"Debian แก้ช่องโหว่ Unbound ทั้ง DNSSEC และแคช DNS: DSA-6581-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6581-1 ลงวันที่ 23 ตุลาคม 2026 แก้ช่องโหว่ใน Unbound ซึ่งเป็น DNS resolver ที่ค้นหาคำตอบแบบ recursive เก็บแคช และตรวจสอบ DNSSEC รอบนี้มีทั้งปัญหาความถูกต้องของคำตอบและความพร้อมให้บริการ ผู้ดูแลที่ใช้แพ็กเกจนี้ควรตรวจรุ่นที่ติดตั้ง รวมถึงดูว่ามีการใช้ trust anchor เฉพาะโซนหรือ DNS-over-QUIC ด้วยหรือไม่ เพราะเงื่อนไขของแต่ละช่องโหว่ต่างกัน

เกิดอะไรขึ้น

ประกาศแบ่งปัญหาเป็นห้ารายการ สองรายการแรกเกิดเมื่อกำหนด island trust anchor ไว้ใต้ parent ที่เป็น insecure ใน DNSSEC คือผู้ดูแลตั้งจุดเชื่อถือให้โซนลูกเอง แต่ไม่มีสายความเชื่อถือที่ปลอดภัยเชื่อมลงมาจากโซนแม่

• CVE-2026-35501: NSEC record ที่ผู้โจมตีควบคุมอาจใช้ข้าม island trust anchor ที่กำหนดไว้ได้ กระทบขอบเขตการตรวจสอบ DNSSEC
• CVE-2026-50106: ภายใต้การตั้งค่า trust anchor แบบเดียวกัน อาจตอบ NXDOMAIN แบบ insecure สำหรับรายการที่ไม่มีอยู่ NXDOMAIN คือคำตอบว่าไม่พบชื่อที่ถาม
• CVE-2026-96405: งานสะสมจากการคลายการบีบอัดชื่อ DNS ที่ใช้ pointer ต่อกันเป็นสาย ทำให้บริการเสื่อมประสิทธิภาพได้
• CVE-2026-97206: การย้ายเส้นทางเชื่อมต่อของ DNS-over-QUIC อาจทำให้เกิด use-after-free ในระบบที่ทำงานหลายเธรด หมายถึงมีการใช้งานหน่วยความจำหลังถูกคืนไปแล้ว และอาจทำให้บริการหยุดทำงานตามที่ประกาศระบุ
• CVE-2026-109125: อาจเกิด cache poisoning ผ่านช่องทางสังเกตพฤติกรรมแคชที่เปิดเผยโดยการตั้งค่า unwanted-reply-threshold ผลที่ต้องระวังคือข้อมูลไม่ถูกต้องถูกนำเข้าไปอยู่ในแคชของ resolver

ประกาศนี้ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS และไม่ได้ระบุว่ามีการโจมตีจริงแล้ว

ใครโดนและรุ่นที่แก้

DSA นี้ระบุแพตช์สำหรับ Debian stable ชื่อ trixie โดยตรง ผู้ดูแลต้องดูรุ่นแพ็กเกจของ Debian ให้ครบทั้งส่วนท้าย เพราะเลข upstream อย่างเดียวไม่พอสำหรับเทียบแพตช์ของดิสทริบิวชัน

ประกาศไม่ได้แจกแจงช่วงรุ่นที่ได้รับผลกระทบทั้งหมด และไม่ได้ให้รุ่นแก้สำหรับ release อื่น อย่านำเลขแพ็กเกจของ trixie ไปใช้แทนเกณฑ์ของ Debian รุ่นอื่น ผู้ที่ใช้ release อื่นควรตรวจ Debian Security Tracker ของ Unbound แยกตาม release ของตัวเอง

ต้องทำอะไร

สำหรับเครื่อง trixie ที่ติดตั้ง Unbound ให้ตรวจแพ็กเกจปัจจุบันและ candidate จากคลังที่ตั้งไว้ แล้วอัปเดต คำสั่งต่อไปนี้ใช้กับเครื่องที่มีแพ็กเกจอยู่แล้ว โดย --only-upgrade จำกัดให้เป็นการอัปเกรดแพ็กเกจที่ติดตั้งไว้

dpkg-query -W -f='${Package} ${Version}\n' unbound
sudo apt update
apt-cache policy unbound
sudo apt install --only-upgrade unbound
dpkg-query -W -f='${Package} ${Version}\n' unbound
sudo systemctl status unbound --no-pager

ก่อนยืนยันติดตั้ง ให้ตรวจว่า candidate เป็นรุ่นแก้ข้างต้นหรือรุ่นใหม่กว่าในคลังของ release เดียวกัน ถ้ายังเห็นรุ่นเก่า ให้ตรวจรายการคลัง security และผลการอัปเดตดัชนีแพ็กเกจก่อน หลังติดตั้งให้ตรวจทั้งเลขรุ่น สถานะบริการ และลองค้นหาชื่อ DNS ที่ใช้ทดสอบตามปกติของระบบ การมีแพ็กเกจใหม่อยู่บนดิสก์อย่างเดียวไม่ใช่หลักฐานว่าบริการตอบคำถามได้เรียบร้อย

Debian แนะนำให้อัปเกรดแพ็กเกจ และไม่ได้เสนอ workaround ในประกาศนี้ เลยไม่ควรถือว่าการเปลี่ยนค่าตัวใดตัวหนึ่งทดแทนแพตช์ครบทุก CVE ได้ หากต้องจัดเวลาหยุดบริการ ให้เตรียมช่วงบำรุงรักษาที่สั้นและตรวจผลหลังเปลี่ยนทันที

ส่วนตัวผมแนะนำให้เร่งแพตช์เครื่องที่ใช้ Unbound เป็น resolver เพราะรายการนี้กระทบทั้งความเชื่อถือของคำตอบและความต่อเนื่องของบริการ ที่มา: Debian Security Advisory DSA-6581-1 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ