Ubuntu แก้ pngquant บัฟเฟอร์ล้นจากภาพ PNG — USN-9082-1
ผู้ดูแลระบบและนักพัฒนาที่ใช้ pngquant บน Ubuntu 16.04 LTS ควรเร่งอัปเดตก่อนประมวลผลภาพจากแหล่งที่ไม่เชื่อถือ
1-minute summary
- Symptom / problem
- ภาพ PNG ที่สร้างขึ้นเป็นพิเศษอาจทำให้ pngquant เกิดบัฟเฟอร์ล้น โปรแกรมล่ม หรือรันโค้ดตามที่ผู้โจมตีต้องการ
- Who should read
- ผู้ดูแลระบบและนักพัฒนาที่ใช้แพ็กเกจ pngquant บน Ubuntu 16.04 LTS
- Fix in short
- อัปเดตแพ็กเกจ pngquant เป็น 2.5.0-1ubuntu0.1~esm1 ตามประกาศ Ubuntu
พอดีเห็น Ubuntu ออกประกาศ USN-9082-1 ลงวันที่ 12 พฤศจิกายน 2026 แก้ช่องโหว่ใน pngquant เครื่องมือลดขนาดภาพ PNG หากเปิดภาพที่ผู้โจมตีสร้างขึ้นเป็นพิเศษ โปรแกรมอาจล่มหรือรันโค้ดด้วยสิทธิ์ของบัญชีที่เรียกโปรแกรม ใครใช้ pngquant บน Ubuntu 16.04 LTS ควรตรวจและอัปเดตแพ็กเกจตามประกาศนี้
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ pngquant บน Ubuntu 16.04 LTS ให้เร่งอัปเดตแพ็กเกจก่อนรับภาพจากภายนอกมาประมวลผล
- นักพัฒนา: หากโค้ดเรียก pngquant บน Ubuntu 16.04 LTS ให้ผู้ดูแลเครื่องอัปเดตแพ็กเกจก่อนนำภาพจากแหล่งที่ไม่เชื่อถือมาใช้
เกิดอะไรขึ้น
Choi Jaeseung พบว่า pngquant อ่านภาพ PNG บางแบบแล้วเกิด buffer overflow หรือเขียนข้อมูลเกินพื้นที่หน่วยความจำที่เตรียมไว้ ช่องโหว่นี้ใช้รหัส CVE-2016-5735 Ubuntu ระบุว่าผู้โจมตีอาจส่งภาพที่สร้างขึ้นเป็นพิเศษมาทำให้โปรแกรมล่มหรือรันโค้ดตามที่ต้องการได้
เงื่อนไขคือ pngquant ที่มีช่องโหว่ต้องเปิดไฟล์นั้นก่อน ผู้ดูแลควรตรวจว่างานใดรับภาพจากคนอื่นแล้วส่งต่อให้โปรแกรมนี้ เช่น สคริปต์ลดขนาดภาพสำหรับเว็บ หรืองานเบื้องหลังที่จัดการภาพอัปโหลด ตัวอย่างเหล่านี้เป็นจุดที่แนะนำให้ตรวจเพิ่ม
ตามประกาศ โค้ดที่ผู้โจมตีสั่งรันจะใช้สิทธิ์ของบัญชีที่เรียก pngquant คำแนะนำเพิ่มเติมคือแยกบัญชีสำหรับงานประมวลผลภาพ และให้สิทธิ์เฉพาะที่งานต้องใช้
CVE-2016-5735 ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 ของ CISA ส่วน USN ฉบับนี้ไม่ได้ระบุว่าพบการโจมตีจริง
ใครโดนและรุ่นที่แก้
USN ระบุรุ่นที่แก้ตามตารางนี้ แต่ไม่ได้บอกช่วงเวอร์ชันที่มีช่องโหว่ทั้งหมด ให้เทียบทั้งรุ่น Ubuntu และเลขเวอร์ชันแพ็กเกจเต็ม รวมส่วนท้ายด้วย
| Ubuntu | แพ็กเกจ | รุ่นที่แก้ไข |
|---|---|---|
| 16.04 LTS (Xenial) | pngquant | 2.5.0-1ubuntu0.1~esm1 |
ข้อมูลทางการยังไม่ตรงกัน: หน้า CVE ของ Ubuntu ระบุ Ubuntu 16.04 LTS ว่า “Vulnerable” แต่ USN-9082-1 ระบุว่ามีแพ็กเกจแก้แล้ว ตารางนี้ยึดรุ่นแพตช์จาก USN
หากโครงการแนบไฟล์โปรแกรม pngquant มาเอง ให้ตรวจไฟล์ที่งานเรียกใช้ด้วย คำแนะนำนี้ช่วยแยกไฟล์ของโครงการออกจากแพ็กเกจที่ APT อัปเดต
ต้องทำอะไร
Ubuntu ระบุว่าแก้ได้ด้วยการอัปเดตระบบตามปกติ สำหรับเครื่องที่ติดตั้ง pngquant ผ่าน APT ให้ดึงรายการแพ็กเกจ อัปเกรด แล้วตรวจเวอร์ชันด้วยคำสั่งชุดนี้
sudo apt update
sudo apt install --only-upgrade pngquant
apt-cache policy pngquant
ตรวจบรรทัด Installed ว่าเป็นรุ่นในตารางหรือรุ่นใหม่กว่าจากคลัง Ubuntu หากยังเป็นรุ่นเดิม ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับอัปเดตของเครื่อง หลังอัปเดต แนะนำให้ลองใช้ภาพที่เชื่อถือได้เพื่อตรวจว่างานแปลงภาพยังทำงานครบ
ส่วนตัวผมให้เร่งแพตช์หากใช้ pngquant รับภาพจากภายนอก ส่วนงานที่ใช้เฉพาะไฟล์ที่ควบคุมได้ให้จัดเข้ารอบบำรุงรักษาถัดไป ที่มา: USN-9082-1: pngquant vulnerability เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first