วันที่รายงาน : 8 มิ.ย. 65 [TLP: WHITE]
เรื่อง : CISA เตือนเกี่ยวกับช่องโหว่ระดับวิกฤติในอุปกรณ์จัดลำดับ DNA ของ Illumina
แหล่งข่าว : https://thehackernews.com/2022/06/cisa-warned-about-critical.html

วันที่แหล่งข่าวเผยแพร่ : 6 มิ.ย. 65
สาระสำคัญ : สำนักงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) และสำนักงานคณะกรรมการอาหารและยา (FDA) ได้ออกคำแนะนำเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่สำคัญในซอฟต์แวร์ NGS รุ่นต่อไปของ Illumina โดยมีช่องโหว่ทั้งหมด 5 รายการซึ่งมี 3 รายการได้รับคะแนน 10 สำหรับความรุนแรงในระบบให้คะแนนช่องโหว่ทั่วไป

( CVSS ) โดยมีช่องโหว่อีก 2 รายการที่มีระดับความรุนแรงที่ 9.1 และ 7.4 ตามลำดับ ซึ่งปัญหานี้ได้ส่งผลกระทบต่อซอฟต์แวร์ในอุปกรณ์ทางการแพทย์ที่ใช้สำหรับการวินิจฉัยทางคลินิกในการจัดลำดับ DNA ของบุคคลหรือการทดสอบเงื่อนไขทางพันธุกรรมต่างๆ หรือเพื่อการวิจัยเท่านั้น

CISA กล่าวว่าหากการใช้ประโยชน์จากช่องโหว่เหล่านี้ได้สำเร็จอาจทำให้ผู้โจมตีที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถควบคุมผลิตภัณฑ์ที่ได้รับผลกระทบจากระยะไกลและดำเนินการใด ๆ ที่ระดับระบบปฏิบัติการ โดยอุปกรณ์และเครื่องมือที่ได้รับผลกระทบ ได้แก่ NextSeq 550Dx, MiSeq Dx, NextSeq 500, NextSeq 550, MiSeq, iSeq 100 และ MiniSeq โดยใช้ซอฟต์แวร์ Local Run Manager (LRM) เวอร์ชัน 1.3 ถึง 3.1

รายการช่องโหว่มีดังนี้

• CVE-2022-1517 (คะแนน CVSS: 10.0) – ช่องโหว่ในการเรียกใช้โค้ดจากระยะไกลในระดับระบบปฏิบัติการที่อาจทำให้ผู้โจมตีเข้าตั้งค่าและเข้าถึงข้อมูลที่ละเอียดอ่อนหรือ API
• CVE-2022-1518 (คะแนน CVSS: 10.0) – ช่องโหว่การข้ามผ่านไดเรกทอรีที่อาจทำให้ผู้โจมตีอัปโหลดไฟล์ที่เป็นอันตรายไปยังตำแหน่งใดก็ได้
• CVE-2022-1519 (คะแนน CVSS: 10.0) – ปัญหาเกี่ยวกับการอัปโหลดไฟล์ประเภทใดก็ได้ที่ไม่จำกัด ทำให้ผู้โจมตีสามารถใช้รหัสได้ตามอำเภอใจ
• CVE-2022-1521 (คะแนน CVSS: 9.1) – ขาดการตรวจสอบสิทธิ์ใน LRM โดยค่าเริ่มต้น ทำให้ผู้โจมตีสามารถ inject แก้ไข หรือเข้าถึงข้อมูลที่ละเอียดอ่อนได้
• CVE-2022-1524 (คะแนน CVSS: 7.4) – ขาดการเข้ารหัส TLS สำหรับ LRM เวอร์ชัน 2.4 และต่ำกว่า ซึ่งอาจถูกผู้โจมตีใช้เพื่อสร้างการโจมตีแบบ man-in-the-middle (MitM) และการเข้าถึงข้อมูลรับรอง

ซึ่งตอนนี้ยังไม่มีหลักฐานว่าช่องโหว่ทั้งหมดได้ถูกนำไปใช้ประโยชน์หรือไม่ จึงขอแนะนำให้ผู้ใช้งานใช้แพตช์ที่ เผยแพร่โดย Illumina เมื่อเดือนที่แล้วเพื่อลดความเสี่ยงที่อาจเกิดขึ้น

NCERT Infoshare beta version (ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ ศปช.) สกมช.