"Debian แก้ pdns เสี่ยงบริการล่มจาก DNS packet: DSA-6587-1"

พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6587-1 ลงวันที่ 27 ตุลาคม 2026 แก้ช่องโหว่ในแพ็กเกจ pdns หรือ PowerDNS DNS server ประเด็นนี้เกี่ยวกับการอ่านข้อมูลใน DNS packet และมีผลต่อความพร้อมใช้งานของบริการ ผู้ดูแลที่ใช้แพ็กเกจนี้บน trixie ควรตรวจรุ่นที่ติดตั้งและวางแผนรับแพตช์ตามประกาศ Debian Security Advisory

เกิดอะไรขึ้น

Debian ระบุว่า PowerDNS อ่าน packet ที่มี compression pointers ผิดพลาด จนอาจทำให้บริการล่ม หรือ denial of service (DoS) ช่องโหว่นี้คือ CVE-2026-73206 ส่วน Debian Security Tracker ระบุว่า packet ที่สร้างมาเฉพาะทำให้เกิดปัญหาขณะคลายข้อมูลชื่อ DNS ได้

ถ้า DNS หยุดตอบ แอปที่ต้องถามชื่อจากเซิร์ฟเวอร์นั้นก็อาจใช้งานสะดุดตามไปด้วย หลังอัปเดตเลยควรทดสอบคำตอบ DNS ให้ครบ

ประกาศไม่ได้ระบุคะแนน CVSS ระดับความรุนแรงเป็นตัวเลข หรือวิธีบรรเทาปัญหาชั่วคราว แนวทางแก้ที่ Debian แนะนำคืออัปเกรดแพ็กเกจ

ใครโดนและรุ่นที่แก้

ขอบเขตการอัปเดตใน DSA ฉบับนี้คือ Debian stable รหัส trixie สำหรับ source package ชื่อ pdns ส่วนแพ็กเกจตัวเซิร์ฟเวอร์ที่ติดตั้งผ่าน APT ใช้ชื่อ pdns-server และทำหน้าที่เป็น authoritative nameserver ตาม รายละเอียดแพ็กเกจ Debian

เลขรุ่นในตารางอ้างอิง รายการ DSA-6587-1 ใน Security Tracker ควรเทียบเลขแพ็กเกจ Debian ให้ครบทั้งส่วนท้าย ไม่ดูเฉพาะเลขรุ่นหลักของ PowerDNS เพราะประกาศชี้ไปที่รุ่นแพ็กเกจที่ Debian แจกจ่ายโดยตรง ตารางนี้แสดงขอบเขตของประกาศฉบับนี้ ไม่ได้ใช้ยืนยันสถานะของ Debian release อื่น

ต้องทำอะไร

เริ่มจากตรวจว่าเครื่องใช้ trixie และติดตั้ง pdns-server จริง จากนั้นสำรอง configuration และข้อมูล zone ตามวิธีจัดเก็บที่ใช้อยู่ เตรียมช่วงเวลาที่รับผลกระทบจากการเริ่มบริการใหม่ได้ แล้วรีเฟรชรายการแพ็กเกจ ตรวจ candidate version และติดตั้งแพ็กเกจตัวเซิร์ฟเวอร์ที่แก้แล้ว ตัวอย่างคำสั่งสำหรับเครื่องที่ติดตั้งแพ็กเกจนี้อยู่แล้วคือ

sudo apt update
apt-cache policy pdns-server
sudo apt install --only-upgrade pdns-server
dpkg-query -W pdns-server

ก่อนยืนยันการติดตั้ง ให้ตรวจรายการเปลี่ยนแปลงที่ APT แสดง รวมถึงแพ็กเกจ backend ของ PowerDNS ที่ใช้งานอยู่ หากมีแพ็กเกจที่สร้างจาก source pdns ติดตั้งร่วมกัน ควรตรวจรับอัปเดตให้ครบด้วย หาก candidate ยังไม่ใช่รุ่นที่แก้ อย่าเพิ่งถือว่าเครื่องได้รับแพตช์ ให้ตรวจแหล่งแพ็กเกจ security และข้อจำกัดการเลือกเวอร์ชันก่อน

หลังอัปเดต ให้ยืนยันเลขรุ่นที่ติดตั้ง ตรวจว่าบริการกลับมาทำงาน และทดสอบคำตอบ DNS ของ zone ที่ดูแลจากเส้นทางใช้งานจริง ตรวจ log ประกอบเพื่อหาความผิดปกติ การเห็นคำสั่งติดตั้งจบโดยไม่มีข้อผิดพลาดอย่างเดียวไม่พอสำหรับยืนยันว่าบริการตอบคำถามได้ตามเดิม

ส่วนตัวผมให้เคสที่ใช้ pdns บน trixie จัดรอบแพตช์โดยเร็ว เพราะปัญหากระทบความพร้อมใช้งานของ DNS โดยตรง ที่มา: DSA-6587-1 pdns — security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ