164/69 (IT) ประจำวันจันทร์ที่ 23 มีนาคม 2569
บริษัทด้านความมั่นคงปลอดภัยไซเบอร์ Sansec เปิดเผยช่องโหว่ใน REST API ของแพลตฟอร์ม Magento และ Adobe Commerce ที่เปิดโอกาสให้ผู้ไม่หวังดีสามารถอัปโหลดไฟล์ที่เป็นอันตรายเข้าสู่ระบบได้โดยไม่ต้องผ่านการยืนยันตัวตน โดยช่องโหว่นี้ถูกตั้งชื่อว่า PolyShell และส่งผลกระทบต่อเวอร์ชันตั้งแต่เริ่มต้นจนถึง 2.4.9-alpha2 โดยในบางเวอร์ชันก่อนหน้า (ต่ำกว่า 2.3.5) ยังอาจนำไปสู่การโจมตีแบบ Cross-Site Scripting (XSS) ได้ ส่งผลให้ร้านค้าออนไลน์จำนวนมากมีความเสี่ยงต่อการถูกยึดระบบหรือขโมยบัญชีผู้ใช้งาน
ช่องโหว่ดังกล่าวเกิดจากการอัปโหลดไฟล์ผ่าน REST API ซึ่งอนุญาตให้แนบไฟล์ในรูปแบบ base64 ผ่านตัวเลือกสินค้า (cart item options) และบันทึกไฟล์ลงในเซิร์ฟเวอร์โดยไม่มีการตรวจสอบที่เพียงพอ ซึ่งผู้โจมตีสามารถใช้เทคนิค polyglot (ไฟล์ที่ปลอมแปลงเป็นภาพแต่แฝงโค้ดอันตราย) เพื่อหลบเลี่ยงการตรวจจับ และในกรณีที่เซิร์ฟเวอร์มีการตั้งค่าไม่เหมาะสม อาจนำไปสู่การรันโค้ดจากระยะไกล (Remote Code Execution: RCE) หรือการโจมตีแบบ XSS ได้ แม้ในกรณีที่ไม่สามารถรันโค้ดได้ทันที ไฟล์อันตรายยังคงถูกเก็บอยู่ในระบบ และอาจถูกนำไปใช้ในภายหลังเมื่อมีการเปลี่ยนแปลงการตั้งค่าระบบ
โดย Adobe ได้แก้ไขช่องโหว่นี้เฉพาะในเวอร์ชัน pre-release (2.4.9) แต่ยังไม่มีแพตช์สำหรับเวอร์ชันที่ใช้งานจริงอย่างเป็นทางการ ทำให้องค์กรจำเป็นต้องใช้มาตรการป้องกันเพิ่มเติม เช่น การติดตั้ง Web Application Firewall (WAF) การจำกัดสิทธิ์การเข้าถึงไดเรกทอรีอัปโหลด และการตรวจสอบระบบเพื่อค้นหาการถูกบุกรุก ทั้งนี้ แม้ยังไม่พบการโจมตีในวงกว้าง แต่มีการเผยแพร่โค้ดโจมตี (exploit) แล้ว และมีแนวโน้มว่าจะเกิดการโจมตีแบบอัตโนมัติในเร็ว ๆ นี้ โดยก่อนหน้านี้ยังมีรายงานการโจมตีเว็บไซต์ Magento กว่า 7,500 แห่ง ที่แสดงให้เห็นว่าแพลตฟอร์มอีคอมเมิร์ซยังคงเป็นเป้าหมายสำคัญของผู้โจมตีทางไซเบอร์