"Debian แก้ Varnish เสี่ยงแคชปนเปื้อนและ DoS — DSA-6584-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6584-1 ลงวันที่ 25 ตุลาคม 2026 สำหรับ Varnish Cache ซึ่งเป็นตัวเร่ง HTTP ที่เก็บแคชไว้หน้าระบบเว็บ รอบนี้มีช่องโหว่สองรายการ ครอบคลุมทั้งความถูกต้องของแคช การยืนยันตัวตน และความพร้อมให้บริการ จุดที่ควรอ่านให้ครบคือเงื่อนไขของ URL และ VCL เพราะผลกระทบขึ้นกับเส้นทางที่คำขอผ่านเข้าไปในระบบด้วย

เกิดอะไรขึ้น

CVE-2026-34475 อยู่ในส่วนอ่านคำขอ HTTP/1.1 แบบ absolute-form ซึ่งระบุ URL เต็ม ปัญหาเกิดเมื่อส่ง req.url ต่อไปยัง backend โดยไม่ตรวจสอบ และ backend ยอมรับ URI แบบนี้ ผู้โจมตีอาจทำให้แคชปนเปื้อนหรือข้ามการยืนยันตัวตนได้ ช่องโหว่นี้กระทบ root URL ที่มี path เป็น / เช่น https://example.com/ ตาม ประกาศผู้พัฒนา VSV00018

CVE-2026-93894 เป็น workspace buffer overflow ในเมธอดสตริง .upper() และ .lower() ของ Varnish Configuration Language หรือ VCL ผู้โจมตีที่รู้การตั้งค่าอาจส่งสตริงที่ใช้พื้นที่ workspace ที่เหลือจนหมดระหว่างแปลงตัวพิมพ์ ทำให้ worker ล่มและเริ่มใหม่ เกิด denial of service หรือ DoS รายละเอียดอยู่ใน ประกาศผู้พัฒนา VSV00020

เงื่อนไขสำคัญของรายการหลังคือ VCL ต้องเรียกเมธอดเหล่านี้กับสตริงที่ผู้โจมตีควบคุมได้ และคำขอต้องยังผ่านข้อจำกัดขนาดคำขอของระบบ การตรวจโค้ด VCL เลยช่วยระบุจุดเสี่ยงได้ตรงกว่าดูแค่ชื่อแพ็กเกจ ประกาศ Debian ไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรงเป็นตัวเลขไว้

ใครโดนและรุ่นที่แก้

DSA ฉบับนี้ระบุรุ่นแก้สำหรับ stable ชื่อ trixie โดย Debian Security Tracker แสดงสถานะแพ็กเกจดังนี้

ผู้ใช้ Debian release อื่นควรตรวจสถานะของ release ตัวเองใน tracker เพิ่มเติม ตารางนี้อ้างอิงแพตช์ของ trixie ตาม DSA เท่านั้น ส่วนระบบที่ติดตั้งจาก repository ของผู้พัฒนาหรือคอมไพล์เอง ต้องเทียบกับประกาศของแหล่งแพ็กเกจที่ใช้ ไม่ควรนำเลขรุ่น Debian ไปตัดสินแทนกัน

ต้องทำอะไร

ตรวจรุ่นที่ติดตั้งและ candidate จาก repository ก่อน จากนั้นอัปเดตแพ็กเกจ สำหรับระบบ trixie ที่ใช้แพ็กเกจ Debian สามารถตรวจและติดตั้งผ่าน APT ได้ตามนี้ โดยอ่านรายการเปลี่ยนแปลงที่ APT แสดงก่อนยืนยัน

sudo apt update
apt-cache policy varnish
sudo apt install --only-upgrade varnish
dpkg-query -W varnish

รุ่นแพ็กเกจหลังอัปเดตควรเป็น 7.7.0-3+deb13u2 หรือรุ่นใหม่กว่าที่มีแพตช์นี้จากแหล่ง Debian ที่เชื่อถือได้ หาก candidate ยังเป็นรุ่นเดิม ให้ตรวจแหล่ง security updates และการ pin แพ็กเกจก่อน อย่าถือว่ารันคำสั่งสำเร็จแล้วแปลว่าติดตั้งแพตช์ครบ

เตรียมช่วงรีสตาร์ตบริการให้เหมาะกับงาน เพื่อให้ process ใช้ไบนารีที่แก้แล้ว หลังอัปเดตควรตรวจสถานะบริการและ log รวมถึงทดสอบการเข้าเว็บ การเข้าสู่ระบบ และกฎแคชที่สำคัญด้วยคำขอปกติ ขั้นตอนนี้ช่วยยืนยันว่าการตั้งค่าเดิมยังทำงานได้หลังเปลี่ยนแพ็กเกจ

ส่วนตัวผมให้เร่งแพตช์เครื่องที่เปิดรับคำขอจากภายนอก เพราะมีทั้งความเสี่ยงต่อข้อมูลในแคชและบริการล่ม ที่มา: DSA-6584-1 varnish — security update (ประกาศ Debian) หากมีรายละเอียดเพิ่มเติมจากประกาศต้นทาง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ