Ubuntu แก้ libsoup หน่วยความจำรั่วจากแพตช์เดิม USN-8890-3

พอดีไล่ฟีด Ubuntu เจอประกาศ USN-8890-3 วันที่ 9 พฤศจิกายน 2026 แก้ปัญหา libsoup ที่เกิดจากแพตช์ USN-8890-1 แพตช์นั้นทำให้หน่วยความจำรั่วใน cookie jar รอบนี้ Ubuntu ออกอัปเดตมาแก้ ใครลงแพตช์ก่อนหน้าแล้วและยังใช้ libsoup3 ควรตรวจรุ่นแพ็กเกจอีกครั้ง

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: หากใช้แอปที่พึ่งพา libsoup3 บน Ubuntu รุ่นที่ระบุ ให้ติดตั้งอัปเดตระบบในรอบถัดไปและเร่งอัปเดตหากแอปใช้หน่วยความจำผิดปกติ
• ผู้ดูแลระบบ: ตรวจเครื่องที่ติดตั้ง libsoup3 แล้วลงแพตช์ในรอบบำรุงรักษาถัดไป โดยเร่งเครื่องที่พบปัญหาหน่วยความจำรั่ว
• นักพัฒนา: หากแอปใช้ libsoup3 จากแพ็กเกจ Ubuntu ให้อัปเดตไลบรารีในรอบบำรุงรักษาถัดไปและทดสอบ HTTP กับคุกกี้ก่อนนำขึ้นใช้งาน

เกิดอะไรขึ้น

libsoup เป็นไลบรารี HTTP สำหรับ GNOME ใช้ได้ทั้งฝั่งไคลเอนต์และเซิร์ฟเวอร์ ส่วน cookie jar ใช้เก็บและจัดการคุกกี้ให้โปรแกรม แพตช์ก่อนหน้าทำให้ส่วนนี้มี memory leak คือหน่วยความจำที่ไม่ได้คืนหลังใช้งาน ปัญหาที่เกิดจากการเปลี่ยนแปลงแล้วทำให้โปรแกรมทำงานแย่ลงแบบนี้เรียกว่า regression

ควรเฝ้าดู RAM ของโปรแกรมที่ทำงานต่อเนื่อง แต่ประกาศไม่ได้ระบุอัตราการรั่วหรือเงื่อนไขที่ทำให้เกิดอาการ

ประกาศแนบรายละเอียด CVE จากแพตช์เดิมไว้ด้วย รายการเหล่านี้เป็นช่องโหว่เดิม ไม่ใช่รหัสใหม่ของ memory leak:

• CVE-2026-4271 และ CVE-2026-85534: ปัญหา HTTP/2 ที่อาจทำให้บริการหยุดทำงาน
• CVE-2026-5119 และ CVE-2026-66339: ปัญหาเกี่ยวกับ proxy ที่อาจทำให้ข้อมูลสำคัญรั่ว
• CVE-2026-6324: อ่านคำขอ HTTP แบบ chunked ผิด อาจทำให้ข้ามการตรวจความปลอดภัย
• CVE-2026-77014 และ CVE-2026-77680: ปัญหา HTTP Range ที่อาจทำให้บริการหยุดทำงาน
• CVE-2026-85197: ปัญหา HTTP/2 ที่อาจทำให้ข้อมูลรั่วหรือรันโค้ดของผู้โจมตี

CVE-2026-4271 กระทบ Ubuntu 24.04 LTS และ 26.04 LTS ส่วน CVE-2026-5119, CVE-2026-6324, CVE-2026-85197 และ CVE-2026-85534 กระทบ 22.04 LTS, 24.04 LTS และ 26.04 LTS ตาม USN-8890-1 รุ่นที่กระทบ CVE เดิมกับรุ่นที่ได้รับแพตช์ regression รอบนี้เป็นคนละรายการ

ใครโดนและรุ่นที่แก้

USN-8890-3 ระบุ Ubuntu สามรุ่นในตาราง แพ็กเกจหลักคือ gir1.2-soup-3.0, libsoup-3.0-0, libsoup-3.0-common และ libsoup-3.0-dev แต่ละแถวใช้เวอร์ชันเดียวกันกับทั้งสี่แพ็กเกจ

ตรวจตารางและรายละเอียดกับ USN-8890-3 ในคลังทางการของ Canonical แล้ว ประกาศนี้ไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือวิธีแก้ชั่วคราวสำหรับ regression

ต้องทำอะไร

Ubuntu ระบุว่าอัปเดตระบบตามปกติได้ เริ่มจากโหลดรายการแพ็กเกจ ตรวจรายการก่อนยืนยัน แล้วดูรุ่นของไลบรารีเทียบกับตาราง:

sudo apt update
sudo apt upgrade
dpkg-query -W -f='${Package}\t${Version}\n' libsoup-3.0-0

คำสั่งนี้อัปเดตแพ็กเกจอื่นของระบบด้วย หลังเสร็จควรเปิดแอปหรือเริ่มบริการที่ใช้ libsoup3 ใหม่ แล้วทดสอบการเชื่อมต่อและคุกกี้ นักพัฒนาควรตรวจแพ็กเกจในอิมเมจที่นำไปใช้งานจริงด้วย

ส่วนตัวผมให้นำแพตช์นี้เข้ารอบบำรุงรักษาถัดไป และเร่งทำหากโปรแกรมที่ใช้ libsoup3 เริ่มมีปัญหาหน่วยความจำ ที่มา: Ubuntu Security Notice USN-8890-3: libsoup regression เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ