Debian แก้ช่องโหว่ Erlang/OTP หลายส่วนใน DSA-6580-1

พอดีไล่ฟีด Debian แล้วเจอประกาศ DSA-6580-1 ลงวันที่ 23 ตุลาคม 2026 แก้ช่องโหว่หลายจุดใน Erlang/OTP ซึ่งเป็นทั้งภาษาโปรแกรมและสภาพแวดล้อมรันโปรแกรม ผมมองว่าคนดูแลระบบควรตรวจแพ็กเกจนี้ด้วย แม้ตัวแอปจะไม่ได้เขียนด้วย Erlang โดยตรง เพราะอาจมีบริการที่ติดตั้ง runtime นี้เป็นส่วนประกอบอยู่แล้ว

เกิดอะไรขึ้น

Debian ระบุผลกระทบไว้หลายแบบ ตั้งแต่ denial of service หรือทำให้บริการใช้งานไม่ได้ ไปจนถึง HTTP request smuggling และการข้ามการยืนยันตัวตนหรือข้อจำกัดการเข้าถึง รวมถึงการปลอมตัวเป็นเซิร์ฟเวอร์ TLS ด้วย ผลกระทบเหล่านี้มาจากช่องโหว่หลายรายการ ไม่ควรตีความว่าทุกแอปที่ใช้ Erlang จะเจอทุกอาการเหมือนกัน

ส่วนที่มีปัญหาได้แก่ HTTP client และ server, SSH, TLS, ตัวถอดรหัส ASN.1 และ network driver รวมถึงส่วนอ่านข้อมูล URI, LDAP และ SNMP

แพตช์ตรวจข้อมูลตามกฎของ protocol เข้มงวดขึ้น และจำกัดการใช้ทรัพยากรของ HTTP/SSH เพิ่มเติม ประกาศไม่ได้อธิบายแต่ละ CVE แยกกัน และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

รายการอ้างอิงครบทั้ง 18 หมายเลขคือ CVE-2026-55951, CVE-2026-59696, CVE-2026-65634, CVE-2026-66357, CVE-2026-66835, CVE-2026-68956, CVE-2026-69664, CVE-2026-70399, CVE-2026-70405, CVE-2026-70409, CVE-2026-71380, CVE-2026-73270, CVE-2026-73276, CVE-2026-73812, CVE-2026-74835, CVE-2026-74994, CVE-2026-75538 และ CVE-2026-89422

ใครโดนและรุ่นที่แก้

ประกาศนี้ให้รุ่นแก้สำหรับ stable หรือ trixie เท่านั้น ส่วน Debian Security Tracker ของ DSA เดียวกันระบุแพ็กเกจต้นทางที่ยังมีช่องโหว่และรุ่นที่แก้ดังตาราง

สำหรับ Debian รุ่นอื่น ประกาศนี้ไม่ได้ให้เลขรุ่นแพตช์ไว้ ให้ตรวจสถานะของ release ที่ใช้อยู่จาก Debian Security Tracker ก่อนเลือกแพ็กเกจ อย่านำเลขรุ่นของ trixie ไปใช้เป็นเกณฑ์ตัดสินข้าม release

ต้องทำอะไร

เริ่มจากตรวจว่ามีแพ็กเกจ Erlang ติดตั้งอยู่หรือไม่ และมีแอปหรือบริการใดใช้งานมัน เตรียมข้อมูลสำรองกับแผนย้อนกลับตามขั้นตอนดูแลระบบ จากนั้นรีเฟรชรายการแพ็กเกจและติดตั้งอัปเดตจากคลัง Debian ที่ตั้งค่าไว้ ตัวอย่างนี้ใช้ apt upgrade ซึ่งอาจอัปเดตแพ็กเกจอื่นพร้อมกันด้วย ควรอ่านรายการเปลี่ยนแปลงก่อนยืนยัน

sudo apt update
sudo apt upgrade
apt list --installed 'erlang*'

หลังติดตั้ง ให้เทียบรุ่นแพ็กเกจ Erlang กับตาราง หากยังเป็นรุ่นเก่า ให้ตรวจคลังแพ็กเกจและการตั้งค่า pinning

เริ่มบริการที่ใช้ runtime นี้ใหม่ตามคู่มือของแต่ละแอป แล้วตรวจ log และทดสอบงานหลัก โดยเฉพาะการเชื่อมต่อ HTTP, SSH และ TLS ที่แอปใช้

ประกาศไม่ได้เสนอ workaround ให้ใช้แทนแพตช์ และแนะนำให้อัปเกรดแพ็กเกจ erlang โดยตรง การตรวจว่าบริการกลับมาทำงานได้ควรรวมทั้งคำขอปกติและการจัดการข้อผิดพลาดของแอป เพื่อให้เห็นปัญหาความเข้ากันได้ก่อนส่งต่องาน

ส่วนตัวผมให้เร่งแพตช์บริการที่เปิดรับข้อมูลจากเครือข่าย พร้อมเผื่อเวลาทดสอบความเข้ากันได้ ที่มา: Debian Security Advisory DSA-6580-1 หากมีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ