สรุปสั้น

บริษัท Dell เปิดเผยช่องโหว่ระดับวิกฤตสามตัวในแพลตฟอร์ม Secure Connect Gateway 5.0 ซึ่งเปิดทางให้ผู้โจมตีเข้าถึงระบบโดยไม่ได้รับอนุญาต รันคำสั่งจากระยะไกล และได้สิทธิ์ระดับ root บนเครื่องที่ได้รับผลกระทบ ช่องโหว่ทั้งหมดกระทบ Secure Connect Gateway 5.0 แบบ Appliance เวอร์ชันก่อน 5.36.00.16 และแบบ Application เวอร์ชันก่อน 5.36.00.00 โดย Dell เร่งให้ลูกค้าอัปเกรดโดยเร็วที่สุด เพราะปัญหาชุดนี้เปิดโครงสร้างพื้นฐานฝั่งบริหารจัดการการซัพพอร์ตให้ถูกเจาะได้อย่างร้ายแรง

สิ่งที่ทำให้ระบบตัวนี้มีน้ำหนักเป็นพิเศษคือหน้าที่ของมัน องค์กรใช้ Secure Connect Gateway เชื่อมอุปกรณ์โครงสร้างพื้นฐานของ Dell เข้ากับบริการซัพพอร์ตของบริษัท เพื่อการเฝ้าระวัง การวินิจฉัยปัญหา และการเปิดคำขอรับบริการอัตโนมัติ การโจมตีแพลตฟอร์มนี้สำเร็จจึงเท่ากับผู้โจมตีได้ที่มั่นในสภาพแวดล้อมที่มีอุปกรณ์สำคัญขององค์กรอยู่ ไม่ใช่แค่ระบบเสริมที่แยกอยู่ต่างหาก

ตัวที่รุนแรงที่สุดคือ CVE-2026-80172 คะแนน CVSS 9.8 ซึ่งเป็นปัญหาการตรวจสอบความถูกต้องแท้จริงของข้อมูลที่ไม่เพียงพอ เปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนใช้คำร้องที่ดักจับไว้มาสร้างโทเคนสำหรับสิทธิ์ผู้ดูแลระบบและโทเคนสำหรับต่ออายุได้ซ้ำแล้วซ้ำเล่า ตามด้วย CVE-2026-61410 คะแนน 9.4 ที่เป็นการขาดการตรวจสิทธิ์จนข้ามข้อจำกัดการรันโค้ดได้ และ CVE-2026-80238 คะแนน 9.3 ที่อาศัยการเข้าถึงในเครื่องเพื่อยกระดับสิทธิ์เป็น root ผ่าน Docker socket ที่เปิดทิ้งไว้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 8 กันยายน 2569 ว่า Dell ได้เปิดเผยช่องโหว่ระดับวิกฤตสามตัวใน Secure Connect Gateway 5.0 ผ่านประกาศความปลอดภัย DSA-2026-382 พร้อมจัดระดับความรุนแรงของทั้งสามตัวไว้ที่วิกฤต และแนะนำให้ดำเนินการแก้ไขทันทีเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตและการถูกเจาะถึงระดับโฮสต์

ตามประกาศของ Dell การติดตั้งที่ได้รับผลกระทบไม่ได้บังคับใช้การตรวจสอบค่า nonce หรือกำหนดอายุของคำร้อง ซึ่งหมายความว่าผู้โจมตีที่ดักจับคำร้องที่ถูกต้องได้หนึ่งครั้ง อาจนำคำร้องนั้นมาเล่นซ้ำได้ไม่จำกัดจำนวนครั้ง จุดอ่อนนี้จึงเปิดทางให้เกิดการเข้าถึงระดับผู้ดูแลระบบอย่างต่อเนื่องโดยไม่ต้องมีข้อมูลล็อกอินที่ถูกต้องเลย

ช่องโหว่ตัวที่สอง CVE-2026-61410 เป็นปัญหาการขาดการตรวจสิทธิ์ที่ได้คะแนน 9.4 ผู้โจมตีที่ไม่ต้องยืนยันตัวตนและเข้าถึงระบบจากระยะไกลได้ สามารถส่งคำร้องที่ประดิษฐ์ขึ้นเป็นพิเศษไปยังแอปพลิเคชัน Secure Connect Gateway เพื่อข้ามข้อจำกัดที่ตั้งใจกำหนดไว้สำหรับการรันโค้ด ผลของการโจมตีที่สำเร็จคือการรันคำสั่งจากระยะไกลบนระบบนั้น ซึ่งผู้โจมตีนำไปใช้รันคำสั่งที่มุ่งร้าย รวบรวมข้อมูลอ่อนไหว แก้ไขการตั้งค่า วางกลไกคงอยู่ในระบบ หรือเคลื่อนตัวไปด้านข้างในเครือข่ายต่อได้

ตัวที่สาม CVE-2026-80238 ได้คะแนน 9.3 และเกี่ยวข้องกับการทำงานด้วยสิทธิ์ที่เกินความจำเป็น ช่องโหว่นี้ต้องอาศัยการเข้าถึงในเครื่อง แต่เปิดทางให้ผู้ปฏิบัติงานสิทธิ์ต่ำที่มีสิทธิ์เข้าถึง SSH บนโฮสต์ของ Secure Connect Gateway ยกระดับตัวเองขึ้นเป็น root ได้ ต้นเหตุคือ Docker socket ที่ถูกเปิดทิ้งไว้ ซึ่งผู้ใช้สิทธิ์ต่ำใช้เข้าถึงสภาพแวดล้อมของโฮสต์ได้โดยไม่ต้องใช้รหัสผ่าน

Dell ยังเตือนเพิ่มเติมว่าผู้โจมตีที่ยึดบริการภายในคอนเทนเนอร์ orchestrator ได้ จะเข้าถึง Docker socket ตัวเดียวกันนี้ หลุดออกจากขอบเขตของคอนเทนเนอร์ และเข้าควบคุมโฮสต์ที่รองรับอยู่ได้เช่นกัน เมื่อรวมทั้งสามตัวเข้าด้วยกัน ช่องโหว่ชุดนี้จึงสร้างเส้นทางหลายเส้นที่นำไปสู่การยึดระบบ Secure Connect Gateway ได้อย่างสมบูรณ์

ทั้งนี้ประกาศไม่ได้ระบุว่ามีการนำช่องโหว่ชุดนี้ไปใช้โจมตีจริงแล้วหรือไม่ ไม่มีการเผยแพร่ตัวบ่งชี้การถูกเจาะ และไม่มีข้อมูลว่าใครเป็นผู้รายงานช่องโหว่ ซึ่งเป็นข้อจำกัดที่ผู้ดูแลระบบควรรับทราบเมื่อประเมินว่าจะตรวจย้อนหลังอย่างไร

รายละเอียดช่องโหว่

ช่องโหว่ตัวแรกเป็นตัวอย่างคลาสสิกของปัญหาการเล่นซ้ำคำร้อง กลไกป้องกันมาตรฐานสำหรับเรื่องนี้มีสองชั้น ชั้นแรกคือค่า nonce ซึ่งเป็นค่าที่ใช้ได้ครั้งเดียวและทำให้คำร้องที่ถูกส่งซ้ำถูกปฏิเสธ ชั้นที่สองคือการกำหนดอายุของคำร้อง ซึ่งทำให้คำร้องที่ดักจับไว้หมดอายุไปเองแม้ผู้โจมตีจะเก็บไว้ได้ เมื่อระบบไม่ได้บังคับทั้งสองชั้น คำร้องที่ถูกต้องหนึ่งคำร้องจึงกลายเป็นกุญแจถาวร

สิ่งที่ทำให้ผลกระทบขยายออกไปคือปลายทางของคำร้องนั้นเป็นการออกโทเคน ผู้โจมตีจึงไม่ได้แค่ทำซ้ำการกระทำเดิม แต่ได้โทเคนสำหรับสิทธิ์ผู้ดูแลระบบชุดใหม่ทุกครั้งที่เล่นซ้ำ พร้อมโทเคนสำหรับต่ออายุที่ยืดการเข้าถึงออกไปได้เรื่อย ๆ การเปลี่ยนรหัสผ่านของผู้ดูแลจึงไม่ตัดการเข้าถึงนี้ เพราะเส้นทางไม่ได้ผ่านการล็อกอินตั้งแต่ต้น

ช่องโหว่ตัวที่สองอยู่ในชั้นการตรวจสิทธิ์ ซึ่งต่างจากการยืนยันตัวตน ระบบอาจรู้ว่าคำร้องมาจากไหนแต่ไม่ได้ตรวจว่าผู้ส่งมีสิทธิ์เรียกใช้ฟังก์ชันนั้นหรือไม่ เมื่อฟังก์ชันที่เข้าถึงได้เป็นฟังก์ชันที่นำไปสู่การรันโค้ด ผลลัพธ์จึงเป็นการรันคำสั่งจากระยะไกลโดยไม่ต้องยืนยันตัวตน ซึ่งเป็นสถานะที่เลวร้ายที่สุดสำหรับอุปกรณ์ที่วางอยู่ในเครือข่ายบริหารจัดการ

ตัวที่สามเป็นปัญหาเชิงการออกแบบสภาพแวดล้อมมากกว่าบั๊กในโค้ด Docker socket คือช่องทางควบคุมเดมอนของ Docker และใครก็ตามที่เขียนลงไปได้ย่อมสั่งสร้างคอนเทนเนอร์ที่ผูกระบบไฟล์ของโฮสต์เข้ามาได้ ซึ่งเท่ากับได้สิทธิ์ root บนโฮสต์โดยไม่ต้องใช้ช่องโหว่ใด ๆ เพิ่ม การที่ socket นี้เข้าถึงได้จากบัญชีสิทธิ์ต่ำที่ล็อกอินผ่าน SSH และจากบริการภายในคอนเทนเนอร์ orchestrator จึงทำให้มันเป็นทั้งเส้นทางยกระดับสิทธิ์และเส้นทางหลุดออกจากคอนเทนเนอร์ในเวลาเดียวกัน

เมื่อประกอบสามตัวเข้าด้วยกัน จะเห็นห่วงโซ่ที่สมบูรณ์ ผู้โจมตีจากภายนอกใช้ตัวแรกหรือตัวที่สองเพื่อเข้ามาให้ได้ก่อน จากนั้นใช้ตัวที่สามเพื่อขยับจากสิทธิ์ในระดับแอปพลิเคชันขึ้นไปเป็นเจ้าของเครื่องทั้งเครื่อง ซึ่งเป็นเหตุผลที่ Dell จัดทั้งสามตัวไว้ที่ระดับวิกฤตแม้ตัวที่สามจะต้องอาศัยการเข้าถึงในเครื่องก็ตาม

ผลกระทบ

กลุ่มที่รับความเสี่ยงคือองค์กรที่ใช้อุปกรณ์โครงสร้างพื้นฐานของ Dell ในระดับศูนย์ข้อมูล ซึ่งโดยทั่วไปคือกลุ่มที่มีเซิร์ฟเวอร์ ระบบจัดเก็บข้อมูล และอุปกรณ์เครือข่ายจำนวนมากพอที่จะต้องพึ่งการเฝ้าระวังและเปิดเคสอัตโนมัติ ความเสียหายจึงไม่ได้จำกัดอยู่ที่ตัวเกตเวย์ แต่ลามไปถึงสิ่งที่เกตเวย์นั้นมองเห็นและเชื่อมต่ออยู่

จุดที่ควรระวังเป็นพิเศษคือตำแหน่งของอุปกรณ์ประเภทนี้ในเครือข่าย ระบบที่ทำหน้าที่เชื่อมโครงสร้างพื้นฐานภายในเข้ากับบริการของผู้ผลิตภายนอก มักถูกวางไว้ในเครือข่ายบริหารจัดการที่มีสิทธิ์มองเห็นอุปกรณ์อื่นเป็นวงกว้าง และมักถูกจัดเป็นอุปกรณ์โครงสร้างพื้นฐานที่ไม่มีเอเจนต์ตรวจจับติดตั้งอยู่ การยึดเครื่องแบบนี้จึงให้ทั้งมุมมองที่กว้างและการถูกมองเห็นจากฝ่ายป้องกันที่ต่ำ

ลักษณะของช่องโหว่ตัวแรกยังสร้างปัญหาเฉพาะสำหรับการตอบสนอง เพราะการเข้าถึงที่ได้มาจากการเล่นซ้ำคำร้องไม่ได้ผูกกับบัญชีผู้ใช้ที่มองเห็นได้ในระบบ ทีมที่ตรวจพบความผิดปกติแล้วรีเซ็ตรหัสผ่านตามขั้นตอนปกติจะไม่ได้ตัดเส้นทางของผู้โจมตีออก และเนื่องจากผู้โจมตีได้โทเคนสำหรับต่ออายุด้วย การเข้าถึงจึงยืดออกไปได้แม้โทเคนชุดแรกหมดอายุ

ข้อจำกัดที่ต้องระบุคือ ยังไม่มีรายงานว่าช่องโหว่ชุดนี้ถูกใช้โจมตีจริง ไม่มีโค้ดสาธิตเผยแพร่ต่อสาธารณะ และประกาศไม่ได้ให้ตัวบ่งชี้การถูกเจาะไว้เลย สิ่งที่ Dell ให้มาแทนคือรายการพฤติกรรมที่ควรไล่ตรวจในบันทึก ซึ่งเป็นแนวทางที่ใช้ได้จริงแต่ต้องอาศัยว่าองค์กรเก็บบันทึกไว้นานพอตั้งแต่แรก

คำแนะนำ

อัปเกรด Secure Connect Gateway ทุกชุดที่ติดตั้งอยู่ โดยแบบ Appliance ให้เป็นเวอร์ชัน 5.36.00.16 หรือใหม่กว่า และแบบ Application ให้เป็นเวอร์ชัน 5.36.00.00 หรือใหม่กว่า พร้อมตรวจสอบว่ามีชุดติดตั้งที่ถูกลืมไว้จากโครงการเก่าหรือใช้ในสภาพแวดล้อมทดสอบหรือไม่ เนื่องจากเกตเวย์ประเภทนี้มักถูกติดตั้งครั้งเดียวแล้วไม่มีใครดูแลต่อ

ตรวจบันทึกของ Secure Connect Gateway ย้อนหลังเพื่อหากิจกรรมการสร้างโทเคนที่น่าสงสัย คำร้อง API ที่ผิดปกติ การรันคำสั่งจากระยะไกลที่ไม่มีที่มา และเซสชัน SSH ที่ไม่ได้รับอนุญาต ตามที่ Dell แนะนำไว้ โดยให้ความสำคัญเป็นพิเศษกับการออกโทเคนซ้ำ ๆ ในช่วงเวลาสั้น ซึ่งเป็นร่องรอยที่ตรงกับลักษณะของการเล่นซ้ำคำร้อง

จำกัดการเข้าถึงส่วนติดต่อสำหรับบริหารจัดการให้เหลือเฉพาะเครือข่ายของผู้ดูแลที่เชื่อถือได้ และจำกัดพร้อมเฝ้าระวังการเข้าถึงผ่าน SSH เนื่องจากช่องโหว่ตัวที่สามต้องอาศัยบัญชีที่เข้า SSH ได้เป็นเงื่อนไขตั้งต้น การลดจำนวนบัญชีที่เข้าถึงโฮสต์ได้จึงตัดเส้นทางนั้นโดยตรง

ทบทวนว่ามีบัญชีสิทธิ์ต่ำใดบ้างที่มีสิทธิ์เข้าถึงโฮสต์ของเกตเวย์ และถือว่าบัญชีเหล่านั้นมีสิทธิ์เทียบเท่า root ตราบใดที่ยังไม่ได้อัปเกรด เพราะการเข้าถึง Docker socket ทำให้เส้นแบ่งระหว่างผู้ใช้ทั่วไปกับผู้ดูแลระบบบนเครื่องนั้นไม่มีความหมาย

สำหรับองค์กรที่พบร่องรอยผิดปกติ ให้ถือว่าการอัปเกรดเพียงอย่างเดียวไม่เพียงพอ เนื่องจากโทเคนที่ผู้โจมตีสร้างไว้ก่อนหน้าอาจยังใช้งานได้ ควรเพิกถอนโทเคนทั้งหมด หมุนข้อมูลลับที่เกี่ยวข้อง และตรวจสอบว่ามีการเปลี่ยนแปลงการตั้งค่าหรือกลไกคงอยู่ใดถูกวางไว้บนโฮสต์แล้วหรือไม่

แหล่งอ้างอิง