พบช่องโหว่ใน Veritas เปิดโอกาสให้ผู้ไม่ประสงค์ดีสามารถ รันคำสั่ง SQL ได้

ปัญหานี้เกิดจากฟีเจอร์บางส่วนในแอปพลิเคชันที่เปิดโอกาสให้ผู้ไม่ประสงค์ดีสามารถปรับเปลี่ยนโครงสร้าง SQL query syntax ได้ หากแอปพลิเคชันไม่ได้รับการป้องกันเพียงพอ อาจนำไปสู่การกระทำที่ไม่ได้รับอนุญาต เช่น การสร้าง,อ่าน,อัปเดต หรือ ลบ database records ซึ่งอาจทำให้ข้อมูลสำคัญถูกขโมยหรือเสียหาย

แม้ว่าช่องโหว่นี้จะมีคะแนนความรุนแรงระดับปานกลาง (CVSS v3.1 คะแนนฐาน 6.5) แต่ยังคงเป็นความเสี่ยงสำคัญต่อความลับและความถูกต้องของข้อมูล ทั้งนี้ การโจมตีจำเป็นต้องใช้สิทธิ์ในระดับ ผู้ดูแลระบบของแอปพลิเคชัน ทำให้ความเสี่ยงจำกัดเฉพาะในกรณีที่ผู้โจมตีได้รับสิทธิ์ดังกล่าว หรือสามารถขโมยข้อมูลการเข้าสู่ระบบของผู้ดูแลระบบได้

คำแนะนำ

– ตรวจสอบให้แน่ใจว่าได้อัปเดต Data Insight เป็นเวอร์ชัน 7.1.1 หรือ เวอร์ชันที่แก้ไขปัญหาเรียบร้อยแล้ว การอัปเดตซอฟต์แวร์ช่วยลดความเสี่ยงจากช่องโหว่ที่ทราบและเพิ่มความปลอดภัยให้ระบบ

– ตรวจสอบสิทธิ์ของผู้ใช้งานในระบบและให้สิทธิ์ AdministrativeAccess เฉพาะบุคคลที่จำเป็นเท่านั้น พร้อมทั้งเปลี่ยนรหัสผ่านเป็นประจำ และใช้รหัสผ่านที่รัดกุมเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต

– ใช้ระบบ IDS และ IPS เพื่อเฝ้าระวังและป้องกันการโจมตีที่อาจเกิดขึ้นจากช่องโหว่ เช่น การตรวจจับคำสั่ง SQL ที่ผิดปกติ และบล็อกการโจมตีทันทีที่พบความเสี่ยง