ช่องโหว่การตรวจสอบสิทธิ์ใน Lenovo ID เปิดช่องให้บัญชี Dropbox กว่า 5,000 บัญชีถูกเข้าถึง

Single Sign-On (SSO) และระบบการตรวจสอบสิทธิ์แบบรวมศูนย์ (federated authentication) ช่วยเพิ่มความสะดวกสบายให้กับผู้ใช้งานอย่างมาก แต่ข้อบกพร่องทางสถาปัตยกรรมภายในห่วงโซ่ความเชื่อถือ (trust chain) อาจก่อให้เกิดความเสี่ยงเชิงระบบที่สำคัญ ช่องโหว่ที่พบในระบบการเข้าสู่ระบบของ Lenovo ได้เปิดช่องให้บัญชี Dropbox ประมาณ 5,000 บัญชีที่ผู้ใช้เชื่อมโยงผ่าน Lenovo ID ถูกเข้าถึงได้ เหตุการณ์นี้เน้นย้ำถึงความเสี่ยงร้ายแรงที่เกี่ยวข้องกับการรวมระบบแอปพลิเคชันจากภายนอกและการรวมศูนย์ข้อมูลประจำตัว (identity federation)

กายวิภาคของช่องโหว่ในการเข้าสู่ระบบแบบรวมศูนย์

ช่องโหว่เกิดขึ้นภายในขั้นตอนการใช้งาน OAuth และกลไกการจัดการโทเค็นที่เชื่อมต่อ Lenovo ID เข้ากับบริการภายนอกอย่าง Dropbox การจัดการพารามิเตอร์การเปลี่ยนเส้นทาง (redirect parameters) หรือการดักจับโทเค็นการตรวจสอบสิทธิ์ที่ได้รับการตรวจสอบไม่ถูกต้อง ทำให้ผู้ไม่หวังดีสามารถใช้ประโยชน์จากความเชื่อถือโดยนัยที่สร้างขึ้นระหว่างสองแพลตฟอร์ม ส่งผลให้ผู้ไม่หวังดีสามารถยึดเซสชันและเข้าถึงที่เก็บข้อมูลบนคลาวด์ได้โดยไม่จำเป็นต้องใช้ข้อมูลประจำตัวหลักของเหยื่อเลย

ข้อบกพร่องดังกล่าวเน้นย้ำถึงอันตรายของการรวมระบบ Identity Provider เข้าด้วยกัน เมื่อระบบซอฟต์แวร์ของผู้บริโภคหรือองค์กรนำผู้ให้บริการคลาวด์ภายนอกเข้ามาใช้งาน จุดปลายทาง (endpoints) ของการตรวจสอบสิทธิ์จะต้องบังคับใช้การผูกมัดโทเค็น (token binding) ที่เข้มงวด การตรวจสอบสถานะ และการทำรายการขาว (whitelisting) ของ Redirect URI อย่างเคร่งครัด ความล้มเหลวในขั้นตอนใดขั้นตอนหนึ่งของกระบวนการนี้จะทำให้บริการปลายทางที่เชื่อมต่ออยู่เสี่ยงต่อการถูกเข้ายึดครองโดยไม่ต้องใช้ข้อมูลประจำตัว

แนวทางปฏิบัติที่ดีที่สุดสำหรับการรักษาความปลอดภัย SSO และ OAuth

วิศวกรความปลอดภัยและผู้ดูแลระบบควรใช้การกำกับดูแลที่เข้มงวดกับข้อมูลประจำตัวแบบรวมศูนย์และแอปพลิเคชันที่เชื่อมต่อ:

• ตรวจสอบการรวมระบบกับบุคคลที่สาม: ตรวจสอบและเพิกถอนสิทธิ์ของแอปพลิเคชันบุคคลที่สามและการอนุญาตการจัดเก็บข้อมูลบนคลาวด์ที่ไม่ได้ใช้งานอย่างสม่ำเสมอผ่านคอนโซลการจัดการ
• การตรวจสอบ OAuth ที่เข้มงวด: ตรวจสอบให้แน่ใจว่าขั้นตอน OAuth 2.0 ทั้งหมดใช้ Proof Key for Code Exchange (PKCE) ตรวจสอบ Redirect URIs อย่างเข้มงวด และป้องกันการรั่วไหลของโทเค็นไปยังโดเมนของบุคคลที่สาม
• การตรวจสอบข้อมูลประจำตัวอย่างต่อเนื่อง: ตรวจสอบบันทึกการตรวจสอบสิทธิ์เพื่อหารูปแบบการออกโทเค็นที่ผิดปกติ การเข้าสู่ระบบพร้อมกันจากภูมิภาคทางภูมิศาสตร์ที่แตกต่างกัน และการพุ่งสูงขึ้นอย่างกะทันหันของการดึงข้อมูลบนคลาวด์

---

แหล่งที่มา: Graham Cluley เผยแพร่ครั้งแรก: Mon, 07 Sep 2026 10:30:27 +0000 บทความต้นฉบับ: อ่านต้นฉบับ