Debian แก้ OpenEXR อ่านเขียนหน่วยความจำเกินขอบเขต DSA-6618-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6618-1 สำหรับ OpenEXR ลงวันที่ 11 พฤศจิกายน 2026 OpenEXR เป็นไลบรารีจัดการภาพ HDR ช่องโหว่เกิดตอนอ่านไฟล์ภาพผิดรูปแบบ ใครใช้ Debian trixie และมีแพ็กเกจนี้ ควรตรวจรุ่นและลงอัปเดต โดยเฉพาะงานที่รับภาพจากภายนอก

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: ถ้าใช้แพ็กเกจ OpenEXR บนเครื่อง Debian trixie ให้อัปเดตระบบโดยเร็ว โดยเฉพาะก่อนเปิดภาพจากภายนอก
• ผู้ดูแลระบบ: ถ้าเครื่อง Debian trixie ใช้ OpenEXR ให้เร่งอัปเดตแพ็กเกจ โดยจัดระบบที่รับไฟล์ภาพจากภายนอกไว้ก่อน
• นักพัฒนา: ถ้าแอปใช้ OpenEXR จาก Debian trixie ให้อัปเดตไลบรารีและทดสอบส่วนอ่านภาพโดยเร็ว ก่อนนำแอปที่อัปเดตแล้วกลับให้บริการ

เกิดอะไรขึ้น

Debian พบช่องโหว่หลายรายการใน OpenEXR ไฟล์ภาพผิดรูปแบบอาจทำให้โปรแกรมหยุดทำงาน หรือ denial of service อีกผลกระทบคือโปรแกรมอาจอ่านหรือเขียนหน่วยความจำผิดตำแหน่ง ซึ่งเรียกว่า out-of-bounds memory reads and writes

ควรตรวจว่าไฟล์ภาพเข้าถึง OpenEXR ผ่านขั้นตอนไหนบ้าง เช่น งานนำเข้าภาพหรือประมวลผลภาพเบื้องหลัง การดูเฉพาะชื่อแอปอาจไม่พอ เพราะ OpenEXR อาจเป็นส่วนประกอบที่แอปเรียกใช้อีกทอดหนึ่ง

ประกาศนี้ไม่ให้คะแนน CVSS หรือระดับความรุนแรง และไม่ได้ระบุวิธีหลีกเลี่ยงปัญหาชั่วคราว คำแนะนำของ Debian คือให้อัปเกรดแพ็กเกจ openexr

รหัส CVE ที่ประกาศครอบคลุม ได้แก่ CVE-2026-27622, CVE-2026-34379, CVE-2026-34380, CVE-2026-34543, CVE-2026-34544, CVE-2026-34588, CVE-2026-34589, CVE-2026-40244, CVE-2026-40250, CVE-2026-41142, CVE-2026-42216, CVE-2026-42217 และ CVE-2026-54920

รายการที่เหลือคือ CVE-2026-55059, CVE-2026-55373, CVE-2026-59183, CVE-2026-59184, CVE-2026-59186, CVE-2026-59189, CVE-2026-59981, CVE-2026-59982, CVE-2026-59983, CVE-2026-59984, CVE-2026-59985, CVE-2026-61555 และ CVE-2026-68515

ใครโดนและรุ่นที่แก้

อัปเดตนี้ย้ายไปใช้ OpenEXR สาย 3.2 และคง ABI เดิมของไลบรารีใน Debian trixie ไว้ หมายถึงยังคงรูปแบบที่โปรแกรมใช้เรียกไลบรารี ตารางนี้ครอบคลุมเฉพาะรุ่นที่ประกาศระบุ

ต้องทำอะไร

บนเครื่อง Debian trixie ที่ใช้แพ็กเกจจากคลัง Debian ให้ดึงรายการแพ็กเกจใหม่แล้วติดตั้งอัปเดต คำสั่งอัปเกรดด้านล่างอัปเดตแพ็กเกจอื่นด้วย ควรอ่านรายการก่อนยืนยัน คำสั่งสุดท้ายใช้ดูรุ่น OpenEXR และไลบรารีที่ติดตั้งอยู่

sudo apt update
sudo apt upgrade
apt list --installed 'openexr' 'libopenexr*'

ตรวจว่ารุ่นที่ติดตั้งได้รับแพตช์ตามตาราง หากยังไม่เห็นรุ่นแก้ ให้ตรวจแหล่งแพ็กเกจและผลการอัปเดตรายการก่อนสรุปว่างานเสร็จ สำหรับแอปที่บรรจุไลบรารีไว้ในคอนเทนเนอร์หรือชุดติดตั้งของตัวเอง ควรตรวจภายในสภาพแวดล้อมนั้นด้วย การอัปเดตแพ็กเกจบนเครื่องโฮสต์เพียงอย่างเดียวอาจไม่ครอบคลุมสำเนาที่แอปใช้งาน

หลังอัปเดต แนะนำให้เริ่มโปรแกรมหรือบริการที่ใช้ไลบรารีใหม่ในช่วงที่เหมาะสม แล้วทดสอบอ่านและประมวลผลภาพตามงานปกติ พร้อมตรวจบันทึกข้อผิดพลาดก่อนกลับให้บริการ

ส่วนตัวผมให้ระบบที่ใช้ OpenEXR รับภาพจากภายนอกเร่งแพตช์ก่อน ส่วนงานที่ใช้ไฟล์ภายในอย่างเดียวควรจัดเข้ารอบบำรุงรักษาที่ใกล้ที่สุด ที่มา: Debian DSA-6618-1 — openexr security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ