Ubuntu แก้ pngquant บัฟเฟอร์ล้นจากภาพ PNG — USN-9082-1

พอดีเห็น Ubuntu ออกประกาศ USN-9082-1 ลงวันที่ 12 พฤศจิกายน 2026 แก้ช่องโหว่ใน pngquant เครื่องมือลดขนาดภาพ PNG หากเปิดภาพที่ผู้โจมตีสร้างขึ้นเป็นพิเศษ โปรแกรมอาจล่มหรือรันโค้ดด้วยสิทธิ์ของบัญชีที่เรียกโปรแกรม ใครใช้ pngquant บน Ubuntu 16.04 LTS ควรตรวจและอัปเดตแพ็กเกจตามประกาศนี้

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากใช้ pngquant บน Ubuntu 16.04 LTS ให้เร่งอัปเดตแพ็กเกจก่อนรับภาพจากภายนอกมาประมวลผล
• นักพัฒนา: หากโค้ดเรียก pngquant บน Ubuntu 16.04 LTS ให้ผู้ดูแลเครื่องอัปเดตแพ็กเกจก่อนนำภาพจากแหล่งที่ไม่เชื่อถือมาใช้

เกิดอะไรขึ้น

Choi Jaeseung พบว่า pngquant อ่านภาพ PNG บางแบบแล้วเกิด buffer overflow หรือเขียนข้อมูลเกินพื้นที่หน่วยความจำที่เตรียมไว้ ช่องโหว่นี้ใช้รหัส CVE-2016-5735 Ubuntu ระบุว่าผู้โจมตีอาจส่งภาพที่สร้างขึ้นเป็นพิเศษมาทำให้โปรแกรมล่มหรือรันโค้ดตามที่ต้องการได้

เงื่อนไขคือ pngquant ที่มีช่องโหว่ต้องเปิดไฟล์นั้นก่อน ผู้ดูแลควรตรวจว่างานใดรับภาพจากคนอื่นแล้วส่งต่อให้โปรแกรมนี้ เช่น สคริปต์ลดขนาดภาพสำหรับเว็บ หรืองานเบื้องหลังที่จัดการภาพอัปโหลด ตัวอย่างเหล่านี้เป็นจุดที่แนะนำให้ตรวจเพิ่ม

ตามประกาศ โค้ดที่ผู้โจมตีสั่งรันจะใช้สิทธิ์ของบัญชีที่เรียก pngquant คำแนะนำเพิ่มเติมคือแยกบัญชีสำหรับงานประมวลผลภาพ และให้สิทธิ์เฉพาะที่งานต้องใช้

CVE-2016-5735 ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 ของ CISA ส่วน USN ฉบับนี้ไม่ได้ระบุว่าพบการโจมตีจริง

ใครโดนและรุ่นที่แก้

USN ระบุรุ่นที่แก้ตามตารางนี้ แต่ไม่ได้บอกช่วงเวอร์ชันที่มีช่องโหว่ทั้งหมด ให้เทียบทั้งรุ่น Ubuntu และเลขเวอร์ชันแพ็กเกจเต็ม รวมส่วนท้ายด้วย

ข้อมูลทางการยังไม่ตรงกัน: หน้า CVE ของ Ubuntu ระบุ Ubuntu 16.04 LTS ว่า “Vulnerable” แต่ USN-9082-1 ระบุว่ามีแพ็กเกจแก้แล้ว ตารางนี้ยึดรุ่นแพตช์จาก USN

หากโครงการแนบไฟล์โปรแกรม pngquant มาเอง ให้ตรวจไฟล์ที่งานเรียกใช้ด้วย คำแนะนำนี้ช่วยแยกไฟล์ของโครงการออกจากแพ็กเกจที่ APT อัปเดต

ต้องทำอะไร

Ubuntu ระบุว่าแก้ได้ด้วยการอัปเดตระบบตามปกติ สำหรับเครื่องที่ติดตั้ง pngquant ผ่าน APT ให้ดึงรายการแพ็กเกจ อัปเกรด แล้วตรวจเวอร์ชันด้วยคำสั่งชุดนี้

sudo apt update
sudo apt install --only-upgrade pngquant
apt-cache policy pngquant

ตรวจบรรทัด Installed ว่าเป็นรุ่นในตารางหรือรุ่นใหม่กว่าจากคลัง Ubuntu หากยังเป็นรุ่นเดิม ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับอัปเดตของเครื่อง หลังอัปเดต แนะนำให้ลองใช้ภาพที่เชื่อถือได้เพื่อตรวจว่างานแปลงภาพยังทำงานครบ

ส่วนตัวผมให้เร่งแพตช์หากใช้ pngquant รับภาพจากภายนอก ส่วนงานที่ใช้เฉพาะไฟล์ที่ควบคุมได้ให้จัดเข้ารอบบำรุงรักษาถัดไป ที่มา: USN-9082-1: pngquant vulnerability เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ