Debian แก้ช่องโหว่ OpenJDK 21 หลายรายการ DSA-6588-1
ผู้ดูแล Debian trixie ที่ใช้ OpenJDK 21 ควรวางแผนอัปเดตโดยเร็วและเริ่มบริการ Java ใหม่หลังติดตั้งแพตช์
1-minute summary
- Symptom / problem
- ช่องโหว่ใน Java runtime อาจทำให้บริการหยุดทำงาน ข้าม sandbox ตรวจใบรับรองไม่ครบ หรือเปิดเผยข้อมูล
- Who should read
- ระบบ Debian stable รุ่น trixie ที่ติดตั้งแพ็กเกจจาก openjdk-21
- Fix in short
- อัปเดตแพ็กเกจ openjdk-21 เป็นรุ่น 21.0.13+9-1~deb13u2 หรือรุ่นใหม่กว่าที่ Debian จัดให้สำหรับ trixie
พอดีไล่ฟีดประกาศ Debian เจอ DSA-6588-1 ลงวันที่ 27 ตุลาคม 2026 เป็นอัปเดตความปลอดภัยของ openjdk-21 ซึ่งเป็น Java runtime ที่แอปพลิเคชันใช้รันโปรแกรม ประกาศรวมช่องโหว่หลายรายการไว้ในชุดเดียว ผู้ดูแลที่มีงาน Java บน Debian trixie ควรตรวจแพ็กเกจที่ติดตั้งและเตรียมอัปเดตให้ครบ
เกิดอะไรขึ้น
Debian ระบุว่าช่องโหว่ใน OpenJDK Java runtime อาจทำให้บริการล่ม ข้าม sandbox ตรวจใบรับรองไม่ครบ หรือข้อมูลรั่ว ประกาศสรุปผลกระทบรวม ไม่ได้แยกกลไกและเงื่อนไขโจมตีของแต่ละ CVE และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS
รายการ CVE ตามประกาศฉบับนี้มีดังต่อไปนี้:
CVE-2026-83374, CVE-2026-83376, CVE-2026-83378, CVE-2026-83380, CVE-2026-83381, CVE-2026-83387, CVE-2026-83395, CVE-2026-83400, CVE-2026-87290, CVE-2026-87291, CVE-2026-87292, CVE-2026-87294, CVE-2026-87367, CVE-2026-91332, CVE-2026-91333, CVE-2026-91334, CVE-2026-91335, CVE-2026-91373, CVE-2026-91374, CVE-2026-91375, CVE-2026-91379, CVE-2026-91380, CVE-2026-91382, CVE-2026-91394, CVE-2026-91397, CVE-2026-91398, CVE-2026-91400, CVE-2026-91403, CVE-2026-91410, CVE-2026-91411, CVE-2026-91415, CVE-2026-91418, CVE-2026-91451, CVE-2026-91452, CVE-2026-91453, CVE-2026-91461, CVE-2026-91462, CVE-2026-91463, CVE-2026-91464 และ CVE-2026-91487
รายการอ้างอิงของ Debian ไม่ตรงกันทั้งหมด: ประกาศมี 40 CVE ตามรายการข้างต้น แต่ Security Tracker ของ DSA นี้ มี CVE-2026-101516 เพิ่มอีกหนึ่งรายการ ให้แยกข้อมูลสองแหล่งนี้เมื่อนำไปเทียบรายงานสแกน
ใครโดนและรุ่นที่แก้
ประกาศระบุรุ่นที่แก้สำหรับ Debian stable ชื่อ trixie เท่านั้น ส่วน Debian Security Tracker แสดงรุ่นแพ็กเกจที่ยังมีปัญหาเทียบกับรุ่นแก้ไว้ดังนี้
| Release / source package | รุ่นที่ Tracker ระบุว่ามีช่องโหว่ | รุ่นที่แก้ |
|---|---|---|
| trixie / openjdk-21 | 21.0.12.1+1-1~deb13u1 |
21.0.13+9-1~deb13u2 |
ชื่อ openjdk-21 ในประกาศเป็นชื่อ source package ตอนตรวจเครื่องจริงต้องดูแพ็กเกจย่อยที่ติดตั้งด้วย เช่น runtime และชุดพัฒนา อย่าดูเพียงว่าคำสั่ง Java ยังเรียกใช้งานได้ เพราะการรันได้ไม่ได้ยืนยันว่าได้รับแพตช์แล้ว ควรเทียบหมายเลขเวอร์ชันแพ็กเกจ Debian แบบเต็มกับรุ่นที่แก้ในตาราง
ต้องทำอะไร
เริ่มจากสำรองข้อมูลและการตั้งค่าที่จำเป็น ตรวจว่าเครื่องรับอัปเดตความปลอดภัยของ trixie ได้ แล้วอัปเดตรายการแพ็กเกจและติดตั้งอัปเดต ตัวอย่างนี้ใช้วิธีอัปเกรดแพ็กเกจทั้งระบบตาม Debian Security FAQ ให้ตรวจรายการเปลี่ยนแปลงก่อนยืนยัน เพราะอาจมีแพ็กเกจอื่นร่วมด้วย
sudo apt-get update
sudo apt-get upgrade
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'openjdk-21-*'
หลังอัปเดตให้ตรวจว่าแพ็กเกจ OpenJDK 21 ที่ติดตั้งได้รับรุ่นแก้แล้ว ถ้ายังได้รุ่นเก่า หรือ APT แจ้งว่าบางแพ็กเกจถูกเก็บไว้โดยไม่อัปเกรด ให้ตรวจแหล่งแพ็กเกจและข้อจำกัด dependency ต่อ อย่านับว่าการรันคำสั่งจบเท่ากับแก้ครบ
จากนั้นเริ่มบริการหรือโปรเซส Java ที่ใช้งาน runtime ชุดนี้ใหม่ในช่วงที่ควบคุมผลกระทบได้ แล้วทดสอบการเริ่มแอป งานตามเวลา และการเชื่อมต่อที่แอปต้องใช้ การตรวจควรครอบคลุมแต่ละบริการ เพราะโปรเซสที่เปิดค้างอยู่ต้องได้รับ runtime ที่อัปเดตด้วย หากแอปบรรจุ Java มาเอง ให้ตรวจช่องทางอัปเดตของแอปนั้นแยกจากแพ็กเกจระบบ ประกาศฉบับนี้ไม่ได้เสนอ workaround สำหรับใช้แทนการอัปเดต
ส่วนตัวผมแนะนำให้จัดคิวแพตช์โดยเร็วถ้าใช้ OpenJDK 21 บน trixie เพราะผลกระทบครอบคลุมทั้งความพร้อมใช้งานและข้อมูล ที่มา: Debian DSA-6588-1 openjdk-21 security update (ประกาศฉบับเต็ม) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first