Debian แก้ ruby3.3 เสี่ยงรันโค้ดและข้อมูลรั่ว DSA-6614-1

พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6614-1 ลงวันที่ 7 พฤศจิกายน 2026 สำหรับแพ็กเกจ ruby3.3 ซึ่งเป็นตัวแปลภาษา Ruby รอบนี้แก้ช่องโหว่หลายรายการที่อาจทำให้บริการล่ม ข้อมูลรั่ว หรือถูกสั่งรันโค้ดได้ คนที่ใช้แพ็กเกจนี้บน Debian trixie ควรตรวจรุ่นและเร่งอัปเดต

ใครต้องทำอะไร

• ผู้ดูแลระบบ: เร่งอัปเดตแพ็กเกจ ruby3.3 บน Debian trixie และเริ่มบริการที่ใช้ใหม่ โดยคนดูแล GitLab รุ่นที่กระทบต้องอัปเดต GitLab ด้วย
• นักพัฒนา: ถ้าแอปใช้ Ruby จากแพ็กเกจ Debian trixie ให้เร่งนัดอัปเดตกับผู้ดูแลระบบและทดสอบงานหลักของแอปก่อนใช้งานจริง

เกิดอะไรขึ้น

Debian ระบุผลกระทบไว้สี่แบบ คือแทรกคำสั่ง IMAP ทำให้บริการล่ม เปิดเผยข้อมูล และรันโค้ดตามที่ผู้โจมตีต้องการ แต่ละช่องโหว่มีเงื่อนไขต่างกัน แอป Ruby แต่ละตัวเลยไม่ได้เสี่ยงเหมือนกันทั้งหมด

ประกาศ Debian ไม่ได้แยกเงื่อนไขโจมตีของแต่ละ CVE และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ไว้ รายละเอียดตามประกาศ Debian

รหัสช่องโหว่ที่ประกาศระบุ ได้แก่ CVE-2025-24294, CVE-2025-58767, CVE-2025-61594, CVE-2026-27820, CVE-2026-41316, CVE-2026-42245, CVE-2026-42246, CVE-2026-42256, CVE-2026-42257, CVE-2026-42258, CVE-2026-47240, CVE-2026-47241, CVE-2026-47242, CVE-2026-80212, CVE-2026-80213, CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 และ CVE-2026-110264

CVE สี่รายการท้ายเป็นรหัสที่ GitLab ออกให้ปัญหาใน Ruby ส่วนที่ประมวลผล regular expression โครงการ Ruby ระบุว่าปัญหาเกิดเมื่อแอปนำข้อความที่ผู้โจมตีควบคุมมาสร้าง regular expression แอปที่ใช้เฉพาะรูปแบบที่นักพัฒนาเขียนเองไม่เข้าเงื่อนไขนี้ คำอธิบายจากโครงการ Ruby

CVE-2026-97229 ถูกใช้โจมตีจริงแล้วตาม CISA KEV ฉบับ 6 พฤศจิกายน 2026 CISA เพิ่มรายการเมื่อ 29 ตุลาคม 2026 และระบุวันครบกำหนดแก้เป็น 1 พฤศจิกายน 2026 รายการนี้ระบุผลิตภัณฑ์ GitLab CE/EE และเตือนว่าผลิตภัณฑ์อื่นอาจมีปัญหาจาก Ruby เดียวกันด้วย ข้อมูลนี้ไม่ได้บอกว่ามีการโจมตีทุกแอปบน Debian

ใครโดนและรุ่นที่แก้

DSA นี้ระบุรุ่นแก้ของแพ็กเกจ ruby3.3 บน Debian stable หรือ trixie ดังตาราง

เวลาตรวจรุ่นให้ดูเลขแพ็กเกจ Debian ทั้งชุด รวมส่วนท้าย -0+deb13u1 ด้วย ถ้าติดตั้ง Ruby ผ่านเครื่องมือจัดการรุ่นหรือคอมไพล์เอง ต้องตรวจและอัปเดตแยก เพราะ APT ไม่ได้จัดการ Ruby ที่ติดตั้งด้วยวิธีนั้น

สำหรับ CVE-2026-97229 ฝั่ง GitLab CE/EE รุ่นที่กระทบคือสาย 19.2 ก่อน 19.2.8, สาย 19.3 ก่อน 19.3.5 และสาย 19.4 ก่อน 19.4.2 โดยแก้แล้วใน 19.2.8, 19.3.5 และ 19.4.2 ตามลำดับ

ต้องทำอะไร

ตรวจว่าระบบเป็น trixie และติดตั้งแพ็กเกจนี้อยู่ก่อน Debian แนะนำให้อัปเดตทุกแพ็กเกจที่สร้างจาก source package เดียวกัน คำสั่งด้านล่างใช้กับเครื่องที่มี ruby3.3 อยู่แล้ว โดย apt upgrade จะอัปเดตแพ็กเกจอื่นที่มีรุ่นใหม่ด้วย ให้ตรวจรายการก่อนยืนยัน

cat /etc/os-release
dpkg-query -W -f='${Package} ${Version}\n' ruby3.3 libruby3.3
sudo apt update
apt-cache policy ruby3.3 libruby3.3
sudo apt upgrade
dpkg-query -W -f='${Package} ${Version}\n' ruby3.3 libruby3.3

หลังอัปเดตให้ตรวจว่าแพ็กเกจเป็นรุ่นที่แก้แล้วหรือใหม่กว่า ถ้า APT ยังไม่เสนอรุ่นที่แก้ ให้ตรวจว่าเปิดแหล่งแพ็กเกจ trixie-security แล้วหรือยัง และมีการล็อกรุ่นแพ็กเกจไว้หรือไม่

เริ่มบริการที่ใช้ Ruby ใหม่ตามขั้นตอนของแอป แล้วลองงานหลัก เช่น เปิดหน้าเว็บ รันงานเบื้องหลัง และตรวจ log ถ้าแอปอยู่ในคอนเทนเนอร์ ต้องอัปเดตอิมเมจแล้วนำไปใช้งานด้วย การอัปเดตโฮสต์อย่างเดียวไม่ได้แก้แพ็กเกจในคอนเทนเนอร์ ขั้นตอนทดสอบเป็นคำแนะนำในการดูแลระบบ ประกาศ Debian แนะนำให้อัปเกรดแพ็กเกจและไม่ได้ให้วิธีแก้ขัดไว้

ส่วนตัวผมแนะนำให้เร่งแพตช์เครื่องที่ใช้แพ็กเกจนี้ แล้วเผื่อเวลาเริ่มบริการใหม่และทดสอบแอปด้วย ที่มา: Debian DSA-6614-1 — ruby3.3 security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ