264/68 (IT) ประจำวันอังคารที่ 22 กรกฎาคม 2568
Hewlett-Packard Enterprise (HPE) ออกประกาศเตือนถึงช่องโหว่ในอุปกรณ์ Aruba Instant On Access Points ซึ่งเป็นจุดกระจายสัญญาณ Wi-Fi ที่ออกแบบมาสำหรับธุรกิจขนาดเล็กถึงกลาง โดยพบว่ามีการฝังรหัสผ่านแบบ hardcoded ในเฟิร์มแวร์ของอุปกรณ์ ทำให้ผู้ไม่หวังดีสามารถข้ามกระบวนการยืนยันตัวตนและเข้าถึง Web Interface ได้โดยไม่ต้องใช้สิทธิ์ผู้ดูแลระบบ ที่ช่องโหว่หมายเลข CVE-2025-37103 มีคะแนนความรุนแรงระดับ Critacal (CVSS 9.8) และส่งผลกระทบต่อเฟิร์มแวร์เวอร์ชัน 3.2.0.1 และต่ำกว่า โดย HPE ยืนยันว่าช่องโหว่นี้ไม่ส่งผลกระทบต่ออุปกรณ์ Instant On Switches
การเข้าถึงระบบด้วยสิทธิ์ Admin อาจเปิดทางให้ผู้โจมตีเปลี่ยนการตั้งค่าความปลอดภัย ติดตั้ง backdoor ดักจับทราฟฟิกเครือข่าย หรือย้ายการโจมตีไปยังระบบอื่นภายในองค์กร ช่องโหว่ดังกล่าวถูกพบโดยนักวิจัยจาก Ubisectech Sirius Team ในนามแฝง “ZZ” และได้รายงานตรงไปยัง HPE ทั้งนี้ผู้ใช้งานถูกแนะนำให้อัปเดตเฟิร์มแวร์เป็นเวอร์ชัน 3.2.1.0 หรือใหม่กว่า โดยด่วน เนื่องจากยังไม่มีวิธีแก้ไขชั่วคราว และในประกาศเดียวกัน HPE ยังเปิดเผยถึงช่องโหว่อีกหนึ่งรายการ หมายเลข CVE-2025-37102 ซึ่งเป็นช่องโหว่แบบ Command Injection บน Command Line Interface (CLI) ที่มีความรุนแรงสูง โดยต้องใช้สิทธิ์ระดับ Admin ในการโจมตี และสามารถใช้ร่วมกับ CVE-2025-37103 เพื่อสั่งรันโค้ดอันตราย ดึงข้อมูล ปิดระบบรักษาความปลอดภัย หรือสร้างกลไกควบคุมระยะยาว แม้ปัจจุบันยังไม่มีรายงานการโจมตีที่ใช้ช่องโหว่ทั้งสอง แต่ HPE แนะนำให้ผู้ใช้งานดำเนินการอัปเดตเฟิร์มแวร์ทันทีเพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น
