Debian แก้ช่องโหว่ zlib เสี่ยงบริการล่มและรันโค้ด DSA-6613-1
ผู้ใช้ Debian trixie ที่มี zlib ควรติดตั้งอัปเดตโดยเร็ว โดยให้ระบบที่รับข้อมูลจากภายนอกมาก่อน
สรุปใน 1 นาที
- อาการ/ปัญหา
- ข้อมูลที่สร้างมาเป็นพิเศษอาจทำให้โปรแกรมที่ใช้ zlib หยุดให้บริการ หรืออาจเปิดทางให้รันโค้ดได้
- ใครควรอ่าน
- ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้ zlib บน Debian trixie
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจจาก zlib เป็นรุ่น 1:1.3.dfsg+really1.3.1-1+deb13u1 ผ่านคลัง Debian security
พอดีไล่ฟีดความปลอดภัยเจอ Debian ออกประกาศ DSA-6613-1 วันที่ 7 พฤศจิกายน 2026 เพื่อแก้ช่องโหว่ใน zlib ไลบรารีบีบอัดข้อมูลที่โปรแกรมอื่นเรียกใช้ ผมขอสรุปจุดที่ต้องตรวจไว้ตรงนี้ เพราะโปรแกรมที่ติดตั้งอยู่อาจใช้ zlib โดยที่ผู้ใช้ไม่รู้
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: ถ้าใช้เครื่อง Debian trixie ที่มี zlib ให้ติดตั้งอัปเดตระบบโดยเร็วแล้วเปิดโปรแกรมที่ใช้งานใหม่
- ผู้ดูแลระบบ: อัปเดต zlib บน Debian trixie โดยเร็วแล้วเริ่มบริการที่ใช้ไลบรารีนี้ใหม่ โดยให้บริการที่รับข้อมูลจากภายนอกมาก่อน
- นักพัฒนา: ถ้าแอปหรืออิมเมจใช้ zlib ของ Debian trixie ให้สร้างและนำรุ่นที่รวมแพตช์ไปใช้โดยเร็ว
เกิดอะไรขึ้น
ประกาศนี้แก้ CVE-2026-27171, CVE-2026-76844 และ CVE-2026-85091 Debian ระบุว่า เมื่อโปรแกรมอ่านข้อมูลที่สร้างมาเพื่อโจมตี โปรแกรมอาจหยุดทำงาน หรืออาจเปิดทางให้ผู้โจมตีรันโค้ดได้
ควรตรวจโปรแกรมที่รับข้อมูลจากแหล่งที่ไม่เชื่อถือแล้วส่งให้ zlib ทำงานต่อ เพื่อดูว่าควรแพตช์บริการไหนก่อน
DSA ไม่ได้แยกรายละเอียดของแต่ละ CVE ไม่ได้ให้คะแนน CVSS และไม่ได้ระบุว่าพบการโจมตีจริง ทั้งสามรายการยังไม่อยู่ใน KEV ฉบับ 6 พฤศจิกายน 2026 การไม่อยู่ใน KEV ไม่ได้แปลว่าโจมตีไม่ได้
ใครโดนและรุ่นที่แก้
DSA นี้ระบุรุ่นแก้สำหรับ Debian stable ชื่อ trixie ตรงกับ Debian Security Tracker ดังนี้
| รุ่น Debian / แพ็กเกจต้นทาง | รุ่นที่มีช่องโหว่ใน Tracker | รุ่นที่แก้แล้ว |
|---|---|---|
| trixie / zlib | 1:1.3.dfsg+really1.3.1-1 |
1:1.3.dfsg+really1.3.1-1+deb13u1 |
แพ็กเกจที่ติดตั้งคือ zlib1g ซึ่งมี shared library และ zlib1g-dev สำหรับงานพัฒนา ทั้งสองแพ็กเกจมีรุ่นแก้ตามตาราง ให้ตรวจเลขรุ่น Debian ทั้งชุด รวม +deb13u1 ด้วย
ข้อมูลช่วงรุ่นของ CVE-2026-85091 ต่างกัน: CVE record ระบุ upstream 1.3.1.2 ถึง 1.3.2 แต่ Debian Tracker ระบุว่าแพ็กเกจ trixie ที่อิง 1.3.1 มีช่องโหว่ด้วย สำหรับ Debian trixie ให้ใช้รุ่นแก้ในตาราง ส่วน Debian รุ่นอื่นให้ตรวจ Tracker ตาม release เพราะ DSA นี้ไม่ได้ให้รุ่นแก้ไว้
ต้องทำอะไร
ตรวจว่าตั้งค่าคลัง security ของ Debian trixie ไว้แล้ว จากนั้นดึงรายการแพ็กเกจและติดตั้งอัปเดต คำสั่งนี้อัปเกรดเฉพาะแพ็กเกจที่ติดตั้งอยู่ ถ้าไม่มีแพ็กเกจพัฒนาก็จะข้ามไป
sudo apt update
sudo apt install --only-upgrade zlib1g zlib1g-dev
dpkg-query -W -f='${binary:Package}\t${Version}\n' zlib1g
ตรวจผลให้ได้รุ่นแก้หรือรุ่นที่ใหม่กว่าจากคลังของ release เดียวกัน ถ้ายังเป็นรุ่นเดิม ให้ตรวจการตั้งค่าคลังและข้อผิดพลาดจาก apt หลังอัปเดตให้เปิดโปรแกรมหรือเริ่มบริการที่เกี่ยวข้องใหม่ เพื่อให้โหลดไลบรารีที่แก้แล้ว แล้วทดสอบงานที่ใช้ zlib ตามปกติ
นักพัฒนาควรตรวจว่าแอปใช้ shared library ของระบบหรือมีสำเนา zlib ของตัวเอง ถ้าฝังไลบรารีไว้ในโปรแกรม ต้องสร้างแอปใหม่ด้วยไลบรารีที่แก้แล้ว ส่วนอิมเมจคอนเทนเนอร์ให้สร้างด้วยแพ็กเกจที่อัปเดตและนำไปใช้ใหม่ Debian แนะนำให้อัปเกรด zlib และไม่ได้เสนอ workaround ในประกาศนี้
ส่วนตัวผมให้รีบแพตช์ระบบที่รับข้อมูลจากภายนอกก่อน และจัดคิวอัปเดตเครื่องที่เหลือให้เร็วที่สุด ที่มา: Debian DSA-6613-1 zlib — security update หากมีรายละเอียดจาก Debian เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย