"Debian แก้ libheif เสี่ยงล่มและข้อมูลหน่วยความจำรั่ว DSA-6583-1"

พอดีเห็น Debian ออกประกาศ DSA-6583-1 ลงวันที่ 24 ตุลาคม 2026 แก้ช่องโหว่หลายรายการใน libheif ซึ่งเป็นไลบรารีสำหรับอ่านและเขียนภาพ HEIF กับ AVIF จุดที่ผู้ดูแลเว็บควรตรวจคือเส้นทางรับไฟล์ภาพแล้วส่งต่อไปประมวลผล เพราะประกาศระบุว่าไฟล์ที่สร้างเป็นพิเศษอาจทำให้โปรเซสล่มหรือเปิดเผยข้อมูลในหน่วยความจำได้ งานอ่านภาพและงานแปลงภาพเลยควรอยู่ในรายการตรวจแพตช์ครั้งนี้ด้วย

เกิดอะไรขึ้น

Debian ระบุว่า libheif อาจใช้ทรัพยากรมากเกินไปหรือโปรเซสล่มเมื่ออ่านภาพที่สร้างมาเฉพาะ ทำให้เกิด denial of service ได้ อีกผลกระทบคือข้อมูลในหน่วยความจำของโปรเซสอาจรั่ว

ผู้ดูแลควรตรวจว่าโปรแกรมใดเรียกไลบรารีนี้บ้าง รวมถึงงานเบื้องหลังที่นำไฟล์ภาพจากผู้ใช้ไปประมวลผลต่อ

แพตช์ยังแก้ use-after-free และ double-free ในส่วนจัดการ timestamp ระหว่างเข้ารหัสภาพ รวมถึงการแปลงภาพที่สร้างมาเฉพาะ use-after-free คือการใช้หน่วยความจำหลังคืนพื้นที่แล้ว ส่วน double-free คือการคืนพื้นที่เดิมซ้ำ ประกาศไม่ได้บอกว่าข้อมูลใดจะรั่ว และไม่ได้ระบุว่ารันโค้ดได้

ประกาศฉบับนี้ไม่ได้แจกแจงหมายเลข CVE ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS และไม่ได้เสนอ workaround เฉพาะทาง แนวทางที่ Debian แนะนำคืออัปเกรดแพ็กเกจ libheif

ใครโดนและรุ่นที่แก้

ขอบเขตการอัปเดตในประกาศคือ Debian stable ชื่อ trixie โดย Debian Security Tracker แสดงรุ่นของ source package ที่ยังมีปัญหาและรุ่นแก้ดังนี้

ตารางนี้เป็นข้อมูล source package ส่วนไลบรารีที่ติดตั้งใช้งานมีแพ็กเกจชื่อ libheif1 ซึ่ง หน้าแพ็กเกจของ Debian ระบุรุ่น security เดียวกัน ผู้ดูแลควรตรวจทั้งตัวไลบรารีและปลั๊กอินที่ติดตั้งร่วมกัน สำหรับ Debian รุ่นอื่น ประกาศนี้ไม่ได้ระบุรุ่นแก้ไว้ อย่านำตัวเลขของ trixie ไปใช้ตัดสินสถานะของอีกรุ่นโดยตรง

ต้องทำอะไร

เริ่มจากตรวจว่าระบบเป็น trixie และเปิดแหล่งอัปเดตความปลอดภัยไว้ จากนั้นอัปเดตรายการแพ็กเกจ ตรวจรุ่นที่ APT จะเลือก และติดตั้งอัปเดต คำสั่งต่อไปนี้อัปเกรดแพ็กเกจอื่นที่มีอัปเดตรออยู่ด้วย ควรอ่านรายการเปลี่ยนแปลงก่อนยืนยัน โดยเฉพาะเครื่องที่มีงานประมวลผลภาพกำลังทำงาน

sudo apt update
apt-cache policy libheif1
sudo apt upgrade
dpkg-query -W libheif1

หลังอัปเดตให้ตรวจว่ารุ่นที่ติดตั้งได้รับแพตช์แล้ว หาก APT ยังไม่เสนอรุ่นแก้ ให้ตรวจแหล่งแพ็กเกจและการตั้งค่า pinning ก่อนถือว่างานเสร็จ จากนั้นเริ่มบริการหรือโปรแกรมที่โหลด libheif ใหม่ตามรอบงานของระบบ และทดสอบอ่านหรือแปลงภาพปกติเพื่อดูว่าการทำงานยังครบ ขั้นตอนตรวจบริการและทดสอบนี้เป็นคำแนะนำสำหรับนำแพตช์ไปใช้ ไม่ใช่ workaround ที่ Debian ประกาศ

ส่วนตัวผมให้เร่งแพตช์ระบบที่รับภาพจากภายนอก ส่วนงานที่ใช้เฉพาะไฟล์ภายในที่เชื่อถือได้ให้จัดเข้ารอบบำรุงรักษาใกล้ที่สุด ที่มา: Debian Security Advisory DSA-6583-1 — libheif security update หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ