Microsoft รายงานช่องโหว่ในฐานข้อมูล (Azure) Flexible Server
4 พฤษภาคม 2565
การปรับใช้ฐานข้อมูล (Azure) Flexible Server สำหรับ PostgreSQL ช่วยให้ลูกค้าสามารถควบคุมปริมาณการใช้ข้อมูล รวมถึงการปรับรายละเอียดของ Parameter ที่ใช้งานได้ ซึ่งเมื่อจำลองโจมตีผ่านช่องโหว่ที่เกิดขึ้นพบว่าสามารถยกระดับสิทธิการเข้าใช้งาน และเข้าถึงฐานข้อมูลของลูกค้ารายอื่นได้โดยไม่ผ่านการตรวจสอบสิทธิ 
ทีม Microsoft Security Response Center ชี้แจงว่าสามารถระงับช่องโหว่ดังกล่าวได้ภายในเวลาเพียง 48 ชั่วโมง (เมื่อวันที่ 13 มกราคม 2565) และพบว่าลูกค้าที่เข้าใช้งานด้วย Single Server (Postgres) จะไม่ได้รับผลกระทบกับช่องโหว่นี้
Microsoft ได้ปรับปรุง Flexible Server (วันที่ 25 กุมภาพันธ์ 2565) เพื่อแก้ไขปัญหาช่องโหว่ที่เกิดขึ้น รวมถึงการปรับยกระดับสิทธิการใช้บริการบน Server PostgreSQL
สำหรับช่องโหว่ ExtraReplica นี้ได้รับการค้นพบโดยทีม Wiz (Cloud Security team) และได้แจ้งกับไมโครซอฟต์เมื่อวันที่ 11 มกราคม 2565 โดยพบว่ามีขั้นตอนที่สามารถยกระดับสิทธิการเข้าใช้งานโดยข้ามผ่านการตรวจสอบสิทธิ ดังนี้ Microsoft ระบุว่า ไม่มีผู้ใช้บริการ Flexible Server ได้รับผลกระทบจากช่องโหว่นี้ รวมถึงไม่มีข้อมูลของลูกค้าถูกเข้าถึงโดยไม่ได้รับอนุญาต ทั้งนี้ ไมโครซอฟต์ได้ดำเนินการแก้ไขช่องโหวทั้งหมดบน Database Server เรียบร้อยแล้วโดยผู้ใช้บริการไม่จำเป็นต้องดำเนินการใดๆ เพิ่มเติม
อย่างไรก็ตาม Microsoft แนะนำให้ใช้ PostgreSQL Flexible Server บน Azure virtual networks (VNet) ซึ่งทำให้การสื่อสารบนเครือข่ายมีความเป็นส่วนตัวและมั่นคง รวมถึงเพื่อเป็นการลดความเสี่ยงที่อาจเกิดขึ้นในอนาคตไมโครซอฟต์ยังแนะนำให้เปิดใช้งาน VPN (Virtual Private Network) เมื่อทำการติดตั้ง Flexible Server อีกด้วย
เนื่องด้วยช่องโหว่นี้เป็นช่องโหว่ที่เกิดขึ้นบนคลาวด์ จึงไม่ได้รับการกำหนดหมายเลข CVE และถูกบันทึกในฐานข้อมูลต่างๆ (ต่างจากช่องโหว่ของซอฟต์แวร์) จึงไม่มีการบันทึก หรือจัดทำเป็นเอกสารในฐานข้อมูลใดๆ ซึ่งอาจส่งผลให้เกิดข้อจำกัดในการติดตามและตอบสนองต่อช่องโหว่บนระบบคลาวด์เกี่ยวกับไซเบอร์ตรอน
ผู้ให้บริการ #CyberResilience ศูนย์เฝ้าระวังภัยคุกคามด้านความมั่นคงปลอดภัยไซเบอร์รูปแบบใหม่ พร้อมโซลูชั่นเพื่อการพัฒนาความสามารถด้วยแพลตฟอร์มการจำลองยุทธ์ด้านความมั่นคงปลอดภัยไซเบอร์ อีกทั้งยังเป็นผู้นำการให้บริการนวัตกรรมด้านความมั่นคงปลอดภัยไซเบอร์ที่ล้ำสมัยในระดับสากล
บริการของเรา
