"Debian แก้ช่องโหว่ Brotli เสี่ยงรันโค้ด DSA-6582-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6582-1 ลงวันที่ 23 ตุลาคม 2026 แก้ช่องโหว่ใน Brotli ซึ่งเป็นชุดเครื่องมือบีบอัดข้อมูลแบบไม่สูญเสียข้อมูล ประเด็นนี้เกี่ยวกับการถอดข้อมูลที่บีบอัดมา ผลกระทบตามประกาศคือบริการอาจหยุดทำงาน หรืออาจถูกสั่งให้รันโค้ดได้ ใครดูแลแอปที่รับข้อมูลจากภายนอกแล้วส่งเข้า Brotli ควรตรวจแพ็กเกจที่ใช้อยู่และวางแผนอัปเดต

เกิดอะไรขึ้น

ช่องโหว่นี้ใช้รหัส CVE-2026-111497 ประกาศ Debian อธิบายผลกระทบไว้สั้น ๆ ว่าอาจเกิด denial of service หรืออาจนำไปสู่การรันโค้ดตามที่ผู้โจมตีต้องการ รายละเอียดใน Debian Security Tracker ของ CVE ระบุว่าเป็น buffer overflow ในตัวถอดรหัส Brotli ที่ไฟล์ c/dec/decode.c ข้อมูลบีบอัดที่สร้างมาเฉพาะสามารถทำให้หน่วยความจำสถานะข้างเคียงของตัวถอดรหัสเสียหายได้

ปัญหาเกิดตอนโปรแกรมคลายข้อมูลที่ไม่น่าเชื่อถือ ตัวถอดรหัสอาจเขียนข้อมูลเกินขอบเขตหน่วยความจำ ทำให้โปรเซสล่ม และในบางเงื่อนไขอาจรันโค้ดได้ ผู้ดูแลควรตรวจว่าแอปรับข้อมูลจากที่ใด และส่งข้อมูลเข้า Brotli ตรงไหน

ตัวประกาศ DSA ไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรง และไม่ได้ระบุ workaround คำแนะนำของ Debian คือให้อัปเกรดแพ็กเกจ brotli

ข้อมูลเพิ่มเติมหลังประกาศ: CISA KEV ฉบับ 4 พฤศจิกายน 2026 ระบุ CVE นี้แล้ว โดยเพิ่มเมื่อ 27 ตุลาคม 2026 จากหลักฐานการโจมตีจริง กำหนดแก้ของ CISA คือ 10 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

DSA-6582-1 ระบุรุ่น stable ชื่อ trixie โดย Tracker ของประกาศ แสดงรุ่นที่มีช่องโหว่และรุ่นแก้ดังนี้ ตารางนี้เป็นข้อมูลของ source package brotli

เวลาเช็กแพตช์ให้เทียบเลขรุ่นแพ็กเกจ Debian แบบเต็ม รวมส่วน +deb13u1 ด้วย เลข 1.1.0 เพียงอย่างเดียวไม่พอแยกว่าเครื่องได้รับแพตช์นี้แล้วหรือยัง ส่วนผู้ใช้ release อื่นควรตรวจประกาศที่ตรงกับ release ของตัวเอง เพราะรุ่นแก้ในตารางนี้ระบุสำหรับ trixie

ต้องทำอะไร

เริ่มจากตรวจแพ็กเกจที่ติดตั้งและรุ่น candidate จาก repository จากนั้นอัปเกรดแพ็กเกจที่ใช้งานอยู่ ตัวอย่างนี้เน้น libbrotli1 ซึ่งเป็นไลบรารี และ brotli ซึ่งเป็นเครื่องมือบรรทัดคำสั่ง ตัวเลือก --only-upgrade ใช้กับแพ็กเกจที่ติดตั้งอยู่แล้ว ควรอ่านรายการเปลี่ยนแปลงที่ APT แสดงก่อนยืนยัน

sudo apt update
apt-cache policy libbrotli1 brotli
sudo apt install --only-upgrade libbrotli1 brotli
dpkg-query -W -f='${binary:Package}\t${Version}\n' libbrotli1 brotli

ถ้าไม่ได้ติดตั้งชื่อใด คำสั่งตรวจอาจแจ้งว่าไม่พบแพ็กเกจนั้น ให้ตรวจต่อที่แพ็กเกจซึ่งแอปใช้จริง หลังอัปเดตควรตรวจเลขรุ่นอีกครั้ง และเริ่มโปรเซสที่โหลดไลบรารีนี้ใหม่ตามขั้นตอนบำรุงรักษาของบริการ เพื่อให้โปรเซสใช้งานไฟล์ที่อัปเดตแล้ว จากนั้นทดสอบงานคลายข้อมูลตามปกติด้วยข้อมูลที่ปลอดภัย พร้อมตรวจ error log ว่าบริการยังทำงานได้

สำหรับแอปที่บรรจุ Brotli มาเอง ควรตรวจ dependency ของแอปแยกด้วย การเห็นแพ็กเกจระบบเป็นรุ่นแก้แล้วอย่างเดียวไม่เพียงพอที่จะสรุปถึงสำเนาไลบรารีที่แอปนำมาใช้เอง ข้อนี้เป็นแนวทางตรวจหลังแพตช์สำหรับผู้ดูแลระบบเพิ่มเติมจากคำแนะนำอัปเกรดในประกาศ

ส่วนตัวผมให้เร่งแพตช์ถ้าแอปถอดข้อมูล Brotli จากภายนอก เพราะผลกระทบอาจไปถึงการรันโค้ดได้ ที่มา: Debian Security Advisory DSA-6582-1 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ