Ubuntu แก้ CA ค้างในคลัง Java: USN-9001-2
ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้คลังใบรับรอง Java บน Ubuntu 18.04 LTS หรือ 20.04 LTS ควรอัปเดตแพ็กเกจที่เกี่ยวข้องโดยเร็ว
1-minute summary
- Symptom / problem
- CA ที่ลบออกจากชุดใบรับรองระบบยังค้างอยู่ในคลัง JKS ของ Java ได้
- Who should read
- ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้ ca-certificates ร่วมกับ ca-certificates-java บน Ubuntu 18.04 LTS หรือ 20.04 LTS
- Fix in short
- อัปเดตแพ็กเกจทั้งสองให้ตรงรุ่นแก้ของแต่ละ Ubuntu ผ่าน Ubuntu Pro/ESM เพื่อให้คลัง JKS ซิงก์กับรายการ CA ของระบบ
พอดีเห็น Ubuntu ออกประกาศ USN-9001-2 วันที่ 9 พฤศจิกายน 2026 เพื่อแก้การทำงานร่วมกันของแพ็กเกจ ca-certificates กับ ca-certificates-java บน Ubuntu 18.04 LTS และ 20.04 LTS ปัญหาคือเมื่อลบใบรับรอง CA ออกจากระบบ รายการเดียวกันอาจยังค้างอยู่ในคลังของ Java ทำให้ระบบกับ Java เชื่อถือ CA ไม่ตรงกัน
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: ถ้าใช้แอป Java ที่อาศัยคลังใบรับรองของ Ubuntu 18.04 LTS หรือ 20.04 LTS ให้ติดตั้งอัปเดตที่เกี่ยวข้องผ่านโปรแกรมอัปเดตระบบโดยเร็ว
- ผู้ดูแลระบบ: ถ้าเครื่องใช้ Ubuntu 18.04 LTS หรือ 20.04 LTS พร้อมคลังใบรับรอง Java ให้จัดรอบอัปเดตแพ็กเกจที่เกี่ยวข้องโดยเร็ว
- นักพัฒนา: ถ้าแอป Java ใช้คลังใบรับรองจากแพ็กเกจของ Ubuntu สองรุ่นนี้ ให้ประสานอัปเดตสภาพแวดล้อมที่รันแอปและทดสอบการเชื่อมต่อหลังแพตช์โดยเร็ว
เกิดอะไรขึ้น
ca-certificates จัดเตรียมชุดใบรับรองของผู้ออกใบรับรอง หรือ CA ที่ระบบเชื่อถือ ส่วน ca-certificates-java เชื่อมรายการเหล่านี้เข้ากับคลังแบบ JKS ที่ใช้กับ Java ปัญหาที่ Ubuntu ระบุคือส่วนเชื่อมต่อ JKS ทำงานไม่ถูกต้อง เมื่อ CA ถูกนำออกจากชุดใบรับรองของระบบ รายการนั้นกลับไม่ได้ถูกนำออกจาก JKS ตามไปด้วย
แม้ระบบลบ CA แล้ว Java ก็อาจยังเชื่อถือ CA นั้นอยู่ ถ้าแอปใช้คลังที่มีปัญหา ใบรับรองที่ออกโดย CA ดังกล่าวก็อาจยังผ่านการตรวจของแอป
แพตช์แก้การทำงานส่วนนี้และซิงก์คลัง JKS กลับให้ตรงกับรายการ CA ของระบบ โดย USN-9001-2 เป็นการนำการแก้จาก USN-9001-1 มาครอบคลุม Ubuntu สองรุ่นข้างต้น ประกาศฉบับนี้ไม่ได้ระบุหมายเลข CVE ระดับความรุนแรง หรือคะแนน CVSS
ใครโดนและรุ่นที่แก้
รุ่นที่แก้แล้วตามประกาศมีดังนี้ โดยต้นทางไม่ได้แจกแจงช่วงรุ่นที่ได้รับผลกระทบทั้งหมด
| Ubuntu | แพ็กเกจ | รุ่นที่แก้แล้ว |
|---|---|---|
| 20.04 LTS (focal) | ca-certificates | 20240203~20.04.2ubuntu0.1~esm3 |
| 20.04 LTS (focal) | ca-certificates-java | 20190405ubuntu1.2~esm1 |
| 18.04 LTS (bionic) | ca-certificates | 202402031ubuntu0.18.04.2+esm4 |
| 18.04 LTS (bionic) | ca-certificates-java | 20180516ubuntu1~18.04.3+esm1 |
Ubuntu ระบุแพ็กเกจทั้งสี่รายการเป็น Ubuntu Pro Fix ผู้ดูแลต้องตรวจว่าเครื่องรับอัปเดตผ่าน Ubuntu Pro/ESM ได้ก่อน อย่าเทียบเลขรุ่นข้าม Ubuntu คนละรุ่น เพราะแต่ละรุ่นใช้แพ็กเกจแก้คนละหมายเลข
ต้องทำอะไร
Ubuntu ระบุว่าการอัปเดตระบบตามปกติจะทำการเปลี่ยนแปลงที่จำเป็น ถ้าติดตั้งสองแพ็กเกจนี้และรับแพตช์ได้แล้ว ให้อัปเดตด้วยคำสั่งต่อไปนี้
sudo apt update
sudo apt install --only-upgrade ca-certificates ca-certificates-java
หลังทำงาน ให้ตรวจรุ่นที่ติดตั้งเทียบกับตารางของ Ubuntu รุ่นนั้น หากยังไม่ได้รุ่นแก้ ให้ตรวจสถานะ Ubuntu Pro/ESM และแหล่งแพ็กเกจก่อนสรุปว่าเครื่องได้รับแพตช์แล้ว
ฝั่งแอปควรทดสอบการเชื่อมต่อ HTTPS หรือบริการ TLS ที่ใช้งานจริงหลังอัปเดต โดยเฉพาะงาน Java ที่อาศัยคลังใบรับรองของระบบ หากแอปกำหนดคลังใบรับรองเอง ให้ตรวจการตั้งค่าประกอบด้วย อย่าสันนิษฐานว่าการซิงก์ของแพ็กเกจครอบคลุมคลังที่แอปจัดการแยกไว้ และไม่ควรแก้ปัญหาการเชื่อมต่อด้วยการปิดตรวจใบรับรอง
ส่วนตัวผมแนะนำให้เครื่องที่ใช้ Java กับคลังใบรับรองระบบจัดอัปเดตโดยเร็ว ที่มา: USN-9001-2: ca-certificates update หากมีข้อมูลเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first