'Debian แก้ aide หลบการตรวจจับไฟล์อันตราย DSA-6578-1'

พอดีไล่ฟีด Debian เจอประกาศ DSA-6578-1 ลงวันที่ 22 ตุลาคม 2026 แจ้งอัปเดตความปลอดภัยของ aide เครื่องมือตรวจจับการบุกรุกที่ผู้ดูแลใช้เฝ้าดูความเปลี่ยนแปลงของไฟล์ ประเด็นนี้กระทบความน่าเชื่อถือของการตรวจจับโดยตรง เพราะผู้ใช้ภายในเครื่องอาจอาศัยช่องโหว่เพื่อหลบการตรวจพบไฟล์อันตรายได้ ใครใช้ aide เป็นส่วนหนึ่งของงานตรวจระบบควรตรวจแพ็กเกจที่ติดตั้งและวางแผนอัปเดต

เกิดอะไรขึ้น

Debian ระบุว่าพบช่องโหว่สองรายการใน aide ผู้ใช้ภายในเครื่องอาจใช้ช่องโหว่เพื่อซ่อนไฟล์อันตรายจากการตรวจของ aide ได้ ผู้ดูแลเลยอาจพลาดไฟล์ที่ควรมีคำเตือน และได้รายงานที่ไม่ครบ

ตัวประกาศไม่ได้อธิบายรายละเอียดของแต่ละช่องโหว่ แต่ Debian Security Tracker ของ aide ระบุปัญหาไว้สองจุด คือการเปรียบเทียบค่าแฮชที่มี null byte และการอ่านชื่อไฟล์ที่มีไบต์ UTF-8 ไม่ถูกต้อง ทั้งสองจุดทำให้หลบการตรวจจับของ AIDE ได้

ขณะออก DSA-6578-1 ช่อง CVE ID ระบุว่ายังไม่มีหมายเลข และประกาศไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS บทความนี้เลยไม่กำหนดคะแนนเพิ่มเอง ส่วนหมายเลข CVE ของปัญหาเก่าที่อยู่ในหน้าแพ็กเกจเดียวกันไม่ควรนำมาผูกกับประกาศนี้โดยไม่มีหลักฐาน

ใครโดนและรุ่นที่แก้

ประกาศฉบับนี้ระบุ Debian stable ชื่อ trixie และแนะนำให้อัปเกรดแพ็กเกจ aide โดย Security Tracker ของ DSA แสดงข้อมูลดังนี้

เลขรุ่นในตารางรวมแพตช์ของ Debian ด้วย เวลาตรวจให้เทียบชื่อ release และเลขรุ่นเต็ม อย่าดูแค่ 0.19.1 ด้านหน้า ส่วน release อื่นให้ตรวจประกาศของรุ่นนั้น เพราะ DSA ฉบับนี้ระบุรุ่นที่แก้เฉพาะ trixie

ต้องทำอะไร

เริ่มจากตรวจว่าเครื่องติดตั้ง aide อยู่หรือไม่ จากนั้นรีเฟรชรายการแพ็กเกจ ตรวจรุ่น Candidate และอัปเกรด ตัวอย่างนี้ใช้กับเครื่อง trixie ที่ติดตั้ง aide อยู่แล้วและเปิดแหล่งแพ็กเกจ security update ที่ถูกต้อง

dpkg-query -W -f='${Package} ${Version}\n' aide
sudo apt update
apt-cache policy aide
sudo apt install --only-upgrade aide
dpkg-query -W -f='${Package} ${Version}\n' aide

หลังคำสั่งจบ ให้ตรวจเลขรุ่นที่ติดตั้งจริงว่าได้รับแพตช์สำหรับ trixie แล้ว หาก Candidate ยังเป็นรุ่นเดิม ให้ตรวจการตั้งค่า repository และ package pinning ก่อนสรุปว่าอัปเดตสำเร็จ การสั่งอัปเกรดโดยไม่มีแพ็กเกจใหม่ให้ติดตั้งยังไม่ใช่หลักฐานว่าปิดช่องโหว่แล้ว

ควรรันงานตรวจไฟล์ตามวิธีที่กำหนดไว้ในระบบ และตรวจว่างานตามเวลายังทำงานพร้อมส่งรายงานได้ตามปกติ หากพบความเปลี่ยนแปลงที่อธิบายไม่ได้ ให้ตรวจสอบก่อนรับเข้าเป็นค่าฐานใหม่ คำแนะนำส่วนนี้เป็นแนวทางปฏิบัติของผู้ดูแล ส่วน Debian แนะนำให้อัปเกรด aide และไม่ได้ระบุ workaround ในประกาศ

ส่วนตัวผมให้จัดคิวแพตช์โดยเร็วถ้าใช้ aide เฝ้าระวังไฟล์อยู่ เพราะช่องโหว่กระทบเครื่องมือที่ใช้ช่วยตรวจหาความผิดปกติ ที่มา: Debian Security Advisory DSA-6578-1 — aide security update และ Debian Security Tracker: DSA-6578-1 หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ