Debian แก้ ACL ใน trapperkeeper-authorization-clojure DSA-6609-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6609-1 ลงวันที่ 4 พฤศจิกายน 2026 แก้ช่องโหว่ใน trapperkeeper-authorization-clojure ซึ่งเป็นส่วนบริการตรวจสิทธิ์ของ Trapperkeeper ที่ Puppet server ใช้งาน บั๊กอยู่ที่การตรวจสิทธิ์ตามชื่อโฮสต์ client อาจดาวน์โหลด catalogue ของเครื่องอื่นได้ ผู้ดูแลที่ใช้ส่วนนี้ควรตรวจแพ็กเกจและเตรียมอัปเดต

เกิดอะไรขึ้น

Debian ระบุว่าบริการ authorisation ของ Trapperkeeper ตรวจ hostname ACL ไม่ถูกต้อง ACL คือกฎกำหนดสิทธิ์เข้าถึง ในกรณีนี้การตรวจตามชื่อโฮสต์มีปัญหา Puppet client เลยอาจดาวน์โหลด catalogue ของโฮสต์อื่นได้

ควรตรวจว่า catalogue ของแต่ละโฮสต์มีข้อมูลอะไร และบริการใดโหลดไลบรารีนี้ ความเสี่ยงที่ Debian ระบุคือการเข้าถึง catalogue ข้ามโฮสต์ ให้ใช้ผลกระทบนี้จัดลำดับแพตช์ ไม่ควรสรุปต่อว่าเป็นช่องโหว่รันโค้ดบนเซิร์ฟเวอร์

หน้า Debian Security Tracker ของ DSA-6609-1 ไม่มีหมายเลข CVE ในรายการอ้างอิง ให้ใช้เลข DSA นี้ติดตามแพตช์ได้

ใครโดนและรุ่นที่แก้

กลุ่มที่ต้องตรวจคือผู้ดูแล Puppet server หรือบริการที่ใช้ส่วน authorisation ของ Trapperkeeper บน Debian โดย Debian Security Tracker ของ DSA นี้ระบุรุ่นแก้สำหรับ stable ชื่อ trixie ชื่อในประกาศเป็นชื่อ source package ส่วนแพ็กเกจที่ใช้ติดตั้งผ่าน APT คือ libtrapperkeeper-authorization-clojure

ตารางนี้บอกสถานะเฉพาะ trixie หากดูแล release อื่นอยู่ ให้ตรวจ Debian Security Tracker ของแพ็กเกจ เพิ่มเติม อย่านำเลขรุ่นของ trixie ไปใช้ตัดสินสถานะของทุก release หรือเปลี่ยนคลังแพ็กเกจข้าม release เพื่อเอาแพตช์นี้

ต้องทำอะไร

เริ่มจากตรวจว่าติดตั้งแพ็กเกจนี้อยู่หรือไม่ และเปิดใช้คลัง security ของ release ที่ใช้งานแล้ว จากนั้นรีเฟรชรายการแพ็กเกจ ดูรุ่น Installed และ Candidate ก่อนอัปเดต คำสั่งต่อไปนี้ใช้ตัวเลือก --only-upgrade เพื่ออัปเกรดแพ็กเกจที่ติดตั้งอยู่แล้ว

dpkg-query -W libtrapperkeeper-authorization-clojure
sudo apt update
apt-cache policy libtrapperkeeper-authorization-clojure
sudo apt install --only-upgrade libtrapperkeeper-authorization-clojure
dpkg-query -W libtrapperkeeper-authorization-clojure

สำหรับ trixie ให้ตรวจผลหลังติดตั้งว่าได้ 2.0.1-2+deb13u1 หรือรุ่นที่ใหม่กว่าจากคลังที่ถูกต้อง หาก Candidate ยังเป็นรุ่นก่อนแพตช์ ให้ตรวจแหล่งแพ็กเกจและสถานะการอัปเดตรายการก่อนดำเนินการต่อ หลังอัปเดตควรวางแผนรีสตาร์ตบริการที่โหลดไลบรารีนี้ตามขั้นตอนของระบบ แล้วทดสอบว่า client ที่ถูกต้องยังทำงานได้ และการตรวจสิทธิ์ยังแยกแต่ละโฮสต์ตามที่กำหนดไว้ ให้ใช้แพตช์ของ release ที่ติดตั้งอยู่เป็นหลัก

ส่วนตัวผมมองว่าถ้าใช้ Puppet server ที่พึ่งพาแพ็กเกจนี้ ควรเร่งแพตช์ เพราะ client อาจอ่าน catalogue ของโฮสต์อื่นได้ ที่มา: Debian Security Advisory DSA-6609-1 หากประกาศมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ