"Debian แก้ช่องโหว่ Incus เสี่ยงยกระดับสิทธิ์ DSA-6604-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6604-1 ลงวันที่ 2 พฤศจิกายน 2026 แก้ปัญหาความปลอดภัยใน Incus ตัวจัดการ system container และเครื่องเสมือน ผมแนะนำให้ผู้ดูแลที่ใช้ Incus ตรวจรุ่นที่ติดตั้ง เพราะปัญหาชุดนี้กระทบทั้งสิทธิ์เข้าถึง การให้บริการ และข้อมูล

เกิดอะไรขึ้น

Debian ระบุว่าพบหลายปัญหาความปลอดภัยใน Incus ซึ่งอาจทำให้ข้ามข้อจำกัดด้านความปลอดภัยหรือการอนุญาต ใช้งานบริการไม่ได้จากภาวะ denial of service ยกระดับสิทธิ์ หรือเปิดเผยข้อมูล ผลกระทบเหล่านี้เป็นสิ่งที่ช่องโหว่อาจก่อให้เกิด ไม่ได้หมายความว่าทุกเครื่องที่ติดตั้ง Incus ถูกโจมตีแล้ว

การข้ามข้อจำกัดด้านสิทธิ์คือการทำสิ่งที่ระบบควรห้ามไว้ ส่วนการยกระดับสิทธิ์คือการได้สิทธิ์เกินกว่าที่ควรมี ปัญหา denial of service ทำให้บริการใช้งานไม่ได้ ขณะที่การเปิดเผยข้อมูลทำให้ข้อมูลที่ควรเป็นความลับรั่วออกมา

ประกาศสรุปผลกระทบรวม ไม่ได้แยกกลไกและเงื่อนไขของแต่ละช่องโหว่ เลยยังสรุปไม่ได้ว่าโจมตีผ่านอินเทอร์เน็ตได้โดยไม่ต้องยืนยันตัวตน หรือออกจาก container ได้ทุกกรณี

ช่อง CVE ID ในประกาศระบุ not yet available และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS การไม่มีรหัสและคะแนนไม่ได้แปลว่าความเสี่ยงต่ำ ผู้ดูแลใช้รุ่นแพ็กเกจที่ Debian ระบุเป็นเกณฑ์ติดตั้งแพตช์ได้

ใครโดนและรุ่นที่แก้

ประกาศระบุรุ่นแก้สำหรับ Debian stable ชื่อ trixie ดังตาราง โดยให้ตรวจเลขเวอร์ชันแพ็กเกจของ Debian แบบเต็ม รวมส่วนท้ายหลังเครื่องหมายขีดด้วย

Debian Security Tracker ของ DSA นี้แสดง 6.0.4-2+deb13u10 ใน trixie ว่ายังมีช่องโหว่ และแสดง 6.0.4-2+deb13u12 จากคลัง security ว่าแก้แล้ว ดังนั้นการเห็นเพียงเลขต้น 6.0.4 ยังใช้ตัดสินไม่ได้ว่ามีแพตช์หรือยัง ต้องอ่าน revision ของ Debian ให้ครบ

ต้นฉบับไม่ได้ให้ตารางรุ่นแก้สำหรับ release อื่นหรือแพ็กเกจจากผู้จัดจำหน่ายรายอื่น หากติดตั้งจากแหล่งอื่น ให้ตรวจประกาศของแหล่งนั้นเพิ่มเติม ไม่ควรนำเลขเวอร์ชันในตารางไปเทียบแทนกันโดยตรง

ต้องทำอะไร

Debian แนะนำให้อัปเกรดแพ็กเกจ Incus บน trixie ให้ตรวจว่ารับอัปเดตจากคลัง security ได้ แล้วสำรองข้อมูลและการตั้งค่าก่อนติดตั้งแพตช์ ต้องอัปเดตแพ็กเกจที่ติดตั้งจากซอร์ส incus ให้ครบตาม Debian Security FAQ คำสั่งด้านล่างเสนออัปเดตทั้งระบบ ให้อ่านรายการก่อนยืนยัน

sudo apt update
apt-cache policy incus
sudo apt upgrade
dpkg-query -W -f='${Package} ${Version}\n' incus

ตรวจค่า Candidate ก่อนติดตั้งว่ามี 6.0.4-2+deb13u12 หรือรุ่นใหม่กว่าที่รวมแพตช์นี้ หากยังเห็นรุ่นเก่า ให้ตรวจแหล่งแพ็กเกจและการตั้งค่า pinning ก่อนถือว่าการอัปเดตสำเร็จ หลังติดตั้งให้ตรวจรุ่นอีกครั้ง และตรวจว่า Incus รวมถึงงาน container และเครื่องเสมือนที่เกี่ยวข้องยังทำงานตามปกติ

ประกาศไม่ได้ให้ workaround ชั่วคราวไว้ ทางแก้ที่ Debian แนะนำคืออัปเกรดแพ็กเกจ การตรวจว่าบริการยังตอบสนองได้เพียงอย่างเดียวไม่ยืนยันว่ามีแพตช์ ต้องใช้เลขเวอร์ชันที่ติดตั้งประกอบด้วย รายละเอียดสถานะติดตามได้จาก Debian Security Tracker สำหรับ DSA-6604-1

ส่วนตัวผมแนะนำให้ผู้ใช้ Incus บน trixie เร่งนัดติดตั้งแพตช์ในช่วงบำรุงรักษาที่ใกล้ที่สุด เพราะมีผลกระทบถึงการข้ามข้อจำกัดและยกระดับสิทธิ์ ที่มา: DSA-6604-1 incus - security update หากประกาศมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ