Sweet Security ระบุเมื่อวันที่ 25 ตุลาคม 2026 ว่าช่องโหว่ Node2Shell ไม่ได้จำกัดอยู่แค่การติดตั้งใช้งานด้วยภาษา C ซึ่งเป็นต้นฉบับ แต่ยังลุกลามไปถึงไลบรารีบีบอัด Brotli สำหรับ Go ที่หลายโครงการ HTTP ใช้งาน บริษัทด้านความปลอดภัยทางไซเบอร์พบว่ามีการส่งการแก้ไขไปยังไลบรารี Go เมื่อวันที่ 23 ตุลาคม
ประเด็นสำคัญ
- Traefik, Fiber, Iris และ fasthttp มีไลบรารีดังกล่าวเป็นส่วนพึ่งพา
- การมีไลบรารีดังกล่าวเป็นส่วนพึ่งพาเพียงอย่างเดียวไม่ได้ยืนยันว่าแอปพลิเคชันมีช่องโหว่ เวอร์ชันและการกำหนดค่าก็มีความสำคัญ
ช่องโหว่ Node2Shell ส่งผลถึงโครงการ Go ได้อย่างไร
Tomer Ben Gera วิศวกรของ Sweet Security ระบุการแก้ไขสำหรับไลบรารี Go ควบคู่ไปกับการแก้ไขช่องโหว่สำหรับการติดตั้งใช้งานด้วยภาษา C ซึ่งเป็นต้นฉบับ บริษัทระบุว่าการวิเคราะห์พบว่าข้อบกพร่องด้านการจัดการหน่วยความจำที่เป็นต้นเหตุได้เกิดขึ้นซ้ำใน Go ด้วย
หลายโครงการ HTTP สำหรับ Go ใช้ไลบรารีที่ได้รับผลกระทบนี้โดยตรงหรือโดยอ้อม ตัวอย่างเช่น การพึ่งพาของ Fiber เชื่อมโยงผ่าน fasthttp ในเวอร์ชัน 2.52.9 ซึ่งเนื้อหาคำขอที่บีบอัดและควบคุมโดยไคลเอนต์อาจเปิดช่องทางให้เกิดช่องโหว่ได้
| รายการ | รายละเอียด |
|---|---|
| Traefik | ส่วนพึ่งพาโดยตรงที่มิดเดิลแวร์ Compress ใช้เข้ารหัสการตอบกลับ Brotli ขาออก |
| Fiber | ส่วนพึ่งพาทางอ้อมผ่าน fasthttp ในเวอร์ชัน 2.52.9 โดยเปิดให้ถอดรหัสเนื้อหาคำขอผ่าน Ctx.Body() และ JSON BodyParser |
| Iris | ส่วนพึ่งพาโดยตรงที่รองรับการเข้ารหัสการตอบกลับและการถอดรหัสคำขอ |
| fasthttp | ส่วนพึ่งพาโดยตรงถึงเวอร์ชัน 1.73.0 และเปลี่ยนไปใช้ทางเลือกอื่นในเวอร์ชัน 1.74.0 |
สิ่งที่ทีมรักษาความปลอดภัยควรตรวจสอบ
Sweet Security ระบุว่าความเสี่ยงที่อาจได้รับผลกระทบขึ้นอยู่กับเวอร์ชันของไลบรารี การที่แอปพลิเคชันใช้การเข้ารหัสหรือถอดรหัส Brotli หรือไม่ และการกำหนดค่าของแอปพลิเคชัน บริษัทแนะนำให้องค์กรจัดทำบัญชีบริการ HTTP ที่ใช้ Go ตรวจสอบเวอร์ชันไลบรารีเทียบกับรุ่นที่ได้รับการแก้ไขแล้ว และประเมินว่าเปิดใช้การถอดรหัสอินพุต Brotli ที่ไคลเอนต์ควบคุมหรือไม่
บริษัทยังแนะนำให้เฝ้าติดตามพฤติกรรมขณะทำงานเพื่อหาสัญญาณที่อาจบ่งชี้ถึงการโจมตี รวมถึงการเรียกใช้โปรเซสที่ไม่คาดคิด การเชื่อมต่อขาออกที่ผิดปกติ และพฤติกรรมของหน่วยความจำที่ผิดปกติในโปรเซสทำงานของ HTTP บริษัทเตือนว่าเครื่องมือสแกนที่อาศัยเส้นทางติดตั้งและคลังแพ็กเกจที่รู้จักอาจตรวจไม่พบไลบรารีที่มีช่องโหว่
อ่านข่าวเพิ่มเติม
ข้อจำกัดความรับผิด
บทความนี้จาก FinanceVelix ให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางการเงิน การลงทุน กฎหมาย หรือภาษีที่จัดทำขึ้นเฉพาะบุคคล ราคาตลาด อัตราดอกเบี้ย และภาวะเศรษฐกิจอาจเปลี่ยนแปลงได้ การลงทุนมีความเสี่ยงที่จะขาดทุน ข้อเท็จจริงสะท้อนข้อมูลที่มีอยู่ ณ เวลาที่เผยแพร่และอาจเปลี่ยนแปลงได้ โปรดตรวจสอบข้อมูลสำคัญด้วยตนเองและปรึกษาผู้เชี่ยวชาญที่มีคุณสมบัติเหมาะสมเมื่อจำเป็น การกล่าวถึงสินทรัพย์ บริษัท หรือบริการใด ๆ ไม่ถือเป็นการรับรอง
ความคิดเห็น
เคารพผู้อื่น ห้ามสแปม แอบอ้างตัวตน หรือเผยแพร่ข้อมูลรับรองการเข้าถึงส่วนตัว โพสต์และความคิดเห็นทั่วไปจะแสดงทันที ส่วนลิงก์ที่น่าสงสัยจะถูกพักไว้เพื่อตรวจสอบ
กรุณารอสักครู่...