Security Notice

Action Pack Page Caching เสี่ยงเขียนไฟล์บนเว็บ USN-9058-1

โดย Ton-Or ·11 พ.ย. 2026·อ่าน 4 นาที

ผู้ดูแลระบบและนักพัฒนาที่ใช้ Action Pack Page Caching บน Ubuntu รุ่นที่ระบุควรติดตั้งแพตช์โดยเร็ว

สรุปใน 1 นาที

อาการ/ปัญหา: การจัดการพาธระหว่างบันทึกแคชผิดพลาด เปิดทางให้ผู้โจมตีระยะไกลเขียนไฟล์และอาจรันโค้ดบนเว็บเซิร์ฟเวอร์
ใครควรอ่าน: ผู้ดูแลระบบและนักพัฒนาที่ใช้ Action Pack Page Caching บน Ubuntu 20.04 LTS, 18.04 LTS และ 16.04 LTS
ทางแก้แบบสั้น: อัปเดต ruby-actionpack-page-caching เป็นรุ่นที่แก้สำหรับ Ubuntu แต่ละรุ่น แล้วตรวจสอบว่าแอปพลิเคชันใช้งานแพ็กเกจที่อัปเดตแล้ว

พอดีไล่ฟีด Ubuntu เจอประกาศ USN-9058-1 ลงวันที่ 11 พฤศจิกายน 2026 เรื่อง Action Pack Page Caching ซึ่งมีปัญหาตอนใช้พาธของคำขอเว็บบันทึกหน้าแคช ผู้โจมตีอาจใช้ช่องนี้เขียนไฟล์บนเว็บเซิร์ฟเวอร์ และอาจรันโค้ดได้ คนดูแลแอปที่ใช้ส่วนประกอบนี้ควรตรวจรุ่นที่โหลดอยู่และติดตั้งแพตช์

USN-9058-1ประกาศ Ubuntu

11 พ.ย.วันที่ประกาศ ปี 2026

3 รุ่นUbuntu LTS ที่มีแพตช์

ใครต้องทำอะไร

ผู้ดูแลระบบ: หากเว็บเซิร์ฟเวอร์ใช้แพ็กเกจนี้บน Ubuntu รุ่นที่ระบุ ให้ตรวจสอบสิทธิ์รับแพตช์และติดตั้งรุ่นที่แก้โดยเร็ว โดยให้ความสำคัญกับเว็บที่เปิดรับคำขอจากอินเทอร์เน็ต
นักพัฒนา: หากแอปพลิเคชันใช้ Action Pack Page Caching ให้ตรวจสอบแหล่งติดตั้งและรุ่นที่แอปโหลดจริง แล้วนำรุ่นที่แก้ไปทดสอบและใช้งานโดยเร็ว

เกิดอะไรขึ้น

Action Pack Page Caching จัดการพาธของคำขอบางแบบไม่ถูกต้องตอนเขียนหน้าแคช คำขอที่สร้างมาโจมตีอาจทำให้เขียนไฟล์ไปยังตำแหน่งที่ผู้โจมตีเลือกได้

ช่องโหว่นี้คือ CVE-2020-8159 หน้า CVE ของ Ubuntu ระบุว่าอาจรันโค้ดได้ถ้าผู้โจมตีเขียนเนื้อหา ERB ที่ไม่ได้ escape ลงในไฟล์ view สำเร็จ ผลกระทบเลยขึ้นกับตำแหน่งและเนื้อหาที่เขียนได้ด้วย การพบแพ็กเกจที่มีช่องโหว่ไม่ได้แปลว่าถูกยึดเครื่องแล้ว แต่ควรเร่งแพตช์เพราะเกี่ยวกับการเขียนไฟล์บนเซิร์ฟเวอร์

ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 สถานะนี้ไม่ได้แปลว่าไม่มีการโจมตี

ใครโดนและรุ่นที่แก้

รายการประกาศ Ubuntu ระบุสามรุ่นด้านล่าง เลขแพ็กเกจตรวจจากหน้า CVE ของ Ubuntu เพราะหน้า USN ฉบับเต็มเปิดไม่ได้ระหว่างตรวจบทความ

Ubuntu release	แพ็กเกจ	รุ่นที่แก้
20.04 LTS	ruby-actionpack-page-caching	`1.1.0-1ubuntu0.1~esm1`
18.04 LTS	ruby-actionpack-page-caching	`1.0.2-4ubuntu0.18.04.1~esm1`
16.04 LTS	ruby-actionpack-page-caching	`1.0.2-4ubuntu0.16.04.1~esm1`

Ubuntu ระบุว่าแพตช์สำหรับ 20.04 และ 18.04 อยู่ใน ESM Apps ผ่าน Ubuntu Pro การตรวจพบว่ามีแพตช์แล้วเลยต้องดูควบคู่กับช่องทางอัปเดตที่เครื่องเข้าถึงได้ ส่วนผู้ที่ติดตั้งไลบรารีผ่าน Bundler ควรตรวจ dependency ของแอปแยกด้วย เพราะเลขแพ็กเกจ Ubuntu ในตารางใช้ยืนยันรุ่นของ gem ที่ติดตั้งคนละช่องทางไม่ได้

ต้องทำอะไร

สำหรับเครื่องที่ติดตั้งแพ็กเกจผ่าน APT ให้ตรวจรุ่นที่ติดตั้งและรุ่นที่คลังเสนอ ก่อนอัปเดตเฉพาะแพ็กเกจที่เกี่ยวข้อง คำสั่งต่อไปนี้ใช้กับกรณีที่ติดตั้งแพ็กเกจดังกล่าวอยู่แล้ว

sudo apt update
apt-cache policy ruby-actionpack-page-caching
sudo apt install --only-upgrade ruby-actionpack-page-caching
dpkg-query -W ruby-actionpack-page-caching

เทียบผลหลังอัปเดตกับแถวของ Ubuntu รุ่นที่ใช้ หากคลังยังไม่เสนอรุ่นที่แก้ ให้ตรวจการเข้าถึงคลังแพตช์และสถานะบริการที่จำเป็นก่อนสรุปว่าอัปเดตเรียบร้อยแล้ว จากนั้นทดสอบการเปิดหน้าเว็บและการสร้างแคช รวมถึงตรวจว่าแอปพลิเคชันโหลดไลบรารีจากตำแหน่งที่ได้รับการอัปเดตจริง ขั้นตอนตรวจเหล่านี้เป็นคำแนะนำในการนำแพตช์ไปใช้

เรื่องวันที่มีข้อแตกต่างที่ควรบันทึกไว้: หน้ารวมประกาศและหน้า CVE ของ Ubuntu ระบุวันที่ USN-9058-1 เป็น 11 พฤศจิกายน 2026 ส่วนวันที่บทความในข้อมูลกำกับคงไว้เป็น 12 พฤศจิกายน 2026 ตามบรีฟ ตรวจสอบรายการประกาศ Ubuntu

ส่วนตัวผมให้รีบแพตช์หากเว็บใช้งาน Action Pack Page Caching โดยเฉพาะระบบที่รับคำขอจากภายนอก ที่มา: USN-9058-1: Action Pack Page Caching vulnerability (ประกาศทางการของ Ubuntu) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ

อยากให้เราทำให้ไหม?

ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า

คุยเรื่องงานกับเรา

แท็ก #linux #security #patch-management #cve

เคยเจองานแบบนี้ไหม? ติดตรงไหน?

มาแลกวิธีกันต่อในบอร์ด LinuxThai

→ คุยต่อในบอร์ด

ความคิดเห็น 0

ยังไม่มีความคิดเห็น — เป็นคนแรกเลย