Ubuntu แก้ Sudo ข้ามข้อจำกัดเวลารันคำสั่ง USN-8895-2

พอดีเห็น Ubuntu ออกประกาศ USN-8895-2 วันที่ 12 พฤศจิกายน 2026 ส่งแพตช์ Sudo ให้ Ubuntu 18.04 LTS และ Ubuntu 20.04 LTS ต่อจาก USN-8895-1 ปัญหานี้ทำให้ผู้ใช้ในเครื่องอาจรันคำสั่งนอกช่วงเวลาที่กฎอนุญาตได้ โดยเปลี่ยนค่าเขตเวลาที่ Sudo นำไปใช้ตรวจสิทธิ์

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: หากใช้ Ubuntu 18.04 LTS หรือ 20.04 LTS ให้อัปเดตระบบผ่านช่องทาง Ubuntu Pro ในรอบบำรุงรักษาถัดไป และเร่งทำหากเครื่องใช้กฎจำกัดเวลาของ Sudo
• ผู้ดูแลระบบ: ตรวจเครื่อง Ubuntu สองรุ่นนี้แล้วอัปเดตแพ็กเกจ Sudo โดยให้เครื่องที่ใช้กฎจำกัดเวลารันคำสั่งเป็นลำดับแรก

เกิดอะไรขึ้น

ช่องโหว่ CVE-2026-96512 เกิดกับกฎ sudoers ที่ใช้ NOTBEFORE หรือ NOTAFTER แต่ไม่ได้ใส่ Z ท้ายค่าเวลา ตัวแรกกำหนดเวลาเริ่มอนุญาต ส่วนตัวหลังกำหนดเวลาสิ้นสุด เมื่อไม่มี Z การตรวจเวลาจะอาศัยตัวแปร TZ ที่ผู้เรียกคำสั่งตั้งเองได้

ผู้โจมตีที่มีบัญชีในเครื่องอาจเปลี่ยน TZ ให้เวลาที่ Sudo ใช้ตรวจเลื่อนไป ผลคือกฎอาจอนุญาตให้รันคำสั่งนอกช่วงที่ตั้งไว้ สิทธิ์ที่ได้ยังขึ้นอยู่กับคำสั่งในกฎ ผู้ดูแลควรตรวจว่ากฎเหล่านี้อนุญาตให้ทำอะไรบ้าง แล้วใช้ข้อมูลนั้นจัดลำดับการแพตช์

รายละเอียดใน บันทึก CVE ของ Ubuntu ระบุว่าปัญหานี้ข้ามข้อจำกัดเวลา แต่ไม่ได้ข้ามการยืนยันตัวตน หน้า USN ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

ประกาศนี้ครอบคลุมแพ็กเกจ sudo และ sudo-ldap บน Ubuntu สองรุ่นด้านล่าง โดย Ubuntu ระบุรุ่นแพ็กเกจที่แก้แล้วดังนี้

สถานะในสองหน้าไม่ตรงกัน: USN-8895-2 ระบุรุ่นที่แก้ตามตาราง แต่หน้า CVE ของ Ubuntu ยังแสดง 18.04 LTS และ 20.04 LTS ว่า Needs evaluation หรือยังต้องประเมิน ตารางนี้อ้างอิงรุ่นแพตช์จาก USN โดยตรง

ตรวจเลขแพ็กเกจให้ครบถึงท้าย +esm2 และตรวจทั้ง sudo กับ sudo-ldap หากติดตั้งไว้

ต้องทำอะไร

เริ่มจากตรวจรุ่น Ubuntu และแพ็กเกจที่ติดตั้ง แล้วตรวจว่าเครื่องรับอัปเดตผ่าน Ubuntu Pro ได้หรือยัง ประกาศระบุว่าแพตช์ของทั้งสองรุ่นต้องใช้ช่องทางนี้ เมื่อพร้อมแล้วให้อัปเดตระบบตามปกติ ซึ่ง Ubuntu ระบุว่าโดยทั่วไปเพียงพอสำหรับแก้ปัญหานี้

sudo apt update
sudo apt upgrade
dpkg-query -W -f='${Package}\t${Version}\n' sudo
if dpkg-query -W -f='${Status}' sudo-ldap 2>/dev/null | grep -qx 'install ok installed'; then
    dpkg-query -W -f='${Package}\t${Version}\n' sudo-ldap
fi

เทียบผลหลังอัปเดตกับตาราง หากยังไม่ได้รุ่นที่แก้ ให้ตรวจสิทธิ์ใช้งานและคลังแพ็กเกจของ Ubuntu Pro ต่อ การรันคำสั่งอัปเดตอย่างเดียวอาจยังไม่พอ ควรตรวจรุ่นที่ติดตั้งเสร็จแล้วด้วย พร้อมทบทวนว่ากฎ NOTBEFORE หรือ NOTAFTER ใช้กับผู้ใช้และคำสั่งใด หน้า USN ไม่ได้เสนอวิธีแก้ชั่วคราวไว้

ส่วนตัวผมให้เครื่องที่ใช้กฎจำกัดเวลาของ Sudo เร่งรับแพตช์ก่อน ส่วนเครื่องอื่นในสองรุ่นนี้ให้อัปเดตในรอบบำรุงรักษาถัดไป ที่มา: USN-8895-2: Sudo vulnerability หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ