"Red Hat libuser ทำ /etc/passwd เสีย: CVE-2015-3246 เข้า KEV"
"ผู้ดูแลเครื่องที่ยังใช้ libuser รุ่นมีช่องโหว่ควรเร่งติดตั้งแพตช์ เพราะ CISA ยืนยันว่ามีการโจมตีจริงแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้ใช้ภายในเครื่องที่ยืนยันตัวตนแล้วอาจทำ /etc/passwd เสียจนระบบปฏิเสธการให้บริการ หรือใช้ช่องโหว่เพื่อเพิ่มสิทธิ์
- ใครควรอ่าน
- ผู้ดูแลระบบและผู้ใช้โฮสติ้งบนเครื่อง RHEL ที่ยังมี libuser รุ่นได้รับผลกระทบต้องตรวจสอบการแก้ไข
- ทางแก้แบบสั้น
- อัปเดต RHEL 6 เป็น libuser 0.56.13-8.el6_7 หรือใหม่กว่า และ RHEL 7 เป็น 0.60-7.el7_1 หรือใหม่กว่าในสายรุ่นเดียวกัน ส่วน RHEL 5 ไม่มีแพตช์ตามประกาศ
พอดีไล่ฟีด CISA KEV เจอ CVE-2015-3246 ใน Red Hat libuser ซึ่งถูกเพิ่มเข้ารายการวันที่ 26 สิงหาคม 2026 เพราะมีหลักฐานการโจมตีจริงแล้ว ปัญหาอยู่ที่การเขียนไฟล์บัญชีผู้ใช้ /etc/passwd ผู้โจมตีต้องมีบัญชีและเข้า shell ในเครื่องได้ หากทำให้ไฟล์เสีย ระบบอาจใช้งานไม่ได้หรือผู้โจมตีอาจเพิ่มสิทธิ์ได้ เรื่องนี้มีแพตช์จาก Red Hat ตั้งแต่ปี 2015 แต่เครื่องที่ยังไม่ได้แก้ต้องเร่งตรวจสอบ รายการ KEV ของ CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 9 กันยายน 2026
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจ libuser บนเครื่อง RHEL ที่ดูแลและเร่งลงแพตช์หากยังเป็นรุ่นมีช่องโหว่ โดยให้ความสำคัญกับเครื่องที่เปิดให้ผู้ใช้เข้า shell
- ผู้ใช้โฮสติ้ง: หากบริการอยู่บนเครื่อง RHEL ที่ได้รับผลกระทบ ให้ติดต่อผู้ให้บริการโดยเร็วเพื่อยืนยันว่าแก้ CVE-2015-3246 แล้ว
เกิดอะไรขึ้น
libuser เป็นไลบรารีสำหรับจัดการบัญชีผู้ใช้และกลุ่ม ส่วน userhelper ในแพ็กเกจ usermode เรียกใช้ไลบรารีนี้เพื่อเปลี่ยนข้อมูลบัญชี ปัญหาคือ libuser เขียน /etc/passwd โดยตรง หากแก้ไขไม่สำเร็จ ไฟล์อาจเสียหาย วิธีนี้ต่างจากการเขียนลงไฟล์ชั่วคราวแล้วใช้ rename() แทนไฟล์เดิม ผลคือระบบอาจหยุดให้บริการ หรือผู้โจมตีอาจเพิ่มสิทธิ์เป็น root ตามที่ Red Hat อธิบาย
Red Hat ระบุว่าผู้โจมตีต้องมีบัญชีใน /etc/passwd และรู้รหัสผ่านของบัญชีนั้น บัญชีที่อยู่เฉพาะ LDAP หรือแหล่ง NSS อื่นไม่เข้าเงื่อนไข บัญชีระบบที่ไม่มีรหัสผ่านที่ใช้ได้ก็เช่นกัน ส่วน บันทึก CVE ระบุว่าช่องโหว่นี้ใช้ร่วมกับ CVE-2015-3245 เพื่อเพิ่มสิทธิ์ได้ ควรตรวจทั้งสิทธิ์เข้าถึงบัญชีและแพตช์ที่ติดตั้ง
Red Hat ให้คะแนน CVSS v2 ที่ 6.8 และจัดผลกระทบเป็น Important แต่ตารางเปรียบเทียบในหน้าเดียวกันแสดงคะแนน NVD ที่ 7.2 คะแนนสองแหล่งนี้ไม่ตรงกัน แม้ใช้ CVSS v2 เหมือนกัน ส่วนสถานะ KEV ยืนยันว่ามีการใช้โจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
libuser ที่มากับ RHEL 5, 6 และ 7 ได้รับผลกระทบ ตารางนี้แสดงบิลด์แก้ตามประกาศของแต่ละสายรุ่น
| ระบบ / แพ็กเกจ | รุ่นที่แก้ | ประกาศ |
|---|---|---|
| RHEL 6 / libuser ก่อนบิลด์แก้ | 0.56.13-8.el6_7 |
RHSA-2015:1482 |
| RHEL 7 / libuser ก่อนบิลด์แก้ | 0.60-7.el7_1 |
RHSA-2015:1483 |
| RHEL 5 / libuser ที่ได้รับผลกระทบ | ไม่มีแผนออกแพตช์ตามประกาศปี 2015 | คำชี้แจง Red Hat |
แพตช์ทั้งสองประกาศแก้ทั้ง CVE-2015-3246 และ CVE-2015-3245 หากมี cloud image หรือ container image ที่สร้างจากระบบกลุ่มนี้ ให้ตรวจแพ็กเกจภายใน image ด้วย และเทียบเลขบิลด์กับประกาศของดิสทริบิวชันที่ใช้งานจริง
ต้องทำอะไร
ตรวจรุ่นแพ็กเกจก่อนเปลี่ยนแปลง สำรองข้อมูลตามขั้นตอนของระบบ และตรวจว่า repository ที่ใช้อยู่มีแพตช์ตรงกับสายรุ่น Red Hat แนะนำให้อัปเดต errata ที่เกี่ยวข้องให้ครบ สำหรับการอัปเดตเฉพาะ libuser และ dependencies ให้รันด้วยสิทธิ์ root:
rpm -q libuser
yum update libuser
rpm -q libuser
หลังอัปเดตให้ตรวจเลขบิลด์และทดสอบการจัดการบัญชี หากไม่พบอัปเดต ให้ตรวจ repository ต่อก่อนสรุปว่าแก้แล้ว
Red Hat ให้เพิ่มกฎ pam_warn และ pam_deny ใน /etc/pam.d/chfn และ /etc/pam.d/chsh ต่อจาก pam_rootok และก่อน system-auth เพื่อปิดการใช้ฟังก์ชันนี้จากผู้ใช้ที่ไม่ใช่ root โดยจะกระทบ chfn, chsh และฟังก์ชันที่เกี่ยวข้องใน userhelper ควรทำตามตัวอย่าง PAM ในประกาศต้นฉบับ
ส่วนตัวผมให้เร่งแพตช์เครื่องที่ยังมีช่องโหว่ โดยเฉพาะเครื่องที่มีผู้ใช้เข้า shell เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2015-3246, CISA KEV และ Red Hat libuser vulnerabilities ถ้ามีรายละเอียดเพิ่มเติมที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย