Debian แก้ Sympa เข้าถึงคลังเมลโดยไม่มีสิทธิ์ DSA-6624-1

พอดีไล่ฟีดประกาศความปลอดภัย Debian เจอ DSA-6624-1 ลงวันที่ 13 พฤศจิกายน 2026 แจ้งแก้ช่องโหว่ใน Sympa โปรแกรมจัดการเมลลิงลิสต์ ประเด็นนี้เกี่ยวกับการเข้าถึงคลังข้อความ ผู้ดูแลที่ใช้แพ็กเกจนี้ควรตรวจรุ่นและติดตั้งแพตช์ เพราะผลกระทบที่ประกาศระบุคือผู้ไม่มีสิทธิ์อาจเข้าถึงไฟล์คลังเมลที่ถูกลบหรือไฟล์ข้อความดิบได้

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าให้บริการ Sympa บน Debian stable (trixie) ให้เร่งอัปเดตแพ็กเกจเป็นรุ่นที่แก้และตรวจว่าบริการทำงานได้หลังติดตั้ง

เกิดอะไรขึ้น

Debian ระบุว่า Sympa มีปัญหา path traversal และการข้ามข้อจำกัดการเข้าถึง พูดง่าย ๆ คือระบบตรวจเส้นทางไฟล์และสิทธิ์ได้ไม่ครบ ผู้ไม่มีสิทธิ์เลยอาจเปิดไฟล์ในคลังเมลได้ ทั้งไฟล์ที่ถูกลบและไฟล์ข้อความดิบ

ปัญหานี้กระทบความลับของข้อความในลิสต์ อย่าใช้การลบข้อความแทนการแพตช์ เพราะประกาศระบุว่าไฟล์ที่ถูกลบก็อาจถูกเข้าถึงได้ เว็บคลังเมลที่เปิดใช้งานได้ตามปกติยังไม่ได้บอกว่าแก้ช่องโหว่แล้ว ต้องตรวจเลขรุ่นแพ็กเกจด้วย

DSA ฉบับนี้ระบุว่ายังไม่มีหมายเลข CVE และอ้างถึง Debian Bug หมายเลข 1153297 ประกาศไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือวิธีแก้ชั่วคราว Debian แนะนำให้อัปเกรดแพ็กเกจ sympa

ในหน้าแพตช์ของโครงการ Sympa มีรายงานลงวันที่ 6 พฤศจิกายน 2026 ว่าพบการโจมตีที่ใช้ช่องโหว่นี้จริง นี่เป็นรายงานในหน้าแพตช์ ส่วน DSA ไม่ได้กล่าวถึงการโจมตีไว้ ควรเร่งแพตช์ตามข้อมูลนี้

ใครโดนและรุ่นที่แก้

DSA ระบุรุ่นแก้สำหรับ Debian stable ชื่อ trixie ตามตารางนี้ ให้เทียบกับรุ่นแพ็กเกจที่ติดตั้งอยู่

DSA-6624-1 ไม่ได้บอกรุ่นแก้ของ Debian รุ่นอื่น และไม่ได้ระบุช่วงรุ่นที่มีปัญหาทั้งหมด ถ้าใช้รุ่นอื่นให้ตรวจสถานะจาก Debian Security Tracker ให้ตรงกับรุ่น Debian ที่ใช้ เลขรุ่นในตารางนี้ใช้สำหรับ trixie

ต้องทำอะไร

เริ่มจากตรวจว่าเครื่องที่ให้บริการเมลลิงลิสต์ติดตั้ง sympa อยู่หรือไม่ และใช้ Debian รุ่นใด สำหรับเครื่อง trixie ที่มีแพ็กเกจนี้อยู่แล้ว ให้อัปเดตรายการแพ็กเกจ ติดตั้งอัปเดต และตรวจรุ่นหลังติดตั้งด้วยคำสั่งต่อไปนี้

sudo apt update
sudo apt install --only-upgrade sympa
dpkg-query -W -f='${Version}\n' sympa

ผลลัพธ์ควรตรงกับรุ่นแก้ในตาราง หรือเป็นรุ่นใหม่กว่าที่ Debian ออกให้ trixie ถ้ายังไม่พบรุ่นแก้ ให้ตรวจว่าเปิดใช้แหล่งแพ็กเกจ security แล้วหรือยัง และอ่านข้อผิดพลาดจาก apt update ให้ครบ

หลังอัปเดต ให้ลองรับส่งข้อความของลิสต์และเปิดคลังเมลด้วยบัญชีที่มีสิทธิ์ แล้วตรวจว่าบัญชีที่ไม่มีสิทธิ์ยังเปิดอ่านข้อความไม่ได้ การทดสอบนี้ใช้เช็กว่าบริการทำงานตามปกติหลังอัปเดต ควรบันทึกเลขรุ่นที่ติดตั้งไว้ด้วย

ส่วนตัวผมมองว่าถ้าใช้ Sympa ให้บริการอยู่ควรเร่งจัดคิวแพตช์ เพราะประเด็นนี้กระทบการเข้าถึงข้อความโดยไม่มีสิทธิ์ ที่มา: Debian Security Advisory DSA-6624-1 — sympa หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ