"Debian แก้ช่องโหว่ Squid หลายรายการใน DSA-6606-1"

พอดีเห็น Debian ออกประกาศ DSA-6606-1 ลงวันที่ 3 พฤศจิกายน 2026 แก้ช่องโหว่ใน Squid ซึ่งเป็นพร็อกซีสำหรับเว็บที่เก็บแคชได้ ใครใช้เป็นทางผ่านของทราฟฟิกเว็บควรตรวจแพ็กเกจที่ติดตั้งและวางแผนอัปเดต เพราะปัญหาครอบคลุมทั้งการตีความคำขอ การจัดการบัฟเฟอร์ และคำสั่ง FTP

เกิดอะไรขึ้น

Debian ระบุว่าช่องโหว่หลายรายการอาจทำให้เกิด request smuggling, buffer overflow หรือ FTP command injection ได้ภายใต้เงื่อนไขบางอย่าง หมายเลขที่ประกาศครอบคลุมคือ CVE-2026-61642, CVE-2026-62846 และ CVE-2026-104786 โดยข้อความใน DSA ไม่ได้แจกแจงว่าปัญหาแต่ละประเภทตรงกับ CVE ใด

request smuggling คือการแทรกคำขอโดยอาศัยจุดที่ระบบอ่านขอบเขตคำขอไม่ตรงกัน ส่วน buffer overflow คือการเขียนข้อมูลเกินบัฟเฟอร์ และ FTP command injection คือการแทรกข้อมูลให้กลายเป็นคำสั่ง FTP ประกาศไม่ได้แยกเงื่อนไขและผลกระทบของแต่ละ CVE เลยยังสรุปไม่ได้ว่าทุกการตั้งค่าถูกโจมตีได้ หรือผู้โจมตีจะยึดเครื่องได้

DSA ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS และไม่ได้เสนอ workaround คำแนะนำที่ Debian ให้ไว้คืออัปเกรดแพ็กเกจ squid ตาม ประกาศความปลอดภัยฉบับทางการ

ใครโดนและรุ่นที่แก้

ขอบเขตรุ่นที่ประกาศนี้ระบุแพตช์ไว้คือ Debian stable ชื่อ trixie ส่วน Debian Security Tracker ของ DSA-6606-1 แสดงแพ็กเกจต้นทางและสถานะดังนี้

เวลาเทียบรุ่น ให้ดูเลขแพ็กเกจเต็มรวมส่วน +deb13u4 ไม่ใช่ดูเฉพาะ 6.13 เพราะตารางของ Debian ใช้เลขรุ่นเต็มแยกสถานะก่อนและหลังแพตช์ สำหรับ release อื่น DSA ฉบับนี้ไม่ได้ระบุรุ่นแก้ไว้ ควรตรวจสถานะของ release นั้นใน tracker แยกต่างหากก่อนตัดสินใจ ห้ามนำเลขแพ็กเกจของ trixie ไปใช้แทนกันโดยตรง

ต้องทำอะไร

เริ่มจากตรวจว่าเครื่องใช้ release ใด มีแพ็กเกจ squid อยู่หรือไม่ และตั้งคลังความปลอดภัยตรงกับ release แล้วหรือยัง สำรองไฟล์ตั้งค่าที่จำเป็นก่อนเปลี่ยนแพ็กเกจ หากบริการเป็นทางผ่านหลักของผู้ใช้ ให้เตรียมช่วงบำรุงรักษาและวิธีตรวจการเชื่อมต่อหลังอัปเดตไว้ด้วย ขั้นตอนต่อไปเป็นคำแนะนำด้านการดูแลระบบสำหรับการติดตั้งผ่าน APT

dpkg-query -W -f='${Package}\t${Version}\n' squid
sudo apt update
apt-cache policy squid
sudo apt install --only-upgrade squid
dpkg-query -W -f='${Package}\t${Version}\n' squid
systemctl status squid --no-pager

ก่อนติดตั้ง ให้ดูค่า Candidate จาก apt-cache policy ว่าเป็นรุ่นที่แก้แล้ว หากยังเห็นรุ่นเดิม ให้ตรวจแหล่งแพ็กเกจ การตรึงรุ่น และข้อผิดพลาดจาก APT ตัวเลือก --only-upgrade จะอัปเกรดแพ็กเกจที่ติดตั้งอยู่ หลังทำงานเสร็จต้องอ่านเลขรุ่นที่ติดตั้งจริงอีกครั้ง

ตรวจสถานะบริการพร้อมบันทึกการทำงาน และทดสอบการใช้งานผ่านพร็อกซีด้วยคำขอปกติที่ได้รับอนุญาต เพื่อยืนยันว่าการเชื่อมต่อและกฎควบคุมสิทธิ์ยังทำงานตามที่ตั้งไว้ หากมีแพ็กเกจ Squid แยกย่อยหรือการติดตั้งแบบกำหนดเอง ให้ตรวจรายการที่ใช้งานจริงเพิ่มเติม บันทึกรุ่นก่อนและหลังไว้ในงานบำรุงรักษา เพื่อให้ย้อนตรวจหลักฐานการรับแพตช์ได้

ส่วนตัวผมให้เร่งอัปเดตหากใช้งาน Squid บน trixie อยู่ เพราะเป็นแพตช์หลายช่องโหว่ในบริการที่รับและส่งต่อคำขอเครือข่าย ที่มา: Debian Security Advisory DSA-6606-1 — squid security update หากมีรายละเอียดเพิ่มเติมจาก Debian เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ