Ubuntu แก้ GNU C Library เสี่ยงรันโค้ดและยกระดับสิทธิ์ USN-9065-1

พอดีเห็น Ubuntu ออกประกาศ USN-9065-1 วันที่ 12 พฤศจิกายน 2026 รวมช่องโหว่ GNU C Library หรือ glibc ไว้ 7 รายการ ไลบรารีนี้เป็นส่วนพื้นฐานที่โปรแกรมบนระบบเรียกใช้ บางช่องโหว่อาจทำให้โปรแกรมล่ม รันโค้ด หรือยกระดับสิทธิ์ได้ แต่ต้องดูเงื่อนไขของแต่ละรายการด้วย

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: ถ้าใช้ Ubuntu รุ่นในตาราง ให้ติดตั้งอัปเดตระบบโดยเร็วผ่านเครื่องมืออัปเดตของระบบ
• ผู้ดูแลระบบ: อัปเดตเครื่อง Ubuntu ที่ได้รับผลกระทบโดยเร็ว โดยให้ความสำคัญกับเครื่องที่มีผู้ใช้หลายคนก่อน
• นักพัฒนา: อัปเดตระบบ Ubuntu ที่ใช้พัฒนาและทดสอบโดยเร็ว เพื่อให้โปรแกรมใช้ไลบรารีรุ่นที่แก้ไขแล้ว

เกิดอะไรขึ้น

ปัญหาที่ประกาศระบุมีดังนี้

• CVE-2026-18374: fopen จัดการค่า ccs= ที่ว่างไม่ถูกต้อง หากผู้โจมตีควบคุมค่านี้ได้ อาจทำให้โปรแกรมล่มหรือรันโค้ดได้
• CVE-2026-8674: การจัดการชื่อโดเมนยาวใน DNS search list มีข้อผิดพลาด ผู้โจมตีในเครือข่ายท้องถิ่นอาจทำให้โปรแกรมล่มจนไม่สามารถให้บริการได้
• CVE-2026-86805: ตัวโหลดไลบรารีอาจเปิดพาธ $ORIGIN ที่ต่างจากพาธที่ตรวจไว้ ผู้โจมตีในเครื่องอาจยกระดับสิทธิ์ได้ แต่ต้องมีโปรแกรม setuid/setgid ที่ตั้งพาธเข้าเงื่อนไข และปิด fs.protected_hardlinks ไว้ ตาม ประกาศผู้พัฒนา glibc
• CVE-2026-95818: การขยายพาธ $ORIGIN อาจเขียนข้อมูลเกิน buffer บน stack ผู้โจมตีในเครื่องอาจทำให้โปรแกรมล่มหรืออ่านข้อมูลในหน่วยความจำได้
• CVE-2026-89092: nscd อาจล่มเมื่อรับคำตอบ DNS ขนาดใหญ่จากเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม ต้องเปิดใช้ nscd และใช้ DNS ดังกล่าวด้วย USN เรียกผลกระทบว่า denial of service แต่ หน้า CVE ระบุว่า DNS จะทำงานช้าลง และไม่ถึงขั้น denial of service
• CVE-2026-97399: ส่วนของ strncasecmp สำหรับ Power8 อาจอ่านข้อมูลเกินขอบเขตจนโปรแกรมล่ม
• CVE-2026-84243: gettext อาจโหลดไฟล์ข้อความแปลจากพาธที่ผู้โจมตีกำหนดผ่าน LANGUAGE จนรันโค้ดได้ ผู้โจมตีต้องควบคุมตัวแปรและวางไฟล์ให้โปรแกรมอ่านได้ด้วย ตาม หน้า CVE

USN ไม่ได้ให้ระดับความรุนแรง คะแนน CVSS หรือวิธีแก้ชั่วคราว ทั้ง 7 CVE ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

USN ระบุแพ็กเกจต้นทางเป็น glibc และให้รุ่นแพตช์ของ libc6 ตามตาราง

ข้อมูลสองแหล่งไม่ตรงกัน: USN รวม CVE-2026-8674, CVE-2026-86805 และ CVE-2026-89092 แต่หน้า CVE ระบุทั้งสี่รุ่นว่า Not affected หรือไม่กระทบ

หน้า CVE-2026-18374 ระบุว่า 26.10 ไม่กระทบ ส่วน CVE-2026-97399 ระบุว่า 26.10 ไม่กระทบและอีกสามรุ่นยังต้องประเมิน ขณะที่ CVE-2026-84243 ยังต้องประเมินทั้งสี่รุ่น

ตารางนี้ใช้เลขแพตช์จาก USN ไม่ได้หมายความว่าทุกเครื่องโดนทุก CVE

ต้องทำอะไร

ตรวจรุ่น Ubuntu แล้วอัปเดตผ่านคลังของระบบ ตัวอย่างคำสั่งสำหรับผู้ที่ดูแลเครื่องเองคือ

sudo apt update
sudo apt upgrade
dpkg-query -W libc6

เทียบรุ่น libc6 ให้ตรงกับแถว Ubuntu ที่ใช้ โดยดูเลขแพ็กเกจเต็ม หากอัปเดตไม่สำเร็จ ให้ตรวจข้อความผิดพลาดและคลังแพ็กเกจต่อ

หลังอัปเดต แนะนำให้เริ่มโปรแกรมหรือบริการที่ใช้ไลบรารีเดิมใหม่ เพื่อโหลดไฟล์ที่แก้แล้ว ส่วนนี้เป็นคำแนะนำในการดูแลระบบ USN ไม่ได้กำหนดให้รีบูต

ส่วนตัวผมแนะนำให้อัปเดตโดยเร็ว และตรวจเงื่อนไขช่องโหว่ยกระดับสิทธิ์ในเครื่องที่มีผู้ใช้หลายคนด้วย ที่มา: USN-9065-1: GNU C Library vulnerabilities หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ