Debian แก้ c-ares เสี่ยงบริการล่มและปลอม DNS — DSA-6626-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6626-1 ลงวันที่ 13 พฤศจิกายน 2026 เป็นอัปเดตความปลอดภัยของ c-ares ไลบรารีที่ช่วยให้โปรแกรมถาม DNS แล้วทำงานอื่นต่อได้ระหว่างรอคำตอบ รายการประกาศของ Debian ยืนยันวันที่และรุ่นที่แก้สำหรับ trixie

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ตรวจเครื่อง Debian trixie ที่ติดตั้ง c-ares แล้วอัปเดตแพ็กเกจและเริ่มบริการที่ใช้ไลบรารีใหม่โดยเร็ว
• นักพัฒนา: อัปเดต c-ares ที่โปรแกรมบน Debian trixie ใช้โดยเร็ว รวมถึงโปรแกรมที่เก็บไลบรารีไว้ในชุดติดตั้งเอง

เกิดอะไรขึ้น

ช่องโหว่ใน c-ares อาจทำให้บริการหยุดทำงาน รับคำตอบ DNS ปลอม หรือเปิดเผยข้อมูล ผลกระทบขึ้นอยู่กับวิธีที่โปรแกรมใช้ไลบรารี

ข้อผิดพลาดด้านหน่วยความจำมีทั้ง use-after-free คือใช้หน่วยความจำที่คืนไปแล้ว และ double-free คือคืนหน่วยความจำซ้ำ ส่วน buffer overflow เกิดได้เมื่อโปรแกรมคัดลอกค่าตั้งขณะที่อีก thread เปลี่ยนเซิร์ฟเวอร์ DNS ปัญหานี้สั่งให้เกิดผ่านเครือข่ายไม่ได้

ด้านคำตอบ DNS มีปัญหา รับคำตอบจากเซิร์ฟเวอร์ที่ไม่ได้ส่งคำถามไปหา เมื่อกำหนด DNS ไว้หลายเซิร์ฟเวอร์ และ ใช้แคชร่วมกันแม้ตัวเลือก EDNS ต่างกัน ส่วน ปัญหา IPv6 อาจคืนข้อมูลหน่วยความจำที่ยังไม่ได้กำหนดค่า เมื่อรับชื่อแบบตัวเลขที่มี prefix length จากแหล่งที่ไม่ไว้ใจ กรณีนี้ไม่ได้มาจากคำตอบ DNS

รหัส CVE ที่ Debian ระบุใน DSA-6626-1:

• CVE-2025-62408: เมื่อถาม DNS ซ้ำจนครบจำนวนครั้งที่กำหนด โปรแกรมอาจล่ม
• CVE-2026-33630: เมื่อเรียก callback หลังจบคำถาม โปรแกรมอาจใช้หน่วยความจำที่คืนไปแล้วหรือคืนซ้ำ
• CVE-2026-69184: คำตอบ DNS ที่ทำขึ้นเป็นพิเศษอาจทำให้ CPU ทำงานหนักจนค้นหาชื่อไม่ได้
• CVE-2026-69186: ข้อความ DNS ขนาดเล็กอาจทำให้จองหน่วยความจำมากเกินจำเป็น จนการค้นหาช้าหรือหยุดทำงาน

ทั้งสี่รหัสยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 การไม่อยู่ในรายการนี้ไม่ได้แปลว่าไม่มีการโจมตี

ใครโดนและรุ่นที่แก้

ประกาศนี้ระบุอัปเดตสำหรับ Debian stable ชื่อ trixie โดย ตาราง DSA ใน Security Tracker แสดงรุ่นที่มีปัญหาและรุ่นที่แก้ของซอร์สแพ็กเกจดังนี้

ข้อมูล Debian มีจุดที่ไม่ตรงกัน: DSA-6084-1 ระบุว่าแก้ CVE-2025-62408 แล้วใน 1.34.5-1+deb13u1 แต่ DSA-6626-1 และหน้า CVE ระบุว่ารุ่นนี้ยังมีปัญหา ตารางนี้ใช้รุ่นแก้จาก DSA-6626-1

หากดูแล Debian รุ่นอื่น ให้ตรวจสถานะใน Tracker แยกจากตารางของ trixie

ต้องทำอะไร

สำหรับ trixie ไลบรารีใช้งานจริงอยู่ในแพ็กเกจ libcares2 ส่วน libc-ares2 เป็นแพ็กเกจเปลี่ยนผ่าน ตัวอย่างนี้ใช้กับเครื่องที่ติดตั้ง libcares2 อยู่แล้วและเปิดคลังอัปเดตความปลอดภัยของ trixie

sudo apt update
apt-cache policy libcares2
sudo apt install --only-upgrade libcares2
dpkg-query -W -f='${Package} ${Version}\n' libcares2

ตรวจรุ่นหลังอัปเดตให้เป็น 1.34.9-1~deb13u1 หรือใหม่กว่าจากคลังของ trixie หากยังไม่ได้ ให้ตรวจแหล่งแพ็กเกจและการตรึงรุ่น จากนั้นเริ่มโปรแกรมหรือบริการที่ใช้ไลบรารีใหม่ และทดสอบการค้นหาชื่อกับงานหลักของโปรแกรม

สำหรับโปรแกรมที่รวม c-ares ไว้ในไบนารีหรืออิมเมจ ให้ติดตั้งชุดใหม่ที่มีไลบรารีที่แก้แล้วด้วย การอัปเดตแพ็กเกจของระบบอย่างเดียวอาจไม่เปลี่ยนสำเนาที่โปรแกรมเก็บไว้เอง

ส่วนตัวผมมองว่าถ้าใช้ c-ares บน trixie ควรจัดอัปเดตโดยเร็ว เพราะกระทบทั้งความพร้อมใช้งานและความถูกต้องของคำตอบ DNS ที่มา: Debian DSA-6626-1 c-ares — security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ