Twisted เสี่ยง IMAP ล่มจาก wildcard ตามประกาศ USN-9000-1
ผู้ดูแลบริการ IMAP ที่ใช้ Twisted บน Ubuntu รุ่นที่ระบุควรเร่งตรวจและติดตั้งแพตช์ เพื่อป้องกันผู้ใช้ที่ยืนยันตัวตนแล้วทำให้บริการหยุดตอบสนอง
สรุปใน 1 นาที
- อาการ/ปัญหา
- การประมวลผล wildcard ในคำสั่งแสดงรายการกล่องจดหมายอาจทำให้ Twisted ใช้ทรัพยากรมากเกินไปจนเกิด DoS
- ใครควรอ่าน
- บริการ IMAP ที่ใช้ Twisted บน Ubuntu 26.10, 26.04 LTS, 24.04 LTS และ 22.04 LTS อยู่ในขอบเขตประกาศ
- ทางแก้แบบสั้น
- อัปเดต python3-twisted ให้ตรงรุ่นแก้ของ Ubuntu แต่ละ release ตามตาราง แล้วตรวจการทำงานของบริการ
พอดีเห็น Ubuntu ออกประกาศ USN-9000-1 วันที่ 4 พฤศจิกายน 2026 เรื่องช่องโหว่ใน IMAP server ของ Twisted ซึ่งเป็นเฟรมเวิร์กสำหรับพัฒนาแอปพลิเคชันเครือข่าย ผู้ใช้ที่ล็อกอินแล้วอาจส่งคำขอแสดงรายการกล่องจดหมายจนบริการใช้ทรัพยากรมากเกินไป ใครใช้ Twisted ให้บริการ IMAP ควรตรวจแพ็กเกจและวางแผนอัปเดต
เกิดอะไรขึ้น
Twisted อ่านรูปแบบ wildcard ในคำสั่งแสดงรายการกล่องจดหมายของ IMAP ไม่ถูกต้อง wildcard ใช้ค้นหาชื่อกล่องจดหมายที่ตรงกับรูปแบบ แทนการระบุชื่อทีละกล่อง คำขอที่สร้างมาเพื่อใช้ช่องโหว่นี้อาจทำให้บริการใช้ทรัพยากรมากเกินไป จนหยุดตอบสนอง หรือเกิด denial of service (DoS)
ผู้โจมตีจากระยะไกลต้องล็อกอินกับบริการได้ก่อน การบังคับล็อกอินเลยยังป้องกันช่องโหว่นี้ไม่พอ ต้องตรวจว่าเปิดใช้ IMAP ของ Twisted หรือไม่ และมีบัญชีใดเข้าใช้ได้บ้าง ผลกระทบที่ USN ระบุคือ DoS ไม่ได้ระบุว่าใช้รันคำสั่งบนเครื่องหรืออ่านอีเมลของบัญชีอื่นได้
ประกาศอ้างอิง CVE-2026-106454 แต่หน้า USN ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ให้จัดลำดับงานจากการเปิดใช้ IMAP และผลกระทบหากบริการหยุดตอบสนอง
ใครโดนและรุ่นที่แก้
Ubuntu ระบุ release ที่ได้รับผลกระทบสี่รุ่น แพ็กเกจที่ต้องตรวจคือ python3-twisted ให้เทียบกับแถวของระบบที่ใช้ เพราะแต่ละ release มีเลขรุ่นแพ็กเกจต่างกัน
| Ubuntu release | แพ็กเกจ | เวอร์ชันที่แก้ |
|---|---|---|
| 26.10 | python3-twisted | 26.4.0-4ubuntu0.1 |
| 26.04 LTS | python3-twisted | 25.5.0-5ubuntu0.2 |
| 24.04 LTS | python3-twisted | 24.3.0-1ubuntu0.3 |
| 22.04 LTS | python3-twisted | 22.1.0-2ubuntu2.8 |
เลขรุ่นในตารางเป็นแพ็กเกจ Ubuntu ให้ใช้ตรวจเฉพาะแพ็กเกจจากคลัง Ubuntu ส่วนประกาศ Twisted ยังระบุ Patched versions เป็น None ต่างจาก USN ที่มีแพตช์ในแพ็กเกจ Ubuntu แล้ว อย่านำสองรายการนี้มาปนกัน
ต้องทำอะไร
ตรวจว่าแอปพลิเคชันใช้ Twisted ให้บริการ IMAP หรือไม่ แล้วดูว่าติดตั้งผ่านแพ็กเกจ Ubuntu หรือแยกไว้กับแอปพลิเคชัน ถ้าติดตั้ง python3-twisted ผ่าน APT อยู่แล้ว ให้ดึงรายการแพ็กเกจ อัปเกรด และอ่านรุ่นกลับมาเทียบกับตาราง
sudo apt update
sudo apt install --only-upgrade python3-twisted
dpkg-query -W python3-twisted
Ubuntu ระบุว่าโดยทั่วไปการอัปเดตระบบตามปกติจะติดตั้งแพตช์ที่จำเป็น หลังอัปเดตให้ตรวจว่าแอปพลิเคชันโหลดไลบรารีที่แก้แล้ว ถ้ายังใช้โค้ดเดิมอยู่ ให้เริ่มบริการที่เกี่ยวข้องใหม่ตามขั้นตอนของแอปพลิเคชัน จากนั้นทดสอบล็อกอินและแสดงรายการกล่องจดหมายด้วยบัญชีทดสอบปกติ ดูสถานะบริการและ error log ประกอบ
ถ้าติดตั้ง Twisted แยกจากแพ็กเกจระบบ การอัปเดตผ่าน APT อาจไม่ได้เปลี่ยนไลบรารีของแอปพลิเคชันนั้น ต้องตรวจแหล่งไลบรารีที่ใช้งานจริงด้วย หน้า USN ไม่ได้เสนอ workaround สำหรับใช้แทนแพตช์ เลยควรยึดการอัปเดตเป็นวิธีแก้หลัก
ส่วนตัวผมให้เร่งแพตช์เมื่อเปิดใช้ IMAP ของ Twisted เพราะบัญชีที่ยืนยันตัวตนแล้วก็อาจกระทบความพร้อมใช้งานของบริการได้ ที่มา: USN-9000-1: Twisted vulnerability หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย