Docker อุดช่องโหว่ความปลอดภัยระดับวิกฤตอายุ 2 ปี "GhostPat" เคลียร์ชัดยังไร้หลักฐานการถูกเจาะระบบ

วันนี้มีข่าวใหญ่จากวงการไอทีและ Docker Hub มาอัปเดตให้ฟังกันครับ ล่าสุดทาง Docker ได้ออกมาประกาศแก้ไขช่องโหว่ความปลอดภัยระดับวิกฤต (CVE-2026-105445) ที่ซ่อนตัวอยู่ในระบบมานานกว่า 2 ปี โดยช่องโหว่นี้ถูกตั้งฉายาว่า "GhostPat" ซึ่งเปิดช่องให้ผู้ใช้งานบางคนสามารถแอบอ้างสิทธิ์ในการพุช (Push), ดึง (Pull) หรือลบอิมเมจในระบบเสมือนเป็นอีกบัญชีหนึ่งได้

จุดเริ่มต้นและที่มาของช่องโหว่ GhostPat

ช่องโหว่นี้ถูกค้นพบและรายงานโดยนักวิจัยด้านความปลอดภัย Peter Molnar และ Krisztian Hozak จากเว็บไซต์ mptrdev.com โดยความผิดปกตินี้เกิดขึ้นในฟีเจอร์การแปลงบัญชีส่วนตัว (Personal Account) ให้กลายเป็นองค์กร (Organization) ปกติแล้วเมื่อผู้ใช้งานแปลงบัญชี ระบบจะโอนย้าย Personal Access Tokens (PATs) ไปให้กับเจ้าของบัญชีองค์กรคนใหม่ แต่ปัญหาคือโทเค็นเหล่านี้ยังคงใช้งานได้ปกติโดยที่เจ้าของคนใหม่ไม่เคยได้รับแจ้งเตือนหรือกด แฮกเกอร์จึงสามารถใช้วิธีสร้างบัญชีที่ตนเองควบคุม แปลงเป็นองค์กร แล้วระบุชื่อเหยื่อเป็นเจ้าของ ทำให้โทเค็นนั้นทำงานใน Registry เสมือนเป็นบัญชีของเหยื่อทันทีภายในระดับสิทธิ์ของโทเค็นนั้นๆ โดยช่องโหว่นี้เปิดใช้งานมาตั้งแต่วันที่ 26 สิงหาคม 2024 จนกระทั่งได้รับการแก้ไขเมื่อวันที่ 30 กันยายนที่ผ่านมา

การตรวจสอบและการจัดการของ Docker

หลังจากได้รับรายงาน Docker ใช้เวลาไม่ถึง 4 ชั่วโมงในการ deploy ตัวแก้บน Docker Hub ทันที (ซึ่งแปลว่าผู้ใช้ไม่ต้องอัปเดตอะไรฝั่งตัวเองครับ เพราะแก้ที่ตัวเซิร์ฟเวอร์เรียบร้อยแล้ว)

ทาง Docker ได้ทำการตรวจสอบประวัติการแปลงบัญชีทั้งหมดในช่วงที่ช่องโหว่นี้ยังเปิดอยู่ โดยเทียบกับ Logs และบันทึกของโทเค็น ครอบคลุมการพุชอิมเมจกว่า 304,000 รายการ ผลปรากฏว่า ไม่พบหลักฐานว่ามีใครฉวยโอกาสใช้ช่องโหว่นี้ในทางที่ผิด แต่อย่างใด และในวันที่ 8 ตุลาคมที่ผ่านมา Docker ก็ได้ทำการปิดการใช้งาน (Deactivate) โทเค็นที่มีความเสี่ยงทั้งหมดเรียบร้อยแล้ว

สิ่งที่ผู้ใช้งานควรตรวจสอบเบื้องต้น

แม้ว่า Docker จะยืนยันว่ายังไม่มีการโจมตีเกิดขึ้น แต่เพื่อความสบายใจ ลองมาเช็กความปลอดภัยของบัญชีเรากันสักนิดครับ:

• ตรวจสอบ Personal Access Tokens: เข้าไปที่หน้า Account settings > Personal access tokens เพื่อเช็กประวัติการสร้างและการใช้งานครั้งล่าสุดว่ามีอันไหนแปลกปลอมหรือไม่
• ตรวจดูองค์กรที่ไม่คุ้นเคย: สังเกตรายชื่อองค์กรใน Account Switcher ว่ามีองค์กรไหนที่เราจำไม่ได้ว่าเคยเข้าร่วมไหม
• ใช้งาน Organization Access Tokens: สำหรับการทำ Automation ในระดับองค์กร แนะนำให้ใช้ Organization Access Tokens แทนการใช้ PAT ของบุคคลทั่วไป
• ตรวจสอบ Activity Logs: สำหรับผู้ใช้แพ็กเกจ Docker Team หรือ Docker Business สามารถเข้าไปดูประวัติการพุชย้อนหลังได้ผ่าน Docker Home

หากใครไม่ได้รับอีเมลแจ้งเตือนจาก Docker ตั้งแต่วันที่ 2 ตุลาคมที่ผ่านมา ก็สบายใจได้เลยครับ เพราะบัญชีของคุณไม่ได้อยู่ในกลุ่มที่ได้รับผลกระทบจากช่องโหว่นี้ครับผม!

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก