Ubuntu แก้ Tornado เสิร์ฟไฟล์ static ไม่ได้ USN-8952-3
ผู้ดูแลระบบและนักพัฒนาที่ใช้ Tornado จากแพ็กเกจ Ubuntu ควรอัปเดตโดยเร็วหากหน้าเว็บเจอ 403 หลังลงแพตช์ก่อนหน้า
1-minute summary
- Symptom / problem
- แพตช์ Tornado ก่อนหน้าปฏิเสธ symlink ไปยังไดเรกทอรีระบบ ทำให้ไฟล์ประกอบหน้าเว็บโหลดไม่ได้และตอบ 403
- Who should read
- ผู้ดูแลระบบและนักพัฒนาที่ใช้ python3-tornado จาก Ubuntu โดยเฉพาะแอปอย่าง Jupyter ที่สืบทอด StaticFileHandler
- Fix in short
- อัปเดต python3-tornado เป็นรุ่นที่แก้ตาม Ubuntu แต่ละรุ่น โดย Ubuntu 24.04 LTS ใช้ 6.4.0-1ubuntu0.8 แล้วทดสอบหน้าเว็บอีกครั้ง
พอดีเห็น Ubuntu ออกประกาศ USN-8952-3: Tornado regression วันที่ 11 พฤศจิกายน 2026 เพื่อแก้ปัญหาจากแพตช์ก่อนหน้า แอปอย่าง Jupyter อาจโหลด JavaScript และฟอนต์ไม่ได้จนหน้าเว็บตอบ 403 สาเหตุคือแพตช์ปฏิเสธ symlink ที่ชี้ไปยังไดเรกทอรีระบบ ใครเจออาการนี้หลังอัปเดตควรตรวจแพ็กเกจ Tornado
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าให้บริการแอปที่ใช้แพ็กเกจ Tornado ของ Ubuntu ให้ลงอัปเดตตามรุ่นระบบโดยเร็วเมื่อพบหน้าเว็บตอบ 403 หลังแพตช์ก่อนหน้า
- นักพัฒนา: ถ้าแอปใช้ Tornado ของ Ubuntu และมีตัวจัดการไฟล์แบบเดียวกับ Jupyter ให้ประสานอัปเดตแพ็กเกจและทดสอบการโหลดไฟล์หน้าเว็บก่อนนำขึ้นใช้งาน
เกิดอะไรขึ้น
Tornado เป็นเว็บเซิร์ฟเวอร์และชุดเครื่องมือเครือข่าย ส่วน StaticFileHandler ใช้ส่งไฟล์ static เช่น JavaScript และฟอนต์ให้เบราว์เซอร์ แอปอย่าง Jupyter สร้างคลาสต่อยอดจากตัวจัดการนี้
USN-8952-2 อธิบายว่าแพตช์ใน USN-8952-1 แก้ CVE-2026-103263 ไม่ครบ และทำให้แอปที่สืบทอด StaticFileHandler ส่งไฟล์ไม่ได้ ฉบับ USN-8952-2 แก้อาการนั้น แต่ยังปฏิเสธ symlink บางแบบอยู่
symlink คือลิงก์ที่ชี้ไปยังไฟล์หรือไดเรกทอรีอีกแห่ง แพ็กเกจของ Ubuntu ใช้ลิงก์นี้ชี้ไปหา JavaScript และฟอนต์ใน /usr/share เมื่อแพตช์ปฏิเสธลิงก์ หน้าเว็บเลยได้ 403 แทนไฟล์ ฉบับ USN-8952-3 แก้ปัญหานี้ ตามอีเมลประกาศของ Ubuntu ที่เก็บบน MARC
ส่วนช่องโหว่เดิมเกี่ยวกับการจัดการคำขอ HTTP และข้อมูลเครือข่ายที่ไม่ถูกต้อง ผู้โจมตีอาจทำให้บริการหยุดทำงาน เปิดเผยข้อมูลสำคัญ หรือข้ามการควบคุมสิทธิ์ได้ ประกาศอ้างถึง CVE-2023-54397, CVE-2024-14029, CVE-2026-91990, CVE-2026-91992, CVE-2026-103262 และ CVE-2026-103263 โดยไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรงในตัวประกาศ รายละเอียดผลกระทบเดิมอ่านได้จาก USN-8952-1
ใครโดนและรุ่นที่แก้
เครื่องที่ติดตั้ง python3-tornado จากคลัง Ubuntu ให้เทียบรุ่นที่แก้กับตารางจากประกาศ USN-8952-3 ฉบับอีเมลของ Ubuntu
| Ubuntu | แพ็กเกจ | รุ่นที่แก้ |
|---|---|---|
| 26.10 | python3-tornado | 6.5.5-5ubuntu1.3 |
| 26.04 LTS | python3-tornado | 6.5.4-0.1ubuntu0.4 |
| 24.04 LTS | python3-tornado | 6.4.0-1ubuntu0.8 |
| 22.04 LTS | python3-tornado | 6.1.0-3ubuntu0.1~esm8 |
| 20.04 LTS | python3-tornado | 6.0.3+really5.1.1-3ubuntu0.1~esm9 |
| 18.04 LTS | python3-tornado | 4.5.3-1ubuntu0.2+esm6 |
| 16.04 LTS | python3-tornado | 4.2.1-1ubuntu3.1+esm6 |
อีเมลประกาศระบุ Ubuntu ครบทั้งเจ็ดรุ่น รวมถึง 16.04 LTS แพ็กเกจสำหรับ 22.04 LTS, 20.04 LTS, 18.04 LTS และ 16.04 LTS ระบุว่ามีให้ผ่าน Ubuntu Pro
ต้องทำอะไร
Ubuntu แนะนำให้อัปเดตระบบตามปกติ เครื่องที่ติดตั้งแพ็กเกจนี้แล้วสามารถอัปเกรดและตรวจรุ่นด้วยคำสั่งต่อไปนี้
sudo apt update
sudo apt install --only-upgrade python3-tornado
apt-cache policy python3-tornado
ตรวจช่อง Installed ให้ได้รุ่นที่แก้หรือใหม่กว่าจากคลังของ Ubuntu รุ่นนั้น หากยังไม่ได้ให้ตรวจแหล่งอัปเดตและสิทธิ์ Ubuntu Pro แอปที่ติดตั้ง Tornado แยกใน virtual environment ต้องตรวจแพ็กเกจของแอปด้วย เพราะ apt จัดการเฉพาะแพ็กเกจระบบ
หลังอัปเดตควรเริ่มโปรเซสแอปใหม่ตามขั้นตอนของระบบนั้น แล้วทดสอบหน้าเว็บว่า JavaScript และฟอนต์โหลดได้ พร้อมตรวจบันทึกคำขอว่าไฟล์เดิมยังตอบ 403 หรือไม่
ส่วนตัวผมให้เร่งอัปเดตเมื่อ Jupyter หรือเว็บที่ใช้ Tornado เจอ 403 หลังแพตช์ก่อนหน้า ส่วนระบบที่ยังทำงานปกติให้จัดเข้ารอบบำรุงรักษา ที่มา: USN-8952-3: Tornado regression (https://ubuntu.com/security/notices/USN-8952-3) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first