"Red Hat libuser ทำ /etc/passwd เสีย: CVE-2015-3246 เข้า KEV"
"ผู้ดูแลเครื่องที่ยังใช้ libuser รุ่นมีช่องโหว่ควรเร่งติดตั้งแพตช์ เพราะ CISA ยืนยันว่ามีการโจมตีจริงแล้ว"
1-minute summary
- Symptom / problem
- ผู้ใช้ภายในเครื่องที่ยืนยันตัวตนแล้วอาจทำ /etc/passwd เสียจนระบบปฏิเสธการให้บริการ หรือใช้ช่องโหว่เพื่อเพิ่มสิทธิ์
- Who should read
- ผู้ดูแลระบบและผู้ใช้โฮสติ้งบนเครื่อง RHEL ที่ยังมี libuser รุ่นได้รับผลกระทบต้องตรวจสอบการแก้ไข
- Fix in short
- อัปเดต RHEL 6 เป็น libuser 0.56.13-8.el6_7 หรือใหม่กว่า และ RHEL 7 เป็น 0.60-7.el7_1 หรือใหม่กว่าในสายรุ่นเดียวกัน ส่วน RHEL 5 ไม่มีแพตช์ตามประกาศ
พอดีไล่ฟีด CISA KEV เจอ CVE-2015-3246 ใน Red Hat libuser ซึ่งถูกเพิ่มเข้ารายการวันที่ 26 สิงหาคม 2026 เพราะมีหลักฐานการโจมตีจริงแล้ว ปัญหาอยู่ที่การเขียนไฟล์บัญชีผู้ใช้ /etc/passwd ผู้โจมตีต้องมีบัญชีและเข้า shell ในเครื่องได้ หากทำให้ไฟล์เสีย ระบบอาจใช้งานไม่ได้หรือผู้โจมตีอาจเพิ่มสิทธิ์ได้ เรื่องนี้มีแพตช์จาก Red Hat ตั้งแต่ปี 2015 แต่เครื่องที่ยังไม่ได้แก้ต้องเร่งตรวจสอบ รายการ KEV ของ CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 9 กันยายน 2026
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจ libuser บนเครื่อง RHEL ที่ดูแลและเร่งลงแพตช์หากยังเป็นรุ่นมีช่องโหว่ โดยให้ความสำคัญกับเครื่องที่เปิดให้ผู้ใช้เข้า shell
- ผู้ใช้โฮสติ้ง: หากบริการอยู่บนเครื่อง RHEL ที่ได้รับผลกระทบ ให้ติดต่อผู้ให้บริการโดยเร็วเพื่อยืนยันว่าแก้ CVE-2015-3246 แล้ว
เกิดอะไรขึ้น
libuser เป็นไลบรารีสำหรับจัดการบัญชีผู้ใช้และกลุ่ม ส่วน userhelper ในแพ็กเกจ usermode เรียกใช้ไลบรารีนี้เพื่อเปลี่ยนข้อมูลบัญชี ปัญหาคือ libuser เขียน /etc/passwd โดยตรง หากแก้ไขไม่สำเร็จ ไฟล์อาจเสียหาย วิธีนี้ต่างจากการเขียนลงไฟล์ชั่วคราวแล้วใช้ rename() แทนไฟล์เดิม ผลคือระบบอาจหยุดให้บริการ หรือผู้โจมตีอาจเพิ่มสิทธิ์เป็น root ตามที่ Red Hat อธิบาย
Red Hat ระบุว่าผู้โจมตีต้องมีบัญชีใน /etc/passwd และรู้รหัสผ่านของบัญชีนั้น บัญชีที่อยู่เฉพาะ LDAP หรือแหล่ง NSS อื่นไม่เข้าเงื่อนไข บัญชีระบบที่ไม่มีรหัสผ่านที่ใช้ได้ก็เช่นกัน ส่วน บันทึก CVE ระบุว่าช่องโหว่นี้ใช้ร่วมกับ CVE-2015-3245 เพื่อเพิ่มสิทธิ์ได้ ควรตรวจทั้งสิทธิ์เข้าถึงบัญชีและแพตช์ที่ติดตั้ง
Red Hat ให้คะแนน CVSS v2 ที่ 6.8 และจัดผลกระทบเป็น Important แต่ตารางเปรียบเทียบในหน้าเดียวกันแสดงคะแนน NVD ที่ 7.2 คะแนนสองแหล่งนี้ไม่ตรงกัน แม้ใช้ CVSS v2 เหมือนกัน ส่วนสถานะ KEV ยืนยันว่ามีการใช้โจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
libuser ที่มากับ RHEL 5, 6 และ 7 ได้รับผลกระทบ ตารางนี้แสดงบิลด์แก้ตามประกาศของแต่ละสายรุ่น
| ระบบ / แพ็กเกจ | รุ่นที่แก้ | ประกาศ |
|---|---|---|
| RHEL 6 / libuser ก่อนบิลด์แก้ | 0.56.13-8.el6_7 |
RHSA-2015:1482 |
| RHEL 7 / libuser ก่อนบิลด์แก้ | 0.60-7.el7_1 |
RHSA-2015:1483 |
| RHEL 5 / libuser ที่ได้รับผลกระทบ | ไม่มีแผนออกแพตช์ตามประกาศปี 2015 | คำชี้แจง Red Hat |
แพตช์ทั้งสองประกาศแก้ทั้ง CVE-2015-3246 และ CVE-2015-3245 หากมี cloud image หรือ container image ที่สร้างจากระบบกลุ่มนี้ ให้ตรวจแพ็กเกจภายใน image ด้วย และเทียบเลขบิลด์กับประกาศของดิสทริบิวชันที่ใช้งานจริง
ต้องทำอะไร
ตรวจรุ่นแพ็กเกจก่อนเปลี่ยนแปลง สำรองข้อมูลตามขั้นตอนของระบบ และตรวจว่า repository ที่ใช้อยู่มีแพตช์ตรงกับสายรุ่น Red Hat แนะนำให้อัปเดต errata ที่เกี่ยวข้องให้ครบ สำหรับการอัปเดตเฉพาะ libuser และ dependencies ให้รันด้วยสิทธิ์ root:
rpm -q libuser
yum update libuser
rpm -q libuser
หลังอัปเดตให้ตรวจเลขบิลด์และทดสอบการจัดการบัญชี หากไม่พบอัปเดต ให้ตรวจ repository ต่อก่อนสรุปว่าแก้แล้ว
Red Hat ให้เพิ่มกฎ pam_warn และ pam_deny ใน /etc/pam.d/chfn และ /etc/pam.d/chsh ต่อจาก pam_rootok และก่อน system-auth เพื่อปิดการใช้ฟังก์ชันนี้จากผู้ใช้ที่ไม่ใช่ root โดยจะกระทบ chfn, chsh และฟังก์ชันที่เกี่ยวข้องใน userhelper ควรทำตามตัวอย่าง PAM ในประกาศต้นฉบับ
ส่วนตัวผมให้เร่งแพตช์เครื่องที่ยังมีช่องโหว่ โดยเฉพาะเครื่องที่มีผู้ใช้เข้า shell เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2015-3246, CISA KEV และ Red Hat libuser vulnerabilities ถ้ามีรายละเอียดเพิ่มเติมที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first