Debian แก้ apt เสี่ยงรันโค้ดสิทธิ์ root — DSA-6607-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6607-1 ลงวันที่ 4 พฤศจิกายน 2026 เป็นแพตช์ของ apt ซึ่งใช้ติดตั้งและอัปเดตแพ็กเกจ ช่องโหว่นี้เปิดทางให้ผู้โจมตีเปลี่ยนไฟล์แพ็กเกจหลังผ่านการตรวจสอบแล้ว ผลกระทบอาจถึงการรันโค้ดด้วยสิทธิ์ root

เกิดอะไรขึ้น

Max Justicz พบช่องโหว่ CVE-2026-109518 ใน APT โดยประกาศอธิบายว่า APT สามารถรวมการดาวน์โหลดแพ็กเกจสองรายการที่ต่างกันเข้าด้วยกัน เมื่อ HTTP redirect ทำให้ทั้งสองรายการมี URI เดียวกัน

เมื่อมีการดาวน์โหลดผ่าน HTTP ต่อจากส่วนที่ค้างไว้ การจัดการไฟล์ที่ไม่ถูกต้องเปิดทางให้ผู้โจมตีแบบ man-in-the-middle แทนที่แพ็กเกจหลังการตรวจสอบได้ ผลที่ Debian ระบุคือการรันโค้ดตามที่ผู้โจมตีต้องการด้วยสิทธิ์ root การโจมตีตามประกาศต้องอาศัยผู้โจมตีที่คั่นกลางการสื่อสาร รวมถึง HTTP redirect และการดาวน์โหลดต่อของ APT

จุดสำคัญคือไฟล์อาจถูกเปลี่ยนหลังตรวจสอบแล้ว การตรวจสอบที่ผ่านไปก่อนหน้าเลยป้องกันปัญหานี้ไม่ได้ ส่วนอัปเดตเดียวกันยังแก้ปัญหาการเข้าถึงข้อมูลนอกขอบเขตหลายจุดด้วย แต่ประกาศไม่ได้แจกแจงรายละเอียดของแต่ละจุด หรือให้คะแนน CVSS และระดับความรุนแรงเป็นตัวเลข

ใครโดนและรุ่นที่แก้

ประกาศฉบับนี้ระบุ Debian รุ่น stable ชื่อ trixie และให้รุ่นแก้ของแพ็กเกจ apt ไว้ชัดเจน ส่วนหน้า Security Tracker ของ DSA เดียวกันระบุสถานะของรุ่นที่มีช่องโหว่และรุ่นแก้ดังนี้

ตารางนี้บอกสถานะเฉพาะ trixie ไม่ได้แปลว่า Debian รุ่นอื่นปลอดภัย และไม่ควรนำเลขรุ่นไปเทียบข้าม release หากดูแล release อื่น ให้ตรวจสถานะของ apt สำหรับ release นั้นจาก Debian Security Tracker แยกต่างหาก

ต้องทำอะไร

Debian แนะนำให้อัปเกรดแพ็กเกจ apt ผู้ดูแล trixie ควรตรวจแหล่งแพ็กเกจของระบบให้พร้อมรับ security update แล้วอัปเดตรายการแพ็กเกจและติดตั้ง apt รุ่นแก้ ตัวอย่างคำสั่งสำหรับระบบที่ตั้งค่า repository ถูกต้องแล้วคือ

sudo apt-get update
apt-cache policy apt
sudo apt-get install --only-upgrade apt
dpkg-query -W apt

ตรวจค่า Candidate จาก apt-cache policy ว่ามีรุ่นแก้ 3.0.4 ให้ติดตั้ง และอ่านผลลัพธ์หลังอัปเกรดจาก dpkg-query เพื่อยืนยันรุ่นที่ติดตั้งจริง หากยังเสนอรุ่น 3.0.3 ให้ตรวจการตั้งค่า repository และข้อกำหนดการเลือกเวอร์ชันก่อนสรุปว่างานแพตช์เสร็จแล้ว หลังติดตั้งให้ตรวจเลขรุ่นซ้ำเสมอ

ประกาศนี้ไม่ได้เสนอ workaround ให้ใช้แทนแพตช์ แนวทางหลักเลยเป็นการติดตั้งรุ่นที่ Debian แก้แล้ว พร้อมตรวจผลหลังทำงาน

ส่วนตัวผมมองว่าควรเร่งแพตช์ apt บน trixie เพราะผลกระทบถึงสิทธิ์ root และเกี่ยวข้องกับเครื่องมือที่ใช้รับอัปเดตซอฟต์แวร์ ที่มา: Debian Security Advisory DSA-6607-1 และ Debian Security Tracker ถ้ามีรายละเอียดจาก Debian เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ