🔐 “พบช่องโหว่ร้ายแรงใน IBM Security Verify Access — ผู้ใช้ทั่วไปสามารถยกระดับสิทธิ์เป็น root ได้ทันที!” IBM ได้ออกประกาศเตือนถึงช่องโหว่ความปลอดภัยระดับวิกฤตในผลิตภัณฑ์ด้านการจัดการสิทธิ์เข้าถึงขององค์กร ได้แก่ IBM Security Verify Access และ IBM Verify Identity Access โดยช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2025-36356 ซึ่งมีคะแนน CVSS สูงถึง 9.3/10 และเปิดโอกาสให้ผู้ใช้ที่ผ่านการยืนยันตัวตนแล้วสามารถยกระดับสิทธิ์เป็น root ได้ทันที ช่องโหว่นี้เกิดจากการจัดการสิทธิ์ที่ผิดพลาดในระบบ ซึ่งทำให้บางกระบวนการภายในผลิตภัณฑ์ทำงานด้วยสิทธิ์สูงเกินความจำเป็น (violating least privilege principle) ส่งผลให้ผู้โจมตีสามารถควบคุมระบบได้ทั้งหมด รวมถึงฐานข้อมูลผู้ใช้และนโยบายการเข้าถึง นอกจากนั้นยังมีช่องโหว่อื่นที่เกี่ยวข้อง ได้แก่ 🔰 CVE-2025-36355: เปิดช่องให้ผู้ใช้ที่ผ่านการยืนยันสามารถรันสคริปต์จากภายนอกระบบได้ 🔰 CVE-2025-36354: เปิดช่องให้ผู้ใช้ที่ยังไม่ได้ยืนยันตัวตนสามารถรันคำสั่งด้วยสิทธิ์ระดับต่ำได้ ช่องโหว่ทั้งหมดส่งผลกระทบต่อทั้งเวอร์ชัน container และ appliance ของผลิตภัณฑ์ โดยเฉพาะในเวอร์ชัน 10.0.0.0 – 10.0.9.0-IF2 และ 11.0.0.0 – 11.0.1.0 ซึ่งใช้กันอย่างแพร่หลายในองค์กรขนาดใหญ่ เช่น ธนาคาร หน่วยงานรัฐบาล และบริษัท Fortune 500 IBM ได้ออกแพตช์แก้ไขแล้วในเวอร์ชัน 10.0.9.0-IF3 และ 11.0.1.0-IF1 พร้อมแนะนำให้ผู้ดูแลระบบอัปเดตทันทีผ่าน IBM Fix Central หรือ container registry เพื่อป้องกันการถูกโจมตีในระบบที่ใช้งานจริง ✅ ข้อมูลสำคัญจากข่าว ➡️ ช่องโหว่ CVE-2025-36356 เปิดโอกาสให้ผู้ใช้ทั่วไปยกระดับสิทธิ์เป็น root ➡️ เกิดจากการจัดการสิทธิ์ที่ผิดพลาดในระบบของ IBM Security Verify Access ➡️ คะแนน CVSS สูงถึง 9.3/10 ถือเป็นระดับวิกฤต ➡️ ส่งผลกระทบต่อทั้ง container และ appliance deployment ➡️ เวอร์ชันที่ได้รับผลกระทบ ได้แก่ 10.0.0.0 – 10.0.9.0-IF2 และ 11.0.0.0 – 11.0.1.0 ➡️ IBM ออกแพตช์แก้ไขแล้วในเวอร์ชัน 10.0.9.0-IF3 และ 11.0.1.0-IF1 ➡️ ช่องโหว่อื่นที่เกี่ยวข้อง ได้แก่ CVE-2025-36355 และ CVE-2025-36354 ➡️ ผู้ดูแลระบบสามารถอัปเดตผ่าน IBM Fix Central หรือ container registry ✅ ข้อมูลเสริมจากภายนอก ➡️ IBM Security Verify Access เป็นระบบจัดการสิทธิ์เข้าถึงที่ใช้ในองค์กรขนาดใหญ่ทั่วโลก ➡️ ช่องโหว่แบบ privilege escalation สามารถนำไปสู่การควบคุมระบบทั้งหมด ➡️ หลัก least privilege คือแนวทางสำคัญในการออกแบบระบบที่ปลอดภัย ➡️ การรันสคริปต์จากภายนอกอาจเปิดช่องให้เกิดการโจมตีแบบ client-side injection ➡️ การตรวจสอบ input ที่ไม่รัดกุมอาจนำไปสู่การรันคำสั่งโดยไม่ได้รับอนุญาต https://securityonline.info/critical-flaw-cve-2025-36356-cvss-9-3-in-ibm-security-verify-access-allows-root-privilege-escalation/