ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานการวิจัยของนักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์ที่ประสบความสำเร็จในการทดลองใช้ปัญญาประดิษฐ์ (AI) Claude Code มาทำการวิเคราะห์และปรับแต่งชุดคำสั่งโจมตี (Exploit) สำหรับช่องโหว่ระดับวิกฤต (CVE-2021-31886) บนอุปกรณ์ WAGO PLC โดยอนุญาตให้ผู้โจมตีสามารถรันโค้ดอันตรายหรือทำให้ระบบหยุดทำงานได้โดยไม่ต้องยืนยันตัวตน หน่วยงานโครงสร้างพื้นฐานหรือภาคอุตสาหกรรมที่ใช้งานอุปกรณ์ WAGO ซีรีส์ 750 ที่ใช้ Firmware เวอร์ชันเก่า ถือเป็นกลุ่มเป้าหมายหลักที่ได้รับผลกระทบและต้องเร่งจำกัดความเสี่ยง [1]
1. รายละเอียดของภัยคุกคาม
1.1 CVE-2021-31886 (CVSS v3.1: 9.8) [2] เป็นช่องโหว่ประเภท Stack-based Buffer Overflow ซึ่งแฝงอยู่ในบริการ FTP ของระบบปฏิบัติการ Nucleus NET/Nucleus RTOS หากผู้โจมตีเจาะผ่าน TCP Port 21 สำเร็จ จะสามารถสั่งรันโค้ดอันตราย (Remote Code Execution) หรือทำให้ระบบหยุดให้บริการได้ (Denial-of-Service) ส่งผลให้การทำงานของระบบ OT/ICS ล้มเหลว
1.2 ในการทดลอง นักวิจัยใช้ AI โมเดล Claude Code เป็นผู้ช่วยในการทำวิศวกรรมย้อนกลับ (Reverse Engineering) เพื่อปรับ Payload ของ Exploit จาก Firmware รุ่นหนึ่งไปใช้กับอีกรุ่นหนึ่งได้อย่างแม่นยำ โดยสามารถช่วยลดระยะเวลาการวิเคราะห์ระบบที่ซับซ้อนได้ ถึงแม้ AI จะยังไม่สามารถโจมตีได้เองแบบเบ็ดเสร็จ แต่ก็ช่วยเพิ่มขีดความสามารถและลดอุปสรรคทางเทคนิคให้กับผู้โจมตีได้อย่างมีนัยสำคัญ [3]
2. ผลิตภัณฑ์ที่ได้รับผลกระทบ[4]
อุปกรณ์ WAGO ต่อไปนี้ได้รับผลกระทบจากช่องโหว่กลุ่ม NUCLEUS:13 รวมถึง CVE-2021-31886
– WAGO 750-829 FW16 และก่อนหน้า
– WAGO 750-831/000-00x FW14 และก่อนหน้า
– WAGO 750-852 FW16 และก่อนหน้า
– WAGO 750-880/0xx-xxx FW16 และก่อนหน้า
– WAGO 750-881 FW16 และก่อนหน้า
– WAGO 750-882 FW16 และก่อนหน้า
– WAGO 750-885/0xx-xxx FW16 และก่อนหน้า
– WAGO 750-889 FW16 และก่อนหน้า
– WAGO 750-331 FW16 และก่อนหน้า
– WAGO 750-352/xxx-xxx FW16 และก่อนหน้า
3. ผลกระทบที่อาจเกิดขึ้น[5]
3.1 ผู้โจมตีที่สามารถเข้าถึงบริการ FTP ของอุปกรณ์ที่ได้รับผลกระทบอาจใช้ช่องโหว่เพื่อทำให้ระบบหยุดให้บริการ (Denial-of-Service) หรือสามารถสั่งรันโค้ด (Remote Code Execution) โดยไม่ต้องผ่านการยืนยันตัวตน
3.2 หากรันโค้ดบนอุปกรณ์ได้สำเร็จ ผู้โจมตีอาจสามารถเปลี่ยนแปลงหรือรบกวนการทำงานของอุปกรณ์ WAGO ที่ได้รับผลกระทบ ซึ่งอาจทำให้อุปกรณ์ไม่สามารถทำงานได้ตามปกติ
3.3 การโจมตีช่องโหว่ดังกล่าวอาจส่งผลต่อความพร้อมใช้งานของอุปกรณ์ โดยเฉพาะกรณีที่การโจมตีทำให้บริการหรือระบบปฏิบัติการบนอุปกรณ์เกิดความผิดพลาดหรือหยุดทำงาน
4. แนวทางการตรวจสอบและลดความเสี่ยง
4.1 ตรวจสอบว่ามีการใช้งานอุปกรณ์ WAGO รุ่นที่ได้รับผลกระทบ และตรวจสอบ Firmware Version ให้ตรงกับรายการที่ CERT@VDE ระบุ [3]
4.2 จำกัดการเข้าถึงอุปกรณ์ที่ได้รับผลกระทบจากอินเทอร์เน็ตหรือเครือข่ายที่ไม่น่าเชื่อถือ โดยอนุญาตเฉพาะการเชื่อมต่อที่จำเป็นเท่านั้น
4.3 ปิดหรือบล็อกบริการ FTP บน TCP Port 21 หากไม่มีความจำเป็น รวมถึงจำกัดการใช้งานบริการ DHCP และ DNS ตามความเหมาะสม [3]
4.4 ใช้ Network Segmentation เพื่อแยกอุปกรณ์ที่ได้รับผลกระทบออกจากเครือข่ายส่วนอื่น และอนุญาตเฉพาะการสื่อสารที่จำเป็น [3]
4.5 ใช้ Firewall หรือ Access Control List (ACL) เพื่อจำกัดการเข้าถึงอุปกรณ์เฉพาะระบบหรือผู้ใช้งานที่ได้รับอนุญาต [3]
4.6 เฝ้าระวังและตรวจสอบ Network Traffic เพื่อค้นหาการเชื่อมต่อหรือ Packet ที่ผิดปกติ และบล็อก Traffic ที่ไม่จำเป็นหรือมีลักษณะผิดรูปแบบ [3]
4.7 สำหรับอุปกรณ์ที่ใช้ Nucleus V1 RTOS ซึ่งยังไม่มีอัปเดตสำหรับ RTOS เวอร์ชันดังกล่าว ควรใช้มาตรการลดความเสี่ยงด้านเครือข่าย เช่น การจำกัดการเข้าถึง การปิดบริการที่ไม่จำเป็น และการแยกเครือข่าย [3]
4.8 ติดตามประกาศจาก WAGO, CERT@VDE และผู้ผลิตที่เกี่ยวข้อง เพื่อรับข้อมูลเกี่ยวกับการแก้ไขหรือมาตรการลดความเสี่ยงเพิ่มเติม
แหล่งอ้างอิง
[1] https://dg.th/v5brdwpn4m
[2] https://dg.th/t536liuskv
[3] https://dg.th/e7x2q0cf1p
[4] https://dg.th/eac43mjdxp
[5] https://dg.th/20iyf49zde