393/67 (IT) ประจำวันพุธที่ 6 พฤศจิกายน 2567
Okta เป็นบริษัทเทคโนโลยีชั้นนำในด้านการจัดการและยืนยันตัวตน (Identity and Access Management หรือ IAM) ได้แก้ไขช่องโหว่ระดับ Critical ใน Okta Verify สำหรับระบบ Windows ซึ่งช่องโหว่นี้อาจเปิดโอกาสให้ผู้โจมตีสามารถขโมยรหัสผ่านของผู้ใช้ได้ ซึ่งช่องโหว่ดังกล่าวถูกค้นพบระหว่างการ penetration testing ตามปกติของบริษัท โดยช่องโหว่ที่พบได้ส่งผลกระทบต่อ Okta Verify Agent ในเวอร์ชัน 5.0.2 ถึง 5.3.2 ของ Windows และถูกระบุหมายเลขช่องโหว่ CVE-2024-9191 ซึ่งเกี่ยวข้องกับฟีเจอร์ Okta Device Access
ช่องโหว่ดังกล่าวทำให้ผู้โจมตีที่เข้าถึงอุปกรณ์ที่ถูกบุกรุกสามารถดึงรหัสผ่านที่เกี่ยวข้องกับการเข้าสู่ระบบแบบ Passwordless ของผู้ใช้งานได้ผ่านทาง OktaDeviceAccessPipe ซึ่งอย่างไรก็ตาม ช่องโหว่ดังกล่าวมีผลเฉพาะกับผู้ใช้ที่ใช้ฟีเจอร์ Okta Device Access โดยไม่ต้องใช้รหัสผ่านเท่านั้น ส่วนผู้ใช้ที่ใช้ Okta Verify บนแพลตฟอร์มอื่นหรือเฉพาะฟีเจอร์ FastPass ไม่ได้รับผลกระทบ
ทาง Okta ได้แก้ไขช่องโหว่นี้ในเวอร์ชัน 5.3.3 ของ Verify Agent สำหรับ Windows และแนะนำให้ลูกค้าที่ได้รับผลกระทบอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด เพื่อป้องกันความเสี่ยง โดยช่องโหว่ดังกล่าวถูกพบครั้งแรกเมื่อวันที่ 17 เมษายน 2024 ในเวอร์ชัน 5.0.2 และ Okta ได้ปล่อยเวอร์ชัน Early Access เพื่อแก้ไขเมื่อวันที่ 20 กันยายน 2024 ก่อนเปิดตัวเวอร์ชันทั่วไปเมื่อวันที่ 25 ตุลาคม 2024
แหล่งข่าว https://cybersecuritynews.com/okta-verify-agent-windows-flaw/
