Debian แก้ช่องโหว่ libspreadsheet-xlsx-perl DSA-6627-1
ผู้ดูแลระบบและนักพัฒนาที่ใช้ libspreadsheet-xlsx-perl อ่านไฟล์จากภายนอกควรเร่งอัปเดตแพ็กเกจที่แก้แล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- การประมวลผลเอกสาร XLSX ที่สร้างขึ้นเป็นพิเศษอาจทำให้บริการหยุดทำงานหรือรันโค้ดตามที่ผู้โจมตีต้องการ
- ใครควรอ่าน
- ผู้ดูแลระบบและนักพัฒนาที่ใช้ libspreadsheet-xlsx-perl โดยเฉพาะงานนำเข้าไฟล์จากภายนอก
- ทางแก้แบบสั้น
- อัปเดต libspreadsheet-xlsx-perl บน Debian trixie เป็น 0.20-0+deb13u1 หรือรุ่นใหม่กว่าจากคลังของรุ่นที่ใช้งาน
พอดีไล่ฟีด Debian เจอประกาศ DSA-6627-1 ลงวันที่ 13 พฤศจิกายน 2026 แก้ช่องโหว่ใน libspreadsheet-xlsx-perl โมดูล Perl ตัวนี้ใช้สำหรับอ่านไฟล์ MS Excel 2007 หรือ XLSX ถ้าโปรแกรมอ่านเอกสารที่ผู้โจมตีเตรียมมา บริการอาจหยุดทำงานหรือถูกสั่งให้รันโค้ดได้ งานที่รับไฟล์จากภายนอกมาอ่านอัตโนมัติควรเร่งตรวจและอัปเดต
ใครต้องทำอะไร
- ผู้ดูแลระบบ: อัปเดตแพ็กเกจนี้บน Debian trixie โดยเร็ว และเริ่มจากบริการที่รับไฟล์จากภายนอกก่อน
- นักพัฒนา: ตรวจว่าแอปใช้ Spreadsheet::XLSX หรือไม่ แล้วอัปเดตตัวที่แอปใช้งานโดยเร็ว โดยเฉพาะแอปที่รับไฟล์จากผู้ใช้
เกิดอะไรขึ้น
Debian ระบุว่าพบช่องโหว่หลายรายการ และอ้างถึง CVE-2026-115943 ผลกระทบรวมถึง denial of service หรือบริการหยุดทำงาน และอาจรันโค้ดของผู้โจมตีได้ ปัญหาเกิดเมื่อโมดูลอ่านเอกสารที่ผู้โจมตีเตรียมมา
รายละเอียดใน บันทึกบั๊ก Debian หมายเลข 1152516 อธิบายว่า Spreadsheet::XLSX ก่อนรุ่น 0.19 ใช้ string eval ตรวจเงื่อนไขการแสดงตัวเลขใน ExcelFmt ทั้งเงื่อนไขและค่าของเซลล์มาจากเอกสาร ผู้โจมตีเลยใส่โค้ด Perl ลงในไฟล์ให้ทำงานตอนเปิดอ่านได้ รุ่น upstream 0.19 แก้จุดนี้ด้วยการเปรียบเทียบตัวเลขแทน string eval
สำหรับงานเว็บ ให้ตรวจทั้งส่วนที่นำเข้าตารางคำนวณและงานเบื้องหลังที่อ่านไฟล์จากคิว ดูว่าแต่ละส่วนเรียกโมดูลนี้หรือไม่ การตรวจเฉพาะหน้ารับอัปโหลดอาจตกหล่นส่วนที่อ่านไฟล์จริง
CVE-2026-115943 ยังไม่อยู่ใน KEV ฉบับ 13 พฤศจิกายน 2026 ตาม JSON ในคลังทางการของ CISA สถานะนี้ไม่ได้แปลว่าไฟล์จากภายนอกปลอดภัย ควรอัปเดตตามคำแนะนำของ Debian
ใครโดนและรุ่นที่แก้
DSA ฉบับนี้ออกอัปเดตให้ Debian stable ชื่อ trixie ส่วน Debian Security Tracker แสดงรุ่นเดิมและรุ่นแก้ดังนี้
| รุ่น Debian / แพ็กเกจ | รุ่นที่มีช่องโหว่ใน Tracker | รุ่นที่แก้แล้ว |
|---|---|---|
| trixie / libspreadsheet-xlsx-perl | 0.18-1 | 0.20-0+deb13u1 |
ให้เทียบเลขรุ่น Debian ทั้งชุด รวมส่วนท้าย +deb13u1 ด้วย รุ่น upstream 0.19 แก้ CVE ข้างต้น แต่เป้าหมายของการอัปเดตบน trixie คือ 0.20-0+deb13u1 ตาม DSA หากใช้ Debian รุ่นอื่น ให้ดูสถานะของรุ่นนั้นใน Tracker ของ CVE ก่อนเลือกแพ็กเกจ
ต้องทำอะไร
ตรวจว่าเครื่องที่รันโปรแกรมติดตั้งแพ็กเกจนี้หรือไม่ แล้วดูว่าคลังแพ็กเกจมีรุ่นแก้ให้หรือยัง คำสั่งต่อไปนี้ใช้กับการติดตั้งผ่านแพ็กเกจ Debian
dpkg-query -W libspreadsheet-xlsx-perl
sudo apt update
apt-cache policy libspreadsheet-xlsx-perl
sudo apt install --only-upgrade libspreadsheet-xlsx-perl
dpkg-query -W libspreadsheet-xlsx-perl
หลังอัปเดต ตรวจว่ารุ่นบน trixie เป็น 0.20-0+deb13u1 หรือใหม่กว่าจากคลังของ trixie หากยังได้รุ่นเก่า ให้ตรวจแหล่งแพ็กเกจและข้อผิดพลาดจาก apt update จากนั้นลองนำเข้า XLSX ด้วยไฟล์ทดสอบที่เชื่อถือได้ ตรวจทั้งข้อมูลและรูปแบบตัวเลขว่าอ่านได้ตามเดิม
ควรตรวจตัวโมดูลที่แอปใช้งานจริงด้วย หากแอปอยู่ในคอนเทนเนอร์หรือมีไลบรารีติดตั้งแยก ให้อัปเดตในส่วนนั้นด้วย ส่วนโปรเซส Perl ที่ทำงานค้างอยู่ควรเริ่มใหม่ตามขั้นตอนของบริการ เพื่อให้โหลดโค้ดที่อัปเดตแล้ว
ส่วนตัวผมให้เร่งแพตช์หากระบบใช้โมดูลนี้อ่าน XLSX จากภายนอก ส่วนงานที่อ่านเฉพาะไฟล์ภายในที่ควบคุมได้ให้จัดเข้ารอบบำรุงรักษาที่ใกล้ที่สุด ที่มา: Debian Security Advisory DSA-6627-1 หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย