SOGo เสี่ยงถูกยึดบัญชีผ่านลิงก์รีเซ็ตรหัสผ่าน USN-8993-1

พอดีเห็น Ubuntu ออกประกาศ USN-8993-1 เมื่อวันที่ 3 พฤศจิกายน 2026 เรื่องช่องโหว่ใน SOGo ซึ่งเป็นเซิร์ฟเวอร์ groupware ประเด็นอยู่ที่ลิงก์รีเซ็ตรหัสผ่าน ผู้โจมตีจากระยะไกลอาจได้โทเคนสำหรับเปลี่ยนรหัสผ่านและเข้ายึดบัญชีผู้ใช้ ใครดูแลบริการนี้ควรตรวจแพ็กเกจที่ติดตั้งกับแหล่งอัปเดตให้ครบก่อนวางแผนลงแพตช์

เกิดอะไรขึ้น

SOGo นำค่า HTTP header ชื่อ Origin ที่ไคลเอนต์ส่งมาใช้ประกอบลิงก์รีเซ็ตรหัสผ่าน ช่องโหว่นี้มีรหัส CVE-2026-93453 ผลกระทบที่ Ubuntu ระบุคือผู้โจมตีอาจได้ password reset token และนำไปยึดบัญชี ประกาศไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

สำหรับนักพัฒนา ค่าใน header ก็เป็นข้อมูลที่ผู้ส่งคำขอควบคุมได้ เวลาสร้างลิงก์รีเซ็ตรหัสผ่าน แอปต้องมั่นใจว่าปลายทางเป็นโดเมนที่กำหนดไว้ ควรเก็บโทเคนเป็นความลับ เพราะผู้ที่ได้โทเคนอาจใช้เปลี่ยนรหัสผ่านได้ตามเงื่อนไขของระบบ

ประกาศไม่ได้แจกแจงขั้นตอนโจมตีหรือเงื่อนไขทั้งหมด การพบแพ็กเกจที่ต้องอัปเดตบอกว่ามีความเสี่ยง แต่ยังไม่ใช่หลักฐานว่าบัญชีถูกยึดแล้ว

ใครโดนและรุ่นที่แก้

รายการแก้ไขในประกาศครอบคลุม Ubuntu release และแพ็กเกจดังนี้

Ubuntu ระบุว่าแพตช์นี้ให้ผ่าน Ubuntu Pro ในช่องทาง ESM Apps ส่วน community fix อาจเปิดให้ใช้ภายหลัง แต่ไม่ได้ระบุวัน ประกาศไม่ได้ให้ช่วงเลขรุ่นที่ได้รับผลกระทบทั้งหมด หรือข้อมูล release อื่น เลยไม่ควรขยายตารางด้วยการคาดเดา

สำหรับการตรวจเครื่องจริง ให้ดูทั้งรุ่นที่ติดตั้งและรุ่น candidate จาก repository ที่เครื่องใช้อยู่ เลขรุ่น upstream เพียงอย่างเดียวไม่พอสำหรับตัดสินแพ็กเกจของดิสทริบิวชัน เพราะแพตช์อาจอยู่ในส่วน revision ของแพ็กเกจ ควรเก็บผลตรวจก่อนและหลังไว้ในบันทึกการเปลี่ยนแปลงด้วย

ต้องทำอะไร

เตรียมสำรองข้อมูลและค่าตั้งตามกระบวนการปกติของระบบ แล้วตรวจว่าเครื่องเข้าถึง ESM Apps ได้ หากมีแพ็กเกจแก้เป็น candidate สามารถตรวจ อัปเดต และ restart บริการตามลำดับนี้

sudo apt update
apt-cache policy sogo
sudo apt install --only-upgrade sogo
sudo systemctl restart sogo
dpkg-query -W -f='${Package} ${Version}\n' sogo
systemctl is-active sogo

หาก candidate ยังไม่ใช่รุ่นแก้หรือรุ่นใหม่กว่าที่มีแพตช์ ให้ตรวจสิทธิ์ Ubuntu Pro และสถานะ ESM Apps ก่อน การที่คำสั่งอัปเดตทำงานสำเร็จไม่ได้ยืนยันว่าได้รับแพตช์นี้แล้ว ต้องอ่านเลขรุ่นที่ติดตั้งหลังจบงานด้วย Ubuntu กำชับให้ restart SOGo หลังอัปเดตเพื่อให้การแก้ไขมีผลครบ

หลัง restart ให้ทดสอบการเข้าใช้งานและขอรีเซ็ตรหัสผ่านด้วยบัญชีทดสอบที่ได้รับอนุญาต ตรวจว่าลิงก์ชี้ไปยังโดเมนบริการที่กำหนด อย่าให้โทเคนติดไปกับภาพหน้าจอหรือรายงาน สถานะ active บอกว่าบริการทำงานอยู่ แต่ยังต้องทดสอบการใช้งานด้วย

ประกาศไม่ได้เสนอ workaround หากยังติดตั้งแพตช์ไม่ได้ ควรบันทึกข้อขัดข้อง ผู้รับผิดชอบ และกำหนดติดตามให้ชัดเจน การตรวจค่าตั้งทั่วไปเป็นงานเสริม ไม่ควรถูกใช้เป็นหลักฐานว่าช่องโหว่ในแพ็กเกจได้รับการแก้แล้ว

ส่วนตัวผมให้เรื่องนี้อยู่ในคิวเร่งด่วนสำหรับระบบที่ใช้ SOGo เพราะผลกระทบแตะถึงการยึดบัญชี ควรเลือกช่วงที่กระทบผู้ใช้น้อยที่สุดและตรวจผลให้ครบ ที่มา: USN-8993-1: SOGo vulnerability หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ