Debian-LAN เปิดสิทธิ์ Kerberos กว้างเกินไป — USN-9068-1

พอดีเห็น Ubuntu ออกประกาศ USN-9068-1 วันที่ 12 พฤศจิกายน 2026 แก้ปัญหา Debian-LAN ให้สิทธิ์จัดการ Kerberos กว้างเกินไป ผู้ใช้ที่ล็อกอินแล้วอาจเปลี่ยนรหัสผ่านของคนอื่นได้ ใครใช้ Debian-LAN บน Ubuntu 16.04 LTS ควรตรวจแพ็กเกจและเร่งอัปเดต

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าใช้ Debian-LAN บน Ubuntu 16.04 LTS ให้เร่งอัปเดตแพ็กเกจและตรวจว่าผู้ใช้เปลี่ยนรหัสผ่านได้เฉพาะบัญชีที่ตนมีสิทธิ์จัดการ

เกิดอะไรขึ้น

Wolfgang Schweer พบว่า Debian-LAN ตั้ง ACL ของ Kerberos admin server กว้างเกินไป ACL คือกติกาว่าแต่ละบัญชีทำอะไรได้บ้าง ปัญหานี้ทำให้ผู้ใช้ที่ยืนยันตัวตนแล้วอาจเข้าไปเปลี่ยนข้อมูลรับรองของบัญชีอื่นได้

Ubuntu ระบุว่าข้อมูลที่เปลี่ยนได้รวมถึงรหัสผ่าน Kerberos และอาจนำไปสู่การยกระดับสิทธิ์ ผู้โจมตีต้องมีบัญชีที่ยืนยันตัวตนได้ก่อน ผู้ดูแลเลยควรตรวจสิทธิ์หลังล็อกอินด้วย ไม่ใช่ดูเพียงว่าระบบบังคับให้ล็อกอินหรือไม่

ช่องโหว่นี้อ้างอิง CVE-2019-3467 ส่วนหน้า USN ไม่ได้ระบุคะแนน CVSS หรือระดับความรุนแรง และไม่ได้ให้วิธีบรรเทาชั่วคราวแยกไว้ แนวทางแก้ที่ประกาศแนะนำคืออัปเดตระบบให้ได้รับแพ็กเกจรุ่นที่แก้ไข

ใครโดนและรุ่นที่แก้

ประกาศนี้ระบุแพ็กเกจ debian-lan-config ซึ่งเป็นชุดการตั้งค่าสำหรับระบบ Debian-LAN โดยระบุรุ่น Ubuntu และแพ็กเกจแก้ไขไว้ดังนี้

ให้เริ่มตรวจเครื่องที่ใช้ Debian-LAN จัดการบัญชี Kerberos แล้วเทียบรุ่น debian-lan-config กับตาราง หน้า USN ไม่ได้บอกช่วงรุ่นที่มีช่องโหว่ทั้งหมด ตารางนี้เป็นรุ่นแพ็กเกจที่ Ubuntu ระบุว่าแก้แล้ว

ต้องทำอะไร

ตรวจรุ่นที่ติดตั้งก่อน แล้วอัปเดตรายการแพ็กเกจและดูว่ามีรุ่นแก้ให้เลือกหรือยัง คำสั่งนี้ใช้กับเครื่องที่ติดตั้ง debian-lan-config อยู่แล้ว และตรวจรุ่นซ้ำหลังติดตั้ง

dpkg-query -W -f='${Package} ${Version}\n' debian-lan-config
sudo apt update
apt-cache policy debian-lan-config
sudo apt install --only-upgrade debian-lan-config
dpkg-query -W -f='${Package} ${Version}\n' debian-lan-config

หลังอัปเดต ให้เทียบรุ่นที่ติดตั้งกับ 0.21ubuntu0.16.04.1~esm1 หากยังเป็นรุ่นเก่า ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับแพตช์ก่อน การที่คำสั่งทำงานจบไม่ได้แปลว่าได้รับแพตช์แล้ว

จากนั้นใช้บัญชีทดสอบตรวจสิทธิ์ ผู้ใช้ควรทำได้เฉพาะงานที่ได้รับอนุญาต ส่วนผู้ดูแลต้องยังจัดการบัญชีได้ตามหน้าที่ ควรทบทวนบันทึกการเปลี่ยนรหัสผ่านที่ผิดปกติด้วย ข้อนี้เป็นคำแนะนำตรวจงานเพิ่มเติม ไม่ได้แปลว่าพบการโจมตีในทุกเครื่องที่ติดตั้งแพ็กเกจนี้

ส่วนตัวผมให้เร่งอัปเดตหากใช้ Debian-LAN จัดการบัญชี Kerberos อยู่ เพราะช่องโหว่นี้กระทบขอบเขตสิทธิ์ระหว่างผู้ใช้โดยตรง ที่มา: USN-9068-1: Debian-LAN vulnerability หากมีรายละเอียดเพิ่มเติมจากประกาศต้นทาง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ