"Debian อัปเดต NSS ถอนใบรับรอง eMudhra ตาม DSA-6599-1"
"ผู้ดูแล Debian trixie ที่ใช้ NSS ควรเร่งติดตั้งแพตช์เพื่อรับรายการใบรับรองรากที่แก้ไขแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- พบใบรับรอง intermediate CA ของ eMudhra ถูกละเมิด และ Debian ออกแพตช์ถอดใบรับรองรากที่เกี่ยวข้อง
- ใครควรอ่าน
- ระบบ Debian trixie ที่ติดตั้งแพ็กเกจจากซอร์ส nss ต้องตรวจรุ่นที่ใช้งาน
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจ NSS ของ trixie เป็น 2:3.110-1+deb13u5 และตรวจรุ่นหลังติดตั้ง
พอดีไล่ฟีด Debian เจอประกาศ DSA-6599-1 ลงวันที่ 31 ตุลาคม 2026 เรื่องอัปเดตแพ็กเกจ nss รอบนี้เกี่ยวกับความเชื่อถือใบรับรองดิจิทัล โดย Debian ระบุว่าพบใบรับรอง intermediate CA ของ eMudhra หลายใบถูกละเมิด และออกแพ็กเกจใหม่เพื่อถอดใบรับรองรากที่เกี่ยวข้อง ผู้ดูแลระบบที่ใช้ NSS ควรตรวจแพตช์นี้ แม้แอปพลิเคชันจะยังทำงานได้ตามปกติ
เกิดอะไรขึ้น
NSS หรือ Network Security Services เป็นชุดไลบรารีด้านความปลอดภัยสำหรับแอปพลิเคชัน รองรับ TLS และใบรับรอง X.509 ตาม เอกสาร Mozilla ประกาศนี้แก้รายการใบรับรองที่แอปใช้เป็นฐานความเชื่อถือ
ชุดอัปเดตถอดใบรับรองรากสามใบ ได้แก่ “eMudhra emSign Root CA - G3”, “eMudhra emSign Root CA - C1” และ “emSign ECC Root CA - C3” Debian ระบุว่าปัญหาเกิดกับใบรับรอง intermediate CA ของ eMudhra ส่วนแพตช์นำใบรับรองรากทั้งสามรายการออก
แอปที่ใช้รายการใบรับรองรากเดิมอาจยังเชื่อถือสายใบรับรองที่เกี่ยวข้อง แพตช์นี้นำใบรับรองรากออกเพื่อตัดความเชื่อถือนั้น ประกาศไม่ได้อธิบายวิธีโจมตีหรือบอกว่าเครื่องที่ติดตั้ง NSS ถูกเจาะแล้ว
ประกาศนี้ไม่ระบุหมายเลข CVE ระดับความรุนแรง หรือคะแนน CVSS และไม่ได้ให้ workaround แยกจากการอัปเดตแพ็กเกจ
ใครโดนและรุ่นที่แก้
ขอบเขตที่ DSA-6599-1 ระบุรุ่นแก้คือ Debian stable ชื่อ trixie โดย Debian Security Tracker แสดงข้อมูลดังนี้
| รุ่น Debian / ซอร์สแพ็กเกจ | รุ่นที่ Tracker ระบุว่ายังมีปัญหา | รุ่นที่แก้แล้ว |
|---|---|---|
| trixie / nss | 2:3.110-1+deb13u4 |
2:3.110-1+deb13u5 |
แพ็กเกจไลบรารีที่ติดตั้งบนระบบคือ libnss3 ซึ่งหน้าแพ็กเกจ Debian ยืนยันว่ามาจากซอร์ส nss และมีรุ่นแก้ตรงกัน ส่วน Debian รุ่นอื่นไม่มีเลขรุ่นแก้ระบุในประกาศนี้ ควรตรวจประกาศสำหรับรุ่นนั้นโดยตรง ไม่ใช้เลขของ trixie แทนกัน
ต้องทำอะไร
ตรวจว่าระบบใช้ trixie และเปิดแหล่งแพ็กเกจ security ของรุ่นนั้นไว้ก่อน จากนั้นอัปเดตรายการแพ็กเกจ ตรวจรุ่นที่ APT เสนอ และติดตั้งแพตช์ ตัวอย่างนี้อัปเกรดเฉพาะ libnss3 ที่ติดตั้งอยู่แล้ว
sudo apt update
apt-cache policy libnss3
sudo apt install --only-upgrade libnss3
dpkg-query -W libnss3
ตรวจผลหลังติดตั้งว่าเป็น 2:3.110-1+deb13u5 หรือรุ่นใหม่กว่าจากแหล่งแพ็กเกจของ Debian รุ่นเดียวกัน ถ้า APT ยังเสนอรุ่นเก่า ให้ตรวจ repository และผลของ apt update ก่อน อย่าสรุปว่ามีแพตช์แล้วเพียงเพราะคำสั่งติดตั้งจบโดยไม่มีข้อผิดพลาด
ตรวจแพ็กเกจอื่นที่ติดตั้งจากซอร์ส nss ด้วย แล้วเปิดแอปหรือบริการที่โหลดไลบรารีนี้ใหม่ตามขั้นตอนของระบบ ทดสอบการเชื่อมต่อที่ต้องตรวจใบรับรอง ถ้าเชื่อมต่อไม่ผ่าน ให้ตรวจสายใบรับรองและแก้ที่ต้นทาง ไม่ควรปิดการตรวจ TLS เพื่อให้เชื่อมต่อได้
ส่วนตัวผมให้เร่งอัปเดตเมื่อมี NSS ใช้งาน เพราะแพตช์นี้แก้ฐานความเชื่อถือของใบรับรองโดยตรง ที่มา: Debian Security Advisory DSA-6599-1 หากมีรายละเอียดเพิ่มเติมจาก Debian เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย