Debian แก้ network-manager-iodine ยกระดับสิทธิ์ root DSA-6629-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6629-1 ลงวันที่ 15 พฤศจิกายน 2026 แก้ช่องโหว่ใน network-manager-iodine ซึ่งเป็นปลั๊กอิน iodine VPN สำหรับ NetworkManager ผู้ใช้สิทธิ์ต่ำในเครื่องอาจใช้ช่องโหว่นี้รันคำสั่งด้วยสิทธิ์ root ได้ ถ้าใช้ Debian trixie และติดตั้งปลั๊กอินนี้อยู่ ควรอัปเดตโดยเร็ว รายละเอียดในประกาศ Debian

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: ถ้าใช้ Debian trixie และมีปลั๊กอิน iodine VPN ให้ติดตั้งอัปเดต network-manager-iodine ผ่านตัวจัดการแพ็กเกจโดยเร็ว
• ผู้ดูแลระบบ: ตรวจเครื่อง Debian trixie ที่ติดตั้ง network-manager-iodine แล้วอัปเดตแพ็กเกจโดยเร็ว โดยให้ความสำคัญกับเครื่องที่มีผู้ใช้หลายบัญชี

เกิดอะไรขึ้น

Andreas Gabriel Berbescu พบช่องโหว่ CVE-2026-91837 ตอนปลั๊กอินเริ่มเชื่อมต่อ โปรแกรมตรวจค่า nameserver ไม่รัดกุม ผู้โจมตีที่เป็นผู้ใช้ในเครื่องอาจใส่ข้อมูลที่ทำให้โปรแกรมรันคำสั่งตามต้องการได้ คำสั่งทำงานก่อนโปรแกรมลดสิทธิ์จาก root เลยได้สิทธิ์ผู้ดูแลสูงสุดไปด้วย ประกาศต้นฉบับ

เครื่องที่มีปลั๊กอินติดตั้งอยู่ควรตรวจสอบ แม้ไม่ได้ใช้ iodine VPN เพราะผู้ใช้สิทธิ์ต่ำอาจโหลดไฟล์ตั้งค่า VPN ที่เตรียมไว้เพื่อยกระดับสิทธิ์ได้ ตาม คำอธิบายจาก GNOME ปัญหาอยู่ที่ปลั๊กอินนี้ การดูรุ่น NetworkManager หลักอย่างเดียวเลยบอกไม่ได้ว่าแก้แล้วหรือยัง

ประกาศ Debian ไม่ให้คะแนน CVSS และแนะนำให้อัปเกรดแพ็กเกจ CVE นี้ยังไม่อยู่ใน KEV ฉบับ 13 พฤศจิกายน 2026 ตาม JSON ของ CISA การไม่อยู่ในรายการนี้ไม่ได้แปลว่าเครื่องปลอดภัย

วันที่ในตัวประกาศคือ 15 พฤศจิกายน 2026 แต่หัวอีเมลระบุ 14 พฤศจิกายน 2026 เวลา 17:41:43 UTC บทความนี้ใช้วันที่ในตัวประกาศ

ใครโดนและรุ่นที่แก้

ประกาศ DSA-6629-1 ระบุแพตช์สำหรับ Debian stable ชื่อ trixie โดยมีรายละเอียดแพ็กเกจดังนี้

เลขรุ่นในตารางเป็นรุ่น source package ตาม Debian Security Tracker ของ DSA-6629-1 ส่วน Tracker ของ CVE ยังระบุว่า bookworm รุ่น 1.2.0-3.2 มีช่องโหว่ ผู้ใช้รุ่นนี้ควรติดตามแพตช์สำหรับ bookworm โดยตรง

CVE record ที่อัปเดต 25 กันยายน 2026 ยังระบุว่าทุกรุ่นได้รับผลกระทบ แต่ Debian Tracker ระบุรุ่นแก้แล้ว ข้อมูลรุ่นของสองแหล่งนี้ต่างกัน ตารางนี้เลยใช้ข้อมูลแพตช์ของ Debian

ต้องทำอะไร

เริ่มจากตรวจว่ามี network-manager-iodine ติดตั้งอยู่หรือไม่ คำสั่งด้านล่างใช้กับเครื่อง trixie ที่มีแพ็กเกจนี้อยู่แล้ว ให้รันทีละบรรทัดและอ่านผลก่อนทำขั้นถัดไป

dpkg-query -W network-manager-iodine
sudo apt update
apt-cache policy network-manager-iodine
sudo apt install --only-upgrade network-manager-iodine
dpkg-query -W network-manager-iodine

คำสั่งแรกแสดงรุ่นที่ติดตั้ง ส่วน apt update ดึงรายการแพ็กเกจจากคลังที่ตั้งไว้ จากนั้นดู Candidate ในผล apt-cache policy ซึ่งเป็นรุ่นที่จะติดตั้ง ถ้ายังไม่เห็นรุ่นที่แก้ ให้ตรวจคลังอัปเดตความปลอดภัยของ trixie และข้อผิดพลาดจาก apt update ก่อน คู่มือ APT

หลังอัปเดต ให้ตรวจรุ่นอีกครั้งแล้วทดสอบ iodine VPN ตามปกติ ถ้าไม่พบแพ็กเกจตั้งแต่ขั้นแรก ไม่ต้องติดตั้งปลั๊กอินเพิ่มเพื่อรับแพตช์นี้

ส่วนตัวผมให้รายการนี้เป็นงานอัปเดตโดยเร็วสำหรับเครื่องที่ติดตั้งปลั๊กอิน โดยเฉพาะเครื่องที่มีหลายบัญชีใช้งาน เพราะผลกระทบไปถึงสิทธิ์ root ที่มา: Debian DSA-6629-1 — network-manager-iodine security update ถ้ามีรายละเอียดที่ต้องเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ