Security Notice

"rxvt-unicode เสี่ยงรันโค้ดจากข้อความในเทอร์มินัล: USN-8991-1"

โดย Ton-Or ·3 พ.ย. 2026·อ่าน 3 นาที

"ผู้ใช้ rxvt-unicode บน Ubuntu รุ่นที่ประกาศระบุควรเร่งอัปเดตแพ็กเกจและเปิดเทอร์มินัลใหม่ โดยเฉพาะเครื่องที่ใช้แสดงข้อความจากแหล่งภายนอก"

สรุปใน 1 นาที

อาการ/ปัญหา: การจัดการ escape sequence ผิดพลาดอาจทำให้ข้อความที่แสดงในเทอร์มินัลนำไปสู่การรันโค้ดด้วยสิทธิ์บัญชีผู้ใช้
ใครควรอ่าน: ประกาศครอบคลุม rxvt-unicode บน Ubuntu 20.04, 18.04 และ 16.04 LTS รวมแพ็กเกจย่อยที่ระบุสำหรับ 16.04 LTS
ทางแก้แบบสั้น: อัปเดตเป็นรุ่นแก้ของแต่ละ release แล้วปิดและเปิด rxvt-unicode ใหม่ตามคำแนะนำ Ubuntu

ข้ามไปขั้นตอน

พอดีเห็น Ubuntu ออกประกาศ USN-8991-1 เรื่อง rxvt-unicode ซึ่งเป็นโปรแกรมเทอร์มินัลที่รองรับ Unicode จุดที่ควรระวังคือการแสดงข้อความที่ผู้โจมตีสร้างขึ้นอาจนำไปสู่การรันโค้ดได้ ผมมองว่าเป็นรายการที่คนใช้เทอร์มินัลตัวนี้ควรตรวจแพ็กเกจให้ครบ หน้า Ubuntu ระบุวันที่ประกาศเป็น 3 พฤศจิกายน 2026 และอ้างอิงช่องโหว่ CVE-2021-33477

USN-8991-1ประกาศ Ubuntu

3 พ.ย. 26วันที่ประกาศ ปี 2026

3 รุ่น LTSรุ่น Ubuntu ในประกาศ

เปิดใหม่หลังอัปเดตเทอร์มินัล

เกิดอะไรขึ้น

rxvt-unicode จัดการ escape sequence บางรูปแบบไม่ถูกต้อง ข้อมูลชนิดนี้เป็นลำดับควบคุมที่เทอร์มินัลนำไปตีความระหว่างแสดงผล เงื่อนไขที่ Ubuntu ระบุคือผู้ใช้แสดงข้อความซึ่งถูกสร้างมาเป็นพิเศษ ผู้โจมตีอาจอาศัยข้อผิดพลาดนี้สั่งรันโค้ดด้วยสิทธิ์ของบัญชีที่เปิดเทอร์มินัลอยู่

ข้อความจากแหล่งที่ไม่ไว้ใจก็เป็นจุดเสี่ยงได้ แม้ผู้ใช้ไม่ได้พิมพ์คำสั่งเอง เพราะปัญหาเกิดตอนเทอร์มินัลแสดงข้อความ ระหว่างรอแพตช์ ควรใช้บัญชีที่มีสิทธิ์เท่าที่จำเป็นเปิดข้อมูลเหล่านี้

ประกาศ USN ฉบับนี้ไม่ได้ให้คะแนน CVSS หรือระบุระดับความรุนแรงไว้ และไม่ได้เสนอวิธีแก้ขัดเฉพาะสำหรับช่องโหว่นี้ แนวทางที่ประกาศให้คืออัปเดตแพ็กเกจแล้วเริ่มโปรแกรมใหม่

ใครโดนและรุ่นที่แก้

ตารางนี้เป็นรุ่นแพ็กเกจที่ Ubuntu ระบุว่าแก้ปัญหาแล้ว แยกตาม release ให้ตรวจชื่อแพ็กเกจและเลขรุ่นเต็ม รวมส่วนท้ายของเวอร์ชันด้วย

Ubuntu release	แพ็กเกจ	รุ่นที่แก้
20.04 LTS (focal)	rxvt-unicode	`9.22-6ubuntu0.1~esm1`
18.04 LTS (bionic)	rxvt-unicode	`9.22-3ubuntu0.1~esm1`
16.04 LTS (xenial)	rxvt-unicode	`9.21-1ubuntu0.1~esm1`
16.04 LTS (xenial)	rxvt-unicode-256color	`9.21-1ubuntu0.1~esm1`
16.04 LTS (xenial)	rxvt-unicode-lite	`9.21-1ubuntu0.1~esm1`

สำหรับ 20.04 และ 18.04 LTS หน้า USN ระบุว่ารุ่นแก้อยู่ใน Ubuntu Pro ผ่าน ESM Apps ผู้ดูแลควรตรวจสิทธิ์และแหล่งแพ็กเกจก่อนวางแผนอัปเดต ประกาศไม่ได้แจกแจงช่วงเวอร์ชันที่ได้รับผลกระทบทั้งหมด เลยควรใช้ข้อมูล release และรุ่นแก้ในตารางเป็นจุดตรวจหลัก

ต้องทำอะไร

เริ่มจากตรวจว่าเครื่องใช้ Ubuntu release ใด และติดตั้งแพ็กเกจในตารางหรือไม่ จากนั้นตรวจแหล่งอัปเดตให้พร้อม คำแนะนำทั่วไปของ Ubuntu คืออัปเดตระบบผ่านตัวจัดการแพ็กเกจ โดยอ่านรายการเปลี่ยนแปลงก่อนยืนยันการติดตั้ง

sudo apt update && sudo apt upgrade

หลังอัปเดต ให้เทียบรุ่นแพ็กเกจที่ติดตั้งกับตาราง หากยังไม่ได้รุ่นแก้ ให้ตรวจ repository และสิทธิ์รับแพตช์ อย่าใช้ข้อความว่าไม่มีอัปเดตค้างเป็นหลักฐานเพียงอย่างเดียว

Ubuntu กำชับให้เริ่ม rxvt-unicode ใหม่หลังอัปเดต บันทึกงานและจบงานใน session ให้เรียบร้อยก่อนปิดหน้าต่าง แล้วเปิดโปรแกรมใหม่ให้ครบทุก instance ที่ใช้อยู่ สำหรับบันทึกงานแพตช์ ควรเก็บ release ชื่อแพ็กเกจ รุ่นหลังอัปเดต และผลการเปิดโปรแกรมใหม่ไว้ เพื่อให้ผู้ตรวจงานเทียบกับประกาศได้โดยตรง

ส่วนตัวผมแนะนำให้เร่งแพตช์เครื่องที่ใช้ rxvt-unicode แสดงข้อความจากภายนอก และตรวจรุ่นพร้อมเปิดโปรแกรมใหม่ให้ครบก่อนปิดงาน ที่มา: USN-8991-1: rxvt-unicode vulnerability หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ