"Debian แก้ DPDK เสี่ยงบริการล่มและหน่วยความจำเสียหาย DSA-6597-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6597-1 สำหรับ DPDK ชุดไลบรารีประมวลผลแพ็กเก็ตความเร็วสูง รอบนี้แก้ 15 CVE ที่อาจทำให้บริการหยุดทำงานหรือหน่วยความจำเสียหาย ความเสี่ยงขึ้นกับฟังก์ชันที่เปิดใช้

วันที่ในต้นฉบับไม่ตรงกัน เนื้อประกาศและ หน้ารวม Debian ใช้ 31 ตุลาคม 2026 แต่หัวอีเมลระบุ 30 ตุลาคม 2026 บทความนี้ใช้วันที่ตามเนื้อประกาศ

เกิดอะไรขึ้น

แพ็กเก็ตที่สร้างขึ้นเป็นพิเศษหรือคำขอที่เป็นอันตรายจาก guest อาจกระตุ้นช่องโหว่ใน DPDK ได้ guest ในที่นี้คือระบบฝั่งเครื่องเสมือน ผลกระทบอาจเป็น denial of service ทำให้บริการทำงานต่อไม่ได้ หรือ memory corruption ทำให้หน่วยความจำเสียหาย ทั้งนี้ขึ้นกับฟังก์ชันที่โปรแกรมเปิดใช้

ประกาศสรุปผลกระทบรวม ไม่ได้แจกแจงกลไกของแต่ละ CVE ผู้ดูแลควรตรวจว่าโปรแกรมใดใช้ DPDK และรับแพ็กเก็ตหรือคำขอจาก guest ผ่านส่วนใดบ้าง แล้วใช้ข้อมูลนี้ประกอบการจัดคิวแพตช์

รายการที่ประกาศระบุครบทั้ง 15 รายการ ได้แก่ CVE-2026-86561, CVE-2026-86562, CVE-2026-86563, CVE-2026-86564, CVE-2026-86565, CVE-2026-86566, CVE-2026-86567, CVE-2026-86845, CVE-2026-86846, CVE-2026-86847, CVE-2026-86848, CVE-2026-86849, CVE-2026-86856, CVE-2026-93683 และ CVE-2026-100236 ประกาศนี้ไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรงรายช่องโหว่

ใครโดนและรุ่นที่แก้

ขอบเขตแพตช์ที่ DSA-6597-1 ระบุคือแพ็กเกจ dpdk บน Debian stable ชื่อ trixie โดย Debian Security Tracker แสดงสถานะของซอร์สแพ็กเกจดังนี้

สำหรับผู้ดูแลเว็บ จุดที่ควรตรวจคือแอปพลิเคชันหรือองค์ประกอบเครือข่ายที่ใช้งาน DPDK อยู่ ไม่ควรสรุปจากการเป็นเครื่อง Debian เพียงอย่างเดียว ส่วน Debian release อื่น ประกาศฉบับนี้ไม่ได้ให้เลขรุ่นแก้ไว้ ต้องตรวจสถานะของ release นั้นแยกต่างหากก่อนตัดสินใจใช้แพ็กเกจ

ชื่อ dpdk ในประกาศเป็นชื่อซอร์สแพ็กเกจ การตรวจอัปเดตต้องครอบคลุมแพ็กเกจไบนารีที่ติดตั้งมาจากซอร์สนี้ด้วย ตามคำอธิบายใน Debian Security FAQ การดูเฉพาะแพ็กเกจที่มีชื่อตรงกับหัวประกาศอาจทำให้ตรวจไม่ครบส่วนที่โปรแกรมใช้งาน

ต้องทำอะไร

เริ่มจากตรวจ release และรุ่นแพ็กเกจที่ติดตั้ง พร้อมดูว่าโปรแกรมใดพึ่งพา DPDK และเปิดใช้ฟังก์ชันใดบ้าง จากนั้นตรวจให้เครื่องรับอัปเดตจากแหล่งแพ็กเกจความปลอดภัยของ release ที่ใช้อยู่ สำหรับ trixie ให้เทียบรุ่นเป้าหมายกับ 24.11.8-0+deb13u1 ตามประกาศ

แนวทางอัปเดตแพ็กเกจทั้งระบบตาม Debian Security FAQ ใช้คำสั่งด้านล่าง โดยคำสั่ง upgrade จะเสนออัปเดตแพ็กเกจอื่นด้วย ควรอ่านรายการเปลี่ยนแปลงก่อนยืนยันติดตั้ง

sudo apt-get update
sudo apt-get upgrade

หลังติดตั้ง ให้ตรวจรุ่นของแพ็กเกจที่เกี่ยวข้องว่าได้แพตช์แล้ว และไม่มีแพ็กเกจที่จำเป็นถูกพักการอัปเดตไว้ ถ้ายังไม่เห็นรุ่นเป้าหมาย ให้ตรวจคลังแพ็กเกจและผลการติดตั้งต่อ

Debian Security FAQ ระบุว่าอาจต้องเริ่มบริการหรือโปรเซสใหม่หลังอัปเดต ผู้ดูแลควรวางแผนตามโปรแกรมที่ใช้ไลบรารีและตรวจการทำงานหลังเริ่มใหม่ด้วย ส่วน DSA ฉบับนี้ไม่ได้เสนอ workaround ไว้ แนวทางที่ Debian แนะนำคืออัปเกรดแพ็กเกจ DPDK

ส่วนตัวผมให้จัดแพตช์โดยเร็วสำหรับระบบที่ใช้ DPDK รับข้อมูลจากภายนอกหรือ guest เพราะผลกระทบอาจแตะทั้งความพร้อมใช้งานและหน่วยความจำ ที่มา: Debian DSA-6597-1: dpdk security update หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ