Ubuntu แก้ CA ค้างใน JKS หลังลบจากระบบ USN-9001-1
ผู้ใช้ Java บน Ubuntu รุ่นที่ระบุควรอัปเดตแพ็กเกจใบรับรองในรอบบำรุงรักษาที่ใกล้ที่สุด โดยเร่งตรวจเครื่องที่เคยลบ CA ออกจากระบบ
1-minute summary
- Symptom / problem
- ใบรับรอง CA ที่ลบจากชุดของระบบอาจยังคงอยู่ใน JKS ทำให้รายการความเชื่อถือไม่ตรงกัน
- Who should read
- ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้ Java ร่วมกับ JKS ของแพ็กเกจ Ubuntu ในรุ่นที่ประกาศระบุ
- Fix in short
- อัปเดต ca-certificates และ ca-certificates-java ที่ติดตั้งอยู่ให้ถึงรุ่นแก้ของ Ubuntu แต่ละรุ่น เพื่อแก้การซิงก์และทำให้ JKS ตรงกับรายการ CA ของระบบ
พอดีเห็น Ubuntu ออกประกาศ USN-9001-1 วันที่ 5 พฤศจิกายน 2026 แก้ปัญหา ca-certificates อัปเดตคลังใบรับรอง JKS ของ Java ไม่ครบ เมื่อลบใบรับรอง CA ออกจากชุดของระบบ ใบรับรองนั้นกลับยังค้างอยู่ใน JKS ผมเลยหยิบมาสรุปสำหรับคนที่ใช้แอป Java และดูแลว่าแอปเชื่อถือ CA ใดบ้าง
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: ถ้าใช้แอป Java ที่อ่านคลังใบรับรองของ Ubuntu รุ่นในตาราง ให้ติดตั้งอัปเดตระบบในรอบอัปเดตที่ใกล้ที่สุด
- ผู้ดูแลระบบ: อัปเดตแพ็กเกจใบรับรองบน Ubuntu รุ่นในตารางที่ใช้ Java ในรอบบำรุงรักษาที่ใกล้ที่สุด และเร่งตรวจเครื่องที่เคยลบ CA ออกจากระบบ
- นักพัฒนา: ถ้าแอป Java ใช้ JKS ของ Ubuntu รุ่นในตาราง ให้อัปเดตเครื่องที่ใช้รันแอปในรอบบำรุงรักษาที่ใกล้ที่สุด แล้วทดสอบการเชื่อมต่อหลังแพตช์
เกิดอะไรขึ้น
CA คือหน่วยงานที่ออกใบรับรอง โปรแกรมใช้ใบรับรอง CA ที่เชื่อถือเพื่อตรวจใบรับรองของปลายทาง ส่วน JKS เป็นรูปแบบคลังใบรับรองที่ Java ใช้ได้ ปัญหาครั้งนี้อยู่ที่ขั้นตอนลบใบรับรอง รายการ CA ในชุดของระบบเปลี่ยนแล้ว แต่รายการใน JKS ไม่เปลี่ยนตาม
ผลคือแอป Java ที่อ่าน JKS นี้อาจยังเชื่อถือ CA ที่ผู้ดูแลนำออกจากระบบแล้ว การลบออกจากชุดของระบบอย่างเดียวเลยอาจยังไม่พอ หากเคยเลิกเชื่อถือ CA บางราย ควรตรวจรายการใน JKS ด้วย
Ubuntu ระบุว่าอัปเดตนี้แก้ขั้นตอนดังกล่าว และซิงก์ JKS ใหม่ให้ตรงกับรายการ CA ของระบบ ประกาศไม่ได้ระบุหมายเลข CVE ระดับความรุนแรง คะแนน CVSS หรือเหตุการณ์โจมตีจริง และไม่ได้บอกช่วงรุ่นแพ็กเกจที่มีปัญหา ตารางด้านล่างเป็นรุ่นแก้ที่ Ubuntu ระบุ
ใครโดนและรุ่นที่แก้
| Ubuntu | ca-certificates รุ่นแก้ | ca-certificates-java รุ่นแก้ |
|---|---|---|
| 26.10 | 20260816ubuntu0.26.10.2 | 20260311ubuntu0.26.10.1 |
| 26.04 LTS | 20260816ubuntu0.26.04.2 | 20260311ubuntu0.26.04.1 |
| 24.04 LTS | 20260816ubuntu0.24.04.2 | 20240118ubuntu0.24.04.1 |
| 22.04 LTS | 20260816ubuntu0.22.04.2 | 20190909ubuntu1.4 |
ให้เทียบทั้งสองแพ็กเกจกับแถวของ Ubuntu รุ่นที่ใช้อยู่ ก่อนตรวจผลหลังอัปเดต ควรดูด้วยว่าแอปอ่านคลังใบรับรองใด หากแอปกำหนดคลังแยกไว้เอง ให้ตรวจรายการ CA ในคลังนั้นด้วย อย่าใช้ผลตรวจคลังของระบบแทนคลังที่แอปอ่านจริง
ต้องทำอะไร
Ubuntu แนะนำให้อัปเดตระบบตามปกติ หากต้องการอัปเดตเฉพาะแพ็กเกจที่เกี่ยวข้องซึ่งติดตั้งอยู่แล้ว ใช้คำสั่งด้านล่าง ตัวเลือก --only-upgrade จะอัปเดตเฉพาะแพ็กเกจที่มีอยู่ คำสั่งสุดท้ายใช้ดูชื่อแพ็กเกจและเวอร์ชัน แล้วนำไปเทียบกับตาราง
sudo apt update
sudo apt install --only-upgrade ca-certificates ca-certificates-java
dpkg-query -W -f='${Package}\t${Version}\n' ca-certificates ca-certificates-java
หลังอัปเดต ควรตรวจว่าแพ็กเกจอัปเดตสำเร็จและทดสอบการเชื่อมต่อที่แอปต้องใช้ หากเคยลบ CA ออก ให้ตรวจว่าใบรับรองนั้นไม่ค้างอยู่ในคลังที่แอปอ่านจริงด้วย เป้าหมายคือให้แอปเชื่อถือเฉพาะ CA ที่ผู้ดูแลต้องการ
ประกาศไม่ได้ให้วิธีแก้ชั่วคราวหรือสั่งให้รีสตาร์ตบริการไว้ ให้ทดสอบหลังอัปเดตตามขั้นตอนของแต่ละแอป หากเชื่อมต่อไม่ได้ ควรตรวจคลังที่แอปใช้และใบรับรองของปลายทางก่อน ไม่ควรปิดการตรวจสอบใบรับรองเพื่อให้เชื่อมต่อผ่าน
ส่วนตัวผมแนะนำให้อัปเดตในรอบบำรุงรักษาที่ใกล้ที่สุด และเร่งตรวจเครื่องที่เคยลบ CA ออกจากระบบ ที่มา: USN-9001-1: ca-certificates update ถ้ามีรายละเอียดวิธีตรวจผลการซิงก์เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first