Debian แก้ apt เสี่ยงรันโค้ดสิทธิ์ root — DSA-6607-1
ผู้ดูแล Debian trixie ควรเร่งอัปเดต apt เป็น 3.0.4 เพราะผลกระทบไปถึงการรันโค้ดด้วยสิทธิ์ root
สรุปใน 1 นาที
- อาการ/ปัญหา
- การจัดการไฟล์เมื่อดาวน์โหลดต่อผ่าน HTTP เปิดทางให้สลับแพ็กเกจหลังผ่านการตรวจสอบ
- ใครควรอ่าน
- ประกาศครอบคลุม apt บน Debian trixie โดย Security Tracker ระบุ 3.0.3 ว่ายังมีช่องโหว่
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจ apt เป็นรุ่นแก้ 3.0.4 ตามประกาศ Debian
พอดีไล่ฟีด Debian เจอประกาศ DSA-6607-1 ลงวันที่ 4 พฤศจิกายน 2026 เป็นแพตช์ของ apt ซึ่งใช้ติดตั้งและอัปเดตแพ็กเกจ ช่องโหว่นี้เปิดทางให้ผู้โจมตีเปลี่ยนไฟล์แพ็กเกจหลังผ่านการตรวจสอบแล้ว ผลกระทบอาจถึงการรันโค้ดด้วยสิทธิ์ root
เกิดอะไรขึ้น
Max Justicz พบช่องโหว่ CVE-2026-109518 ใน APT โดยประกาศอธิบายว่า APT สามารถรวมการดาวน์โหลดแพ็กเกจสองรายการที่ต่างกันเข้าด้วยกัน เมื่อ HTTP redirect ทำให้ทั้งสองรายการมี URI เดียวกัน
เมื่อมีการดาวน์โหลดผ่าน HTTP ต่อจากส่วนที่ค้างไว้ การจัดการไฟล์ที่ไม่ถูกต้องเปิดทางให้ผู้โจมตีแบบ man-in-the-middle แทนที่แพ็กเกจหลังการตรวจสอบได้ ผลที่ Debian ระบุคือการรันโค้ดตามที่ผู้โจมตีต้องการด้วยสิทธิ์ root การโจมตีตามประกาศต้องอาศัยผู้โจมตีที่คั่นกลางการสื่อสาร รวมถึง HTTP redirect และการดาวน์โหลดต่อของ APT
จุดสำคัญคือไฟล์อาจถูกเปลี่ยนหลังตรวจสอบแล้ว การตรวจสอบที่ผ่านไปก่อนหน้าเลยป้องกันปัญหานี้ไม่ได้ ส่วนอัปเดตเดียวกันยังแก้ปัญหาการเข้าถึงข้อมูลนอกขอบเขตหลายจุดด้วย แต่ประกาศไม่ได้แจกแจงรายละเอียดของแต่ละจุด หรือให้คะแนน CVSS และระดับความรุนแรงเป็นตัวเลข
ใครโดนและรุ่นที่แก้
ประกาศฉบับนี้ระบุ Debian รุ่น stable ชื่อ trixie และให้รุ่นแก้ของแพ็กเกจ apt ไว้ชัดเจน ส่วนหน้า Security Tracker ของ DSA เดียวกันระบุสถานะของรุ่นที่มีช่องโหว่และรุ่นแก้ดังนี้
| Release | แพ็กเกจ | รุ่นที่ระบุว่ามีช่องโหว่ | รุ่นที่แก้ |
|---|---|---|---|
| Debian trixie | apt | 3.0.3 | 3.0.4 |
ตารางนี้บอกสถานะเฉพาะ trixie ไม่ได้แปลว่า Debian รุ่นอื่นปลอดภัย และไม่ควรนำเลขรุ่นไปเทียบข้าม release หากดูแล release อื่น ให้ตรวจสถานะของ apt สำหรับ release นั้นจาก Debian Security Tracker แยกต่างหาก
ต้องทำอะไร
Debian แนะนำให้อัปเกรดแพ็กเกจ apt ผู้ดูแล trixie ควรตรวจแหล่งแพ็กเกจของระบบให้พร้อมรับ security update แล้วอัปเดตรายการแพ็กเกจและติดตั้ง apt รุ่นแก้ ตัวอย่างคำสั่งสำหรับระบบที่ตั้งค่า repository ถูกต้องแล้วคือ
sudo apt-get update
apt-cache policy apt
sudo apt-get install --only-upgrade apt
dpkg-query -W apt
ตรวจค่า Candidate จาก apt-cache policy ว่ามีรุ่นแก้ 3.0.4 ให้ติดตั้ง และอ่านผลลัพธ์หลังอัปเกรดจาก dpkg-query เพื่อยืนยันรุ่นที่ติดตั้งจริง หากยังเสนอรุ่น 3.0.3 ให้ตรวจการตั้งค่า repository และข้อกำหนดการเลือกเวอร์ชันก่อนสรุปว่างานแพตช์เสร็จแล้ว หลังติดตั้งให้ตรวจเลขรุ่นซ้ำเสมอ
ประกาศนี้ไม่ได้เสนอ workaround ให้ใช้แทนแพตช์ แนวทางหลักเลยเป็นการติดตั้งรุ่นที่ Debian แก้แล้ว พร้อมตรวจผลหลังทำงาน
ส่วนตัวผมมองว่าควรเร่งแพตช์ apt บน trixie เพราะผลกระทบถึงสิทธิ์ root และเกี่ยวข้องกับเครื่องมือที่ใช้รับอัปเดตซอฟต์แวร์ ที่มา: Debian Security Advisory DSA-6607-1 และ Debian Security Tracker ถ้ามีรายละเอียดจาก Debian เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย