137/68 (IT) ประจำวันพฤหัสบดีที่ 10 เมษายน 2568
Fortinet ได้ออกแพตช์ความปลอดภัยเพื่อแก้ไขช่องโหว่สำคัญในผลิตภัณฑ์ FortiSwitch ที่อาจเปิดโอกาสให้ผู้ไม่หวังดีสามารถเปลี่ยนรหัสผ่านผู้ดูแลระบบได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้มีหมายเลข CVE-2024-48887 และได้รับคะแนนความรุนแรง CVSS ระดับ 9.3 เต็ม 10 ซึ่งจัดอยู่ในระดับวิกฤต โดย Fortinet ระบุว่า จุดบกพร่องเกิดจากกระบวนการเปลี่ยนรหัสผ่านในหน้า GUI ของ FortiSwitch ที่ไม่มีการตรวจสอบตัวตนอย่างเหมาะสม ส่งผลให้ผู้โจมตีจากระยะไกลสามารถส่งคำร้องขอที่สร้างขึ้นเป็นพิเศษเพื่อเปลี่ยนรหัสผ่านของผู้ดูแลได้ โดยช่องโหว่นี้มีผลกระทบต่อ FortiSwitch หลายเวอร์ชัน ได้แก่
– FortiSwitch 7.6.0 (Upgrade to 7.6.1 or above)
– FortiSwitch 7.4.0 through 7.4.4 (Upgrade to 7.4.5 or above)
– FortiSwitch 7.2.0 through 7.2.8 (Upgrade to 7.2.9 or above)
– FortiSwitch 7.0.0 through 7.0.10 (Upgrade to 7.0.11 or above), and
– FortiSwitch 6.4.0 through 6.4.14 (Upgrade to 6.4.15 or above)
แม้ขณะนี้ยังไม่มีหลักฐานว่าช่องโหว่ดังกล่าวถูกนำไปใช้โจมตีจริง แต่ Fortinet เตือนให้ผู้ใช้งานรีบติดตั้งแพตช์โดยเร็ว นอกจากนี้ยังแนะนำให้ผู้ดูแลระบบปิดการเข้าถึง GUI ของ FortiSwitch ผ่าน HTTP/HTTPS และจำกัดการเข้าถึงเฉพาะจากเครื่องที่เชื่อถือได้ เพื่อเสริมความปลอดภัยในระหว่างรอดำเนินการอัปเดตระบบ
แหล่งข่าว https://thehackernews.com/2025/04/fortinet-urges-fortiswitch-upgrades-to.html
