Debian แก้ Symfony เสี่ยงข้ามสิทธิ์และข้อมูลรั่ว DSA-6617-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6617-1 วันที่ 9 พฤศจิกายน 2026 แก้ช่องโหว่ใน Symfony เฟรมเวิร์ก PHP ผมอยากให้คนดูแลเว็บเช็กแพ็กเกจ เพราะมีทั้งปัญหาการควบคุมสิทธิ์ ข้อมูลรั่ว และบริการหยุดทำงาน

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าเซิร์ฟเวอร์ใช้แพ็กเกจ Symfony ของ Debian trixie ให้เร่งติดตั้งอัปเดตความปลอดภัยและตรวจว่าเว็บยังทำงานครบ
• นักพัฒนา: ถ้าแอปใช้ Symfony จากแพ็กเกจ Debian trixie ให้เร่งทดสอบการเข้าสู่ระบบและการรับข้อมูลภายนอกกับรุ่นแก้ก่อนนำขึ้นใช้งาน

เกิดอะไรขึ้น

Debian ระบุว่าช่องโหว่ใน Symfony อาจทำให้เข้าถึงส่วนที่ไม่มีสิทธิ์ ข้อมูลรั่ว หรือบริการหยุดทำงาน อีกปัญหาคือ XML external entity injection หรือ XXE ซึ่งเกี่ยวกับการอ่านข้อมูลภายนอกที่เอกสาร XML อ้างถึง ผลกระทบขึ้นกับส่วนประกอบและวิธีที่แอปเรียกใช้ รายละเอียดประกาศ Debian

ตัวอย่างคือ CVE-2026-118513 ใน X509Authenticator และ X509AuthenticationListener ซึ่งอ่านข้อมูลระบุตัวผู้ใช้จากใบรับรองผิด ผู้โจมตีต้องมีใบรับรองจาก CA ที่แอปเชื่อถือ และกำหนดค่า CN ในใบรับรองได้ ถึงจะใช้ช่องโหว่นี้ปลอมเป็นผู้ใช้รายอื่น รวมถึงผู้มีสิทธิ์สูง คนดูแลระบบที่ใช้ใบรับรองเข้าสู่ระบบควรตรวจเงื่อนไขนี้ ประกาศ Symfony เรื่อง X.509

ส่วน CVE-2026-123824 อยู่ใน XmlUtils::parse() ของ Config ฟังก์ชันนี้เริ่มอ่าน DTD ก่อนปฏิเสธเอกสารที่มี doctype ถ้าแอปส่ง XML จากแหล่งที่ไม่เชื่อถือเข้าฟังก์ชันนี้ ผู้โจมตีอาจตรวจว่ามีไฟล์ภายในหรือไม่ หรือทำให้บริการหยุดทำงานได้ การนำเนื้อหาไฟล์ออกไปต้องอาศัยการตั้งค่าเพิ่มเติม เช่น แอปมี stream wrapper ที่เชื่อมต่อเครือข่ายได้ ประกาศ Symfony เรื่อง XXE

รหัสที่ประกาศครอบคลุมทั้งหมด ได้แก่ CVE-2026-118513, CVE-2026-118514, CVE-2026-118515, CVE-2026-118516, CVE-2026-118517, CVE-2026-121373, CVE-2026-121623, CVE-2026-121949, CVE-2026-121971, CVE-2026-122053, CVE-2026-123119, CVE-2026-123125, CVE-2026-123339, CVE-2026-123746, CVE-2026-123792 และ CVE-2026-123824 ประกาศ DSA นี้ไม่ได้ระบุระดับความรุนแรง คะแนน CVSS หรือวิธีแก้ชั่วคราว โดยแนะนำให้อัปเกรดแพ็กเกจ รายการ CVE และคำแนะนำต้นฉบับ

ใครโดนและรุ่นที่แก้

ประกาศระบุรุ่นแก้สำหรับ stable หรือ trixie ตารางนี้เทียบรุ่นของแพ็กเกจต้นทางที่ Security Tracker ระบุว่ามีช่องโหว่กับรุ่นที่แก้แล้ว

อ้างอิง Debian Security Tracker ประกาศนี้ไม่ได้ให้รุ่นแก้สำหรับ Debian รุ่นอื่น ส่วน Symfony ที่ติดตั้งผ่าน Composer ต้องตรวจแพ็กเกจของโปรเจกต์แยก เพราะอัปเดตระบบแล้วไลบรารีในโปรเจกต์ไม่ได้เปลี่ยนตาม

ต้องทำอะไร

ตรวจว่าเครื่องใช้ trixie และเปิดคลังอัปเดตความปลอดภัย คำสั่งนี้อัปเกรดแพ็กเกจทั้งระบบ รวมถึง Symfony ให้อ่านรายการก่อนยืนยัน

sudo apt update
sudo apt upgrade
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'php-symfony-*'

ตรวจรุ่นของส่วนประกอบที่ติดตั้ง แล้วทดสอบการเข้าสู่ระบบ การตรวจสิทธิ์ และงานรับข้อมูล หากยังไม่ได้รุ่นแก้ ให้ตรวจคลังแพ็กเกจและรายการที่ถูกพักการอัปเกรด แอปที่มี worker ทำงานค้างไว้ควรเริ่มกระบวนการใหม่ตามขั้นตอน deploy เพื่อโหลดโค้ดที่อัปเดตแล้ว

ส่วนตัวผมให้เร่งแพตช์แอป Symfony ที่รับข้อมูลจากภายนอก และทดสอบการเข้าสู่ระบบก่อนเปิดใช้งาน ที่มา: Debian Security Advisory DSA-6617-1 หากมีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ