Debian แพตช์ PostgreSQL 17 หลายช่องโหว่ DSA-6625-1
ผู้ดูแล PostgreSQL 17 บน Debian trixie ควรเร่งอัปเดตและตรวจ extension ที่ต้องคอมไพล์ใหม่ให้ครบ
1-minute summary
- Symptom / problem
- หลายช่องโหว่อาจนำไปสู่การรันโค้ด การยืนยันตัวตนผิดพลาด ข้อมูลรั่ว บริการล่ม หรือการยกระดับสิทธิ์
- Who should read
- ผู้ดูแลระบบที่ใช้ PostgreSQL 17 บน Debian trixie และนักพัฒนาที่ดูแล extension ของฐานข้อมูลนี้
- Fix in short
- อัปเดตแพ็กเกจให้ถึง 17.12-0+deb13u1 ตาม Security Tracker และติดตามแพ็กเกจ extension ที่คอมไพล์ใหม่
พอดีไล่ฟีด Debian เจอประกาศ DSA-6625-1 ลงวันที่ 13 พฤศจิกายน 2026 สำหรับ postgresql-17 มีสองจุดที่ผู้ดูแลต้องเช็ก คือเลขรุ่นในอีเมลกับ Security Tracker ไม่ตรงกัน และ extension บางตัวต้องคอมไพล์ใหม่
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ PostgreSQL 17 บน Debian trixie ให้เร่งจัดเวลาอัปเดตฐานข้อมูลและตรวจว่าส่วนขยายที่ใช้ต้องอัปเดตด้วยหรือไม่
- นักพัฒนา: ถ้าพัฒนา extension ภาษา C สำหรับ PostgreSQL 17 ให้เร่งคอมไพล์กับรุ่นที่แก้แล้วและทดสอบก่อนส่งให้ผู้ดูแลระบบติดตั้ง
เกิดอะไรขึ้น
Debian ระบุว่าช่องโหว่ชุดนี้อาจทำให้ผู้โจมตีรันโค้ดหรือยกระดับสิทธิ์ได้ บางช่องโหว่กระทบการยืนยันตัวตน ทำให้ข้อมูลรั่ว หรือทำให้บริการล่ม เงื่อนไขของแต่ละช่องโหว่ต่างกัน DSA ไม่ได้อธิบายแยกทุกข้อ และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS
ตัวอย่างคือ CVE-2026-6460 ซึ่งเป็นปัญหา type confusion หรือการอ่านค่าเป็นข้อมูลผิดชนิด ผู้โจมตีต้องมีสิทธิ์สร้างออบเจ็กต์ในฐานข้อมูลก่อน แล้วอาจใช้คำสั่งเปลี่ยนชนิดข้อมูล เช่น ALTER ... SET DATA TYPE เพื่อรันโค้ดด้วยสิทธิ์ของบัญชีระบบที่รันฐานข้อมูลได้
DSA ระบุ CVE ทั้งหมด 47 รายการ อ่านรายชื่อครบได้จากประกาศ Debian ผู้ดูแลควรใช้รายชื่อนั้นเทียบกับรายการแพตช์ โดยไม่เหมารวมว่าทุกช่องโหว่โจมตีได้ในเงื่อนไขเดียวกัน
ใครโดนและรุ่นที่แก้
ประกาศครอบคลุม postgresql-17 บน Debian stable ชื่อ trixie โดยแหล่งทางการระบุรุ่นต่างกัน:
| ระบบ / แพ็กเกจ | รุ่นที่ระบุ | ความหมายจากแหล่งข้อมูล |
|---|---|---|
| trixie / postgresql-17 ในอีเมล DSA | 17.11-0+deb13u1 | อีเมลระบุว่าเป็นรุ่นแก้ |
| trixie / postgresql-17 ใน Security Tracker | 17.11-0+deb13u1 | Tracker ระบุว่ายังมีช่องโหว่ |
| trixie-security / postgresql-17 ใน Security Tracker | 17.12-0+deb13u1 | Tracker ระบุว่าแก้แล้ว |
ให้ตรวจแพ็กเกจเทียบกับ Debian Security Tracker ของ DSA-6625-1 ที่ระบุรุ่นแก้เป็น 17.12-0+deb13u1 ทั้งสองหน้าไม่ได้อธิบายสาเหตุที่เลขรุ่นต่างกัน อย่าใช้เลข 17.11 ในอีเมลเป็นเกณฑ์ปิดงานแพตช์ ให้ตรวจว่าติดตั้งรุ่นที่ Tracker ระบุว่าแก้แล้ว
ต้องทำอะไร
ตรวจว่าเปิดใช้แหล่งแพ็กเกจ security ของ trixie แล้ว สำรองข้อมูลและเผื่อช่วงหยุดบริการด้วย ชุดคำสั่งนี้แสดงรุ่นที่ติดตั้งและรุ่นที่พร้อมให้อัปเดต จากนั้นอัปเกรดแพ็กเกจของระบบและตรวจเลขรุ่นแพ็กเกจฐานข้อมูลอีกครั้ง:
sudo apt-get update
apt-cache policy postgresql-17 postgresql-client-17
sudo apt-get upgrade
dpkg-query -W postgresql-17 postgresql-client-17
อ่านรายการแพ็กเกจที่ apt จะอัปเดตก่อนยืนยัน ถ้ายังไม่มีรุ่นแก้ให้ตรวจ repository และแพ็กเกจที่ถูกพักการอัปเกรด Debian Security FAQ แนะนำให้อัปเดตแพ็กเกจที่ติดตั้งทั้งหมดซึ่งสร้างจาก source package ที่มีปัญหา และอาจต้องเริ่มบริการใหม่ เลขรุ่นจาก dpkg-query บอกว่าติดตั้งแพ็กเกจอะไรแล้ว แต่ควรตรวจด้วยว่าบริการที่กำลังรันใช้รุ่นที่แก้แล้ว หลังอัปเดตให้ทดสอบการเชื่อมต่อจากแอปและงานสำรองข้อมูล
Debian ระบุว่าการแก้ CVE-2026-6460 ให้ครบต้องคอมไพล์ extension บางตัวใหม่กับรุ่นที่ออกแพตช์ โดย Debian จะทยอยออกแพ็กเกจเหล่านี้ผ่าน trixie point release ผู้ดูแลควรติดตามแพ็กเกจส่วนขยายที่ใช้อยู่ ส่วนผู้พัฒนา extension ควรตรวจการคอมไพล์และทดสอบกับรุ่นแพตช์ก่อนนำไปใช้
ส่วนตัวผมมองว่าควรเร่งเข้ารอบแพตช์ที่ใกล้ที่สุด พร้อมตามงาน extension ต่อให้ครบ ที่มา: Debian DSA-6625-1 ถ้ามีรายละเอียดประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first