ช่องโหว่ร้ายแรงบน Erlang/OTP ผ่าน SSH (CVSS 10.0) เสี่ยงถูกสั่งรันโค้ดโดยไม่ต้องยืนยันตัวตน

เมื่อพูดถึงระบบที่รองรับการทำงานแบบกระจาย (Distributed Systems) และใช้กับระบบสื่อสารขนาดใหญ่ เช่น WhatsApp, RabbitMQ หรือแม้แต่บางระบบ IoT ชื่อของ Erlang/OTP ย่อมปรากฏขึ้นในฐานะหนึ่งในเทคโนโลยีที่เชื่อถือได้สูงด้านความเสถียรและรองรับการทำงานแบบ concurrency แต่ล่าสุดเกิดประเด็นความมั่นคงปลอดภัยที่ร้ายแรงถึงขั้นระดับ “วิกฤต”

ช่องโหว่ระดับร้ายแรง CVSS 10.0 ไม่ต้องยืนยันตัวตนก็สามารถรันโค้ดได้

เมื่อเดือนเมษายน 2025 ทีมงานจาก The Hacker News ได้เปิดเผยช่องโหว่ความปลอดภัยร้ายแรงบน Erlang/OTP ซึ่งถูกจัดระดับความรุนแรง CVSS เต็ม 10.0 — สูงสุดตามเกณฑ์วัด โดยเป็นช่องโหว่ที่เกี่ยวข้องกับ ระบบ SSH ของ Erlang/OTP ที่เปิดให้ผู้ไม่ประสงค์ดีสามารถ ส่งคำสั่งระยะไกลและรันโค้ดบนระบบได้ โดยไม่ต้องยืนยันตัวตน (Unauthenticated Remote Code Execution)

ช่องโหว่เกิดขึ้นได้อย่างไร?

ช่องโหว่นี้พบใน OTP versions ก่อนหน้า 26.2.5 และ 25.3.2.9 โดยเกิดขึ้นจาก ข้อผิดพลาดในการประมวลผล key exchange ในโปรโตคอล SSH ของ Erlang/OTP ซึ่งทำให้สามารถเจาะทะลุเข้าไปสั่งงานโค้ดบนเครื่องเป้าหมายได้ทันที เนื่องจาก Erlang/OTP มีการฝังระบบ SSH server ภายในเพื่อติดต่อควบคุมหรือ remote node ทำให้ช่องโหว่นี้ส่งผลในวงกว้าง โดยเฉพาะในระบบที่เปิดพอร์ต SSH ไว้และไม่ได้ตั้งค่าความปลอดภัยเพิ่มเติม

ระบบใดที่ได้รับผลกระทบบ้าง?

  • ระบบที่ใช้ Erlang/OTP รุ่นก่อน 26.2.5 และ 25.3.2.9
  • ระบบที่เปิดใช้งาน SSH server ภายในของ Erlang โดยไม่มีการควบคุม access อย่างเข้มงวด
  • บริการที่ build บน Erlang เช่น RabbitMQ, ejabberd, MongooseIM หรือระบบที่พัฒนาเองและเปิดให้มี remote command ผ่าน SSH

แม้จะเป็นเทคโนโลยีเบื้องหลัง แต่ช่องโหว่นี้อาจส่งผลถึงระบบระดับ production ที่ให้บริการผู้ใช้งานจริงในหลายองค์กร

วิธีแก้ไขและป้องกันอย่างเร่งด่วน

เพื่อความปลอดภัยควรดำเนินการทันที ดังนี้
  1. อัปเดต Erlang/OTP เป็นเวอร์ชันล่าสุด (แนะนำให้อัปเดตเป็น 26.2.5 หรือ 25.3.2.9 ขึ้นไป)
  2. ปิดใช้งาน SSH server ที่ไม่จำเป็น บนระบบ Erlang
  3. จำกัดการเข้าถึงพอร์ต SSH โดยการใช้ firewall หรือ VPN
  4. ตรวจสอบ log ของระบบย้อนหลัง เพื่อหาความผิดปกติหากเคยเปิดพอร์ตไว้
หากใช้ RabbitMQ หรือระบบอื่นที่ build บน OTP ควรติดตาม vendor หรือแพลตฟอร์มอย่างใกล้ชิดว่าได้อัปเดตแพตช์หรือยัง

ทำไมช่องโหว่นี้จึงร้ายแรงกว่าที่คิด?

ช่องโหว่นี้ไม่ได้ต้องการสิทธิ์ root หรือการล็อกอินเข้าระบบเพื่อโจมตี เพียงแค่เปิดพอร์ต SSH ไว้และระบบอยู่ในรุ่นที่มีปัญหา ก็สามารถเจาะเข้าได้ทันที ซึ่งหมายความว่า
  • ผู้โจมตีสามารถฝัง malware หรือ backdoor ได้อย่างสมบูรณ์
  • ใช้เป็นจุดเริ่มต้นในการ pivot เข้าไปโจมตีระบบภายในอื่น ๆ
  • สร้าง botnet จากระบบที่ได้รับผลกระทบจำนวนมาก

สรุป เทคโนโลยีที่เสถียรอาจกลายเป็นจุดอ่อน หากละเลยความปลอดภัย

Erlang/OTP เป็นเทคโนโลยีที่ได้รับความเชื่อมั่นมานานในกลุ่มงาน backend, distributed systems และ messaging แต่เหตุการณ์นี้ตอกย้ำว่า ไม่ว่าเทคโนโลยีจะดีแค่ไหน หากละเลยการอัปเดตแพตช์และการรักษาความปลอดภัย ก็อาจกลายเป็นเหยื่อของการโจมตีได้ทุกเมื่อ หากคุณใช้ระบบใดที่เกี่ยวข้องกับ Erlang/OTP หรือให้บริการผ่าน SSH อย่ารอช้า รีบตรวจสอบและอัปเดตระบบทันที

คุณมีความคิดเห็นอย่างไรเกี่ยวกับประเด็นนี้? แชร์บทความนี้ให้เพื่อนร่วมงานหรือคอมเมนต์มุมมองของคุณ เพื่อช่วยให้องค์กรต่าง ๆ ป้องกันเหตุร้ายที่อาจเกิดขึ้นจากช่องโหว่นี้ได้ทันเวลา