"Ubuntu แก้ APT เสี่ยงติดตั้งแพ็กเกจไม่ผ่านการตรวจสอบ USN-8996-1"
"ผู้ดูแล Ubuntu รุ่นที่อยู่ในประกาศควรเร่งอัปเดต apt เพราะผลกระทบอาจถึงขั้นรันโค้ดด้วยสิทธิ์ root"
1-minute summary
- Symptom / problem
- ผู้โจมตีที่อยู่ระหว่างทางอาจหลอก APT ให้ติดตั้งแพ็กเกจที่ไม่ผ่านการตรวจสอบและรันโค้ดด้วยสิทธิ์ root
- Who should read
- Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS และ 14.04 LTS อยู่ในประกาศ
- Fix in short
- อัปเดตแพ็กเกจ apt ตามตารางรุ่นแก้ และตรวจว่ารุ่นที่ติดตั้งได้รับแพตช์แล้ว
พอดีเห็น Ubuntu ออกประกาศ USN-8996-1 เมื่อวันที่ 4 พฤศจิกายน 2026 เรื่องช่องโหว่ใน APT เครื่องมือที่ใช้ดาวน์โหลดและติดตั้งแพ็กเกจบนระบบ ประเด็นนี้เกี่ยวกับความน่าเชื่อถือของแพ็กเกจที่กำลังจะติดตั้ง เพราะผู้โจมตีที่อยู่ระหว่างทางของการรับส่งข้อมูลอาจทำให้แพ็กเกจที่ไม่ผ่านการตรวจสอบถูกติดตั้ง และนำไปสู่การรันโค้ดด้วยสิทธิ์ root ได้
เกิดอะไรขึ้น
Max Justicz พบว่า APT จัดการ hard link ไม่ถูกต้องในจังหวะที่พบการเปลี่ยนเส้นทางดาวน์โหลด หรือ redirect และมีการลองดาวน์โหลดแพ็กเกจซ้ำ ช่องโหว่นี้มีรหัส CVE-2026-109518 โดย hard link เป็นการให้ชื่อไฟล์หลายชื่ออ้างถึงข้อมูลไฟล์เดียวกัน ความผิดพลาดของการจัดการลิงก์ในกระบวนการดังกล่าวอาจเปิดทางให้ APT ติดตั้งแพ็กเกจที่ไม่ผ่านการตรวจสอบ
ผู้โจมตีต้องอยู่ในเส้นทางรับส่งข้อมูล หรือ on-path ตามที่ Ubuntu ระบุ หากโจมตีสำเร็จอาจรันโค้ดด้วยสิทธิ์ root ได้ หน้า USN ไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือ workaround เฉพาะช่องโหว่นี้ Ubuntu แนะนำให้อัปเดตระบบเพื่อรับแพ็กเกจที่แก้แล้ว
ใครโดนและรุ่นที่แก้
ประกาศครอบคลุมแพ็กเกจ apt บน Ubuntu ตามตารางนี้ ตัวเลขในคอลัมน์ขวาคือรุ่นแก้ที่ Ubuntu ระบุสำหรับแต่ละ release ไม่ควรนำเลขรุ่นของคนละ release มาเทียบกันตรง ๆ
| Ubuntu release | รุ่นแก้ของแพ็กเกจ apt |
|---|---|
| 26.10 | 3.3.3ubuntu0.1 |
| 26.04 LTS | 3.2.1ubuntu0.1 |
| 24.04 LTS | 2.8.4ubuntu0.1 |
| 22.04 LTS | 2.4.15ubuntu0.1 |
| 20.04 LTS | 2.0.12+esm1 — Ubuntu Pro |
| 18.04 LTS | 1.6.19+esm1 — Ubuntu Pro |
| 16.04 LTS | 1.2.36+esm1 — Ubuntu Pro พร้อม Legacy Support add-on |
| 14.04 LTS | 1.0.1ubuntu2.24+esm4 — Ubuntu Pro พร้อม Legacy Support add-on |
ต้องทำอะไร
เริ่มจากตรวจ release ของเครื่องและรุ่นแพ็กเกจที่ติดตั้ง แล้วตรวจว่ามีแพ็กเกจรุ่นแก้จากแหล่งอัปเดตที่ถูกต้อง การอัปเดตระบบตามปกติเป็นวิธีที่ Ubuntu แนะนำ หากต้องการอัปเดตเฉพาะแพ็กเกจ apt สามารถใช้คำสั่งต่อไปนี้ แล้วอ่านผลรุ่นที่ติดตั้งและรุ่นที่แหล่งแพ็กเกจเสนอให้ด้วย
sudo apt update
sudo apt install --only-upgrade apt
dpkg-query -W apt
apt-cache policy apt
หลังคำสั่งทำงานเสร็จ ให้เทียบรุ่นที่ติดตั้งกับแถวของ release เดียวกันในตาราง หากพบรุ่นที่ใหม่กว่า ให้ตรวจข้อมูลแพ็กเกจของ Ubuntu ว่ารวมแพตช์นี้แล้ว หากระบบแจ้งว่าไม่มีอะไรให้อัปเดต แต่รุ่นยังไม่ได้รับการแก้ ควรตรวจแหล่งแพ็กเกจและสิทธิ์รับอัปเดตต่อ โดยเฉพาะ release ที่แพตช์อยู่ภายใต้ Ubuntu Pro อย่าใช้เพียงข้อความว่าอัปเดตสำเร็จเป็นหลักฐานว่าปิดช่องโหว่แล้ว
ถ้าดูแลหลายเครื่อง ให้บันทึก release และรุ่น apt หลังอัปเดตไว้ จะได้เห็นว่าเครื่องไหนได้รับแพตช์แล้ว แต่ละ release ใช้เลขรุ่นแก้ต่างกัน ส่วน release เก่าต้องตรวจสิทธิ์รับแพตช์ให้พร้อมด้วย
ส่วนตัวผมแนะนำให้เร่งอัปเดต เพราะช่องโหว่อยู่ในเครื่องมือจัดการแพ็กเกจและผลกระทบอาจถึงสิทธิ์ root ที่มา: USN-8996-1: APT vulnerability หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first