Prosody Community Modules เสี่ยงให้สิทธิ์แอดมินผิดคน USN-9056-1

พอดีไล่ฟีด Ubuntu เจอประกาศ USN-9056-1 ลงวันที่ 11 พฤศจิกายน 2026 เรื่อง Prosody Community Modules ซึ่งเป็นชุดโมดูลเสริมของเซิร์ฟเวอร์แชต XMPP โมดูล LDAP ตรวจที่อยู่ XMPP ไม่ครบตอนให้สิทธิ์แอดมิน ผู้ใช้จากเซิร์ฟเวอร์อื่นอาจได้รับสิทธิ์นี้ด้วย คนดูแล Prosody ที่ผูกสิทธิ์แอดมินไว้กับ LDAP ควรตรวจการตั้งค่าและอัปเดตโมดูล

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าใช้ Prosody บน Ubuntu 18.04 LTS หรือ 16.04 LTS และให้สิทธิ์แอดมินผ่านโมดูล LDAP ให้เร่งอัปเดตโมดูลแล้วเริ่มบริการใหม่ในช่วงที่หยุดเชื่อมต่อได้

เกิดอะไรขึ้น

ช่องโหว่นี้คือ CVE-2020-8086 อยู่ใน mod_auth_ldap และ mod_auth_ldap2 ฟังก์ชัน is_admin() ตรวจเฉพาะชื่อผู้ใช้ของที่อยู่ XMPP หรือ JID ผู้ใช้จากเซิร์ฟเวอร์อื่นที่ชื่อเหมือนแอดมินภายในเลยอาจใช้ความสามารถของแอดมินได้ ทั้งที่เป็นคนละบัญชี

เงื่อนไขคือต้องเปิดตัวเลือกให้สิทธิ์แอดมินผ่าน LDAP ด้วย สำหรับ mod_auth_ldap คือ ldap_admin_filter หรือ ldap_admins ส่วน mod_auth_ldap2 คือฟิลด์ admin ในการตั้งค่า ldap ผู้พัฒนา Prosody ระบุว่าถ้าไม่ได้ใช้สองโมดูลนี้ หรือใช้แต่ไม่ได้เปิดตัวเลือกดังกล่าว จะไม่กระทบช่องโหว่นี้ แต่ยังแนะนำให้อัปเดตโมดูล

ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 สถานะนี้ไม่ได้แปลว่าไม่มีการโจมตี

ใครโดนและรุ่นที่แก้

รายการประกาศ Ubuntu ระบุ Ubuntu 18.04 LTS และ 16.04 LTS เลขแพ็กเกจตรวจจากหน้า CVE ของ Ubuntu เพราะหน้า USN ฉบับเต็มเปิดไม่ได้ระหว่างตรวจบทความ

แพตช์สำหรับ 18.04 LTS อยู่ใน ESM Apps ผ่าน Ubuntu Pro ให้ตรวจว่าเข้าถึงคลังที่มีแพตช์ได้ และเทียบเลขรุ่นเต็มกับแถวของ Ubuntu ที่ใช้อยู่

ต้องทำอะไร

ตรวจว่าติดตั้ง prosody-modules และเปิดตัวเลือกแอดมินผ่าน LDAP ข้างต้นหรือไม่ ถ้าใช้แพ็กเกจจาก Ubuntu ให้รีเฟรชรายการ ดูรุ่นที่พร้อมติดตั้ง แล้วอัปเกรด ควรเตรียมช่วงหยุดบริการเพื่อเริ่ม Prosody ใหม่ เพราะการเชื่อมต่อแชตอาจสะดุด

sudo apt update
apt-cache policy prosody-modules
sudo apt install --only-upgrade prosody-modules
dpkg-query -W -f='${Package} ${Version}\n' prosody-modules
sudo systemctl restart prosody

หลังอัปเดต ให้เทียบเลขรุ่นกับตาราง แล้วทดสอบว่าผู้ใช้ปกติยังเชื่อมต่อได้และแอดมินที่ตั้งไว้ยังมีสิทธิ์ถูกต้อง ถ้าคลังไม่มีรุ่นใหม่แต่เลขรุ่นยังไม่ถึงรุ่นแก้ ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับแพตช์

ถ้าติดตั้งโมดูลจากซอร์ส ให้ใช้แนวทางอัปเดตในประกาศของผู้พัฒนา การแก้ปัญหานี้อยู่ที่ชุดโมดูล ไม่จำเป็นต้องอัปเกรดตัว Prosody เอง และต้องเริ่ม Prosody ใหม่หลังอัปเดตโมดูล

ส่วนตัวผมให้เร่งแพตช์เมื่อใช้ LDAP กำหนดสิทธิ์แอดมิน เพราะกระทบการควบคุมบริการโดยตรง ที่มา: USN-9056-1: Prosody Community Modules vulnerability เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ