Debian แพตช์ PostgreSQL 17 หลายช่องโหว่ DSA-6625-1
ผู้ดูแล PostgreSQL 17 บน Debian trixie ควรเร่งอัปเดตและตรวจ extension ที่ต้องคอมไพล์ใหม่ให้ครบ
สรุปใน 1 นาที
- อาการ/ปัญหา
- หลายช่องโหว่อาจนำไปสู่การรันโค้ด การยืนยันตัวตนผิดพลาด ข้อมูลรั่ว บริการล่ม หรือการยกระดับสิทธิ์
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ PostgreSQL 17 บน Debian trixie และนักพัฒนาที่ดูแล extension ของฐานข้อมูลนี้
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจให้ถึง 17.12-0+deb13u1 ตาม Security Tracker และติดตามแพ็กเกจ extension ที่คอมไพล์ใหม่
พอดีไล่ฟีด Debian เจอประกาศ DSA-6625-1 ลงวันที่ 13 พฤศจิกายน 2026 สำหรับ postgresql-17 มีสองจุดที่ผู้ดูแลต้องเช็ก คือเลขรุ่นในอีเมลกับ Security Tracker ไม่ตรงกัน และ extension บางตัวต้องคอมไพล์ใหม่
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ PostgreSQL 17 บน Debian trixie ให้เร่งจัดเวลาอัปเดตฐานข้อมูลและตรวจว่าส่วนขยายที่ใช้ต้องอัปเดตด้วยหรือไม่
- นักพัฒนา: ถ้าพัฒนา extension ภาษา C สำหรับ PostgreSQL 17 ให้เร่งคอมไพล์กับรุ่นที่แก้แล้วและทดสอบก่อนส่งให้ผู้ดูแลระบบติดตั้ง
เกิดอะไรขึ้น
Debian ระบุว่าช่องโหว่ชุดนี้อาจทำให้ผู้โจมตีรันโค้ดหรือยกระดับสิทธิ์ได้ บางช่องโหว่กระทบการยืนยันตัวตน ทำให้ข้อมูลรั่ว หรือทำให้บริการล่ม เงื่อนไขของแต่ละช่องโหว่ต่างกัน DSA ไม่ได้อธิบายแยกทุกข้อ และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS
ตัวอย่างคือ CVE-2026-6460 ซึ่งเป็นปัญหา type confusion หรือการอ่านค่าเป็นข้อมูลผิดชนิด ผู้โจมตีต้องมีสิทธิ์สร้างออบเจ็กต์ในฐานข้อมูลก่อน แล้วอาจใช้คำสั่งเปลี่ยนชนิดข้อมูล เช่น ALTER ... SET DATA TYPE เพื่อรันโค้ดด้วยสิทธิ์ของบัญชีระบบที่รันฐานข้อมูลได้
DSA ระบุ CVE ทั้งหมด 47 รายการ อ่านรายชื่อครบได้จากประกาศ Debian ผู้ดูแลควรใช้รายชื่อนั้นเทียบกับรายการแพตช์ โดยไม่เหมารวมว่าทุกช่องโหว่โจมตีได้ในเงื่อนไขเดียวกัน
ใครโดนและรุ่นที่แก้
ประกาศครอบคลุม postgresql-17 บน Debian stable ชื่อ trixie โดยแหล่งทางการระบุรุ่นต่างกัน:
| ระบบ / แพ็กเกจ | รุ่นที่ระบุ | ความหมายจากแหล่งข้อมูล |
|---|---|---|
| trixie / postgresql-17 ในอีเมล DSA | 17.11-0+deb13u1 | อีเมลระบุว่าเป็นรุ่นแก้ |
| trixie / postgresql-17 ใน Security Tracker | 17.11-0+deb13u1 | Tracker ระบุว่ายังมีช่องโหว่ |
| trixie-security / postgresql-17 ใน Security Tracker | 17.12-0+deb13u1 | Tracker ระบุว่าแก้แล้ว |
ให้ตรวจแพ็กเกจเทียบกับ Debian Security Tracker ของ DSA-6625-1 ที่ระบุรุ่นแก้เป็น 17.12-0+deb13u1 ทั้งสองหน้าไม่ได้อธิบายสาเหตุที่เลขรุ่นต่างกัน อย่าใช้เลข 17.11 ในอีเมลเป็นเกณฑ์ปิดงานแพตช์ ให้ตรวจว่าติดตั้งรุ่นที่ Tracker ระบุว่าแก้แล้ว
ต้องทำอะไร
ตรวจว่าเปิดใช้แหล่งแพ็กเกจ security ของ trixie แล้ว สำรองข้อมูลและเผื่อช่วงหยุดบริการด้วย ชุดคำสั่งนี้แสดงรุ่นที่ติดตั้งและรุ่นที่พร้อมให้อัปเดต จากนั้นอัปเกรดแพ็กเกจของระบบและตรวจเลขรุ่นแพ็กเกจฐานข้อมูลอีกครั้ง:
sudo apt-get update
apt-cache policy postgresql-17 postgresql-client-17
sudo apt-get upgrade
dpkg-query -W postgresql-17 postgresql-client-17
อ่านรายการแพ็กเกจที่ apt จะอัปเดตก่อนยืนยัน ถ้ายังไม่มีรุ่นแก้ให้ตรวจ repository และแพ็กเกจที่ถูกพักการอัปเกรด Debian Security FAQ แนะนำให้อัปเดตแพ็กเกจที่ติดตั้งทั้งหมดซึ่งสร้างจาก source package ที่มีปัญหา และอาจต้องเริ่มบริการใหม่ เลขรุ่นจาก dpkg-query บอกว่าติดตั้งแพ็กเกจอะไรแล้ว แต่ควรตรวจด้วยว่าบริการที่กำลังรันใช้รุ่นที่แก้แล้ว หลังอัปเดตให้ทดสอบการเชื่อมต่อจากแอปและงานสำรองข้อมูล
Debian ระบุว่าการแก้ CVE-2026-6460 ให้ครบต้องคอมไพล์ extension บางตัวใหม่กับรุ่นที่ออกแพตช์ โดย Debian จะทยอยออกแพ็กเกจเหล่านี้ผ่าน trixie point release ผู้ดูแลควรติดตามแพ็กเกจส่วนขยายที่ใช้อยู่ ส่วนผู้พัฒนา extension ควรตรวจการคอมไพล์และทดสอบกับรุ่นแพตช์ก่อนนำไปใช้
ส่วนตัวผมมองว่าควรเร่งเข้ารอบแพตช์ที่ใกล้ที่สุด พร้อมตามงาน extension ต่อให้ครบ ที่มา: Debian DSA-6625-1 ถ้ามีรายละเอียดประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย