Red Hat ABRT เพิ่มสิทธิ์ผ่าน symlink CVE-2015-5287 ถูกโจมตีจริง
ผู้ดูแลระบบและผู้ใช้คอมพิวเตอร์ที่ติดตั้ง ABRT รุ่นมีช่องโหว่ควรตรวจแพ็กเกจและเร่งอัปเดต เพราะพบการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีภายในเครื่องที่เขียนไดเรกทอรีปัญหาของ ABRT ได้อาจอาศัย symlink เพื่อเพิ่มสิทธิ์
- ใครควรอ่าน
- ผู้ดูแลระบบและผู้ใช้ทั่วไปที่ใช้คอมพิวเตอร์ Linux ซึ่งติดตั้ง ABRT รุ่นที่ยังไม่ได้แพตช์
- ทางแก้แบบสั้น
- ติดตั้งแพตช์จากผู้ผลิต โดย RHEL 7 มี abrt 2.1.11-35.el7 ใน RHSA-2015:2505 และระบบหมดการสนับสนุนควรย้ายไปใช้รุ่นที่รองรับ
พอดีไล่ฟีด CISA KEV เจอ CVE-2015-5287 ใน Red Hat Automatic Bug Reporting Tool หรือ ABRT ซึ่งเป็นเครื่องมือเก็บข้อมูลเมื่อโปรแกรมล่มและช่วยจัดทำรายงานบั๊ก CISA เพิ่มรายการนี้เมื่อ 26 สิงหาคม 2026 เพราะมีหลักฐานการโจมตีจริงแล้ว ดูรายการใน CVE Record
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจเครื่อง Linux ที่ติดตั้ง ABRT และเร่งลงแพตช์จากผู้ผลิต โดยย้ายระบบที่หมดการสนับสนุนไปยังรุ่นที่ยังรับอัปเดต
- ผู้ใช้ทั่วไป: ถ้าใช้คอมพิวเตอร์ Linux ที่มี ABRT รุ่นเก่า ให้ติดตั้งอัปเดตระบบโดยเร็วหรือแจ้งผู้ดูแลเครื่องให้ตรวจแพตช์
เกิดอะไรขึ้น
ปัญหาอยู่ที่ abrt-hook-ccpp ซึ่ง kernel เรียกใช้เพื่อเก็บ core dump หรือข้อมูลตอนโปรแกรมล่ม โปรแกรมนี้จัดการ symbolic link ไม่ถูกต้องขณะเขียน core dump ของ ABRT ลงพื้นที่เก็บ เช่น /var/spool/abrt ผู้โจมตีต้องเข้าถึงเครื่องและเขียนไดเรกทอรีปัญหาของ ABRT ได้ก่อน จากนั้นอาจใช้ symlink กับชื่อไฟล์ที่คาดเดาได้เพื่อเพิ่มสิทธิ์ ตาม คำอธิบายของ Red Hat
พูดให้ง่ายคือ symlink เป็นทางลัดไปยังไฟล์อีกแห่ง ถ้าโปรแกรมที่มีสิทธิ์สูงเขียนตามทางลัดโดยตรวจไม่ครบ ผู้ที่ควบคุมทางลัดอาจทำให้การเขียนไปตกอยู่ผิดตำแหน่งได้ เงื่อนไขของช่องโหว่นี้ต้องมีการเข้าถึงภายในเครื่องและสิทธิ์เขียนตามที่ประกาศระบุ ผู้ดูแลควรตรวจว่ามีใครเข้าใช้เครื่องและเขียนพื้นที่นี้ได้บ้าง
ข้อมูล CISA-ADP ใน CVE Record ฉบับ JSON ให้ CVSS 3.1 ที่ 7.8 ระดับ High ส่วน Red Hat แสดง CVSS v2 ที่ 6.9 และจัดชุดอัปเดต RHSA-2015:2505 เป็น Moderate ตัวเลขเหล่านี้ใช้คนละเกณฑ์และบริบท
ใครโดนและรุ่นที่แก้
CVE ระบุ ABRT upstream ก่อน 2.7.1 ส่วนแพ็กเกจของดิสโทรอาจใช้เลขรุ่นเก่าแต่ใส่แพตช์กลับเข้าไปแล้ว ตารางนี้แยกเลข upstream ออกจากชุดแก้ของ Red Hat เพื่อใช้ตรวจให้ตรงระบบ
| สายรุ่น / แพ็กเกจ | รุ่นที่มีการแก้ |
|---|---|
| ABRT upstream ก่อน 2.7.1 | 2.7.1 |
| RHEL 7 — abrt และ abrt-addon-ccpp | 2.1.11-35.el7 |
| RHEL 7 — libreport ในชุดอัปเดตเดียวกัน | 2.1.11-31.el7 |
รุ่นแพ็กเกจ RHEL 7 อ้างอิง RHSA-2015:2505 ซึ่งออกเมื่อ 23 พฤศจิกายน 2015 แพตช์ครอบคลุมทั้ง Server, Workstation และ Desktop ตามรายการในประกาศ Red Hat นำแพตช์กลับมาใส่ในแพ็กเกจสายเดิม หรือ backport ส่วน libreport อยู่ในชุดอัปเดตเดียวกันเพื่อแก้ช่องโหว่อื่น
ต้องทำอะไร
เริ่มจากตรวจรุ่นระบบและแพ็กเกจที่ติดตั้ง เทียบกับ errata ของผู้ผลิต แล้วอัปเดตจาก repository ที่ตรงกับระบบ สำหรับ RHEL 7 ที่ยังเข้าถึงแหล่งอัปเดตได้ ตัวอย่างนี้ตรวจแพ็กเกจ อัปเดตตระกูล ABRT และ libreport ที่ติดตั้งอยู่ แล้วอ่านรุ่นซ้ำเพื่อยืนยันผล
rpm -q abrt abrt-addon-ccpp libreport
sudo yum update 'abrt*' 'libreport*'
rpm -q abrt abrt-addon-ccpp libreport
Red Hat ให้ติดตั้ง errata ก่อนหน้าที่เกี่ยวข้องให้ครบด้วย อย่าตัดสินจากเลข 2.1.11 เพียงส่วนเดียว ให้ดู release เช่น 35.el7 และสถานะแพตช์ของผู้ผลิต
CISA เตือนว่าผลิตภัณฑ์ที่ได้รับผลกระทบอาจอยู่ในสถานะ EoL หรือ EoS และแนะนำให้เลิกใช้หรือย้ายไปยังรุ่นที่ยังรองรับ หากไม่มีมาตรการแก้ไขให้ยุติการใช้ผลิตภัณฑ์นั้น
ข้อมูล KEV ที่ CISA เผยแพร่ กำหนดวันแก้ไขรายการนี้เป็น 9 กันยายน 2026 สำหรับหน่วยงานพลเรือนฝ่ายบริหารของรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนด องค์กรอื่นควรเร่งตรวจและแก้เช่นกัน เพราะมีการโจมตีจริงแล้ว
ส่วนตัวผมให้เร่งแพตช์เครื่องที่เข้าเงื่อนไข เพราะช่องโหว่เพิ่มสิทธิ์ที่ถูกใช้งานจริงไม่ควรค้างอยู่ในระบบ ที่มา: CISA KEV / CVE-2015-5287 (https://www.cve.org/CVERecord?id=CVE-2015-5287) หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย