Debian แก้ช่องโหว่ Erlang/OTP หลายส่วนใน DSA-6580-1
ผู้ดูแล Debian trixie ที่ใช้ Erlang/OTP ควรเร่งติดตั้งแพตช์ โดยให้บริการที่รับข้อมูลจากเครือข่ายเป็นลำดับแรก
สรุปใน 1 นาที
- อาการ/ปัญหา
- ช่องโหว่หลายส่วนอาจทำให้บริการหยุดทำงาน เกิด HTTP request smuggling หรือข้ามการยืนยันตัวตนและข้อจำกัดการเข้าถึง
- ใครควรอ่าน
- ผู้ใช้แพ็กเกจ erlang บน Debian trixie โดย tracker ระบุรุ่น 1:27.3.4.1+dfsg-1+deb13u3 ว่ายังมีช่องโหว่
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจจาก Debian เป็น 1:27.3.4.1+dfsg-1+deb13u4 แล้วทดสอบแอปที่ใช้ HTTP, SSH และ TLS
พอดีไล่ฟีด Debian แล้วเจอประกาศ DSA-6580-1 ลงวันที่ 23 ตุลาคม 2026 แก้ช่องโหว่หลายจุดใน Erlang/OTP ซึ่งเป็นทั้งภาษาโปรแกรมและสภาพแวดล้อมรันโปรแกรม ผมมองว่าคนดูแลระบบควรตรวจแพ็กเกจนี้ด้วย แม้ตัวแอปจะไม่ได้เขียนด้วย Erlang โดยตรง เพราะอาจมีบริการที่ติดตั้ง runtime นี้เป็นส่วนประกอบอยู่แล้ว
เกิดอะไรขึ้น
Debian ระบุผลกระทบไว้หลายแบบ ตั้งแต่ denial of service หรือทำให้บริการใช้งานไม่ได้ ไปจนถึง HTTP request smuggling และการข้ามการยืนยันตัวตนหรือข้อจำกัดการเข้าถึง รวมถึงการปลอมตัวเป็นเซิร์ฟเวอร์ TLS ด้วย ผลกระทบเหล่านี้มาจากช่องโหว่หลายรายการ ไม่ควรตีความว่าทุกแอปที่ใช้ Erlang จะเจอทุกอาการเหมือนกัน
ส่วนที่มีปัญหาได้แก่ HTTP client และ server, SSH, TLS, ตัวถอดรหัส ASN.1 และ network driver รวมถึงส่วนอ่านข้อมูล URI, LDAP และ SNMP
แพตช์ตรวจข้อมูลตามกฎของ protocol เข้มงวดขึ้น และจำกัดการใช้ทรัพยากรของ HTTP/SSH เพิ่มเติม ประกาศไม่ได้อธิบายแต่ละ CVE แยกกัน และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS
รายการอ้างอิงครบทั้ง 18 หมายเลขคือ CVE-2026-55951, CVE-2026-59696, CVE-2026-65634, CVE-2026-66357, CVE-2026-66835, CVE-2026-68956, CVE-2026-69664, CVE-2026-70399, CVE-2026-70405, CVE-2026-70409, CVE-2026-71380, CVE-2026-73270, CVE-2026-73276, CVE-2026-73812, CVE-2026-74835, CVE-2026-74994, CVE-2026-75538 และ CVE-2026-89422
ใครโดนและรุ่นที่แก้
ประกาศนี้ให้รุ่นแก้สำหรับ stable หรือ trixie เท่านั้น ส่วน Debian Security Tracker ของ DSA เดียวกันระบุแพ็กเกจต้นทางที่ยังมีช่องโหว่และรุ่นที่แก้ดังตาราง
| Debian / แพ็กเกจต้นทาง | รุ่นที่ tracker ระบุว่ายังมีช่องโหว่ | รุ่นที่แก้ |
|---|---|---|
| trixie / erlang | 1:27.3.4.1+dfsg-1+deb13u3 |
1:27.3.4.1+dfsg-1+deb13u4 |
สำหรับ Debian รุ่นอื่น ประกาศนี้ไม่ได้ให้เลขรุ่นแพตช์ไว้ ให้ตรวจสถานะของ release ที่ใช้อยู่จาก Debian Security Tracker ก่อนเลือกแพ็กเกจ อย่านำเลขรุ่นของ trixie ไปใช้เป็นเกณฑ์ตัดสินข้าม release
ต้องทำอะไร
เริ่มจากตรวจว่ามีแพ็กเกจ Erlang ติดตั้งอยู่หรือไม่ และมีแอปหรือบริการใดใช้งานมัน เตรียมข้อมูลสำรองกับแผนย้อนกลับตามขั้นตอนดูแลระบบ จากนั้นรีเฟรชรายการแพ็กเกจและติดตั้งอัปเดตจากคลัง Debian ที่ตั้งค่าไว้ ตัวอย่างนี้ใช้ apt upgrade ซึ่งอาจอัปเดตแพ็กเกจอื่นพร้อมกันด้วย ควรอ่านรายการเปลี่ยนแปลงก่อนยืนยัน
sudo apt update
sudo apt upgrade
apt list --installed 'erlang*'
หลังติดตั้ง ให้เทียบรุ่นแพ็กเกจ Erlang กับตาราง หากยังเป็นรุ่นเก่า ให้ตรวจคลังแพ็กเกจและการตั้งค่า pinning
เริ่มบริการที่ใช้ runtime นี้ใหม่ตามคู่มือของแต่ละแอป แล้วตรวจ log และทดสอบงานหลัก โดยเฉพาะการเชื่อมต่อ HTTP, SSH และ TLS ที่แอปใช้
Debian เตือนว่าแอปที่พึ่งพาพฤติกรรมตรวจโพรโทคอลแบบผ่อนปรนอาจต้องปรับการทำงานหลังอัปเดต เพราะแพตช์ตรวจข้อมูลและจำกัดทรัพยากรเข้มงวดขึ้น
ประกาศไม่ได้เสนอ workaround ให้ใช้แทนแพตช์ และแนะนำให้อัปเกรดแพ็กเกจ erlang โดยตรง การตรวจว่าบริการกลับมาทำงานได้ควรรวมทั้งคำขอปกติและการจัดการข้อผิดพลาดของแอป เพื่อให้เห็นปัญหาความเข้ากันได้ก่อนส่งต่องาน
ส่วนตัวผมให้เร่งแพตช์บริการที่เปิดรับข้อมูลจากเครือข่าย พร้อมเผื่อเวลาทดสอบความเข้ากันได้ ที่มา: Debian Security Advisory DSA-6580-1 หากมีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย