Squid เสี่ยงลักลอบแทรกคำขอ HTTP บน Ubuntu — USN-8998-1

พอดีเห็น Ubuntu ออกประกาศ USN-8998-1 วันที่ 4 พฤศจิกายน 2026 เรื่องช่องโหว่ Squid ซึ่งเป็นบริการพร็อกซีและเว็บแคช ปัญหาอยู่ที่การอ่าน HTTP header ผู้โจมตีอาจแทรกคำขอให้ผ่านการตรวจ หรือทำให้แคชเก็บข้อมูลที่ไม่ควรเก็บ ใครใช้ Squid ควรตรวจแพ็กเกจที่ต้องอัปเดต

เกิดอะไรขึ้น

Ubuntu ระบุว่า Squid จัดการ HTTP Transfer-Encoding บางรูปแบบไม่ถูกต้อง ผู้โจมตีอาจใช้ช่องโหว่นี้ทำ HTTP request smuggling ข้ามกลไกความปลอดภัย หรือทำให้เว็บแคชปนเปื้อน ประกาศอ้างอิง CVE-2026-61642 แต่ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

request smuggling เกิดเมื่อระบบที่รับส่ง HTTP อ่านขอบเขตคำขอไม่ตรงกัน ข้อมูลที่ระบบหนึ่งมองว่าเป็นส่วนของคำขอเดิม อาจถูกอีกระบบอ่านเป็นคำขอใหม่ ผู้โจมตีเลยอาจส่งคำขอผ่านกลไกที่ควรตรวจหรือบล็อกไว้ได้

ประกาศผู้พัฒนา Squid ระบุว่า client ที่ได้รับอนุญาตอาจใช้ช่องโหว่นี้ผ่าน HTTP/1.1 ได้ หากมี HTTP cache อยู่ก่อนถึง Squid ผู้โจมตีอาจทำให้แคชเก็บเนื้อหาอันตรายไว้ส่งต่อให้ผู้ใช้รายอื่น เลยไม่ควรถือว่าปลอดภัยเพียงเพราะอนุญาตให้ใช้พร็อกซีเฉพาะบาง client

ใครโดนและรุ่นที่แก้

USN ฉบับนี้ระบุ Ubuntu เพียงรุ่นเดียว พร้อมแพ็กเกจที่แก้แล้วดังตาราง

ข้อมูล Ubuntu สองหน้ายังไม่ตรงกัน หน้า CVE ที่อัปเดต 22 ตุลาคม 2026 ยังแสดง 26.04 LTS เป็น Vulnerable แต่ USN วันที่ 4 พฤศจิกายน 2026 ระบุรุ่นแก้ตามตาราง เลยยึด USN ที่ออกภายหลังสำหรับการอัปเดตครั้งนี้

ตารางนี้ไม่ได้สรุปสถานะของ Ubuntu รุ่นอื่น หรือ Squid ที่ติดตั้งเองจากซอร์ส หากใช้แพ็กเกจจากแหล่งอื่น ให้ตรวจคำแนะนำของแหล่งนั้นแยก เพราะเลขรุ่นและแพตช์ที่รวมมาอาจต่างกัน

ต้องทำอะไร

Ubuntu ระบุว่าการอัปเดตระบบตามปกติจะติดตั้งแพตช์ที่จำเป็น ถ้าติดตั้ง squid จากคลัง Ubuntu อยู่แล้ว ให้ดึงรายการแพ็กเกจ อัปเกรด แล้วตรวจรุ่นด้วยคำสั่งนี้

sudo apt update
sudo apt install --only-upgrade squid
dpkg-query -W -f='${Package} ${Version}\n' squid

เทียบรุ่นที่ติดตั้งกับตาราง หากได้รุ่นใหม่กว่า ให้ดูประวัติแพ็กเกจว่ารวมแพตช์นี้แล้ว ถ้ายังเป็นรุ่นเดิม ให้ตรวจคลังแพ็กเกจและการตรึงเวอร์ชันต่อ อย่าถือว่าอัปเดตครบเพียงเพราะคำสั่งจบโดยไม่มี error

สำรองคอนฟิกก่อนเริ่ม และเผื่อเวลาสำหรับเริ่มบริการใหม่หากจำเป็น หลังอัปเดตให้ทดสอบเปิดเว็บผ่านพร็อกซีตามปกติ ตรวจว่ากฎอนุญาตและปฏิเสธการเข้าถึงยังทำงาน แล้วดู error log ประกอบด้วย

ประกาศผู้พัฒนา Squid ระบุว่าไม่มี workaround สำหรับปัญหานี้ ให้ติดตั้งแพ็กเกจที่มีแพตช์ การตรวจคอนฟิกหรือจำกัด client เพิ่มเติมยังใช้แทนแพตช์ไม่ได้

ส่วนตัวผมให้เร่งแพตช์จุดที่ใช้ Squid รับส่ง HTTP/1.1 แม้จะอนุญาตเฉพาะ client ภายในก็ตาม ที่มา: USN-8998-1: Squid vulnerability เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ