142/68 (IT) ประจำวันพฤหัสบดีที่ 17 เมษายน 2568
มีการเปิดเผยช่องโหว่ด้านความมั่นคงปลอดภัยระดับ critical ใน Apache Roller ซึ่งเป็น Java-based blogging server แบบ open-source ที่ช่องโหว่หมายเลข CVE-2025-24859 มีคะแนน CVSS 10.0 โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ Apache Roller เวอร์ชัน ≤6.1.4 โดยมีสาเหตุจากการจัดการ session ที่ไม่ปลอดภัย ซึ่งทำให้ session ของผู้ใช้งานเดิมยังคงสามารถใช้งานได้แม้จะมีการเปลี่ยนรหัสผ่านแล้วก็ตาม
จากคำแนะนำของทีมพัฒนา Apache Roller ระบุว่าหากผู้โจมตีเคยได้ credentials ไปก่อนหน้านี้ ช่องโหว่นี้จะเปิดโอกาสให้พวกเขายังคงสามารถเข้าถึงระบบผ่าน session เก่าได้ ถึงแม้จะมีการเปลี่ยนรหัสผ่านโดยผู้ใช้หรือผู้ดูแลระบบแล้วก็ตาม ทั้งนี้ช่องโหว่ดังกล่าวได้รับการแก้ไขในเวอร์ชัน 6.1.5 โดยมีการปรับปรุงระบบ centralized session management ให้สามารถยกเลิก (invalidate) session ทั้งหมดโดยอัตโนมัติทันทีเมื่อมีการเปลี่ยนรหัสผ่านหรือปิดการใช้งานบัญชีผู้ใช้
ช่องโหว่นี้ได้รับการรายงานโดยนักวิจัยด้านความมั่นคงปลอดภัย Haining Meng และนับเป็นการเปิดเผยที่เกิดขึ้นในช่วงเวลาใกล้เคียงกับช่องโหว่ร้ายแรงอื่น ๆ เช่น CVE-2025-30065 บน Apache Parquet (CVSS 10.0) ซึ่งสามารถนำไปสู่การ Remote Code Execution (RCE) และ CVE-2025-24813 บน Apache Tomcat (CVSS 9.8) ที่มีรายงานการโจมตีเกิดขึ้นแล้วในเดือนที่ผ่านมา แสดงให้เห็นถึงความจำเป็นเร่งด่วนในการอัปเดตและจัดการความเสี่ยงบนซอฟต์แวร์โอเพนซอร์ส
แหล่งข่าว https://thehackernews.com/2025/04/critical-apache-roller-vulnerability.html
