Twisted เสี่ยง IMAP ล่มจาก wildcard ตามประกาศ USN-9000-1

พอดีเห็น Ubuntu ออกประกาศ USN-9000-1 วันที่ 4 พฤศจิกายน 2026 เรื่องช่องโหว่ใน IMAP server ของ Twisted ซึ่งเป็นเฟรมเวิร์กสำหรับพัฒนาแอปพลิเคชันเครือข่าย ผู้ใช้ที่ล็อกอินแล้วอาจส่งคำขอแสดงรายการกล่องจดหมายจนบริการใช้ทรัพยากรมากเกินไป ใครใช้ Twisted ให้บริการ IMAP ควรตรวจแพ็กเกจและวางแผนอัปเดต

เกิดอะไรขึ้น

Twisted อ่านรูปแบบ wildcard ในคำสั่งแสดงรายการกล่องจดหมายของ IMAP ไม่ถูกต้อง wildcard ใช้ค้นหาชื่อกล่องจดหมายที่ตรงกับรูปแบบ แทนการระบุชื่อทีละกล่อง คำขอที่สร้างมาเพื่อใช้ช่องโหว่นี้อาจทำให้บริการใช้ทรัพยากรมากเกินไป จนหยุดตอบสนอง หรือเกิด denial of service (DoS)

ผู้โจมตีจากระยะไกลต้องล็อกอินกับบริการได้ก่อน การบังคับล็อกอินเลยยังป้องกันช่องโหว่นี้ไม่พอ ต้องตรวจว่าเปิดใช้ IMAP ของ Twisted หรือไม่ และมีบัญชีใดเข้าใช้ได้บ้าง ผลกระทบที่ USN ระบุคือ DoS ไม่ได้ระบุว่าใช้รันคำสั่งบนเครื่องหรืออ่านอีเมลของบัญชีอื่นได้

ประกาศอ้างอิง CVE-2026-106454 แต่หน้า USN ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS ให้จัดลำดับงานจากการเปิดใช้ IMAP และผลกระทบหากบริการหยุดตอบสนอง

ใครโดนและรุ่นที่แก้

Ubuntu ระบุ release ที่ได้รับผลกระทบสี่รุ่น แพ็กเกจที่ต้องตรวจคือ python3-twisted ให้เทียบกับแถวของระบบที่ใช้ เพราะแต่ละ release มีเลขรุ่นแพ็กเกจต่างกัน

เลขรุ่นในตารางเป็นแพ็กเกจ Ubuntu ให้ใช้ตรวจเฉพาะแพ็กเกจจากคลัง Ubuntu ส่วนประกาศ Twisted ยังระบุ Patched versions เป็น None ต่างจาก USN ที่มีแพตช์ในแพ็กเกจ Ubuntu แล้ว อย่านำสองรายการนี้มาปนกัน

ต้องทำอะไร

ตรวจว่าแอปพลิเคชันใช้ Twisted ให้บริการ IMAP หรือไม่ แล้วดูว่าติดตั้งผ่านแพ็กเกจ Ubuntu หรือแยกไว้กับแอปพลิเคชัน ถ้าติดตั้ง python3-twisted ผ่าน APT อยู่แล้ว ให้ดึงรายการแพ็กเกจ อัปเกรด และอ่านรุ่นกลับมาเทียบกับตาราง

sudo apt update
sudo apt install --only-upgrade python3-twisted
dpkg-query -W python3-twisted

Ubuntu ระบุว่าโดยทั่วไปการอัปเดตระบบตามปกติจะติดตั้งแพตช์ที่จำเป็น หลังอัปเดตให้ตรวจว่าแอปพลิเคชันโหลดไลบรารีที่แก้แล้ว ถ้ายังใช้โค้ดเดิมอยู่ ให้เริ่มบริการที่เกี่ยวข้องใหม่ตามขั้นตอนของแอปพลิเคชัน จากนั้นทดสอบล็อกอินและแสดงรายการกล่องจดหมายด้วยบัญชีทดสอบปกติ ดูสถานะบริการและ error log ประกอบ

ถ้าติดตั้ง Twisted แยกจากแพ็กเกจระบบ การอัปเดตผ่าน APT อาจไม่ได้เปลี่ยนไลบรารีของแอปพลิเคชันนั้น ต้องตรวจแหล่งไลบรารีที่ใช้งานจริงด้วย หน้า USN ไม่ได้เสนอ workaround สำหรับใช้แทนแพตช์ เลยควรยึดการอัปเดตเป็นวิธีแก้หลัก

ส่วนตัวผมให้เร่งแพตช์เมื่อเปิดใช้ IMAP ของ Twisted เพราะบัญชีที่ยืนยันตัวตนแล้วก็อาจกระทบความพร้อมใช้งานของบริการได้ ที่มา: USN-9000-1: Twisted vulnerability หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ