"Debian แก้ git-annex เสี่ยงข้อมูลรั่ว DSA-6603-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6603-1 ลงวันที่ 2 พฤศจิกายน 2026 แก้ CVE-2026-112818 ใน git-annex เครื่องมือนี้ใช้จัดการไฟล์ขนาดใหญ่ร่วมกับ Git โดยเก็บเนื้อไฟล์แยกไว้ ช่องโหว่อาจทำให้ไฟล์ส่วนตัวถูกดึงจากแหล่งเก็บแล้วส่งไปยังผู้โจมตีระหว่างซิงก์ข้อมูล

เกิดอะไรขึ้น

ตาม ประกาศ upstream ผู้โจมตีต้องควบคุม remote แห่งหนึ่งของ repository ที่ผู้ใช้ใช้งาน เช่น เป็นคนเตรียม repository ให้ clone และต้องรู้ข้อมูลบางส่วนเกี่ยวกับ repository ส่วนตัวของผู้ใช้ด้วย การติดตั้ง git-annex อย่างเดียวไม่ได้ทำให้ไฟล์รั่วทันที

กรณีหนึ่งเกิดจาก repository ที่รับมาตั้งค่า special remote ให้ชี้ไปยังแหล่งเก็บส่วนตัวของผู้ใช้ เมื่อ git-annex เปิด remote นี้อัตโนมัติและผู้ใช้ซิงก์เนื้อไฟล์ ไฟล์ส่วนตัวอาจถูกส่งต่อให้ผู้โจมตี อีกกรณีคือผู้โจมตีเปลี่ยนการตั้งค่า special remote หลังผู้ใช้เปิดใช้งานไปแล้ว ให้ไปดึงไฟล์จากแหล่งส่วนตัวแทน

ผลกระทบที่ Debian ระบุคือ ข้อมูลรั่วไหลออกไปภายนอก ประกาศ DSA ฉบับนี้ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS เลยควรประเมินความเร่งด่วนจากลักษณะการใช้ remote และความลับของไฟล์ที่เครื่องนั้นเข้าถึงได้

ใครโดนและรุ่นที่แก้

DSA-6603-1 ระบุแพตช์สำหรับ stable ชื่อ trixie โดย Debian Security Tracker แสดงรุ่นก่อนแก้และรุ่นที่แก้ดังนี้

upstream แก้ในรุ่น 10.20261026 ส่วน Debian นำแพตช์มาใส่ในแพ็กเกจของ trixie แล้ว ผู้ใช้ Debian ให้เทียบเลขแพ็กเกจในตาราง ไม่จำเป็นต้องติดตั้ง upstream เองเพื่อให้เลขรุ่นตรงกัน

สำหรับ release อื่น ประกาศ DSA นี้ไม่ได้ระบุรุ่นที่แก้ไว้ ให้ตรวจสถานะตาม release จาก tracker ของ CVE-2026-112818 ก่อนตัดสินว่าเครื่องพ้นความเสี่ยง และอย่านำเลขแพ็กเกจของ trixie ไปใช้แทนเกณฑ์ของทุก release

ต้องทำอะไร

เริ่มจากตรวจรุ่นที่ติดตั้งและรุ่นที่ APT เสนอ จากนั้นอัปเดต git-annex ผ่านแหล่งแพ็กเกจของ release ที่ใช้งาน ตัวอย่างสำหรับเครื่องที่ใช้แพ็กเกจ Debian อยู่แล้ว รันด้วยบัญชีที่มีสิทธิ์ sudo

dpkg-query -W -f='${Package} ${Version}\n' git-annex
sudo apt update
apt-cache policy git-annex
sudo apt install --only-upgrade git-annex
dpkg-query -W -f='${Package} ${Version}\n' git-annex

หลังอัปเดต ให้ตรวจว่า trixie ได้ 10.20250416-2+deb13u1 หรือใหม่กว่าที่รวมแพตช์นี้ ถ้ายังเป็นรุ่นเก่า ให้ตรวจคลัง security และ Candidate ของ APT ต่อ การรันคำสั่งจบไม่ได้แปลว่าติดตั้งรุ่นที่แก้แล้วเสมอ

upstream เพิ่มขั้นตอนให้ผู้ใช้ตรวจความปลอดภัยของการตั้งค่า special remote และให้การเปลี่ยนค่าที่รับผ่าน git-annex branch ต้องผ่านการตรวจยืนยันก่อนมีผลใช้งาน

ควรอ่านปลายทางและแหล่งข้อมูลให้เข้าใจก่อนยืนยัน remote โดยเฉพาะ repository ที่รับมาจากบุคคลอื่น การอัปเดตโปรแกรมกับการตรวจค่าที่เชื่อถือไว้เป็นงานที่ต้องทำควบคู่กันในกรณีนี้

ส่วนตัวผมแนะนำให้เร่งแพตช์ก่อนซิงก์ไฟล์ส่วนตัวกับ remote จากบุคคลอื่น และตรวจ special remote เดิมตามคำแนะนำ upstream ที่มา: Debian Security Advisory DSA-6603-1 — git-annex security update หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ