Ubuntu แก้ Tornado เสิร์ฟไฟล์ static ไม่ได้ USN-8952-3
ผู้ดูแลระบบและนักพัฒนาที่ใช้ Tornado จากแพ็กเกจ Ubuntu ควรอัปเดตโดยเร็วหากหน้าเว็บเจอ 403 หลังลงแพตช์ก่อนหน้า
สรุปใน 1 นาที
- อาการ/ปัญหา
- แพตช์ Tornado ก่อนหน้าปฏิเสธ symlink ไปยังไดเรกทอรีระบบ ทำให้ไฟล์ประกอบหน้าเว็บโหลดไม่ได้และตอบ 403
- ใครควรอ่าน
- ผู้ดูแลระบบและนักพัฒนาที่ใช้ python3-tornado จาก Ubuntu โดยเฉพาะแอปอย่าง Jupyter ที่สืบทอด StaticFileHandler
- ทางแก้แบบสั้น
- อัปเดต python3-tornado เป็นรุ่นที่แก้ตาม Ubuntu แต่ละรุ่น โดย Ubuntu 24.04 LTS ใช้ 6.4.0-1ubuntu0.8 แล้วทดสอบหน้าเว็บอีกครั้ง
พอดีเห็น Ubuntu ออกประกาศ USN-8952-3: Tornado regression วันที่ 11 พฤศจิกายน 2026 เพื่อแก้ปัญหาจากแพตช์ก่อนหน้า แอปอย่าง Jupyter อาจโหลด JavaScript และฟอนต์ไม่ได้จนหน้าเว็บตอบ 403 สาเหตุคือแพตช์ปฏิเสธ symlink ที่ชี้ไปยังไดเรกทอรีระบบ ใครเจออาการนี้หลังอัปเดตควรตรวจแพ็กเกจ Tornado
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าให้บริการแอปที่ใช้แพ็กเกจ Tornado ของ Ubuntu ให้ลงอัปเดตตามรุ่นระบบโดยเร็วเมื่อพบหน้าเว็บตอบ 403 หลังแพตช์ก่อนหน้า
- นักพัฒนา: ถ้าแอปใช้ Tornado ของ Ubuntu และมีตัวจัดการไฟล์แบบเดียวกับ Jupyter ให้ประสานอัปเดตแพ็กเกจและทดสอบการโหลดไฟล์หน้าเว็บก่อนนำขึ้นใช้งาน
เกิดอะไรขึ้น
Tornado เป็นเว็บเซิร์ฟเวอร์และชุดเครื่องมือเครือข่าย ส่วน StaticFileHandler ใช้ส่งไฟล์ static เช่น JavaScript และฟอนต์ให้เบราว์เซอร์ แอปอย่าง Jupyter สร้างคลาสต่อยอดจากตัวจัดการนี้
USN-8952-2 อธิบายว่าแพตช์ใน USN-8952-1 แก้ CVE-2026-103263 ไม่ครบ และทำให้แอปที่สืบทอด StaticFileHandler ส่งไฟล์ไม่ได้ ฉบับ USN-8952-2 แก้อาการนั้น แต่ยังปฏิเสธ symlink บางแบบอยู่
symlink คือลิงก์ที่ชี้ไปยังไฟล์หรือไดเรกทอรีอีกแห่ง แพ็กเกจของ Ubuntu ใช้ลิงก์นี้ชี้ไปหา JavaScript และฟอนต์ใน /usr/share เมื่อแพตช์ปฏิเสธลิงก์ หน้าเว็บเลยได้ 403 แทนไฟล์ ฉบับ USN-8952-3 แก้ปัญหานี้ ตามอีเมลประกาศของ Ubuntu ที่เก็บบน MARC
ส่วนช่องโหว่เดิมเกี่ยวกับการจัดการคำขอ HTTP และข้อมูลเครือข่ายที่ไม่ถูกต้อง ผู้โจมตีอาจทำให้บริการหยุดทำงาน เปิดเผยข้อมูลสำคัญ หรือข้ามการควบคุมสิทธิ์ได้ ประกาศอ้างถึง CVE-2023-54397, CVE-2024-14029, CVE-2026-91990, CVE-2026-91992, CVE-2026-103262 และ CVE-2026-103263 โดยไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรงในตัวประกาศ รายละเอียดผลกระทบเดิมอ่านได้จาก USN-8952-1
ใครโดนและรุ่นที่แก้
เครื่องที่ติดตั้ง python3-tornado จากคลัง Ubuntu ให้เทียบรุ่นที่แก้กับตารางจากประกาศ USN-8952-3 ฉบับอีเมลของ Ubuntu
| Ubuntu | แพ็กเกจ | รุ่นที่แก้ |
|---|---|---|
| 26.10 | python3-tornado | 6.5.5-5ubuntu1.3 |
| 26.04 LTS | python3-tornado | 6.5.4-0.1ubuntu0.4 |
| 24.04 LTS | python3-tornado | 6.4.0-1ubuntu0.8 |
| 22.04 LTS | python3-tornado | 6.1.0-3ubuntu0.1~esm8 |
| 20.04 LTS | python3-tornado | 6.0.3+really5.1.1-3ubuntu0.1~esm9 |
| 18.04 LTS | python3-tornado | 4.5.3-1ubuntu0.2+esm6 |
| 16.04 LTS | python3-tornado | 4.2.1-1ubuntu3.1+esm6 |
อีเมลประกาศระบุ Ubuntu ครบทั้งเจ็ดรุ่น รวมถึง 16.04 LTS แพ็กเกจสำหรับ 22.04 LTS, 20.04 LTS, 18.04 LTS และ 16.04 LTS ระบุว่ามีให้ผ่าน Ubuntu Pro
ต้องทำอะไร
Ubuntu แนะนำให้อัปเดตระบบตามปกติ เครื่องที่ติดตั้งแพ็กเกจนี้แล้วสามารถอัปเกรดและตรวจรุ่นด้วยคำสั่งต่อไปนี้
sudo apt update
sudo apt install --only-upgrade python3-tornado
apt-cache policy python3-tornado
ตรวจช่อง Installed ให้ได้รุ่นที่แก้หรือใหม่กว่าจากคลังของ Ubuntu รุ่นนั้น หากยังไม่ได้ให้ตรวจแหล่งอัปเดตและสิทธิ์ Ubuntu Pro แอปที่ติดตั้ง Tornado แยกใน virtual environment ต้องตรวจแพ็กเกจของแอปด้วย เพราะ apt จัดการเฉพาะแพ็กเกจระบบ
หลังอัปเดตควรเริ่มโปรเซสแอปใหม่ตามขั้นตอนของระบบนั้น แล้วทดสอบหน้าเว็บว่า JavaScript และฟอนต์โหลดได้ พร้อมตรวจบันทึกคำขอว่าไฟล์เดิมยังตอบ 403 หรือไม่
ส่วนตัวผมให้เร่งอัปเดตเมื่อ Jupyter หรือเว็บที่ใช้ Tornado เจอ 403 หลังแพตช์ก่อนหน้า ส่วนระบบที่ยังทำงานปกติให้จัดเข้ารอบบำรุงรักษา ที่มา: USN-8952-3: Tornado regression (https://ubuntu.com/security/notices/USN-8952-3) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย