Security Notice

signing-party เสี่ยงรันคำสั่งผ่านคีย์ OpenPGP — USN-9087-1

โดย Ton-Or ·12 พ.ย. 2026·อ่าน 3 นาที

ผู้ใช้ signing-party บน Ubuntu 18.04 LTS และ 16.04 LTS ควรติดตั้งแพตช์ก่อนใช้ gpg-key2ps ประมวลผลคีย์จากภายนอก

สรุปใน 1 นาที

อาการ/ปัญหา: gpg-key2ps กรอง user ID ในคีย์ OpenPGP ไม่รัดกุมก่อนส่งให้ shell ทำให้ผู้โจมตีอาจสั่งรันคำสั่งได้
ใครควรอ่าน: ผู้ใช้ทั่วไปและผู้ดูแลระบบที่ใช้ gpg-key2ps ใน signing-party บน Ubuntu 18.04 LTS หรือ 16.04 LTS
ทางแก้แบบสั้น: อัปเดต signing-party เป็น 2.7-1ubuntu0.1~esm1 บน Ubuntu 18.04 LTS หรือ 2.2-1ubuntu0.1~esm1 บน Ubuntu 16.04 LTS

พอดีเห็น Ubuntu ออกประกาศ USN-9087-1 ลงวันที่ 12 พฤศจิกายน 2026 แก้ช่องโหว่ใน signing-party ซึ่งเป็นชุดเครื่องมือ OpenPGP ปัญหาอยู่ที่ gpg-key2ps หากนำคีย์ที่ผู้โจมตีเตรียมไว้มาประมวลผล เครื่องมืออาจรันคำสั่งที่แฝงมากับคีย์ด้วยสิทธิ์ของผู้ใช้ที่เรียกงาน

USN-9087ประกาศ Ubuntu

12 พ.ย.วันที่ประกาศ ปี 2026

2 รุ่นUbuntu LTS ที่มีแพตช์ในประกาศ

ใครต้องทำอะไร

ผู้ใช้ทั่วไป: ถ้าใช้ gpg-key2ps บน Ubuntu 18.04 LTS หรือ 16.04 LTS ให้อัปเดต signing-party ก่อนนำคีย์จากผู้อื่นมาประมวลผลอีกครั้ง
ผู้ดูแลระบบ: ตรวจเครื่อง Ubuntu สองรุ่นนี้ที่มีงานเรียก gpg-key2ps และติดตั้งแพตช์ก่อนปล่อยให้งานรับคีย์จากภายนอกทำงานต่อ

เกิดอะไรขึ้น

ช่องโหว่ที่ประกาศอ้างถึงคือ CVE-2019-11627 เครื่องมือ gpg-key2ps กรอง user ID จากคีย์ OpenPGP ไม่รัดกุมก่อนส่งให้ shell ข้อความระบุตัวตนเลยอาจถูกอ่านเป็นส่วนหนึ่งของคำสั่ง เรียกการโจมตีแบบนี้ว่า shell injection

ผู้ใช้ต้องถูกหลอกให้นำคีย์ที่ผู้โจมตีเตรียมไว้มาประมวลผลก่อน คำสั่งจะทำงานด้วยสิทธิ์ของบัญชีที่เรียกเครื่องมือ ผู้ดูแลควรตรวจว่ามีงานใดรับคีย์จากภายนอกมาใช้กับ gpg-key2ps และงานนั้นใช้บัญชีที่เข้าถึงข้อมูลใดได้บ้าง

ประกาศ USN ฉบับนี้ไม่ได้ระบุคะแนน CVSS หรือระดับความรุนแรงไว้ และไม่ได้เสนอวิธีแก้ขัดเฉพาะหน้า แนวทางแก้ที่ระบุคืออัปเดตแพ็กเกจ

ใครโดนและรุ่นที่แก้

ประกาศนี้มีแพตช์สำหรับ Ubuntu สองรุ่นตามตาราง ให้เลือกรุ่นแพ็กเกจให้ตรงกับ Ubuntu ของเครื่อง เพราะแต่ละรุ่นใช้หมายเลขแพตช์ต่างกัน

Ubuntu release	แพ็กเกจ	รุ่นที่แก้
18.04 LTS (Bionic)	signing-party	`2.7-1ubuntu0.1~esm1`
16.04 LTS (Xenial)	signing-party	`2.2-1ubuntu0.1~esm1`

ช่องทางรับแพตช์

รายการ Ubuntu 18.04 LTS ในประกาศระบุว่าแพตช์ให้บริการผ่าน Ubuntu Pro ใน ESM Apps ควรตรวจสิทธิ์และแหล่งแพ็กเกจของเครื่องก่อนอัปเดต

ต้องทำอะไร

ตรวจว่ามี signing-party ติดตั้งอยู่หรือไม่ และมีคนหรือสคริปต์เรียก gpg-key2ps รับคีย์จากภายนอกหรือเปล่า จากนั้นตรวจช่องทางรับแพตช์และอัปเดตระบบตามแนวทางของ Ubuntu คำสั่งแรกและคำสั่งท้ายใช้ดูรุ่นก่อนและหลังอัปเดต

dpkg-query -W signing-party
sudo apt update && sudo apt upgrade
dpkg-query -W signing-party

เทียบรุ่นหลังอัปเดตกับตาราง หากยังเป็นรุ่นเก่า ให้ตรวจว่าคลังมีแพตช์ให้ติดตั้งและเครื่องมีสิทธิ์รับอัปเดต โดยเฉพาะ Ubuntu 18.04 LTS ที่ประกาศระบุ ESM Apps อย่าเพิ่งบันทึกว่างานเสร็จจากผลคำสั่งอัปเดตเพียงอย่างเดียว

ถ้ามีงานรับคีย์จากผู้อื่น ให้ตรวจและอัปเดตเครื่องที่ประมวลผลคีย์จริง ระหว่างเตรียมแพตช์ แนะนำให้พักการนำคีย์ที่ไม่ทราบแหล่งที่มาผ่าน gpg-key2ps ข้อนี้เป็นคำแนะนำลดความเสี่ยงระหว่างรออัปเดต ไม่ใช่วิธีแก้ขัดที่ Ubuntu ระบุไว้

ส่วนตัวผมให้เร่งแพตช์ก่อนประมวลผลคีย์จากภายนอก หากไม่ได้ใช้งานเครื่องมือนี้ให้จัดอัปเดตในรอบบำรุงรักษา ที่มา: USN-9087-1: signing-party vulnerability (ประกาศ Ubuntu) ถ้ามีรายละเอียดจากต้นทางเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ

อยากให้เราทำให้ไหม?

ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า

คุยเรื่องงานกับเรา

แท็ก #linux #security #patch-management #cve

เคยเจองานแบบนี้ไหม? ติดตรงไหน?

มาแลกวิธีกันต่อในบอร์ด LinuxThai

→ คุยต่อในบอร์ด

ความคิดเห็น 0

ยังไม่มีความคิดเห็น — เป็นคนแรกเลย