สรุปสั้น

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Chaotic Eclipse หรือที่รู้จักในชื่อ INFINITE NIGHTMARE, MSNightmare และ Nightmare-Eclipse เผยแพร่โค้ดสาธิตการโจมตีของช่องโหว่ที่ยังไม่มีแพตช์ในคอมโพเนนต์ฝั่งผู้ใช้ของ NVIDIA บน Windows โดยตั้งชื่อว่า GreenSection ตามลักษณะของปัญหาที่อยู่ในส่วนหน่วยความจำร่วม ต้นเหตุที่นักวิจัยอธิบายคือคอมโพเนนต์หลายตัวของ NVIDIA ใช้หน่วยความจำร่วมก้อนเดียวกันที่เปิดสิทธิ์อ่านและเขียนให้ทุกบัญชีในเครื่อง ก้อนนี้เก็บโครงสร้างข้อมูลสำคัญไว้ภายใน และแม้ตัวซอฟต์แวร์จะมีการตรวจสอบขณะทำงานเพื่อกันการใช้งานผิดวัตถุประสงค์ แต่ข้อมูลชุดเดิมจากหน่วยความจำร่วมกลับถูกนำมาใช้ซ้ำระหว่างการทำงาน จนเปิดทางให้เขียนข้อมูลนอกขอบเขตที่กำหนดไว้ได้

จุดที่ต้องระบุให้ตรงคือขนาดของผลกระทบยังไม่ถูกพิสูจน์ นักวิจัยเขียนเองว่าบั๊กตัวนี้ไม่ได้ให้สิทธิ์ระดับ SYSTEM ในทันที แต่ประเมินว่าน่าจะใช้ข้ามขอบเขตจากผู้ใช้รายหนึ่งไปยังอีกรายหนึ่งได้ไม่ยาก หรืออาจกระทบกระบวนการ Desktop Window Manager (dwm.exe) ของ Windows ได้ พร้อมระบุตรง ๆ ว่าตัวเองไม่ได้ตรวจสอบเชิงลึกและอยากเห็นคนอื่นพัฒนาต่อให้เป็นการโจมตีที่สมบูรณ์ ส่วน PoC ที่ปล่อยออกมาก็ทำได้เพียงทำให้แอปพลิเคชันที่ใช้ Vulkan หรือ OpenGL ล่มเท่านั้น

ณ เวลาที่รายงานเผยแพร่ ช่องโหว่นี้ยังไม่มีหมายเลข CVE ไม่มีการระบุเวอร์ชันไดรเวอร์หรือคอมโพเนนต์ที่ได้รับผลกระทบอย่างเจาะจง และยังไม่มีคำแถลงจาก NVIDIA ว่ารับทราบหรือกำลังแก้ไขอยู่หรือไม่ นี่เป็นการปล่อยครั้งล่าสุดในชุดที่นักวิจัยรายเดียวกันทยอยเผยแพร่ในช่วงไม่กี่สัปดาห์ที่ผ่านมา ซึ่งรวมถึง Kaspersky Endpoint Security, Avast ของ Gen Digital และ CrowdStrike Falcon ที่เราเคยรายงานไว้ในโพสต์ 2026/09/020

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า Chaotic Eclipse เผยแพร่โค้ดสาธิตการโจมตีช่องโหว่ที่ยังไม่มีแพตช์ตัวใหม่ที่พุ่งเป้าไปยังซอฟต์แวร์ของ NVIDIA โดยตั้งชื่อชุดโค้ดนี้ว่า GreenSection และเผยแพร่ผ่านที่เก็บโค้ดของตัวเองบน GitHub

คำอธิบายที่นักวิจัยแนบมากับการเผยแพร่ระบุว่า “คอมโพเนนต์ฝั่งผู้ใช้หลายตัวของ NVIDIA ใช้ส่วนหน่วยความจำร่วมก้อนหนึ่งที่ \BaseNamedObjects\{52813408-3561-4705-820a-2b3b78be92ba} ร่วมกัน โดยเปิดสิทธิ์อ่านและเขียนเต็มรูปแบบให้ทุกคน ส่วนนี้เก็บโครงสร้างข้อมูลสำคัญไว้ภายใน แต่มีการตรวจสอบขณะทำงานที่ป้องกันไม่ให้เกิดปัญหา น่าเสียดายที่ข้อมูลชุดเดียวกันจากส่วนนี้ถูกนำกลับมาใช้ระหว่างทำงานจนเกิดการเขียนหน่วยความจำนอกขอบเขต”

นักวิจัยประเมินผลกระทบต่อไว้ว่า “แม้บั๊กตัวนี้จะไม่ได้สิทธิ์ SYSTEM ในทันที แต่ก็ใช้ข้ามขอบเขตจากผู้ใช้รายหนึ่งไปยังอีกรายหนึ่งได้ง่าย หรือแม้กระทั่งเจาะกระบวนการ dwm.exe ได้ ผมไม่ได้ดูลึกลงไปกว่านั้น แต่ก็ยินดีถ้าจะมีใครทำมันให้เป็นการโจมตีที่สมบูรณ์” ซึ่งเป็นถ้อยคำที่ควรอ่านตามตัวอักษร กล่าวคือสถานะปัจจุบันของ GreenSection คือการชี้ให้เห็นจุดที่มีปัญหา ไม่ใช่เครื่องมือโจมตีที่ใช้งานได้จริงแล้ว

ขั้นตอนการสาธิตที่นักวิจัยให้ไว้เรียบง่ายมาก คือเปิดแอปพลิเคชันที่ใช้ Vulkan หรือ OpenGL ขึ้นมาหนึ่งตัว จากนั้นรันตัว PoC แล้วกด Enter และสังเกตว่าแอปพลิเคชันนั้นจะล่ม ซึ่งเป็นการยืนยันว่าการเขียนนอกขอบเขตเกิดขึ้นจริง แต่ยังไม่ได้แสดงว่าควบคุมทิศทางของการเขียนนั้นเพื่อรันโค้ดของผู้โจมตีได้หรือไม่

การปล่อยครั้งนี้ต่อจากชุดก่อนหน้าที่นักวิจัยรายเดียวกันทยอยเผยแพร่มา ได้แก่ HardBreacher ที่โจมตี Kaspersky Endpoint Security ซึ่งนักวิจัยยอมรับเองว่าไม่เสถียรและอาจต้องรันซ้ำหลายครั้ง แต่เมื่อสำเร็จจะสร้างไฟล์ DLL ใน System32 ด้วยสิทธิ์ของผู้ใช้ทั่วไป และอ้างว่าทำงานได้บน Windows 11 25H2 ที่แพตช์ครบพร้อม Kaspersky Endpoint เวอร์ชัน 14.0.0.504 ตามด้วย PrettyPrague ที่โจมตี Avast Antivirus ของบริษัท Gen Digital โดยอาศัยช่องโหว่ในแซนด์บ็อกซ์ของ Avast เพื่อดัมป์ฐานข้อมูล SAM ของ Windows และเปิดเชลล์ระดับ SYSTEM ซึ่งนักวิจัยสงสัยว่าอาจกระทบผลิตภัณฑ์อื่นของ Gen Digital อย่าง AVG และ Norton ด้วย และล่าสุดคือ FalconFlank ที่ใช้ประโยชน์จากฟีเจอร์ลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon เพื่อยกระดับสิทธิ์

Chaotic Eclipse เป็นนักวิจัยที่มีชื่อจากการเผยแพร่ PoC ของช่องโหว่ที่ยังไม่มีแพตช์ต่อสาธารณะ โดยมักปล่อยหลังวิจารณ์วิธีที่ผู้ผลิตจัดการกับรายงานช่องโหว่ที่ส่งเข้าไป ผลงานส่วนใหญ่ก่อนหน้านี้พุ่งเป้าไปที่ผลิตภัณฑ์ของ Microsoft ทั้ง Windows และ Microsoft Defender โดยมีบางตัวที่ถูกนำไปใช้โจมตีจริงในภายหลัง ที่เป็นที่รู้จักมากที่สุดคือช่องโหว่ชื่อ Undefend และ RedSun Defender การเผยแพร่ลักษณะนี้จุดข้อถกเถียงเรื่องการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบและความเสี่ยงของการปล่อยโค้ดโจมตีที่ใช้งานได้จริงมาโดยตลอด

วิธีการโจมตี

หัวใจของ GreenSection อยู่ที่สิทธิ์บนอ็อบเจกต์หน่วยความจำร่วมของ Windows ปกติแล้วส่วนหน่วยความจำที่ตั้งชื่อไว้ภายใต้ \BaseNamedObjects จะถูกกำหนดสิทธิ์ให้เฉพาะกระบวนการหรือบัญชีที่จำเป็นต้องเข้าถึง แต่ในกรณีนี้ก้อนที่คอมโพเนนต์ฝั่งผู้ใช้ของ NVIDIA ใช้ร่วมกันเปิดสิทธิ์อ่านและเขียนไว้ให้ทุกบัญชีในเครื่อง หมายความว่ากระบวนการที่รันด้วยสิทธิ์ต่ำที่สุดก็ยังแก้ไขเนื้อหาข้างในได้

ปัญหาไม่ได้จบที่การเขียนได้เพียงอย่างเดียว เพราะซอฟต์แวร์มีการตรวจสอบความถูกต้องอยู่ก่อนแล้วในหลายจุด สิ่งที่ทำให้ช่องโหว่เกิดขึ้นคือข้อมูลชุดเดียวกันจากหน่วยความจำร่วมถูกนำกลับมาใช้อีกครั้งหลังผ่านการตรวจสอบไปแล้ว ซึ่งเป็นรูปแบบปัญหาที่พบบ่อยในการเขียนโปรแกรมเชิงความปลอดภัย กล่าวคือค่าที่ผ่านการตรวจแล้วอาจถูกแก้ไขในช่วงเวลาระหว่างการตรวจกับการนำไปใช้ เมื่อโครงสร้างข้อมูลที่ควบคุมขนาดหรือตำแหน่งของการเขียนถูกแก้ในจังหวะนั้น ผลลัพธ์คือการเขียนข้อมูลออกนอกขอบเขตของบัฟเฟอร์ที่กำหนดไว้

เป้าหมายที่นักวิจัยระบุว่าน่าสนใจคือกระบวนการ dwm.exe ซึ่งเป็นตัวจัดการการวาดหน้าต่างของ Windows และเป็นกระบวนการที่ใช้กราฟิกโดยตรงจึงเข้าถึงหน่วยความจำร่วมชุดนี้ด้วย การเข้าไปแทรกแซงกระบวนการที่รันในบริบทของผู้ใช้อีกรายหรือในเซสชันอื่นจึงเป็นเส้นทางที่นักวิจัยมองว่าเป็นไปได้ แต่ย้ำอีกครั้งว่าเป็นการประเมิน ไม่ใช่การสาธิตที่ทำสำเร็จแล้ว

ข้อจำกัดของหลักฐานที่ต้องระบุไว้ให้ครบคือ รายงานไม่ได้บอกว่าคอมโพเนนต์ใดของ NVIDIA เป็นเจ้าของหน่วยความจำก้อนนี้ ไม่ได้ระบุช่วงเวอร์ชันไดรเวอร์ที่ได้รับผลกระทบ ไม่มีการทดสอบว่าปัญหาเกิดกับการ์ดจอรุ่นใดหรือระบบปฏิบัติการเวอร์ชันใดบ้าง และไม่มีข้อมูลว่ามีการโจมตีจริงเกิดขึ้นแล้วหรือไม่

ผลกระทบ

กลุ่มที่ได้รับผลกระทบในทางทฤษฎีคือเครื่อง Windows ที่ติดตั้งซอฟต์แวร์ฝั่งผู้ใช้ของ NVIDIA ซึ่งครอบคลุมทั้งเครื่องเวิร์กสเตชันงานกราฟิก เครื่องเล่นเกม และเซิร์ฟเวอร์ที่ใช้ GPU ประมวลผล ความน่ากังวลอยู่ที่ลักษณะของฐานติดตั้ง เพราะไดรเวอร์กราฟิกเป็นซอฟต์แวร์ที่อยู่บนเครื่องแทบทุกเครื่องที่ใช้การ์ดจอแยก และมักถูกอัปเดตตามรอบของผู้ใช้เองมากกว่าตามนโยบายขององค์กร

อย่างไรก็ตาม ระดับความเสี่ยงจริงยังประเมินไม่ได้จากข้อมูลชุดนี้ สิ่งที่พิสูจน์แล้วคือทำให้แอปพลิเคชันกราฟิกล่มได้ ส่วนการยกระดับสิทธิ์หรือการข้ามขอบเขตระหว่างผู้ใช้ยังเป็นเพียงข้อสันนิษฐานของผู้ค้นพบเอง องค์กรที่กำลังจัดลำดับความสำคัญของงานแพตช์จึงยังไม่ควรยกช่องโหว่นี้ขึ้นเป็นเหตุฉุกเฉิน แต่ก็ไม่ควรมองข้าม เพราะโค้ดสาธิตอยู่ในมือสาธารณะแล้ว และนักวิจัยเปิดเชิญชวนให้คนอื่นพัฒนาต่ออย่างชัดเจน

สิ่งที่ควรจับตามากกว่าตัวช่องโหว่เดี่ยว ๆ คือรูปแบบการทำงานของนักวิจัยรายนี้ ซึ่งปล่อย PoC ของผลิตภัณฑ์ด้านความปลอดภัยและซอฟต์แวร์ระบบต่อเนื่องกันหลายตัวในเวลาไม่กี่สัปดาห์ โดยไม่ผ่านกระบวนการแจ้งผู้ผลิตล่วงหน้า ทีมความปลอดภัยจึงควรตั้งสมมติฐานว่าจะมีการปล่อยลักษณะเดียวกันตามมาอีก และการวางแผนรับมือควรมองที่กระบวนการตรวจจับพฤติกรรมมากกว่าการรอแพตช์เป็นรายตัว

คำแนะนำ

ติดตามประกาศด้านความปลอดภัยของ NVIDIA โดยตรงที่หน้า security bulletin ของบริษัท เนื่องจากขณะนี้ยังไม่มีหมายเลข CVE และยังไม่มีการยืนยันว่าเวอร์ชันใดได้รับผลกระทบ การตัดสินใจอัปเดตควรรอข้อมูลจากผู้ผลิตมากกว่าเชื่อการประเมินจากโค้ดสาธิตเพียงอย่างเดียว

เฝ้าระวังพฤติกรรมผิดปกติของกระบวนการที่เกี่ยวข้องกับกราฟิกบนเครื่องปลายทาง โดยเฉพาะการล่มซ้ำ ๆ ของแอปพลิเคชันที่ใช้ Vulkan หรือ OpenGL และการที่กระบวนการสิทธิ์ต่ำพยายามเปิดหรือเขียนอ็อบเจกต์หน่วยความจำร่วมที่ไม่เกี่ยวกับงานของตัวเอง ซึ่งเป็นสัญญาณที่ระบบ EDR ส่วนใหญ่บันทึกไว้อยู่แล้วแต่ไม่ค่อยถูกตั้งกฎแจ้งเตือน

จำกัดการใช้บัญชีผู้ใช้ร่วมกันบนเครื่องเดียวและการเปิดเซสชันหลายผู้ใช้พร้อมกันบนเครื่องที่มี GPU โดยเฉพาะเซิร์ฟเวอร์เวิร์กสเตชันเสมือนที่หลายบัญชีแชร์การ์ดจอเดียวกัน เพราะเส้นทางโจมตีที่นักวิจัยระบุคือการข้ามขอบเขตระหว่างผู้ใช้บนเครื่องเดียวกัน

ทบทวนนโยบายการควบคุมการรันโปรแกรมบนเครื่องปลายทาง เนื่องจากการโจมตีชุดนี้ทั้งหมดต้องอาศัยการรันโค้ดในเครื่องด้วยสิทธิ์ผู้ใช้ทั่วไปเป็นเงื่อนไขตั้งต้น การควบคุมว่าโปรแกรมใดรันได้บ้างจึงตัดเงื่อนไขตั้งต้นนั้นได้โดยตรงและใช้ได้กับทั้ง GreenSection และ PoC ตัวอื่นในชุดเดียวกัน

แหล่งอ้างอิง