"Debian แก้ช่องโหว่ ImageMagick จากภาพผิดรูปแบบ DSA-6593-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6593-1 ลงวันที่ 29 ตุลาคม 2026 แก้ช่องโหว่ใน ImageMagick เครื่องมือแปลงและจัดการภาพที่เว็บอาจเรียกใช้ย่อรูปหรือสร้างภาพตัวอย่าง ปัญหาเกิดเมื่อประมวลผลภาพผิดรูปแบบ ผู้ดูแลควรตรวจงานรับไฟล์ด้วย เพราะแอปอาจส่งภาพเข้า ImageMagick อัตโนมัติ

เกิดอะไรขึ้น

Debian ระบุว่าการประมวลผลภาพผิดรูปแบบอาจทำให้ ImageMagick หยุดทำงาน ข้อมูลรั่วไหล หรืออาจรันโค้ดที่ผู้โจมตีกำหนดได้ นี่เป็นผลกระทบรวมของช่องโหว่ทั้งชุด ไม่ได้หมายความว่าทุก CVE ทำได้ครบทุกอย่าง

ประกาศไม่ได้แยกกลไกและชนิดไฟล์ของแต่ละ CVE อีกทั้งไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ผู้ดูแลควรตรวจว่าระบบส่งภาพจากผู้ใช้หรือแหล่งภายนอกเข้า ImageMagick หรือไม่ แต่ไม่ควรสรุปว่าการอัปโหลดภาพทุกกรณีจะนำไปสู่การรันโค้ด

รายการ CVE ทั้งหมดใน DSA-6593-1 มีดังนี้ แบ่งบรรทัดเพื่อให้นำไปเทียบกับผลตรวจช่องโหว่ได้สะดวก:

• CVE-2026-62343, CVE-2026-62363, CVE-2026-62946, CVE-2026-64685
• CVE-2026-86420, CVE-2026-86421, CVE-2026-86423, CVE-2026-86424, CVE-2026-86425
• CVE-2026-93586, CVE-2026-93587, CVE-2026-93588, CVE-2026-93589, CVE-2026-93590
• CVE-2026-102635, CVE-2026-106564, CVE-2026-106565, CVE-2026-106566, CVE-2026-106567, CVE-2026-106568
• CVE-2026-106570, CVE-2026-106571, CVE-2026-106572, CVE-2026-106573, CVE-2026-106574, CVE-2026-106575
• CVE-2026-106576, CVE-2026-106577, CVE-2026-106578, CVE-2026-106579, CVE-2026-106580
• CVE-2026-107208, CVE-2026-107209, CVE-2026-107210, CVE-2026-109261, CVE-2026-116152

ใครโดนและรุ่นที่แก้

ประกาศระบุรุ่นแก้สำหรับ Debian stable ชื่อ trixie ส่วน Security Tracker แสดงซอร์สแพ็กเกจรุ่นก่อนแก้และรุ่นจากคลัง security ตามตาราง ต้องเทียบเลขแพ็กเกจเต็มทั้งส่วนหน้า 8: และส่วนท้ายของรุ่น

ตารางนี้อ้างอิงเฉพาะรุ่นที่ประกาศและ Tracker ของ DSA-6593-1 ระบุ ไม่ควรนำเลขรุ่นเดียวกันไปใช้ตัดสินสถานะของ Debian รุ่นอื่น หากแอปใช้ ImageMagick ภายใน container หรือมีการติดตั้งแยกจากแพ็กเกจของระบบ ต้องตรวจสภาพแวดล้อมที่ประมวลผลภาพจริงด้วย การอัปเดตแพ็กเกจบนเครื่องโฮสต์อย่างเดียวอาจยังไม่ครอบคลุมงานนั้น

ต้องทำอะไร

Debian แนะนำให้อัปเกรดแพ็กเกจ imagemagick สำหรับเครื่อง trixie ที่ใช้คลังแพ็กเกจ Debian ให้ตรวจว่ารับอัปเดตจากช่องทาง security ได้ จากนั้นรีเฟรชรายการแพ็กเกจและอัปเกรด คำสั่งด้านล่างอัปเกรดแพ็กเกจที่มีอัปเดตทั้งระบบ ควรอ่านรายการเปลี่ยนแปลงที่ apt เสนอก่อนยืนยัน เพื่อให้แพ็กเกจไลบรารีที่เกี่ยวข้องได้รับการอัปเดตไปด้วย

sudo apt update
sudo apt upgrade
apt-cache policy imagemagick

หลังอัปเดต ให้ตรวจรุ่นของแพ็กเกจที่แอปใช้จริง แล้วทดสอบงานแปลงภาพ ย่อรูป และสร้างภาพตัวอย่างด้วยไฟล์ปกติ ตรวจผลลัพธ์และ error log ด้วย ถ้ามีบริการหรือ worker โหลดไลบรารีค้างไว้ ให้เริ่มโปรเซสนั้นใหม่ตามขั้นตอนของแอป

ประกาศไม่ได้ให้ workaround ใช้แทนแพตช์ การจำกัดแหล่งที่มาของภาพและทบทวนสิทธิ์ของโปรเซสเป็นคำแนะนำทั่วไป ไม่ได้ยืนยันว่าปิดช่องโหว่ทั้งชุดแล้ว ให้ใช้รุ่นแพ็กเกจที่แก้เป็นเกณฑ์ตรวจงาน

ส่วนตัวผมให้งานนี้อยู่ในคิวแพตช์เร่งด่วนถ้าระบบรับภาพจากผู้ใช้หรือแหล่งภายนอก เพราะผลกระทบที่ Debian ระบุมีทั้งข้อมูลรั่วและอาจรันโค้ดได้ ที่มา: Debian Security Advisory DSA-6593-1 และ Debian Security Tracker: DSA-6593-1 หากมีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ