Ubuntu แก้ pyasn1 กินทรัพยากรจนบริการล่ม USN-9011-1

พอดีเห็น Ubuntu ออกประกาศ USN-9011-1 วันที่ 9 พฤศจิกายน 2026 แก้ช่องโหว่ใน pyasn1 ซึ่งเป็นไลบรารี ASN.1 สำหรับ Python จุดที่ต้องสนใจคือแอปพลิเคชันที่ใช้ไลบรารีนี้ถอดรหัสข้อมูลจากแหล่งที่ไม่น่าเชื่อถือ ผู้โจมตีอาจส่งข้อมูลที่ทำให้ตัวถอดรหัสทำงานหนัก กินทรัพยากรจนบริการใช้งานไม่ได้

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ตรวจว่าบริการใช้แพ็กเกจ pyasn1 หรือไม่และเร่งอัปเดตตามรุ่น Ubuntu หากบริการรับข้อมูลจากภายนอก
• นักพัฒนา: ตรวจโปรแกรมที่ใช้ pyasn1 อ่านข้อมูลจากผู้ใช้และเร่งอัปเดตไลบรารีในสภาพแวดล้อมที่โปรแกรมใช้งานจริง

เกิดอะไรขึ้น

ปัญหาเกิดเมื่อถอดรหัสข้อมูล ASN.1 ที่ไม่น่าเชื่อถือ ผลกระทบคือ denial of service หรือบริการไม่สามารถตอบสนองได้ตามปกติ โดยมีรายละเอียดดังนี้

• CVE-2026-59884 อ่านแท็กแบบ long-form โดยไม่จำกัดขนาด ทำให้ใช้ CPU มากเกินไป
• CVE-2026-59885 อ่าน OBJECT IDENTIFIER และ RELATIVE-OID ที่มีหลายส่วนแล้วใช้เวลาประมวลผลมากผิดปกติ
• CVE-2026-59886 แปลงค่า REAL เป็น Python float แล้วอาจใช้ CPU และหน่วยความจำมากเกินไป เช่น ตอนพิมพ์หรือเขียนค่าที่อ่านได้ลง log

หน้า CVE ของ Ubuntu ระบุว่าสามรายการนี้แก้ในรุ่นต้นน้ำ 0.6.4 ส่วนแพ็กเกจ Ubuntu ต้องตรวจเลขรุ่นของดิสโทรแยกต่างหาก

• CVE-2026-119194 อ่านข้อมูลที่ไม่มี schema แล้วเก็บชนิดแท็กซ้ำ ๆ จนใช้ CPU มากผิดปกติ
• CVE-2026-119195 ต่อข้อมูล constructed string และ ANY แบบไม่ระบุความยาวซ้ำ ๆ จนใช้ CPU มาก
• CVE-2026-119196 คัดลอกและเลื่อนบิตของ constructed BIT STRING ซ้ำ ๆ เมื่อข้อมูลแบ่งเป็นหลายส่วน
• CVE-2026-119197 อ่าน REAL แบบไบนารีที่มี mantissa ขนาดใหญ่แล้วใช้เวลาประมวลผลมากผิดปกติ

ปัญหาเหล่านี้ทำให้โปรแกรมใช้เวลาอ่านข้อมูลนานกว่าที่ควร ผู้โจมตีอาจส่งข้อมูลซ้ำ ๆ จนโปรแกรมไม่มีทรัพยากรเหลือให้บริการงานอื่น

ใครโดนและรุ่นที่แก้

หน้ารวมประกาศ Ubuntu ระบุ Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS และ 14.04 LTS แต่หน้า USN ฉบับเต็มเปิดไม่สำเร็จ เลยยังตรวจเลขแพ็กเกจ Ubuntu ในประกาศไม่ได้ ตารางนี้แสดงเฉพาะรุ่นต้นน้ำที่ตรวจได้จากหน้า CVE ของ Ubuntu

เลขต้นน้ำใช้แทนเลขแพ็กเกจ Ubuntu ไม่ได้ หน้า CVE ของสี่รายการหลังยังแสดง Needs evaluation แม้หน้ารวม USN จะระบุว่ามีอัปเดตแล้ว ข้อมูลสองหน้ายังไม่ตรงกัน ต้องดูเลขแพ็กเกจและขอบเขตการแก้ใน USN ฉบับเต็มก่อนปิดงานแพตช์

ต้องทำอะไร

สำหรับแพ็กเกจที่ติดตั้งจากคลัง Ubuntu ให้ปรับปรุงรายการแพ็กเกจแล้วอัปเดตระบบตามแนวทางปกติของผู้จำหน่าย จากนั้นตรวจรุ่นที่ติดตั้งกับ USN ฉบับเต็ม โดยเลือกดูแพ็กเกจที่ระบบใช้งานอยู่

sudo apt update
sudo apt upgrade
apt-cache policy python3-pyasn1 python-pyasn1 pypy-pyasn1

หากโปรแกรมใช้ pyasn1 จาก virtual environment หรือบรรจุไว้ในคอนเทนเนอร์ ควรตรวจสำเนาที่โปรแกรมโหลดจริงเพิ่มเติม การอัปเดตแพ็กเกจของระบบไม่ได้เปลี่ยนไลบรารีที่ติดตั้งแยกไว้โดยอัตโนมัติ หลังอัปเดตให้ทดสอบงานถอดรหัสและการให้บริการตามขั้นตอนดูแลแอปพลิเคชัน

ส่วนตัวผมแนะนำให้เร่งแพตช์บริการที่ใช้ pyasn1 รับข้อมูลจากภายนอก และตรวจขอบเขตแพตช์ของ Ubuntu ให้ครบ ที่มา: USN-9011-1: pyasn1 vulnerabilities เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ