Ubuntu แก้ libheif เปิดภาพ HEIF เสี่ยงรันโค้ด USN-9012-1

พอดีไล่ฟีด Ubuntu เจอประกาศ USN-9012-1: libheif vulnerability ลงวันที่ 9 พฤศจิกายน 2026 เรื่องการเปิดภาพ HEIF ที่อาจพาให้โปรแกรมรันโค้ดของผู้โจมตีได้ จุดที่ต้องระวังคือทั้งคนเปิดภาพเองและระบบที่รับไฟล์ไปประมวลผลอัตโนมัติ เพราะไฟล์ภาพเป็นตัวกระตุ้นช่องโหว่ได้

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: ถ้าใช้ Ubuntu 26.04 LTS เปิดภาพ HEIF ให้รีบติดตั้งอัปเดตระบบก่อนเปิดไฟล์จากแหล่งที่ไม่รู้จัก
• ผู้ดูแลระบบ: ถ้ามีบริการบน Ubuntu 26.04 LTS ที่ใช้ libheif อ่านภาพจากภายนอก ให้เร่งอัปเดตแพ็กเกจและเริ่มบริการที่เกี่ยวข้องใหม่
• นักพัฒนา: ถ้าแอปใช้ libheif บน Ubuntu 26.04 LTS ให้เร่งตรวจสอบไลบรารีที่ใช้งานจริงและนำรุ่นที่มีแพตช์ขึ้นใช้งาน

เกิดอะไรขึ้น

Alex Thomas พบว่า libheif จัดการภาพ HEIF บางแบบผิดพลาด ผู้โจมตีอาจสร้างไฟล์เฉพาะแล้วหลอกให้ผู้ใช้หรือระบบอัตโนมัติเปิดไฟล์นั้น ผลกระทบตามหน้ารวมประกาศ Ubuntu คือโปรแกรมอาจล่ม หรือรันโปรแกรมด้วยสิทธิ์ของบัญชีที่เปิดไฟล์ โดยอ้างอิง CVE-2026-120208

รายละเอียดจากประกาศผู้พัฒนา libheif อธิบายว่าตัวอ่านภาพ unci เขียนข้อมูลเกินพื้นที่ heap ที่จองไว้ ปัญหาเกิดเมื่อข้อมูลสี Cb และ Cr ใช้จำนวนบิตไม่เท่ากัน ไฟล์ที่สร้างมาโจมตีเลยอาจเขียนทับหน่วยความจำข้างเคียงได้ การใช้ประโยชน์ให้รันโค้ดสำเร็จยังขึ้นกับสภาพแวดล้อมของโปรแกรม

ใครโดนและรุ่นที่แก้

หน้ารวม USN ระบุ Ubuntu 26.04 LTS เป็นรุ่นที่ได้รับผลกระทบ ส่วนรุ่นต้นน้ำตามประกาศผู้พัฒนาที่อ้างข้างต้นมีช่วงได้รับผลกระทบและรุ่นแก้ดังตาราง

ขณะตรวจสอบ หน้า USN ฉบับเต็มตอบกลับ HTTP 503 เลยยังยืนยันรายการแพ็กเกจย่อย เลขรุ่น Ubuntu และรายละเอียดอื่นในหน้านั้นไม่ได้ เลข 1.23.3 เป็นรุ่นต้นน้ำ อย่าใช้เป็นเกณฑ์ตัดสินแพ็กเกจ Ubuntu โดยตรง เพราะแพ็กเกจของดิสโทรอาจนำแพตช์กลับมาใส่ในรุ่นเดิม ต้องเทียบเลขรุ่นเต็มกับประกาศทางการ

ต้องทำอะไร

เริ่มจากตรวจสอบว่าเครื่องใช้ Ubuntu รุ่นที่ระบุและมี libheif ติดตั้งอยู่หรือไม่ สำหรับเครื่องที่ใช้แพ็กเกจจากคลัง Ubuntu ให้ตรวจรายการอัปเดตและติดตั้งผ่านระบบแพ็กเกจตามปกติ คำสั่งต่อไปนี้อัปเดตแพ็กเกจทั้งระบบ แล้วแสดงรุ่น libheif1 ที่ติดตั้งไว้

sudo apt update
sudo apt upgrade
dpkg-query -W libheif1

หลังติดตั้ง ให้ตรวจเลขรุ่นกับ USN-9012-1 และเริ่มโปรแกรมหรือบริการที่โหลดไลบรารีนี้ใหม่ เพื่อให้ใช้ไฟล์ที่อัปเดตแล้ว หากแอปบรรจุ libheif มากับตัวเองหรืออยู่ในคอนเทนเนอร์ ต้องอัปเดตสิ่งที่แอปใช้งานจริงด้วย การอัปเดตเฉพาะโฮสต์อาจไม่ครอบคลุมไลบรารีภายใน

สำหรับนักพัฒนา ควรตรวจว่าขั้นตอนติดตั้งแอปดึงไลบรารีจากระบบหรือบรรจุมาด้วย แล้วทดสอบการอ่านภาพและสร้างภาพย่อหลังเปลี่ยนรุ่น หลังอัปเดตให้ตรวจว่าโปรแกรมอ่านภาพใช้ไลบรารีที่มีแพตช์แล้ว

ส่วนตัวผมให้งานที่รับ HEIF จากภายนอกอยู่ในคิวเร่งอัปเดต เพราะการประมวลผลอัตโนมัติก็เป็นจุดรับไฟล์โจมตีได้ ที่มา: USN-9012-1: libheif vulnerability หากมีรายละเอียดเลขรุ่นแพ็กเกจที่ตรวจยืนยันได้ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ