signing-party เสี่ยงรันคำสั่งผ่านคีย์ OpenPGP — USN-9087-1
ผู้ใช้ signing-party บน Ubuntu 18.04 LTS และ 16.04 LTS ควรติดตั้งแพตช์ก่อนใช้ gpg-key2ps ประมวลผลคีย์จากภายนอก
1-minute summary
- Symptom / problem
- gpg-key2ps กรอง user ID ในคีย์ OpenPGP ไม่รัดกุมก่อนส่งให้ shell ทำให้ผู้โจมตีอาจสั่งรันคำสั่งได้
- Who should read
- ผู้ใช้ทั่วไปและผู้ดูแลระบบที่ใช้ gpg-key2ps ใน signing-party บน Ubuntu 18.04 LTS หรือ 16.04 LTS
- Fix in short
- อัปเดต signing-party เป็น 2.7-1ubuntu0.1~esm1 บน Ubuntu 18.04 LTS หรือ 2.2-1ubuntu0.1~esm1 บน Ubuntu 16.04 LTS
พอดีเห็น Ubuntu ออกประกาศ USN-9087-1 ลงวันที่ 12 พฤศจิกายน 2026 แก้ช่องโหว่ใน signing-party ซึ่งเป็นชุดเครื่องมือ OpenPGP ปัญหาอยู่ที่ gpg-key2ps หากนำคีย์ที่ผู้โจมตีเตรียมไว้มาประมวลผล เครื่องมืออาจรันคำสั่งที่แฝงมากับคีย์ด้วยสิทธิ์ของผู้ใช้ที่เรียกงาน
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: ถ้าใช้ gpg-key2ps บน Ubuntu 18.04 LTS หรือ 16.04 LTS ให้อัปเดต signing-party ก่อนนำคีย์จากผู้อื่นมาประมวลผลอีกครั้ง
- ผู้ดูแลระบบ: ตรวจเครื่อง Ubuntu สองรุ่นนี้ที่มีงานเรียก gpg-key2ps และติดตั้งแพตช์ก่อนปล่อยให้งานรับคีย์จากภายนอกทำงานต่อ
เกิดอะไรขึ้น
ช่องโหว่ที่ประกาศอ้างถึงคือ CVE-2019-11627 เครื่องมือ gpg-key2ps กรอง user ID จากคีย์ OpenPGP ไม่รัดกุมก่อนส่งให้ shell ข้อความระบุตัวตนเลยอาจถูกอ่านเป็นส่วนหนึ่งของคำสั่ง เรียกการโจมตีแบบนี้ว่า shell injection
ผู้ใช้ต้องถูกหลอกให้นำคีย์ที่ผู้โจมตีเตรียมไว้มาประมวลผลก่อน คำสั่งจะทำงานด้วยสิทธิ์ของบัญชีที่เรียกเครื่องมือ ผู้ดูแลควรตรวจว่ามีงานใดรับคีย์จากภายนอกมาใช้กับ gpg-key2ps และงานนั้นใช้บัญชีที่เข้าถึงข้อมูลใดได้บ้าง
ประกาศ USN ฉบับนี้ไม่ได้ระบุคะแนน CVSS หรือระดับความรุนแรงไว้ และไม่ได้เสนอวิธีแก้ขัดเฉพาะหน้า แนวทางแก้ที่ระบุคืออัปเดตแพ็กเกจ
ใครโดนและรุ่นที่แก้
ประกาศนี้มีแพตช์สำหรับ Ubuntu สองรุ่นตามตาราง ให้เลือกรุ่นแพ็กเกจให้ตรงกับ Ubuntu ของเครื่อง เพราะแต่ละรุ่นใช้หมายเลขแพตช์ต่างกัน
| Ubuntu release | แพ็กเกจ | รุ่นที่แก้ |
|---|---|---|
| 18.04 LTS (Bionic) | signing-party | 2.7-1ubuntu0.1~esm1 |
| 16.04 LTS (Xenial) | signing-party | 2.2-1ubuntu0.1~esm1 |
รายการ Ubuntu 18.04 LTS ในประกาศระบุว่าแพตช์ให้บริการผ่าน Ubuntu Pro ใน ESM Apps ควรตรวจสิทธิ์และแหล่งแพ็กเกจของเครื่องก่อนอัปเดต
ต้องทำอะไร
ตรวจว่ามี signing-party ติดตั้งอยู่หรือไม่ และมีคนหรือสคริปต์เรียก gpg-key2ps รับคีย์จากภายนอกหรือเปล่า จากนั้นตรวจช่องทางรับแพตช์และอัปเดตระบบตามแนวทางของ Ubuntu คำสั่งแรกและคำสั่งท้ายใช้ดูรุ่นก่อนและหลังอัปเดต
dpkg-query -W signing-party
sudo apt update && sudo apt upgrade
dpkg-query -W signing-party
เทียบรุ่นหลังอัปเดตกับตาราง หากยังเป็นรุ่นเก่า ให้ตรวจว่าคลังมีแพตช์ให้ติดตั้งและเครื่องมีสิทธิ์รับอัปเดต โดยเฉพาะ Ubuntu 18.04 LTS ที่ประกาศระบุ ESM Apps อย่าเพิ่งบันทึกว่างานเสร็จจากผลคำสั่งอัปเดตเพียงอย่างเดียว
ถ้ามีงานรับคีย์จากผู้อื่น ให้ตรวจและอัปเดตเครื่องที่ประมวลผลคีย์จริง ระหว่างเตรียมแพตช์ แนะนำให้พักการนำคีย์ที่ไม่ทราบแหล่งที่มาผ่าน gpg-key2ps ข้อนี้เป็นคำแนะนำลดความเสี่ยงระหว่างรออัปเดต ไม่ใช่วิธีแก้ขัดที่ Ubuntu ระบุไว้
ส่วนตัวผมให้เร่งแพตช์ก่อนประมวลผลคีย์จากภายนอก หากไม่ได้ใช้งานเครื่องมือนี้ให้จัดอัปเดตในรอบบำรุงรักษา ที่มา: USN-9087-1: signing-party vulnerability (ประกาศ Ubuntu) ถ้ามีรายละเอียดจากต้นทางเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first