Debian แก้ DNS ล่มและข้าม DNSSEC ใน pdns-recursor DSA-6630-1
ผู้ดูแลระบบที่ใช้ pdns-recursor บน Debian trixie ควรเร่งเตรียมอัปเดต โดยอ่านคู่มือเปลี่ยนรุ่นก่อนติดตั้ง
1-minute summary
- Symptom / problem
- ช่องโหว่หลายรายการทำให้บริการ DNS หยุดทำงานหรือข้ามการตรวจสอบ DNSSEC ได้
- Who should read
- ผู้ดูแลระบบที่ให้บริการ DNS ด้วย pdns-recursor บน Debian trixie
- Fix in short
- อัปเดตเป็น 5.4.9-1~deb13u1 โดยตรวจคู่มืออัปเกรดจากสาย 5.2 ไป 5.4 และทดสอบบริการหลังติดตั้ง
พอดีไล่ฟีด Debian เจอประกาศ DSA-6630-1 สำหรับ pdns-recursor หรือ PowerDNS Recursor เป็นเซิร์ฟเวอร์ที่ค้นหาคำตอบ DNS ให้เครื่องลูกข่าย ข้อมูลประกาศของ Debian ลงวันที่ 14 พฤศจิกายน 2026 รอบนี้แก้ปัญหาบริการหยุดทำงานและข้ามการตรวจ DNSSEC จุดที่ต้องเตรียมคือแพ็กเกจเปลี่ยนจากสาย 5.2 ไป 5.4 ด้วย
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ pdns-recursor บน Debian trixie ให้รีบอ่านคู่มือเปลี่ยนรุ่นแล้วอัปเดต พร้อมทดสอบว่า DNS ยังตอบได้ตามปกติ
เกิดอะไรขึ้น
ตาม ประกาศ PowerDNS 2026-12 ช่องโหว่ทั้ง 7 รายการมีผลต่างกันดังนี้
CVE-2026-73206แพ็กเก็ต DNS ที่สร้างเป็นพิเศษทำให้การคลายชื่อที่บีบอัดใช้ทรัพยากรมากจนบริการหยุดทำงานCVE-2026-73205การเชื่อมต่อ TCP ในสถานะ TIME_WAIT สะสมจนเปิดการเชื่อมต่อขาออกเพิ่มไม่ได้CVE-2026-85555ข้ามการตรวจ DNSSEC ได้ในบางกรณีที่ค้นหาชื่อ NS ผ่านโซนภายใน และอาจเก็บคำตอบปลอมลงแคชCVE-2026-85556ตรวจชื่อเจ้าของระเบียน OPT ไม่ครบ ทำให้ข้ามมาตรการป้องกันของ ECS ได้CVE-2026-85557ลูกข่ายที่ไม่ทำ TLS handshake ขวางการเข้าใช้เว็บเซิร์ฟเวอร์ภายในได้ หากเปิด TLS ไว้CVE-2026-85558ไม่ล้างที่อยู่ลูกข่าย TCP หลังปิดการเชื่อมต่อ ทำให้หน่วยความจำรั่วCVE-2026-85559อ่านข้อมูลเกินขอบเขตและอาจทำให้โปรเซสล้ม เมื่อเปิดincoming.use_incoming_edns_subnet
CVE ทั้ง 7 รายการยังไม่อยู่ใน KEV ฉบับ 13 พฤศจิกายน 2026
ใครโดนและรุ่นที่แก้
Debian Security Tracker ระบุแพ็กเกจสำหรับ Debian stable ชื่อ trixie ไว้ดังนี้
| Debian / แพ็กเกจ | รุ่นที่ยังมีช่องโหว่ตาม tracker | รุ่นที่แก้ |
|---|---|---|
trixie / pdns-recursor |
5.2.13-0+deb13u1 |
5.4.9-1~deb13u1 |
PowerDNS ระบุว่าสาย 5.2 หมดการสนับสนุนแล้ว ส่วนแพ็กเกจ Debian รอบนี้ขยับไปสาย 5.4 ควรเผื่อเวลาตรวจการตั้งค่าที่เปลี่ยนระหว่างรุ่น
ต้องทำอะไร
สำรองไฟล์ตั้งค่า แล้วอ่าน คู่มืออัปเกรด PowerDNS Recursor ช่วง 5.2 ไป 5.3 และ 5.3 ไป 5.4 ก่อนติดตั้ง หากเปิด webservice ไว้แต่ไม่ได้ตั้ง API key เว็บสถานะจะเริ่มเข้าถึงได้หลังอัปเกรดตามที่คู่มือเตือน ควรตรวจว่าใครเข้าถึงส่วนนี้ได้บ้าง
เครื่องที่เปิดแหล่งอัปเดตความปลอดภัยของ trixie แล้ว ให้ตรวจรุ่นที่ APT จะติดตั้งก่อนอัปเกรด
sudo apt update
apt-cache policy pdns-recursor
sudo apt install --only-upgrade pdns-recursor
dpkg-query -W pdns-recursor
sudo systemctl restart pdns-recursor
sudo systemctl status pdns-recursor --no-pager
ตรวจว่ารุ่นหลังติดตั้งเป็น 5.4.9-1~deb13u1 หรือใหม่กว่าในช่องทางอัปเดตของ Debian จากนั้นทดสอบค้นหาชื่อ DNS จากเครื่องลูกข่ายและดู log การรีสตาร์ตทำให้บริการขาดช่วงได้ ควรจัดลำดับอัปเดตให้เหมาะกับระบบที่ดูแล
อัปเดตนี้ย้ายจาก 5.2 ไป 5.4 ให้อ่านคู่มืออัปเกรด ตรวจไฟล์ตั้งค่า และทดสอบบริการหลังอัปเดต
ส่วนตัวผมแนะนำให้รีบเตรียมเปลี่ยนรุ่นแล้วอัปเดต เพราะกระทบทั้งบริการ DNS และความถูกต้องของคำตอบ ที่มา: Debian Security Advisory DSA-6630-1 (ประกาศทางการ) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first