"Debian แก้ git-annex เสี่ยงข้อมูลรั่ว DSA-6603-1"
"ผู้ใช้ git-annex บน Debian trixie ควรเร่งอัปเดต โดยเฉพาะเครื่องที่ใช้ repository หรือ remote จากบุคคลอื่นร่วมกับไฟล์ส่วนตัว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ช่องโหว่ CVE-2026-112818 อาจทำให้ git-annex ดึงไฟล์ส่วนตัวแล้วส่งออกไปยังผู้โจมตีระหว่างซิงก์ข้อมูล
- ใครควรอ่าน
- ผู้ใช้ git-annex ที่เชื่อมต่อ remote ซึ่งผู้โจมตีควบคุมได้และมี repository ส่วนตัวที่เข้าถึงได้อยู่ในขอบเขตความเสี่ยง
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจ trixie เป็น 10.20250416-2+deb13u1 หรือใหม่กว่า และตรวจ special remote เดิมที่บุคคลอื่นอาจตั้งค่าไว้
พอดีไล่ฟีด Debian เจอประกาศ DSA-6603-1 ลงวันที่ 2 พฤศจิกายน 2026 แก้ CVE-2026-112818 ใน git-annex เครื่องมือนี้ใช้จัดการไฟล์ขนาดใหญ่ร่วมกับ Git โดยเก็บเนื้อไฟล์แยกไว้ ช่องโหว่อาจทำให้ไฟล์ส่วนตัวถูกดึงจากแหล่งเก็บแล้วส่งไปยังผู้โจมตีระหว่างซิงก์ข้อมูล
เกิดอะไรขึ้น
ตาม ประกาศ upstream ผู้โจมตีต้องควบคุม remote แห่งหนึ่งของ repository ที่ผู้ใช้ใช้งาน เช่น เป็นคนเตรียม repository ให้ clone และต้องรู้ข้อมูลบางส่วนเกี่ยวกับ repository ส่วนตัวของผู้ใช้ด้วย การติดตั้ง git-annex อย่างเดียวไม่ได้ทำให้ไฟล์รั่วทันที
กรณีหนึ่งเกิดจาก repository ที่รับมาตั้งค่า special remote ให้ชี้ไปยังแหล่งเก็บส่วนตัวของผู้ใช้ เมื่อ git-annex เปิด remote นี้อัตโนมัติและผู้ใช้ซิงก์เนื้อไฟล์ ไฟล์ส่วนตัวอาจถูกส่งต่อให้ผู้โจมตี อีกกรณีคือผู้โจมตีเปลี่ยนการตั้งค่า special remote หลังผู้ใช้เปิดใช้งานไปแล้ว ให้ไปดึงไฟล์จากแหล่งส่วนตัวแทน
ผลกระทบที่ Debian ระบุคือ ข้อมูลรั่วไหลออกไปภายนอก ประกาศ DSA ฉบับนี้ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS เลยควรประเมินความเร่งด่วนจากลักษณะการใช้ remote และความลับของไฟล์ที่เครื่องนั้นเข้าถึงได้
ใครโดนและรุ่นที่แก้
DSA-6603-1 ระบุแพตช์สำหรับ stable ชื่อ trixie โดย Debian Security Tracker แสดงรุ่นก่อนแก้และรุ่นที่แก้ดังนี้
| Release / แพ็กเกจ | รุ่นที่มีช่องโหว่ใน tracker | รุ่นที่แก้ |
|---|---|---|
| trixie / git-annex | 10.20250416-2 |
10.20250416-2+deb13u1 |
upstream แก้ในรุ่น 10.20261026 ส่วน Debian นำแพตช์มาใส่ในแพ็กเกจของ trixie แล้ว ผู้ใช้ Debian ให้เทียบเลขแพ็กเกจในตาราง ไม่จำเป็นต้องติดตั้ง upstream เองเพื่อให้เลขรุ่นตรงกัน
สำหรับ release อื่น ประกาศ DSA นี้ไม่ได้ระบุรุ่นที่แก้ไว้ ให้ตรวจสถานะตาม release จาก tracker ของ CVE-2026-112818 ก่อนตัดสินว่าเครื่องพ้นความเสี่ยง และอย่านำเลขแพ็กเกจของ trixie ไปใช้แทนเกณฑ์ของทุก release
ต้องทำอะไร
เริ่มจากตรวจรุ่นที่ติดตั้งและรุ่นที่ APT เสนอ จากนั้นอัปเดต git-annex ผ่านแหล่งแพ็กเกจของ release ที่ใช้งาน ตัวอย่างสำหรับเครื่องที่ใช้แพ็กเกจ Debian อยู่แล้ว รันด้วยบัญชีที่มีสิทธิ์ sudo
dpkg-query -W -f='${Package} ${Version}\n' git-annex
sudo apt update
apt-cache policy git-annex
sudo apt install --only-upgrade git-annex
dpkg-query -W -f='${Package} ${Version}\n' git-annex
หลังอัปเดต ให้ตรวจว่า trixie ได้ 10.20250416-2+deb13u1 หรือใหม่กว่าที่รวมแพตช์นี้ ถ้ายังเป็นรุ่นเก่า ให้ตรวจคลัง security และ Candidate ของ APT ต่อ การรันคำสั่งจบไม่ได้แปลว่าติดตั้งรุ่นที่แก้แล้วเสมอ
upstream เพิ่มขั้นตอนให้ผู้ใช้ตรวจความปลอดภัยของการตั้งค่า special remote และให้การเปลี่ยนค่าที่รับผ่าน git-annex branch ต้องผ่านการตรวจยืนยันก่อนมีผลใช้งาน
upstream ระบุว่า special remote ที่มีอยู่ก่อนอัปเดตยังทำงานต่อแบบเดิม หากบุคคลอื่นอาจเป็นผู้ตั้งค่า ให้ตรวจการตั้งค่าด้วยคำสั่ง git-annex verifyremote ใน repository ที่เกี่ยวข้อง
ควรอ่านปลายทางและแหล่งข้อมูลให้เข้าใจก่อนยืนยัน remote โดยเฉพาะ repository ที่รับมาจากบุคคลอื่น การอัปเดตโปรแกรมกับการตรวจค่าที่เชื่อถือไว้เป็นงานที่ต้องทำควบคู่กันในกรณีนี้
ส่วนตัวผมแนะนำให้เร่งแพตช์ก่อนซิงก์ไฟล์ส่วนตัวกับ remote จากบุคคลอื่น และตรวจ special remote เดิมตามคำแนะนำ upstream ที่มา: Debian Security Advisory DSA-6603-1 — git-annex security update หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย