"Debian แก้ ImageMagick เสี่ยงรันโค้ดจากภาพ DSA-6611-1"
"ผู้ดูแล Debian trixie ที่ใช้ ImageMagick ประมวลผลภาพจากภายนอกควรเร่งติดตั้งแพตช์และตรวจรุ่นหลังอัปเดต"
1-minute summary
- Symptom / problem
- ภาพผิดรูปแบบอาจทำให้บริการล่ม ข้ามข้อจำกัด policy เปิดเผยข้อมูล หรืออาจรันโค้ดตามที่ผู้โจมตีต้องการ
- Who should read
- ผู้ใช้แพ็กเกจ imagemagick บน Debian stable รหัส trixie โดยเฉพาะระบบที่รับภาพจากผู้ใช้
- Fix in short
- อัปเดตแพ็กเกจของ trixie เป็น 8:7.1.1.43+dfsg1-1+deb13u14 หรือรุ่นใหม่กว่าจากคลัง Debian ที่ใช้งาน
พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6611-1 ลงวันที่ 4 พฤศจิกายน 2026 สำหรับ ImageMagick ชุดเครื่องมือแก้ไขและประมวลผลภาพดิจิทัล ช่องโหว่หลายรายการเกิดขึ้นได้เมื่อโปรแกรมอ่านภาพผิดรูปแบบ ใครดูแลเว็บรับอัปโหลดภาพ งานสร้างภาพย่อ หรืองานแปลงภาพอัตโนมัติ ควรตรวจว่าขั้นตอนไหนเรียกใช้ ImageMagick และแพ็กเกจที่ติดตั้งได้รับแพตช์แล้วหรือยัง
เกิดอะไรขึ้น
Debian ระบุว่า ImageMagick มีช่องโหว่หลายจุด เมื่อประมวลผลภาพผิดรูปแบบ โปรแกรมอาจล่ม ข้ามข้อจำกัดของ security policy หรือเปิดเผยข้อมูลได้ บางกรณีอาจรันโค้ดตามที่ผู้โจมตีต้องการ
ให้ไล่ดูว่าไฟล์ภาพถูกส่งไปประมวลผลที่ใดบ้าง เช่น เว็บรับไฟล์แล้วส่งให้ worker สร้างภาพย่อ หากขั้นตอนนั้นใช้ ImageMagick ก็ต้องตรวจแพตช์ด้วย ไม่ว่าจะเรียกผ่านคำสั่งโดยตรงหรือผ่านแอป
Debian สรุปผลกระทบรวมของช่องโหว่ชุดนี้ ไม่ควรอ่านว่าทุก CVE ทำให้รันโค้ดได้เหมือนกัน รายการอ้างอิงใน Debian Security Tracker มี CVE ทั้ง 46 รายการดังนี้:
- CVE-2026-105081, CVE-2026-105083
- CVE-2026-109258, CVE-2026-109259, CVE-2026-109260, CVE-2026-109262, CVE-2026-109263, CVE-2026-109264, CVE-2026-109265, CVE-2026-109266, CVE-2026-109267, CVE-2026-109268, CVE-2026-109269, CVE-2026-109270
- CVE-2026-109272, CVE-2026-109273, CVE-2026-109274, CVE-2026-109275, CVE-2026-109276, CVE-2026-109277, CVE-2026-109278, CVE-2026-109279, CVE-2026-109280, CVE-2026-109281, CVE-2026-109282, CVE-2026-109964
- CVE-2026-116140, CVE-2026-116141, CVE-2026-116142, CVE-2026-116143, CVE-2026-116144, CVE-2026-116145, CVE-2026-116146, CVE-2026-116147, CVE-2026-116148, CVE-2026-116149, CVE-2026-116150, CVE-2026-116151
- CVE-2026-116153, CVE-2026-116154, CVE-2026-116155, CVE-2026-116156, CVE-2026-116157, CVE-2026-116158, CVE-2026-116159, CVE-2026-116160
ใครโดนและรุ่นที่แก้
Debian Security Tracker ของ DSA นี้ระบุรุ่นแก้สำหรับ stable รหัส trixie ผู้ดูแลควรเทียบเวอร์ชันแพ็กเกจ Debian แบบเต็ม รวมส่วน epoch และ Debian revision เพื่อให้ตรวจตรงกับรุ่นที่ประกาศไว้
| Debian release | แพ็กเกจ | รุ่นที่แก้ตาม DSA-6611-1 |
|---|---|---|
| stable (trixie) | imagemagick | 8:7.1.1.43+dfsg1-1+deb13u14 |
ตารางนี้ให้รุ่นแก้เฉพาะ trixie หากใช้ release อื่นให้ตรวจ Debian Security Tracker ของ imagemagick ตาม release ที่ติดตั้ง ไม่ควรนำเลขรุ่นของ trixie ไปเทียบข้ามสายแพ็กเกจแล้วสรุปสถานะเอง
ต้องทำอะไร
ให้อัปเกรดแพ็กเกจ imagemagick ที่ใช้งาน สำหรับเครื่อง trixie ที่ใช้คลังแพ็กเกจ Debian ให้รีเฟรชรายการแพ็กเกจและติดตั้งอัปเดต ตรวจรายการที่ APT เสนอก่อนยืนยัน คำสั่งด้านล่างติดตั้งอัปเดตที่ APT เสนอ รวมถึงแพ็กเกจอื่นด้วย จากนั้นแสดงรุ่น imagemagick เพื่อตรวจซ้ำ ให้ดูด้วยว่ามีแพ็กเกจที่ยังไม่ถูกอัปเกรดหรือไม่
sudo apt update
sudo apt upgrade
apt-cache policy imagemagick
หลังอัปเดตให้ตรวจค่า Installed ว่าได้รับรุ่นแก้ตามตารางหรือใหม่กว่าในสาย trixie แล้ว ถ้า Candidate ยังเก่า ให้ตรวจว่าตั้งค่าคลัง security ถูกต้องและการดึงรายการแพ็กเกจไม่มีข้อผิดพลาด ตรวจเลขรุ่นที่ติดตั้งจริงก่อนสรุปว่าแพตช์แล้ว
ทดสอบงานแปลงภาพตามปกติด้วยไฟล์ที่เชื่อถือได้ ตรวจว่างานสร้างภาพย่อและคิวประมวลผลยังทำงานครบ หากแอปพลิเคชันหรือ worker โหลดไลบรารีค้างอยู่ ให้เริ่มโปรเซสนั้นใหม่ตามขั้นตอนบำรุงรักษาของระบบ ส่วน container หรือชุดติดตั้งที่แยกจากแพ็กเกจของเครื่อง ต้องตรวจและอัปเดตในสภาพแวดล้อมที่รันงานจริงด้วย
ส่วนตัวผมแนะนำให้เร่งแพตช์ระบบที่รับภาพจากภายนอก เพราะประกาศระบุถึงความเป็นไปได้ในการรันโค้ดด้วย ที่มา: Debian Security Advisory DSA-6611-1 — imagemagick security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first