Ubuntu แก้ช่องโหว่ GStreamer เสี่ยงรันโค้ด USN-9038-1
ผู้ใช้ Ubuntu ที่เปิดไฟล์หรือรับสตรีมผ่าน GStreamer ควรเร่งอัปเดตแพ็กเกจ โดยจัดเครื่องที่รับสื่อจากภายนอกไว้ก่อน
1-minute summary
- Symptom / problem
- การจัดการไฟล์สื่อหรือสตรีมผิดพลาดอาจทำให้แอปล่ม เปิดเผยข้อมูล หรือรันโค้ดได้
- Who should read
- ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้ GStreamer Good Plugins หรือ Base Plugins บน Ubuntu รุ่นที่ประกาศครอบคลุม
- Fix in short
- อัปเดตแพ็กเกจให้ตรงรุ่น Ubuntu ตามตาราง โดยแพตช์ของ 16.04, 18.04 และ 20.04 LTS ต้องเข้าถึง Ubuntu Pro
พอดีเห็น Ubuntu ออกประกาศ USN-9038-1 ลงวันที่ 10 พฤศจิกายน 2026 แก้ช่องโหว่ใน GStreamer Good Plugins และ GStreamer Base Plugins ซึ่งเป็นชุดปลั๊กอินประมวลผลเสียงและวิดีโอ ผลกระทบมีตั้งแต่แอปล่ม ข้อมูลรั่ว ไปจนถึงอาจรันโค้ดของผู้โจมตีได้ ขึ้นอยู่กับช่องโหว่และรุ่นระบบ
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: ถ้าใช้ Ubuntu รุ่นในตารางและแอปเล่นสื่อที่พึ่งพา GStreamer ให้ติดตั้งอัปเดตโดยเร็ว โดยเฉพาะเมื่อเปิดสื่อจากภายนอก
- ผู้ดูแลระบบ: ถ้าเครื่องรับหรือประมวลผลสื่อผ่าน GStreamer ให้เร่งอัปเดตแพ็กเกจที่ติดตั้ง โดยจัดเครื่องที่รับข้อมูลจากภายนอกไว้ก่อน
- นักพัฒนา: ถ้าแอปใช้ Good Plugins หรือ Base Plugins จาก Ubuntu ให้รีบอัปเดตแพ็กเกจในสภาพแวดล้อมที่รันแอปและทดสอบการอ่านสื่อหลังอัปเดต
เกิดอะไรขึ้น
Good Plugins จัดการสตรีมเครือข่ายบางแบบผิดพลาดใน CVE-2026-3083 และ CVE-2026-3085 ผู้โจมตีระยะไกลอาจทำให้แอปล่มหรือรันโค้ดได้ ฐาน CVE ของ Ubuntu อธิบายว่ามีการตรวจข้อมูลไม่เพียงพอก่อนเขียนลงหน่วยความจำ ในประกาศนี้ทั้งคู่กระทบ Ubuntu 16.04, 18.04 และ 20.04 LTS
การอ่าน Matroska ใน CVE-2026-39043, WAV ใน CVE-2026-39044 และแทร็กเสียง MP4 ใน CVE-2026-46470 อาจทำให้แอปล่มจนใช้งานไม่ได้ ส่วน WavPack ใน CVE-2026-53705 อาจทำให้แอปล่มหรือรันโค้ดได้ กลุ่มนี้ในประกาศครอบคลุม Ubuntu 16.04, 18.04 และ 20.04 LTS เช่นกัน รายละเอียดตรวจสอบได้จากรายการ Matroska, WAV, MP4 audio และ WavPack ของ Ubuntu
อีกจุดคือ CVE-2026-46471 การจัดการไฟล์ MP4 ผิดพลาดอาจทำให้แอปล่มหรือเปิดเผยข้อมูลสำคัญ ในประกาศครอบคลุม Ubuntu 16.04, 18.04, 20.04 และ 22.04 LTS
ส่วน CVE-2026-111183 กระทบทั้ง Good Plugins และ Base Plugins จากการจัดการสตรีมเครือข่ายผิดพลาด ผู้โจมตีระยะไกลอาจทำให้บริการใช้งานไม่ได้หรือรันโค้ดได้ Ubuntu อธิบาย ว่าตรวจความยาวข้อมูลไม่เพียงพอก่อนคัดลอกลงหน่วยความจำ ผลกระทบเกิดกับโปรเซสที่ใช้ไลบรารีนั้น
ใครโดนและรุ่นที่แก้
ตารางนี้แสดงแพ็กเกจหลักจากข้อมูล USN ทางการ ให้เทียบทั้งชื่อแพ็กเกจและรุ่น Ubuntu:
| Ubuntu | gstreamer1.0-plugins-good |
gstreamer1.0-plugins-base |
|---|---|---|
| 26.10 | 1.28.7-1ubuntu0.1 |
1.28.7-1ubuntu0.1 |
| 22.04 LTS | 1.20.3-0ubuntu1.11 |
1.20.1-1ubuntu0.8 |
| 20.04 LTS | 1.16.3-0ubuntu1.3+esm5 |
1.16.3-0ubuntu1.4+esm4 |
| 18.04 LTS | 1.14.5-0ubuntu1~18.04.3+esm5 |
1.14.5-0ubuntu1~18.04.3+esm5 |
| 16.04 LTS | 1.8.3-1ubuntu0.5+esm5 |
1.8.3-1ubuntu0.3+esm6 |
เลขรุ่นยืนยันได้จากสถานะแพ็กเกจของ Ubuntu แพตช์สำหรับ 16.04, 18.04 และ 20.04 LTS อยู่ใน Ubuntu Pro โดย 16.04 LTS ต้องมี Legacy Support add-on ตารางนี้สรุปขอบเขต USN-9038-1 เท่านั้น
ต้องทำอะไร
ตรวจแพ็กเกจที่ติดตั้งแล้วอัปเดตระบบตามปกติ เพื่อรับแพตช์ของแพ็กเกจย่อยที่เกี่ยวข้องด้วย:
dpkg-query -W gstreamer1.0-plugins-good gstreamer1.0-plugins-base
sudo apt update
sudo apt upgrade
หลังอัปเดตให้ตรวจเลขรุ่นอีกครั้ง และเปิดแอปหรือเริ่มบริการที่ใช้ GStreamer ใหม่เพื่อโหลดไลบรารีที่แก้แล้ว พร้อมทดสอบการรับสตรีมและอ่านไฟล์ สำหรับรุ่นที่ต้องใช้ Ubuntu Pro ให้ตรวจว่าเข้าถึงแหล่งแพ็กเกจที่มีแพตช์ได้
ส่วนตัวผมให้เครื่องที่รับสตรีมหรือไฟล์จากภายนอกเร่งแพตช์ก่อน เพราะมีความเสี่ยงรันโค้ดผ่านแอปที่ประมวลผลสื่อ ที่มา: USN-9038-1: GStreamer Good Plugins, GStreamer Base Plugins vulnerabilities เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first