"rxvt-unicode เสี่ยงรันโค้ดจากข้อความในเทอร์มินัล: USN-8991-1"
"ผู้ใช้ rxvt-unicode บน Ubuntu รุ่นที่ประกาศระบุควรเร่งอัปเดตแพ็กเกจและเปิดเทอร์มินัลใหม่ โดยเฉพาะเครื่องที่ใช้แสดงข้อความจากแหล่งภายนอก"
1-minute summary
- Symptom / problem
- การจัดการ escape sequence ผิดพลาดอาจทำให้ข้อความที่แสดงในเทอร์มินัลนำไปสู่การรันโค้ดด้วยสิทธิ์บัญชีผู้ใช้
- Who should read
- ประกาศครอบคลุม rxvt-unicode บน Ubuntu 20.04, 18.04 และ 16.04 LTS รวมแพ็กเกจย่อยที่ระบุสำหรับ 16.04 LTS
- Fix in short
- อัปเดตเป็นรุ่นแก้ของแต่ละ release แล้วปิดและเปิด rxvt-unicode ใหม่ตามคำแนะนำ Ubuntu
พอดีเห็น Ubuntu ออกประกาศ USN-8991-1 เรื่อง rxvt-unicode ซึ่งเป็นโปรแกรมเทอร์มินัลที่รองรับ Unicode จุดที่ควรระวังคือการแสดงข้อความที่ผู้โจมตีสร้างขึ้นอาจนำไปสู่การรันโค้ดได้ ผมมองว่าเป็นรายการที่คนใช้เทอร์มินัลตัวนี้ควรตรวจแพ็กเกจให้ครบ หน้า Ubuntu ระบุวันที่ประกาศเป็น 3 พฤศจิกายน 2026 และอ้างอิงช่องโหว่ CVE-2021-33477
เกิดอะไรขึ้น
rxvt-unicode จัดการ escape sequence บางรูปแบบไม่ถูกต้อง ข้อมูลชนิดนี้เป็นลำดับควบคุมที่เทอร์มินัลนำไปตีความระหว่างแสดงผล เงื่อนไขที่ Ubuntu ระบุคือผู้ใช้แสดงข้อความซึ่งถูกสร้างมาเป็นพิเศษ ผู้โจมตีอาจอาศัยข้อผิดพลาดนี้สั่งรันโค้ดด้วยสิทธิ์ของบัญชีที่เปิดเทอร์มินัลอยู่
ข้อความจากแหล่งที่ไม่ไว้ใจก็เป็นจุดเสี่ยงได้ แม้ผู้ใช้ไม่ได้พิมพ์คำสั่งเอง เพราะปัญหาเกิดตอนเทอร์มินัลแสดงข้อความ ระหว่างรอแพตช์ ควรใช้บัญชีที่มีสิทธิ์เท่าที่จำเป็นเปิดข้อมูลเหล่านี้
ประกาศ USN ฉบับนี้ไม่ได้ให้คะแนน CVSS หรือระบุระดับความรุนแรงไว้ และไม่ได้เสนอวิธีแก้ขัดเฉพาะสำหรับช่องโหว่นี้ แนวทางที่ประกาศให้คืออัปเดตแพ็กเกจแล้วเริ่มโปรแกรมใหม่
ใครโดนและรุ่นที่แก้
ตารางนี้เป็นรุ่นแพ็กเกจที่ Ubuntu ระบุว่าแก้ปัญหาแล้ว แยกตาม release ให้ตรวจชื่อแพ็กเกจและเลขรุ่นเต็ม รวมส่วนท้ายของเวอร์ชันด้วย
| Ubuntu release | แพ็กเกจ | รุ่นที่แก้ |
|---|---|---|
| 20.04 LTS (focal) | rxvt-unicode | 9.22-6ubuntu0.1~esm1 |
| 18.04 LTS (bionic) | rxvt-unicode | 9.22-3ubuntu0.1~esm1 |
| 16.04 LTS (xenial) | rxvt-unicode | 9.21-1ubuntu0.1~esm1 |
| 16.04 LTS (xenial) | rxvt-unicode-256color | 9.21-1ubuntu0.1~esm1 |
| 16.04 LTS (xenial) | rxvt-unicode-lite | 9.21-1ubuntu0.1~esm1 |
สำหรับ 20.04 และ 18.04 LTS หน้า USN ระบุว่ารุ่นแก้อยู่ใน Ubuntu Pro ผ่าน ESM Apps ผู้ดูแลควรตรวจสิทธิ์และแหล่งแพ็กเกจก่อนวางแผนอัปเดต ประกาศไม่ได้แจกแจงช่วงเวอร์ชันที่ได้รับผลกระทบทั้งหมด เลยควรใช้ข้อมูล release และรุ่นแก้ในตารางเป็นจุดตรวจหลัก
ต้องทำอะไร
เริ่มจากตรวจว่าเครื่องใช้ Ubuntu release ใด และติดตั้งแพ็กเกจในตารางหรือไม่ จากนั้นตรวจแหล่งอัปเดตให้พร้อม คำแนะนำทั่วไปของ Ubuntu คืออัปเดตระบบผ่านตัวจัดการแพ็กเกจ โดยอ่านรายการเปลี่ยนแปลงก่อนยืนยันการติดตั้ง
sudo apt update && sudo apt upgrade
หลังอัปเดต ให้เทียบรุ่นแพ็กเกจที่ติดตั้งกับตาราง หากยังไม่ได้รุ่นแก้ ให้ตรวจ repository และสิทธิ์รับแพตช์ อย่าใช้ข้อความว่าไม่มีอัปเดตค้างเป็นหลักฐานเพียงอย่างเดียว
Ubuntu กำชับให้เริ่ม rxvt-unicode ใหม่หลังอัปเดต บันทึกงานและจบงานใน session ให้เรียบร้อยก่อนปิดหน้าต่าง แล้วเปิดโปรแกรมใหม่ให้ครบทุก instance ที่ใช้อยู่ สำหรับบันทึกงานแพตช์ ควรเก็บ release ชื่อแพ็กเกจ รุ่นหลังอัปเดต และผลการเปิดโปรแกรมใหม่ไว้ เพื่อให้ผู้ตรวจงานเทียบกับประกาศได้โดยตรง
ส่วนตัวผมแนะนำให้เร่งแพตช์เครื่องที่ใช้ rxvt-unicode แสดงข้อความจากภายนอก และตรวจรุ่นพร้อมเปิดโปรแกรมใหม่ให้ครบก่อนปิดงาน ที่มา: USN-8991-1: rxvt-unicode vulnerability หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first