NiubiGEO 0.3.2 แก้ CVE-2026-116069 ช่องโหว่ SSRF ใน audit plan

NiubiGEO 0.3.2 แก้ SSRF ในการสร้าง audit plan จากชื่อโดเมน

ผู้ดูแล NiubiGEO ควรตรวจเวอร์ชันของบริการที่เปิด endpoint POST /audit-plan หลังมีการเปิดเผย CVE-2026-116069 ช่องโหว่นี้ทำให้ผู้ส่งคำขอที่ไม่ต้องเข้าสู่ระบบระบุค่า domain เพื่อชักนำเซิร์ฟเวอร์ให้ไปดึงข้อมูลจากปลายทางภายในเครือข่ายได้ ผลลัพธ์บางส่วนจากปลายทางอาจถูกนำกลับมาอยู่ใน JSON ของ audit plan จึงเป็น Server-Side Request Forgery หรือ SSRF ที่มีโอกาสเปิดเผยข้อมูล ไม่ใช่เพียงการส่งคำขอโดยไม่เห็นผลตอบกลับ โครงการระบุว่ารุ่น 0.3.2 แก้ปัญหาแล้ว

วันที่ประกาศและแพตช์

ประเด็นนี้ถูกเปิดเผยใน GitHub issue #242 ของ NiubiGEO เมื่อวันที่ 23 ตุลาคม 2026 เวลา 16:20 UTC ผู้พัฒนานำแพตช์เข้าคลังซอร์ส วันที่เดียวกันเวลา 19:45 UTC และเผยแพร่NiubiGEO v0.3.2 เวลา 19:56 UTC ส่วนระเบียน CVE-2026-116069 เผยแพร่ครั้งแรกเมื่อวันที่ 25 ตุลาคม 2026 เวลา 11:50 UTC เวลาทั้งหมดเป็น UTC เพื่อให้เทียบกับหลักฐานต้นทางได้ตรงกัน

การทำงานที่ได้รับผลกระทบ

ตามรายงานในคลังโครงการ endpoint POST /audit-plan รับค่า domain จากคำขอโดยไม่ต้องยืนยันตัวตน เส้นทางเก็บหลักฐานเว็บไซต์และวิเคราะห์โดเมนใช้ค่านี้สร้าง URL สำหรับ http:// หรือ https:// แล้วให้เซิร์ฟเวอร์ดึงข้อมูล แต่การตรวจเดิมไม่ได้ปฏิเสธ IP ภายใน, loopback, link-local หรือชื่อปลายทางที่ชี้ไปยังเครือข่ายที่ไม่ควรเข้าถึง และยังตาม redirect โดยไม่ตรวจปลายทางใหม่ทุกครั้ง ต่างจากส่วนเชื่อมต่อผู้ให้บริการแบบกำหนดเองของโครงการที่มีการตรวจ DNS อยู่แล้ว

เมื่อเซิร์ฟเวอร์รับค่าโดเมนที่นำไปสู่บริการภายใน กระบวนการสร้าง audit plan อาจดึงชื่อหน้า meta tag และข้อความบางส่วนของปลายทางนั้นกลับมาเป็น siteEvidence ใน JSON ผลกระทบจริงขึ้นอยู่กับสิทธิ์และตำแหน่งเครือข่ายของเซิร์ฟเวอร์ NiubiGEO เช่น บริการบน loopback, ระบบภายในองค์กร หรือ cloud metadata endpoint ที่เครือข่ายนั้นเข้าถึงได้ ข้อมูลที่อ่านได้ไม่ได้หมายความว่าอ่านทุกไฟล์ในเครื่องหรือรันคำสั่งบนระบบได้โดยตรง ผู้ดูแลควรแยกขอบเขต SSRF นี้ออกจากข้อสรุปเรื่องการเจาะระบบขั้นถัดไปซึ่งต้องมีหลักฐานเพิ่ม

จุดสำคัญของความเสี่ยงคือการตรวจเพียงรูปแบบข้อความใน domain ไม่เพียงพอ ชื่อโดเมนอาจแปลงเป็นที่อยู่ภายในหลังทำ DNS lookup และ URL ที่เริ่มจากปลายทางสาธารณะอาจ redirect ไปยังปลายทางต้องห้ามได้ การป้องกันจึงต้องตรวจที่อยู่ปลายทางจริงก่อนเชื่อมต่อและตรวจซ้ำในทุกขั้นของการเปลี่ยนเส้นทาง มิฉะนั้นผู้โจมตีอาจเปลี่ยนชื่อหรือจังหวะ DNS เพื่อเลี่ยงการกรองข้อความอย่างเดียว

รุ่น 0.3.2 เปลี่ยนอะไร

บันทึกการออกรุ่น 0.3.2 ระบุว่าการเก็บหลักฐานเว็บไซต์จะปฏิเสธที่อยู่ private, loopback, link-local, reserved และปลายทาง cloud metadata ตรวจ redirect ทุกครั้ง และผูกการเชื่อมต่อกับคำตอบ DNS ที่ผ่านการตรวจแล้ว เส้นทางหน้าแรก หน้าที่ลิงก์ต่อ sitemap และการวิเคราะห์โดเมนใช้การป้องกันชุดเดียวกัน หากส่งปลายทางภายในที่ไม่ถูกต้องให้ /audit-plan ระบบจะตอบ HTTP 400 การตั้งค่า local model provider ไม่สามารถปิดการป้องกันสำหรับการดึงเว็บไซต์นี้ได้

ขอบเขตเวอร์ชันในระเบียน CVE คือ NiubiGEO ก่อน 0.3.2 ผู้ที่รันจาก source checkout ควรตรวจ commit และ package version ที่ build จริง ส่วนผู้ใช้ container ต้องตรวจ image digest และ process ที่กำลังรัน ไม่ควรดูเพียงชื่อ tag เพราะบันทึกการออกรุ่นอธิบายว่าโครงการชี้ tag Docker เก่าหลายชื่อให้เป็น image ความปลอดภัย 0.3.2 เพื่อความเข้ากันได้ แต่ image ที่ดาวน์โหลดไว้แล้ว container ที่กำลังรัน และ deployment ที่ล็อก digest เก่ายังคงเป็นชุดเดิมจนกว่าจะ pull และสร้างใหม่

ขั้นตอนรับมือสำหรับผู้ดูแล

ตรวจว่ามีอินสแตนซ์ใดเปิด /audit-plan สู่เครือข่ายภายนอก และยืนยันเวอร์ชันที่กำลังใช้งานจริง อัปเดตเป็น 0.3.2 หรือใหม่กว่าโดยทำตามคู่มือ deployment ของโครงการ สำรองข้อมูลและ volume ที่จำเป็นก่อนเปลี่ยน image โดยเฉพาะระบบที่ย้ายจากสาย 0.1 หรือ 0.2 หลังอัปเดตให้ทดสอบการสร้าง audit plan จากโดเมนสาธารณะที่ควรใช้งานได้ และทดสอบด้วยปลายทางภายในของ lab ที่ผู้ดูแลมีสิทธิ์ตรวจว่าระบบปฏิเสธคำขอโดยไม่ส่งเนื้อหากลับมา

หากยังอัปเดตไม่ได้ ให้จำกัดการเข้าถึง endpoint ที่เกี่ยวข้องตามเครือข่ายและสิทธิ์ของผู้ใช้ รวมทั้งใช้ egress policy ไม่ให้ process ติดต่อ metadata service และเครือข่ายภายในที่ไม่จำเป็น มาตรการเครือข่ายช่วยลดขอบเขตที่เซิร์ฟเวอร์เข้าถึงได้ แต่ไม่แทนแพตช์ เพราะงานเก็บหลักฐานบางประเภทอาจยังต้องออกอินเทอร์เน็ตตามปกติ หากต้องตรวจเหตุการณ์ย้อนหลัง ให้ดูคำขอ /audit-plan ที่มีค่าโดเมนผิดรูปแบบหรือไปยังที่อยู่ภายใน ร่วมกับ log outbound ของบริการ โดยระวังไม่เผยแพร่ข้อมูลภายในที่อาจปรากฏในผลลัพธ์

แหล่งข้อมูลต้นทาง: รายงาน GitHub issue #242, commit แก้ไข, ประกาศรุ่น NiubiGEO 0.3.2 และระเบียน CVE-2026-116069