🎙️ เรื่องเล่าจากรหัสลับในเฟิร์มแวร์: เมื่อ Wi-Fi ธุรกิจกลายเป็นช่องทางให้แฮกเกอร์เข้าระบบ ช่องโหว่หลักคือ CVE-2025-37103 ซึ่งมีคะแนนความรุนแรงถึง 9.8/10 (ระดับวิกฤต) โดยเกิดจากการที่มีบัญชีแอดมินแบบ hardcoded อยู่ในเฟิร์มแวร์ของอุปกรณ์ — ใครก็ตามที่รู้รหัสนี้สามารถ: - เข้าสู่ระบบในฐานะแอดมิน - เปลี่ยนการตั้งค่า - ติดตั้งมัลแวร์ - ควบคุมอุปกรณ์และเครือข่ายที่เชื่อมต่อ ช่องโหว่นี้ไม่มีวิธีแก้ชั่วคราว (no workaround) นอกจากการติดตั้งแพตช์ล่าสุดเท่านั้น นอกจากนี้ยังมีช่องโหว่รองอีกตัวคือ CVE-2025-37102 ซึ่งเป็นช่องโหว่ command injection ที่เปิดให้ผู้ใช้ที่มีสิทธิ์สูงสามารถรันคำสั่งบนระบบปฏิบัติการได้โดยตรง — มีคะแนนความรุนแรง 7.2/10 (ระดับสูง) ✅ HPE พบช่องโหว่ร้ายแรงใน Aruba Instant On Access Points และออกแพตช์แล้ว ➡️ ช่องโหว่หลักคือ CVE-2025-37103 ที่มีรหัสแอดมินแบบ hardcoded ในเฟิร์มแวร์ ✅ ช่องโหว่นี้เปิดให้แฮกเกอร์เข้าถึงอุปกรณ์ในฐานะแอดมินโดยไม่ต้องยืนยันตัวตน ➡️ สามารถเปลี่ยนการตั้งค่า, ติดตั้งมัลแวร์ และควบคุมเครือข่ายได้ ✅ ช่องโหว่รองคือ CVE-2025-37102 เป็น command injection สำหรับผู้ใช้ที่มีสิทธิ์สูง ➡️ สามารถรันคำสั่งบนระบบปฏิบัติการได้โดยตรง ✅ Aruba Instant On เป็นอุปกรณ์ Wi-Fi สำหรับธุรกิจขนาดเล็กที่เน้นความง่ายและความปลอดภัย ➡️ แต่ช่องโหว่นี้ทำให้ความปลอดภัยถูกลดลงอย่างมาก ✅ ช่องโหว่ทั้งสองไม่มีวิธีแก้ชั่วคราว ต้องติดตั้งแพตช์เท่านั้น ➡️ HPE แนะนำให้ผู้ใช้รีบอัปเดตทันทีเพื่อป้องกันการโจมตี ✅ ช่องโหว่แบบ hardcoded credential มักเกิดจากการตั้งค่าชั่วคราวในช่วงพัฒนา ➡️ หากทีม DevSecOps ไม่ลบออกก่อนปล่อยผลิตภัณฑ์ จะกลายเป็นช่องโหว่ถาวร ‼️ ช่องโหว่ CVE-2025-37103 มีความรุนแรงระดับวิกฤตและสามารถถูกใช้โจมตีจากระยะไกล ⛔ หากไม่อัปเดตแพตช์ อุปกรณ์อาจถูกควบคุมโดยแฮกเกอร์ทันที ‼️ ไม่มีวิธีแก้ชั่วคราวสำหรับช่องโหว่ทั้งสอง ⛔ การป้องกันต้องอาศัยการติดตั้งแพตช์เท่านั้น ‼️ ช่องโหว่ command injection อาจถูกใช้ร่วมกับช่องโหว่อื่นเพื่อเจาะระบบลึกขึ้น ⛔ โดยเฉพาะในระบบที่มีผู้ใช้หลายระดับสิทธิ์ ‼️ การมีรหัสแอดมินแบบ hardcoded เป็นความผิดพลาดด้านความปลอดภัยที่ไม่ควรเกิดขึ้น ⛔ แสดงถึงการขาดการตรวจสอบในกระบวนการพัฒนาและปล่อยผลิตภัณฑ์ ‼️ อุปกรณ์ที่ไม่ได้รับการอัปเดตอาจกลายเป็นจุดเริ่มต้นของการโจมตีทั้งเครือข่าย ⛔ โดยเฉพาะในธุรกิจขนาดเล็กที่ไม่มีทีมรักษาความปลอดภัยเฉพาะทาง https://www.techradar.com/pro/security/hpe-warns-hardcoded-passwords-in-aruba-hardware-could-be-a-security-risk