Action Pack Page Caching เสี่ยงเขียนไฟล์บนเว็บ USN-9058-1
ผู้ดูแลระบบและนักพัฒนาที่ใช้ Action Pack Page Caching บน Ubuntu รุ่นที่ระบุควรติดตั้งแพตช์โดยเร็ว
1-minute summary
- Symptom / problem
- การจัดการพาธระหว่างบันทึกแคชผิดพลาด เปิดทางให้ผู้โจมตีระยะไกลเขียนไฟล์และอาจรันโค้ดบนเว็บเซิร์ฟเวอร์
- Who should read
- ผู้ดูแลระบบและนักพัฒนาที่ใช้ Action Pack Page Caching บน Ubuntu 20.04 LTS, 18.04 LTS และ 16.04 LTS
- Fix in short
- อัปเดต ruby-actionpack-page-caching เป็นรุ่นที่แก้สำหรับ Ubuntu แต่ละรุ่น แล้วตรวจสอบว่าแอปพลิเคชันใช้งานแพ็กเกจที่อัปเดตแล้ว
พอดีไล่ฟีด Ubuntu เจอประกาศ USN-9058-1 ลงวันที่ 11 พฤศจิกายน 2026 เรื่อง Action Pack Page Caching ซึ่งมีปัญหาตอนใช้พาธของคำขอเว็บบันทึกหน้าแคช ผู้โจมตีอาจใช้ช่องนี้เขียนไฟล์บนเว็บเซิร์ฟเวอร์ และอาจรันโค้ดได้ คนดูแลแอปที่ใช้ส่วนประกอบนี้ควรตรวจรุ่นที่โหลดอยู่และติดตั้งแพตช์
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากเว็บเซิร์ฟเวอร์ใช้แพ็กเกจนี้บน Ubuntu รุ่นที่ระบุ ให้ตรวจสอบสิทธิ์รับแพตช์และติดตั้งรุ่นที่แก้โดยเร็ว โดยให้ความสำคัญกับเว็บที่เปิดรับคำขอจากอินเทอร์เน็ต
- นักพัฒนา: หากแอปพลิเคชันใช้ Action Pack Page Caching ให้ตรวจสอบแหล่งติดตั้งและรุ่นที่แอปโหลดจริง แล้วนำรุ่นที่แก้ไปทดสอบและใช้งานโดยเร็ว
เกิดอะไรขึ้น
Action Pack Page Caching จัดการพาธของคำขอบางแบบไม่ถูกต้องตอนเขียนหน้าแคช คำขอที่สร้างมาโจมตีอาจทำให้เขียนไฟล์ไปยังตำแหน่งที่ผู้โจมตีเลือกได้
ช่องโหว่นี้คือ CVE-2020-8159 หน้า CVE ของ Ubuntu ระบุว่าอาจรันโค้ดได้ถ้าผู้โจมตีเขียนเนื้อหา ERB ที่ไม่ได้ escape ลงในไฟล์ view สำเร็จ ผลกระทบเลยขึ้นกับตำแหน่งและเนื้อหาที่เขียนได้ด้วย การพบแพ็กเกจที่มีช่องโหว่ไม่ได้แปลว่าถูกยึดเครื่องแล้ว แต่ควรเร่งแพตช์เพราะเกี่ยวกับการเขียนไฟล์บนเซิร์ฟเวอร์
ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 สถานะนี้ไม่ได้แปลว่าไม่มีการโจมตี
ใครโดนและรุ่นที่แก้
รายการประกาศ Ubuntu ระบุสามรุ่นด้านล่าง เลขแพ็กเกจตรวจจากหน้า CVE ของ Ubuntu เพราะหน้า USN ฉบับเต็มเปิดไม่ได้ระหว่างตรวจบทความ
| Ubuntu release | แพ็กเกจ | รุ่นที่แก้ |
|---|---|---|
| 20.04 LTS | ruby-actionpack-page-caching | 1.1.0-1ubuntu0.1~esm1 |
| 18.04 LTS | ruby-actionpack-page-caching | 1.0.2-4ubuntu0.18.04.1~esm1 |
| 16.04 LTS | ruby-actionpack-page-caching | 1.0.2-4ubuntu0.16.04.1~esm1 |
Ubuntu ระบุว่าแพตช์สำหรับ 20.04 และ 18.04 อยู่ใน ESM Apps ผ่าน Ubuntu Pro การตรวจพบว่ามีแพตช์แล้วเลยต้องดูควบคู่กับช่องทางอัปเดตที่เครื่องเข้าถึงได้ ส่วนผู้ที่ติดตั้งไลบรารีผ่าน Bundler ควรตรวจ dependency ของแอปแยกด้วย เพราะเลขแพ็กเกจ Ubuntu ในตารางใช้ยืนยันรุ่นของ gem ที่ติดตั้งคนละช่องทางไม่ได้
ต้องทำอะไร
สำหรับเครื่องที่ติดตั้งแพ็กเกจผ่าน APT ให้ตรวจรุ่นที่ติดตั้งและรุ่นที่คลังเสนอ ก่อนอัปเดตเฉพาะแพ็กเกจที่เกี่ยวข้อง คำสั่งต่อไปนี้ใช้กับกรณีที่ติดตั้งแพ็กเกจดังกล่าวอยู่แล้ว
sudo apt update
apt-cache policy ruby-actionpack-page-caching
sudo apt install --only-upgrade ruby-actionpack-page-caching
dpkg-query -W ruby-actionpack-page-caching
เทียบผลหลังอัปเดตกับแถวของ Ubuntu รุ่นที่ใช้ หากคลังยังไม่เสนอรุ่นที่แก้ ให้ตรวจการเข้าถึงคลังแพตช์และสถานะบริการที่จำเป็นก่อนสรุปว่าอัปเดตเรียบร้อยแล้ว จากนั้นทดสอบการเปิดหน้าเว็บและการสร้างแคช รวมถึงตรวจว่าแอปพลิเคชันโหลดไลบรารีจากตำแหน่งที่ได้รับการอัปเดตจริง ขั้นตอนตรวจเหล่านี้เป็นคำแนะนำในการนำแพตช์ไปใช้
เรื่องวันที่มีข้อแตกต่างที่ควรบันทึกไว้: หน้ารวมประกาศและหน้า CVE ของ Ubuntu ระบุวันที่ USN-9058-1 เป็น 11 พฤศจิกายน 2026 ส่วนวันที่บทความในข้อมูลกำกับคงไว้เป็น 12 พฤศจิกายน 2026 ตามบรีฟ ตรวจสอบรายการประกาศ Ubuntu
ส่วนตัวผมให้รีบแพตช์หากเว็บใช้งาน Action Pack Page Caching โดยเฉพาะระบบที่รับคำขอจากภายนอก ที่มา: USN-9058-1: Action Pack Page Caching vulnerability (ประกาศทางการของ Ubuntu) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first