดับสูง การโจมตีแบบ RCE ยังเปิดช่องให้ผู้โจมตีสร้างบัญชีผู้ใช้ที่มีสิทธิ์ระดับ admin บน SharePoint ได้อีกด้วย

Mitigation & Recommendations

เพื่อป้องกันไม่ให้ระบบตกเป็นเป้าหมายของการโจมตีผ่านโซ่ช่องโหว่นี้ ผู้ดูแลระบบควรดำเนินการตามขั้นตอนต่อไปนี้

• ติดตั้งแพตช์ล่าสุดจาก Microsoft ทันทีโดยตรวจสอบอัพเดทใน Windows Update หรือ WSUS
• ตรวจสอบและบล็อกคำขอที่มาจาก IP ภายนอกที่พยายามเข้าถึง endpoint ของ SharePoint ที่ไม่ได้รับการยอมรับ
• ใช้เครื่องมือ **Web Application Firewall (WAF) เพื่อกรองและตรวจจับรูปแบบการโจมตีที่เกี่ยวข้องกับ SSRF หรือ JSON deserialization
• ทำการสแกนช่องโหว่ด้วยเครื่องมือความปลอดภัยภายในเครือข่ายเพื่อยืนยันว่าไม่มีเซิร์ฟเวอร์ใดยังคงอยู่ในสถานะอ่อนแอ

Impact

หากองค์กรไม่ดำเนินการตามคำแนะนำ การเจาะระบบผ่าน SharePoint อาจนำไปสู่การรั่วไหลของข้อมูลสำคัญที่จัดเก็บบนแพลตฟอร์มนี้ ซึ่งรวมถึงไฟล์เอกสารทางกฎหมาย รายงานการเงิน และข้อมูลส่วนบุคคลของพนักงาน การสูญเสียความเชื่อมั่นจากลูกค้าและพันธมิตรอาจส่งผลกระทบต่อภาพลักษณ์และค่าใช้จ่ายในการปฏิบัติตามข้อกำหนดด้านความปลอดภัย (เช่น GDPR หรือ PDPA) อย่างมีนัยสำคัญ

Summary

การเปิดเผย PoC สำหรับโซ่ช่องโหว่ใน Microsoft SharePoint ทำให้ความเสี่ยงต่อ RCE เพิ่มสูงขึ้นอย่างชัดเจน การอัปเดตแพตช์และดำเนินมาตรการป้องกันพื้นฐานจึงเป็นขั้นตอนที่องค์กรไม่ควรมองข้าม.