Red Hat ABRT เพิ่มสิทธิ์ผ่าน symlink CVE-2015-5287 ถูกโจมตีจริง
ผู้ดูแลระบบและผู้ใช้คอมพิวเตอร์ที่ติดตั้ง ABRT รุ่นมีช่องโหว่ควรตรวจแพ็กเกจและเร่งอัปเดต เพราะพบการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีภายในเครื่องที่เขียนไดเรกทอรีปัญหาของ ABRT ได้อาจอาศัย symlink เพื่อเพิ่มสิทธิ์
- Who should read
- ผู้ดูแลระบบและผู้ใช้ทั่วไปที่ใช้คอมพิวเตอร์ Linux ซึ่งติดตั้ง ABRT รุ่นที่ยังไม่ได้แพตช์
- Fix in short
- ติดตั้งแพตช์จากผู้ผลิต โดย RHEL 7 มี abrt 2.1.11-35.el7 ใน RHSA-2015:2505 และระบบหมดการสนับสนุนควรย้ายไปใช้รุ่นที่รองรับ
พอดีไล่ฟีด CISA KEV เจอ CVE-2015-5287 ใน Red Hat Automatic Bug Reporting Tool หรือ ABRT ซึ่งเป็นเครื่องมือเก็บข้อมูลเมื่อโปรแกรมล่มและช่วยจัดทำรายงานบั๊ก CISA เพิ่มรายการนี้เมื่อ 26 สิงหาคม 2026 เพราะมีหลักฐานการโจมตีจริงแล้ว ดูรายการใน CVE Record
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจเครื่อง Linux ที่ติดตั้ง ABRT และเร่งลงแพตช์จากผู้ผลิต โดยย้ายระบบที่หมดการสนับสนุนไปยังรุ่นที่ยังรับอัปเดต
- ผู้ใช้ทั่วไป: ถ้าใช้คอมพิวเตอร์ Linux ที่มี ABRT รุ่นเก่า ให้ติดตั้งอัปเดตระบบโดยเร็วหรือแจ้งผู้ดูแลเครื่องให้ตรวจแพตช์
เกิดอะไรขึ้น
ปัญหาอยู่ที่ abrt-hook-ccpp ซึ่ง kernel เรียกใช้เพื่อเก็บ core dump หรือข้อมูลตอนโปรแกรมล่ม โปรแกรมนี้จัดการ symbolic link ไม่ถูกต้องขณะเขียน core dump ของ ABRT ลงพื้นที่เก็บ เช่น /var/spool/abrt ผู้โจมตีต้องเข้าถึงเครื่องและเขียนไดเรกทอรีปัญหาของ ABRT ได้ก่อน จากนั้นอาจใช้ symlink กับชื่อไฟล์ที่คาดเดาได้เพื่อเพิ่มสิทธิ์ ตาม คำอธิบายของ Red Hat
พูดให้ง่ายคือ symlink เป็นทางลัดไปยังไฟล์อีกแห่ง ถ้าโปรแกรมที่มีสิทธิ์สูงเขียนตามทางลัดโดยตรวจไม่ครบ ผู้ที่ควบคุมทางลัดอาจทำให้การเขียนไปตกอยู่ผิดตำแหน่งได้ เงื่อนไขของช่องโหว่นี้ต้องมีการเข้าถึงภายในเครื่องและสิทธิ์เขียนตามที่ประกาศระบุ ผู้ดูแลควรตรวจว่ามีใครเข้าใช้เครื่องและเขียนพื้นที่นี้ได้บ้าง
ข้อมูล CISA-ADP ใน CVE Record ฉบับ JSON ให้ CVSS 3.1 ที่ 7.8 ระดับ High ส่วน Red Hat แสดง CVSS v2 ที่ 6.9 และจัดชุดอัปเดต RHSA-2015:2505 เป็น Moderate ตัวเลขเหล่านี้ใช้คนละเกณฑ์และบริบท
ใครโดนและรุ่นที่แก้
CVE ระบุ ABRT upstream ก่อน 2.7.1 ส่วนแพ็กเกจของดิสโทรอาจใช้เลขรุ่นเก่าแต่ใส่แพตช์กลับเข้าไปแล้ว ตารางนี้แยกเลข upstream ออกจากชุดแก้ของ Red Hat เพื่อใช้ตรวจให้ตรงระบบ
| สายรุ่น / แพ็กเกจ | รุ่นที่มีการแก้ |
|---|---|
| ABRT upstream ก่อน 2.7.1 | 2.7.1 |
| RHEL 7 — abrt และ abrt-addon-ccpp | 2.1.11-35.el7 |
| RHEL 7 — libreport ในชุดอัปเดตเดียวกัน | 2.1.11-31.el7 |
รุ่นแพ็กเกจ RHEL 7 อ้างอิง RHSA-2015:2505 ซึ่งออกเมื่อ 23 พฤศจิกายน 2015 แพตช์ครอบคลุมทั้ง Server, Workstation และ Desktop ตามรายการในประกาศ Red Hat นำแพตช์กลับมาใส่ในแพ็กเกจสายเดิม หรือ backport ส่วน libreport อยู่ในชุดอัปเดตเดียวกันเพื่อแก้ช่องโหว่อื่น
ต้องทำอะไร
เริ่มจากตรวจรุ่นระบบและแพ็กเกจที่ติดตั้ง เทียบกับ errata ของผู้ผลิต แล้วอัปเดตจาก repository ที่ตรงกับระบบ สำหรับ RHEL 7 ที่ยังเข้าถึงแหล่งอัปเดตได้ ตัวอย่างนี้ตรวจแพ็กเกจ อัปเดตตระกูล ABRT และ libreport ที่ติดตั้งอยู่ แล้วอ่านรุ่นซ้ำเพื่อยืนยันผล
rpm -q abrt abrt-addon-ccpp libreport
sudo yum update 'abrt*' 'libreport*'
rpm -q abrt abrt-addon-ccpp libreport
Red Hat ให้ติดตั้ง errata ก่อนหน้าที่เกี่ยวข้องให้ครบด้วย อย่าตัดสินจากเลข 2.1.11 เพียงส่วนเดียว ให้ดู release เช่น 35.el7 และสถานะแพตช์ของผู้ผลิต
CISA เตือนว่าผลิตภัณฑ์ที่ได้รับผลกระทบอาจอยู่ในสถานะ EoL หรือ EoS และแนะนำให้เลิกใช้หรือย้ายไปยังรุ่นที่ยังรองรับ หากไม่มีมาตรการแก้ไขให้ยุติการใช้ผลิตภัณฑ์นั้น
ข้อมูล KEV ที่ CISA เผยแพร่ กำหนดวันแก้ไขรายการนี้เป็น 9 กันยายน 2026 สำหรับหน่วยงานพลเรือนฝ่ายบริหารของรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนด องค์กรอื่นควรเร่งตรวจและแก้เช่นกัน เพราะมีการโจมตีจริงแล้ว
ส่วนตัวผมให้เร่งแพตช์เครื่องที่เข้าเงื่อนไข เพราะช่องโหว่เพิ่มสิทธิ์ที่ถูกใช้งานจริงไม่ควรค้างอยู่ในระบบ ที่มา: CISA KEV / CVE-2015-5287 (https://www.cve.org/CVERecord?id=CVE-2015-5287) หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first