484/68 (IT) ประจำวันจันทร์ที่ 24 พฤศจิกายน 2568
SolarWinds ได้ออกอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ร้ายแรง 3 รายการในผลิตภัณฑ์ Serv-U File Transfer Solution ซึ่งอาจเปิดทางให้ผู้โจมตีสั่งให้ระบบดำเนินการโค้ดจากระยะไกลได้ (Remote Code Execution – RCE) ได้ ช่องโหว่ทั้งหมดส่งผลกระทบต่อ Serv-U เวอร์ชัน 15.5.2.2.102 และได้รับการแก้ไขแล้วในเวอร์ชัน 15.5.3
ช่องโหว่ที่ได้รับการแก้ไขมีรายละเอียดดังนี้
– CVE-2025-40549 (CVSS 9.1) : ช่องโหว่ Path Restriction Bypass ที่อาจทำให้ผู้โจมตีที่มีสิทธิ์ระดับผู้ดูแลระบบสามารถชี้นำให้ระบบประมวลผลโค้ดภายในไดเรกทอรีเป้าหมายได้
– CVE-2025-40548 (CVSS 9.1) : ช่องโหว่ Broken Access Control จากการขาดขั้นตอนตรวจสอบที่เหมาะสม ทำให้ผู้โจมตีที่มี admin privileges สามารถทำให้ระบบประมวลผลงานตามโค้ดที่เตรียมไว้
– CVE-2025-40547 (CVSS 9.1) : ช่องโหว่แบบ Logic Error ที่อาจนำไปสู่การประมวลผลโค้ดตามต้องการ ทั้งนี้ บนระบบ Windows ความรุนแรงของบางช่องโหว่ถูกประเมินลดลงเป็นระดับ Medium เนื่องจากบริการส่วนใหญ่ทำงานภายใต้บัญชีที่มีสิทธิ์จำกัด
SolarWinds แนะนำให้หน่วยงานที่ใช้งาน Serv-U ให้ดำเนินการอัปเดตเป็นเวอร์ชันล่าสุด เพื่อป้องกันความเสี่ยงจากการถูกโจมตีผ่านช่องโหว่ โดยทั้งหมดจัดอยู่ในระดับร้ายแรงและสามารถนำไปสู่การควบคุมระบบได้หากผู้โจมตีมีสิทธิ์เข้าถึงที่เพียงพอ
แหล่งข่าว https://securityaffairs.com/184916/security/solarwinds-addressed-three-critical-flaws-in-serv-u.html
