Snort 3 พบ CVE-2026-76524 ใน control channel: ผู้ใช้ท้องถิ่นอาจสั่งงานด้วยสิทธิ์ของ Snort

Cisco เผยแพร่ประกาศความปลอดภัย CVE-2026-76524 เมื่อวันที่ 21 ตุลาคม 2026 เวลา 16:00 GMT หรือ 23:00 น. ตามเวลาไทย ช่องโหว่อยู่ใน control channel socket ของ Open Source Snort 3 และได้คะแนน CVSS 3.1 เท่ากับ 7.8 ระดับ High ผู้โจมตีที่มีบัญชีผู้ใช้สิทธิ์ต่ำบนเครื่องเดียวกับ Snort อาจใช้ช่องทางนี้สั่งงานด้วยสิทธิ์ของกระบวนการ Snort ได้ Cisco ระบุรุ่นแรกที่แก้ไขเป็น 3.12.4.0

จุดที่พลาดคือช่องทางควบคุมภายใน

Snort เป็นระบบตรวจจับและป้องกันการบุกรุกที่อ่านทราฟฟิกเครือข่าย แต่ CVE นี้ไม่ได้เกิดจากการส่งแพ็กเก็ตแปลก ๆ ผ่านเครือข่ายให้ตัวตรวจจับตีความผิด ช่องโหว่อยู่ที่ socket สำหรับช่องทางควบคุมกระบวนการ Cisco ระบุว่าการเชื่อมต่อจากผู้ใช้ท้องถิ่นไปยัง socket นี้ไม่มีการยืนยันตัวตนที่ควรมี ผู้ใช้สิทธิ์ต่ำซึ่งเข้าถึงเครื่องที่รัน Snort จึงอาจเชื่อมต่อแล้วเรียกความสามารถของ control channel ได้

ผลที่ประกาศระบุคือการรันคำสั่งตามสิทธิ์ของบัญชีที่รันกระบวนการ Snort รวมถึงการอ่านหรือเขียนหน่วยความจำของกระบวนการดังกล่าว ผลกระทบจริงของแต่ละระบบจึงขึ้นอยู่กับสิทธิ์และขอบเขตการทำงานของบัญชีบริการ Snort ด้วย อย่างไรก็ดี ทีมดูแลระบบไม่ควรใช้สมมติฐานเรื่องสิทธิ์ต่ำมาแทนการตรวจเวอร์ชัน เพราะการสั่งงานผิดสิทธิ์ในกระบวนการตรวจจับความปลอดภัยเป็นประเด็นที่ต้องแก้ตามประกาศ

นี่เป็นช่องโหว่แบบ local ตามเวกเตอร์ CVSS ของ Cisco: ผู้โจมตีต้องมีการเข้าถึงเครื่องในฐานะผู้ใช้ที่ผ่านการยืนยันตัวตนอยู่ก่อน จึงไม่ควรพาดหัวว่าเพียงส่งทราฟฟิกผ่าน Snort จากอินเทอร์เน็ตก็รันคำสั่งได้ ในทางกลับกัน เครื่องเซนเซอร์ที่มีบัญชีผู้ใช้หลายราย งานอัตโนมัติ หรือผู้ดูแลจากหลายทีมควรตรวจสิทธิ์บนโฮสต์ เพราะผู้ใช้ที่ไม่ควรควบคุม Snort อาจอยู่ในเงื่อนไขของปัญหานี้

รุ่นที่ต้องตรวจ

ในตาราง Fixed Software ของ Cisco สาย Snort 3.x มีรุ่นแรกที่แก้ไขคือ 3.12.4.0 ผู้ดูแลควรดูเวอร์ชัน binary ที่รันจริงบนทุกเซนเซอร์ ไม่อาศัยเพียงชื่อแพ็กเกจในระบบจัดการซอฟต์แวร์ หากใช้ container image หรือแพ็กเกจที่ผู้จำหน่ายรายอื่นบรรจุ Snort ให้ตรวจทั้ง tag, image digest และประกาศแพตช์ของผู้จำหน่ายนั้น เพราะตัวเลขแพ็กเกจอาจต่างจาก upstream เมื่อมีการ backport

Cisco ระบุว่าช่องโหว่นี้กระทบ Open Source Snort 3 โดยไม่ผูกกับการตั้งค่าอุปกรณ์เฉพาะ และยืนยันว่า Open Source Snort 2 ไม่ได้รับผลกระทบจาก CVE นี้ แต่ Snort 2 สิ้นสุดอายุการสนับสนุนแล้ว จึงไม่ควรย้ายกลับไปใช้ Snort 2 เป็นวิธีแก้เฉพาะหน้า ข่าวนี้ยังแยกจากประกาศ Snort 3 Security Hardening ชุดใหญ่ที่ออกในวันเดียวกัน แม้รุ่นแก้ไขนี้จะรวมอยู่ในการปรับปรุงดังกล่าวด้วย

ขั้นตอนอัปเดตและตรวจผล

เริ่มจากทำรายการโฮสต์ที่ติดตั้ง Snort 3 พร้อมเวอร์ชันที่รัน บัญชีบริการ วิธีติดตั้ง และเจ้าของระบบ จากนั้นดาวน์โหลดรุ่นแก้ไขจากช่องทางที่องค์กรใช้และตรวจความเข้ากันได้กับ DAQ, plugin, rule set และระบบรับ alert ก่อนเปลี่ยนใน production ถ้าระบบเป็นส่วนหนึ่งของเส้นทางป้องกันแบบ inline ให้วางแผนช่วงเปลี่ยนและวิธีคืนค่าตามกระบวนการปฏิบัติการของทีม เพราะการหยุดตรวจจับระหว่างอัปเดตอาจกระทบการมองเห็นเหตุการณ์

หลังติดตั้ง ให้ยืนยันว่ากระบวนการที่ทำงานอยู่ใช้ binary 3.12.4.0 หรือรุ่นที่ผู้จำหน่ายยืนยันว่าแก้ไขแล้ว ทดสอบการรับทราฟฟิก การโหลดกฎ การสร้าง alert และการส่งต่อ log ไปยังระบบปลายทาง ตรวจสถานะของผู้ใช้ที่มีสิทธิ์เข้าถึงเครื่องเซนเซอร์ควบคู่กัน และบันทึกผลให้ทราบว่าโฮสต์ใดอัปเดตสำเร็จหรือยังค้างอยู่

Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ มาตรการอย่างจำกัดบัญชีผู้ใช้บนโฮสต์และเฝ้าดูการเปลี่ยนแปลงของกระบวนการช่วยลดโอกาสและเพิ่มโอกาสตรวจพบเหตุผิดปกติระหว่างรออัปเดต แต่ไม่ควรบันทึกว่าเป็นการปิด CVE แล้ว ในประกาศฉบับแรก PSIRT ยังไม่ทราบถึงการใช้โจมตีอย่างมุ่งร้าย ข้อมูลดังกล่าวเป็นสถานะ ณ เวลาที่ประกาศ ไม่ใช่หลักฐานว่าทุก deployment ปลอดภัย

แหล่งข้อมูลต้นทาง: Cisco Security Advisory — CVE-2026-76524 และ หน้าดาวน์โหลด Snort 3 ตรวจข้อมูลวันที่ 22 ตุลาคม 2026