Debian แก้ GitPython เสี่ยงข้อมูลรั่วและรันโค้ด DSA-6594-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6594-1 ลงวันที่ 29 ตุลาคม 2026 แก้ช่องโหว่ใน python-git หรือ GitPython ไลบรารี Python สำหรับทำงานกับ Git repository ผลกระทบมีถึงการรันโค้ดที่ผู้โจมตีกำหนด ผู้ดูแลงานอัตโนมัติที่ใช้ไลบรารีนี้ควรตรวจรุ่นและจัดคิวอัปเดตโดยเร็ว

เกิดอะไรขึ้น

Debian ระบุผลกระทบหลายแบบ ได้แก่ ข้อมูลรั่วไหล การเข้าถึงพาธนอกขอบเขตที่ควรอนุญาต หรือ directory traversal การรันโค้ดที่ผู้โจมตีกำหนด และ denial of service ซึ่งทำให้งานหรือบริการทำงานต่อไม่ได้

ประกาศไม่ได้แยกกลไกและเงื่อนไขของแต่ละ CVE เลยไม่ควรสรุปว่าทุกโปรแกรมที่ใช้ GitPython ถูกโจมตีได้แบบเดียวกัน และประกาศไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ของชุดอัปเดตนี้

รายการ CVE ที่ประกาศครอบคลุมมีดังนี้:

• CVE-2026-42215, CVE-2026-42284, CVE-2026-44243, CVE-2026-44244
• CVE-2026-67322, CVE-2026-67323, CVE-2026-67324, CVE-2026-67325, CVE-2026-67326, CVE-2026-69097
• CVE-2026-73619, CVE-2026-73620, CVE-2026-73621, CVE-2026-73622, CVE-2026-73623, CVE-2026-73624, CVE-2026-73625
• CVE-2026-76217, CVE-2026-76218, CVE-2026-76219, CVE-2026-76220, CVE-2026-76221, CVE-2026-76222
• CVE-2026-78675, CVE-2026-78676, CVE-2026-78677, CVE-2026-78678, CVE-2026-78679
• CVE-2026-87817, CVE-2026-87818, CVE-2026-87819, CVE-2026-100689
• CVE-2026-110855, CVE-2026-110856, CVE-2026-110857, CVE-2026-110858, CVE-2026-110860, CVE-2026-114145

ใครโดนและรุ่นที่แก้

ขอบเขตการแก้ใน DSA นี้คือ Debian stable ชื่อ trixie โดย Debian Security Tracker ระบุสถานะแพ็กเกจต้นทางไว้ดังตาราง

ชื่อ python-git ในประกาศเป็นชื่อแพ็กเกจต้นทาง ส่วนโมดูลที่ติดตั้งใช้งานกับ Python 3 คือ python3-git เวลาใช้ APT ต้องตรวจชื่อนี้ให้ตรงด้วย รุ่นแก้ข้างต้นเป็นหมายเลขแพ็กเกจ Debian สำหรับ trixie อย่านำไปใช้เป็นเกณฑ์รุ่น upstream หรือข้ามไปเทียบกับ Debian รุ่นอื่นโดยตรง

ต้องทำอะไร

เริ่มจากตรวจว่าระบบติดตั้ง python3-git หรือไม่ และ APT เห็นรุ่นจากแหล่ง security แล้วหรือยัง สำหรับระบบที่ติดตั้งแพ็กเกจนี้อยู่ ให้สำรองข้อมูลและค่าที่จำเป็นตามขั้นตอนดูแลระบบก่อนอัปเดต แล้วใช้คำสั่งต่อไปนี้

sudo apt update
apt policy python3-git
sudo apt install --only-upgrade python3-git
dpkg-query -W -f='${Package} ${Version}\n' python3-git

หลังติดตั้ง ให้ตรวจว่าได้ 3.1.44-1+deb13u1 หรือใหม่กว่าที่รวมแพตช์นี้ ถ้า APT ยังเสนอรุ่นเก่า ให้ตรวจคลังแพ็กเกจและข้อผิดพลาดจากการอัปเดตรายการ จากนั้นทดสอบงาน Git ของแอป และเริ่มโปรเซสที่โหลดไลบรารีค้างไว้ใหม่ตามขั้นตอนของบริการ

หากแอปพลิเคชันติดตั้ง GitPython แยกผ่าน virtual environment หรือเครื่องมือจัดการ dependency ควรตรวจแหล่งติดตั้งของแอปนั้นเพิ่ม การอัปเดตแพ็กเกจระบบไม่ได้ยืนยันว่าไลบรารีทุกสำเนาถูกเปลี่ยนแล้ว ส่วนประกาศนี้ไม่ได้ให้ workaround ไว้ แนวทางที่ Debian แนะนำคืออัปเกรดแพ็กเกจ

ส่วนตัวผมแนะนำให้เร่งอัปเดตระบบที่ใช้ GitPython เพราะผลกระทบที่ระบุรวมถึงการรันโค้ดและข้อมูลรั่วไหล

ที่มา: Debian Security Advisory DSA-6594-1 — python-git หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ