ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานช่องโหว่ใน Kaltura HTML5 Player Library หรือ mwEmbed/html5lib หมายเลข CVE-2026-19913 และ CVE-2026-19912 อาจทำให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถอ่านไฟล์ภายในเซิร์ฟเวอร์ หรือรันโค้ดบนระบบในสิทธิ์ของผู้ใช้ Web Server ได้ หากเข้าถึงระบบที่ได้รับผลกระทบ[1]
1. รายละเอียดช่องโหว่
ช่องโหว่ทั้งสองรายการเกี่ยวข้องกับการทำงานของ mwEmbedLoader.php ใน Kaltura HTML5 Player Library ซึ่งรับค่าพารามิเตอร์ ServiceUrl จากผู้ใช้ แล้วนำไปใช้เป็นปลายทางสำหรับร้องขอข้อมูลจาก backend API โดยข้อมูลที่ได้รับจะถูกนำไปประมวลผลด้วย unserialize() โดยไม่มีการตรวจสอบแหล่งที่มา รูปแบบ หรือเนื้อหาอย่างเหมาะสม
1.1 CVE-2026-19913[2] เป็นช่องโหว่อ่านไฟล์ภายในระบบ โดยผู้โจมตีอาจกำหนดค่า ServiceUrl ให้ชี้ไปยังไฟล์ภายในเซิร์ฟเวอร์ เช่นไฟล์การตั้งค่าหรือไฟล์ที่มีข้อมูลสำคัญ เมื่อการประมวลผลล้มเหลว ระบบอาจแสดงเนื้อหาไฟล์ดังกล่าวกลับมายังผู้โจมตี
1.2 CVE-2026-19912[3] เป็นช่องโหว่ที่อาจนำไปสู่การรันโค้ดบนเซิร์ฟเวอร์ โดยเกิดจากการประมวลผลข้อมูลที่ไม่ปลอดภัยร่วมกับการตรวจสอบค่าพารามิเตอร์ uiconf_id ไม่รัดกุม ทำให้ผู้โจมตีอาจเขียนไฟล์ไปยังตำแหน่งที่เข้าถึงผ่านเว็บได้ และนำไปสู่การรันโค้ดในสิทธิ์ของผู้ใช้ Web Server
2. ผลิตภัณฑ์หรือระบบที่ได้รับผลกระทบ[4][5]
2.1 Kaltura HTML5 Player Library หรือ mwEmbed/html5lib
2.2 html5lib เวอร์ชัน v2.45, v2.103 และก่อนหน้า
2.3 Kaltura html5lib รุ่น v2.x อื่น ๆ ที่เปิดให้เข้าถึง mwEmbedLoader.php endpoint
2.4 ระบบ Kaltura หรือเว็บไซต์ที่ให้บริการวิดีโอผ่าน Kaltura HTML5 Player และเปิด endpoint ดังกล่าวให้เข้าถึงจากภายนอก
3. ผลกระทบที่อาจเกิดขึ้น
3.1 ผู้โจมตีอาจอ่านไฟล์ภายในเซิร์ฟเวอร์ เช่น ไฟล์การตั้งค่า ฐานข้อมูล Credentials, API Keys, Admin Passwords หรือข้อมูลลับอื่น ๆ
3.2 ผู้โจมตีอาจรันโค้ดบนเซิร์ฟเวอร์ในสิทธิ์ของผู้ใช้ Web Server
3.3 ระบบอาจถูกใช้เพื่อติดตั้งเครื่องมือเพิ่มเติม คงสิทธิ์การเข้าถึง ขโมยข้อมูล หรือขยายผลไปยังระบบอื่น
3.4 หากระบบอยู่บนโครงสร้างพื้นฐานแบบ shared หรือ multi-tenant อาจเพิ่มความเสี่ยงต่อผู้ใช้งานหรือ tenant อื่นที่ใช้บริการร่วมกัน
4. แนวทางการป้องกันและลดความเสี่ยง
4.1 ตรวจสอบว่าระบบมีการใช้งาน Kaltura mwEmbed/html5lib และเปิดให้เข้าถึง mwEmbedLoader.php endpoint หรือไม่
4.2 หากไม่ได้ใช้งาน legacy mwEmbed player แล้ว ควรปิดหรือจำกัดการเข้าถึง mwEmbedLoader.php endpoint ผ่าน WAF, Reverse Proxy หรือ CDN
4.3 กำหนด allowlist สำหรับ ServiceUrl ให้เรียกได้เฉพาะ API host ที่ถูกต้องและเชื่อถือได้เท่านั้น และปฏิเสธ scheme ที่ไม่ใช่ HTTP/HTTPS
4.4 ตรวจสอบและปฏิเสธค่า uiconf_id ที่มีลักษณะผิดปกติ เช่น มี path traversal, absolute path หรือ directory separator
4.5 ปิดการรัน PHP ใน cache directory หรือ directory ที่ไม่ควรรันสคริปต์
4.6 จำกัดการเชื่อมต่อออกจาก Application Server เพื่อลดโอกาสที่ผู้โจมตีจะดึง payload จากภายนอก
4.7 หากระบบเคยเปิด endpoint ดังกล่าวให้เข้าถึงจากภายนอก ควรเปลี่ยนหรือหมุนเวียนค่า Credentials และ Secret ที่เกี่ยวข้อง เช่น Database Credentials, Admin Passwords, Console Passwords, Partner Secrets และ API Keys
แหล่งอ้างอิง
[1] https://dg.th/o6ulcb27ni
[2] https://dg.th/cdp8jku9w1
[3] https://dg.th/vnpw4s72hq
[4] https://dg.th/bc70qw9udf
[5] https://dg.th/d45f9vojqr