"Debian แก้ช่องโหว่ OpenJDK 25 หลายรายการ DSA-6591-1"
"ผู้ดูแล Debian trixie ที่ใช้ openjdk-25 ควรวางแผนอัปเดตโดยเร็ว พร้อมตรวจว่าแอปพลิเคชันกลับมาทำงานด้วย runtime ที่อัปเดตแล้ว"
1-minute summary
- Symptom / problem
- ช่องโหว่ใน OpenJDK Java runtime อาจทำให้บริการหยุดทำงาน หลุดจาก sandbox ตรวจใบรับรองไม่ครบถ้วน หรือเปิดเผยข้อมูล
- Who should read
- ระบบ Debian stable (trixie) ที่ติดตั้งและใช้งานแพ็กเกจ openjdk-25
- Fix in short
- อัปเดตแพ็กเกจ openjdk-25 เป็น 25.0.5+8-1~deb13u1 ซึ่งเป็นรุ่นที่ประกาศระบุว่าแก้ปัญหาแล้ว
พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6591-1 ลงวันที่ 28 ตุลาคม 2026 เป็นอัปเดตของ openjdk-25 หรือ OpenJDK Java runtime ที่ใช้รันแอปพลิเคชัน Java ประกาศนี้รวมช่องโหว่หลายรายการ และแนะนำให้อัปเกรดแพ็กเกจ ใครดูแลระบบที่มีบริการ Java อยู่ควรตรวจแพ็กเกจที่บริการนั้นใช้ แล้วนำรายการนี้เข้ารอบแพตช์ด้วยครับ
เกิดอะไรขึ้น
Debian ระบุว่าช่องโหว่ใน OpenJDK Java runtime อาจทำให้บริการล่ม ข้าม sandbox ตรวจใบรับรองไม่ครบ หรือข้อมูลรั่ว
ประกาศสรุปผลกระทบรวม ไม่ได้แยกว่าช่องโหว่แต่ละตัวรับข้อมูลแบบไหน ผู้โจมตีต้องมีสิทธิ์อะไร หรือกระทบส่วนใดของ runtime เลยไม่ควรเหมารวมว่าทุกแอปจะเจอปัญหาครบทุกแบบ
รายการ CVE ที่ประกาศอ้างถึงมีดังนี้ เพื่อให้ผู้ดูแลนำไปเทียบกับรายงานสแกนและทะเบียนแพตช์ได้ตรงรายการ:
- CVE-2026-83374, CVE-2026-83376, CVE-2026-83378, CVE-2026-83380, CVE-2026-83381, CVE-2026-83387, CVE-2026-83395, CVE-2026-83400
- CVE-2026-87255, CVE-2026-87290, CVE-2026-87291, CVE-2026-87292, CVE-2026-87294, CVE-2026-87367
- CVE-2026-91332, CVE-2026-91333, CVE-2026-91334, CVE-2026-91335, CVE-2026-91373, CVE-2026-91374, CVE-2026-91375, CVE-2026-91379, CVE-2026-91380, CVE-2026-91394, CVE-2026-91397, CVE-2026-91398
- CVE-2026-91400, CVE-2026-91403, CVE-2026-91410, CVE-2026-91415, CVE-2026-91418, CVE-2026-91451, CVE-2026-91452, CVE-2026-91453, CVE-2026-91461, CVE-2026-91462, CVE-2026-91463, CVE-2026-91464, CVE-2026-91487, CVE-2026-101516
ประกาศไม่ได้ให้คะแนน CVSS หรือระบุระดับความรุนแรง และไม่ได้เสนอวิธีเลี่ยงปัญหาชั่วคราว คำแนะนำจาก Debian คืออัปเกรดแพ็กเกจ openjdk-25
ใครโดนและรุ่นที่แก้
ขอบเขตที่ DSA ฉบับนี้ระบุคือ openjdk-25 บน Debian stable ชื่อรุ่น trixie โดยแจ้งรุ่นที่แก้ไว้ตามตาราง ไม่ได้ระบุช่วงรุ่นที่ได้รับผลกระทบแบบเริ่มต้นถึงสิ้นสุด และไม่ได้ให้รุ่นแก้สำหรับ Debian release อื่นในประกาศนี้
| Debian release | แพ็กเกจต้นทาง | รุ่นที่แก้ตามประกาศ |
|---|---|---|
| stable (trixie) | openjdk-25 | 25.0.5+8-1~deb13u1 |
ตอนตรวจเครื่อง ให้ดูแพ็กเกจที่ติดตั้งจริงร่วมกับ runtime ที่แอปพลิเคชันเลือกใช้ การเห็นชื่อ Java ในรายการซอฟต์แวร์อย่างเดียวไม่พอจะสรุปว่าอยู่ในขอบเขตนี้ และเลขรุ่น upstream อย่างเดียวก็ไม่แทนเลขรุ่นแพ็กเกจ Debian เต็มชุดในตาราง
ต้องทำอะไร
เริ่มจากตรวจแพ็กเกจ openjdk-25 ที่ติดตั้ง สำรองข้อมูลและเตรียมแผนย้อนกลับตามกระบวนการดูแลระบบ จากนั้นรีเฟรชรายการแพ็กเกจและอัปเกรดผ่าน APT ตัวอย่างนี้ใช้กับเครื่อง Debian ที่ตั้งค่าแหล่งอัปเดตความปลอดภัยของ release ตัวเองไว้แล้ว:
apt list --installed 'openjdk-25-*'
sudo apt update
sudo apt upgrade
apt list --installed 'openjdk-25-*'
คำสั่ง apt upgrade อาจเสนออัปเดตแพ็กเกจอื่นร่วมด้วย ให้อ่านรายการเปลี่ยนแปลงก่อนยืนยัน แล้วตรวจเลขรุ่นแพ็กเกจ OpenJDK หลังทำงานเสร็จเทียบกับรุ่นที่แก้ในตาราง หากยังไม่พบแพตช์ ให้ตรวจแหล่งแพ็กเกจและเงื่อนไขที่อาจค้างการอัปเกรดก่อนปิดงาน
สำหรับบริการ Java ที่ทำงานต่อเนื่อง ควรวางแผนรีสตาร์ตบริการที่เกี่ยวข้องเพื่อให้เริ่มด้วย runtime ที่อัปเดต แล้วทดสอบการเริ่มแอปพลิเคชัน งานหลัก และการเชื่อมต่อที่ใช้ใบรับรอง เก็บผลตรวจรุ่นกับผลทดสอบไว้ประกอบการปิดรายการแพตช์ด้วย
ส่วนตัวผมแนะนำให้นำเครื่องที่ใช้งาน openjdk-25 เข้ารอบแพตช์โดยเร็ว เพราะผลกระทบครอบคลุมทั้งบริการหยุดทำงานและข้อมูลรั่วไหล ที่มา: Debian Security Advisory DSA-6591-1 และ Debian Security Tracker หากมีรายละเอียดจากประกาศที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first