ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัย ในผลิตภัณฑ์ Red Hat Build of Keycloak พบช่องโหว่ในกระบวนการรีเซ็ตรหัสผ่าน (Reset Credentials Flow) [1] ที่อาจทำให้ผู้โจมตีซึ่งไม่ได้ผ่านการยืนยันตัวตน สามารถข้ามขั้นตอนการตรวจสอบอีเมลสำหรับการกู้คืนบัญชี และกำหนดรหัสผ่านใหม่ให้กับบัญชีผู้ใช้งานเป้าหมาย ส่งผลให้สามารถเข้าควบคุมบัญชีผู้ใช้งานได้โดยไม่ได้รับอนุญาต จึงขอแนะนำให้ผู้ดูแลระบบเร่งตรวจสอบและดำเนินการแก้ไขตามคำแนะนำของผู้ผลิตโดยทันที
1. รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-18963 (CVSS v3.1: 9.1) [2] เป็นช่องโหว่ในส่วนประกอบ keycloak-services ของผลิตภัณฑ์ Red Hat Build of Keycloak ซึ่งเป็นระบบจัดการตัวตนและการเข้าถึง (Identity and Access Management: IAM) โดยเกิดจากการตรวจสอบสถานะ (State Validation) ในกระบวนการรีเซ็ตรหัสผ่านที่ไม่ถูกต้อง ส่งผลให้ผู้โจมตีที่สามารถเข้าถึงระบบ Keycloak ผ่านเครือข่ายอาจสามารถข้ามขั้นตอนการยืนยันตัวตนผ่านลิงก์ในอีเมล (Email Verification) ซึ่งเป็นขั้นตอนสำคัญก่อนอนุญาตให้เปลี่ยนรหัสผ่าน และสามารถดำเนินการรีเซ็ตรหัสผ่านพร้อมกำหนดข้อมูลรับรองใหม่ (New Credentials) สำหรับบัญชีผู้ใช้งานเป้าหมาย ทำให้สามารถเข้าถึงบัญชีดังกล่าวโดยไม่ได้รับอนุญาตและนำไปสู่ความเสี่ยงในการยึดครองบัญชี (Account Takeover)
2. รูปแบบการโจมตี
ช่องโหว่นี้มีความสำคัญเนื่องจากสามารถถูกโจมตีได้โดยมีเงื่อนไขดังนี้
2.1 ผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้งาน (Unauthenticated Attacker)
2.2 ไม่จำเป็นต้องให้ผู้ใช้งานกดลิงก์หรือดำเนินการใด ๆ (No User Interaction)
2.3 สามารถโจมตีผ่านเครือข่าย (Network-Based Attack)
2.4 สามารถส่งผลให้ผู้โจมตีเข้าควบคุมบัญชีผู้ใช้งานได้สำเร็จ
3. ระบบที่ได้รับผลกระทบ
ระบบและส่วนประกอบที่ได้รับผลกระทบ ได้แก่
3.1 Red Hat Build of Keycloak
3.2 keycloak-services component
3.3 rhbk-keycloak-rhel9
3.4 rhbk-openshift-rhel9
3.5 Red Hat JBoss Enterprise Application Platform Expansion Pack
3.6 keycloak-services component
ทั้งนี้ ผู้ดูแลระบบควรตรวจสอบผลิตภัณฑ์และเวอร์ชันที่ใช้งานจากประกาศของ Red Hat เพื่อพิจารณาการอัปเดตที่เหมาะสม
4. แนวทางการแก้ไข
ผู้ดูแลระบบควรดำเนินการอัปเดต Red Hat Build of Keycloak เป็นเวอร์ชันที่ได้รับการแก้ไขจาก Red Hat โดยเร็วที่สุด ตามประกาศ Security Advisory ที่เกี่ยวข้อง เช่น RHSA-2026:56519, RHSA-2026:56520, RHSA-2026:56523 และ RHSA-2026:56524 ทั้งนี้ ควรตรวจสอบเวอร์ชันของระบบที่ใช้งานอยู่ สำรองข้อมูลที่เกี่ยวข้องก่อนดำเนินการอัปเดต ได้แก่ Configuration files, Database และ Application settings จากนั้นติดตั้งแพตช์หรืออัปเดตแพ็กเกจที่ Red Hat จัดเตรียมไว้ พร้อมทดสอบการทำงานของระบบยืนยันตัวตน (Authentication) และกระบวนการรีเซ็ตรหัสผ่าน (Password Recovery) หลังดำเนินการอัปเดตเสร็จสิ้น เพื่อยืนยันว่าระบบสามารถทำงานได้อย่างถูกต้อง
ในกรณีที่ผู้ดูแลระบบยังไม่สามารถดำเนินการอัปเดตได้ทันที Red Hat แนะนำให้ปิดการใช้งานฟังก์ชัน Forgot Password เป็นการชั่วคราว เพื่อลดความเสี่ยงจากการถูกโจมตีผ่านช่องโหว่ดังกล่าว โดยสามารถดำเนินการผ่าน Red Hat Build of Keycloak Administration Console ไปที่เมนู Realm settings → Login → Forgot password → Off และควรดำเนินการปิดฟังก์ชันดังกล่าวในทุก Realm ที่มีการใช้งานจนกว่าจะสามารถติดตั้งแพตช์หรืออัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไขเรียบร้อยแล้ว
5. คำแนะนำด้านความปลอดภัยเพิ่มเติม
5.1 ตรวจสอบ Log ของ Keycloak เพื่อค้นหากิจกรรมผิดปกติ
5.2 ตรวจสอบบัญชีผู้ใช้งานที่มีสิทธิ์ระดับสูง (Privileged Account) และพิจารณาบังคับเปลี่ยนรหัสผ่าน หากพบความผิดปกติ
5.3 เปิดใช้งาน Multi-Factor Authentication (MFA) สำหรับบัญชีผู้ใช้งาน โดยเฉพาะบัญชีผู้ดูแลระบบ
5.4 จำกัดการเข้าถึงหน้า Admin Console และบริการ Authentication ให้สามารถเข้าถึงได้เฉพาะเครือข่ายหรือผู้ใช้งานที่ได้รับอนุญาต
5.5 ติดตามประกาศช่องโหว่และ Security Advisory จาก Red Hat อย่างต่อเนื่อง เพื่อดำเนินการแก้ไขช่องโหว่ใหม่อย่างทันท่วงที
แหล่งอ้างอิง
[1] https://dg.th/29vesknfg7
[2] https://dg.th/l50udwbrxy