Debian แก้ puppet-agent เสี่ยงรันโค้ดบนเซิร์ฟเวอร์ DSA-6608-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6608-1 ลงวันที่ 4 พฤศจิกายน 2026 เป็นอัปเดตความปลอดภัยของ puppet-agent ในระบบจัดการการตั้งค่า Puppet บั๊กอยู่ใน agent แต่อาจทำให้รันโค้ดบน Puppet server ได้ ผู้ดูแลที่ใช้แพ็กเกจนี้บน trixie ควรตรวจว่าต้องอัปเดตเครื่องใดบ้าง

เกิดอะไรขึ้น

Debian ระบุว่า agent ของ Puppet ขาดการตรวจสอบ event data หรือข้อมูลเหตุการณ์ ข้อมูลที่ไม่ได้ตรวจอาจทำให้รันโค้ดบนฝั่งเซิร์ฟเวอร์ได้ เวลาไล่แพตช์ให้ดูชื่อแพ็กเกจ puppet-agent ด้วย แม้ผลกระทบที่ประกาศเตือนจะอยู่บน Puppet server

ประกาศไม่ได้ลงรายละเอียดวิธีโจมตี เงื่อนไขด้านการยืนยันตัวตน หรือสิทธิ์ที่โค้ดจะได้รับ เลยไม่ควรตีความต่อว่าใครก็โจมตีจากอินเทอร์เน็ตได้ หรือจะได้สิทธิ์ root เสมอ ข้อมูลที่ยืนยันได้จากต้นฉบับคือการตรวจสอบ event data ที่ขาดไปอาจนำไปสู่ code execution บน Puppet server

ช่อง CVE ID ในประกาศระบุว่ายังไม่มีหมายเลข และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS รวมถึงไม่ได้ระบุว่ามีการโจมตีจริงแล้ว ให้จัดลำดับแพตช์จากผลกระทบและการใช้งาน Puppet ไม่ต้องรอคะแนน CVSS

ใครโดนและรุ่นที่แก้

ประกาศฉบับนี้ระบุรุ่นแก้ไขสำหรับ Debian stable ชื่อ trixie ดังตาราง ผู้ดูแลควรเทียบกับรุ่นแพ็กเกจที่ติดตั้งจริง โดยดูหมายเลข Debian revision ทั้งชุดด้วย

ต้นฉบับไม่ได้แจกแจงช่วงรุ่นที่ได้รับผลกระทบทั้งหมด หรือให้รุ่นแก้ไขของ release อื่น ตารางนี้เลยใช้ยืนยันเฉพาะ trixie ตามประกาศ หากใช้ Debian release อื่นหรือแพ็กเกจจากแหล่งภายนอก ให้ตรวจประกาศของแหล่งแพ็กเกจนั้นเพิ่มเติมก่อนเลือกวิธีอัปเดต

ต้องทำอะไร

Debian แนะนำให้อัปเกรดแพ็กเกจ puppet-agent สำหรับเครื่อง trixie ที่ติดตั้งแพ็กเกจจาก Debian ให้ตรวจรุ่นเดิมและรุ่นที่ repository เสนอ แล้วอัปเดตตามขั้นตอนด้านล่าง สำรองการตั้งค่าและทดสอบก่อนอัปเดตหลายเครื่อง

dpkg-query -W puppet-agent
sudo apt update
apt-cache policy puppet-agent
sudo apt install --only-upgrade puppet-agent
dpkg-query -W puppet-agent

ตรวจผลลัพธ์หลังติดตั้งว่าได้รับรุ่น 8.10.0-5+deb13u1 หรือรุ่นใหม่กว่าที่รวมการแก้ไขแล้ว หาก APT ยังเสนอรุ่นเดิม ให้ตรวจแหล่ง security updates และการ pin แพ็กเกจก่อนสรุปว่าอัปเดตสำเร็จ จากนั้นตรวจสถานะ Puppet และ error log ทดสอบว่ายังจัดการการตั้งค่าได้ตามปกติ ประกาศไม่ได้เสนอ workaround สำหรับใช้แทนแพตช์

ส่วนตัวผมมองว่าถ้าใช้ Puppet บน trixie ควรเร่งอัปเดต เพราะผลกระทบอาจถึงการรันโค้ดบนเซิร์ฟเวอร์ ที่มา: Debian DSA-6608-1 puppet-agent — security update หากประกาศมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ