พบช่องโหว่ความปลอดภัยระดับรุนแรงใน LXD และ MicroCloud ที่อนุญาตให้ผู้ไม่หวังดีสวมรอยเป็นผู้ใช้ที่ได้รับความไว้วางใจโดยไม่ต้องใช้ Private Key
เจาะลึกช่องโหว่ในโครงสร้างพื้นฐานระบบ Cloud
Canonical ได้ประกาศเตือนเกี่ยวกับช่องโหว่ร้ายแรงที่มีคะแนน CVSS สูงถึง 10.0 ใน LXD และ MicroCloud ซึ่งเป็นเครื่องมือบริหารจัดการ Container และ Virtual Machine ที่ได้รับความนิยม ช่องโหว่นี้เปิดช่องให้ผู้โจมตีที่อยู่ในเครือข่ายสามารถเข้าถึง HTTPS API และสวมรอยเป็นผู้ใช้ที่ได้รับสิทธิ์ (Trusted Client) ได้โดยอาศัยเพียง Public Certificate เท่านั้น โดยไม่ต้องมี Private Key ซึ่งถือเป็นความเสี่ยงสูงสุดเพราะผู้โจมตีสามารถยึดครองสิทธิ์ในการควบคุม Cluster และเครื่องเสมือนทั้งหมดภายในสภาพแวดล้อมนั้นได้ทันที
แนวทางการป้องกันและแก้ไข
สำหรับองค์กรที่ใช้ LXD หรือ MicroCloud ควรดำเนินการตามขั้นตอนดังต่อไปนี้เพื่อปิดความเสี่ยง:
- ตรวจสอบเวอร์ชันของซอฟต์แวร์ที่ใช้งานอยู่ และเร่งดำเนินการ Patch ไปยังเวอร์ชันล่าสุดที่ทางผู้ผลิตประกาศแก้ไขช่องโหว่นี้โดยด่วน
- จำกัดการเข้าถึงส่วนของ API Management ด้วยการใช้ Network Segmentation หรือ Firewall เพื่อไม่ให้เข้าถึงจากภายนอกเครือข่ายที่ไม่ได้ระบุตัวตน
- ทบทวนนโยบายการใช้งาน Certificate และการจัดการสิทธิ์การเข้าถึง (Identity and Access Management) ในสภาพแวดล้อม Cloud อย่างสม่ำเสมอ
- ตรวจสอบ Log การเข้าถึงระบบอย่างละเอียด เพื่อหาความผิดปกติในการเข้าใช้งานที่อาจเชื่อมโยงกับการสวมรอยเข้าสู่ระบบก่อนการ Patch จะเสร็จสิ้น
แหล่งที่มา: The Hacker News เผยแพร่ครั้งแรก: Sun, 01 Nov 2026 14:21:31 +0530 บทความต้นฉบับ: อ่านต้นฉบับ
Source Attribution
แหล่งที่มา: The Hacker News
เผยแพร่ครั้งแรก: Sun, 01 Nov 2026 14:21:31 +0530
บทความต้นฉบับ: https://thehackernews.com/2026/11/critical-lxd-and-microcloud-flaw-cvss.html
* Facebook / LinkedIn ไม่อนุญาตให้ใส่ข้อความให้ล่วงหน้า — กดปุ่มจะคัดลอกข้อความให้ก่อน เปิดหน้าแชร์แล้ววาง (paste) ได้เลย พรีวิวการ์ดจะแสดงอัตโนมัติเมื่อวางลิงก์