"Debian แก้ช่องโหว่ Vim เสี่ยงรันคำสั่งและโปรแกรมล่ม DSA-6600-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6600-1 วันที่ 1 พฤศจิกายน 2026 แก้ช่องโหว่ Vim โปรแกรมแก้ไขข้อความที่ต่อยอดจาก Vi รวม 40 CVE ผลกระทบมีทั้งการรันโค้ด แทรกคำสั่ง และโปรแกรมล่ม ผู้ใช้ที่เปิดไฟล์หรือโครงการจากภายนอกควรตรวจแพ็กเกจที่ติดตั้ง

เกิดอะไรขึ้น

ผู้โจมตีอาจเตรียมข้อมูลให้ Vim ประมวลผลแล้วเกิดข้อผิดพลาด ข้อมูลที่ประกาศระบุมีทั้งไฟล์ทั่วไป ไฟล์บีบอัด ไฟล์ help และ tag, modeline, ไฟล์ตรวจสะกด และข้อมูลที่ส่งเข้า NetBeans interface ผลกระทบขึ้นกับส่วนที่มีช่องโหว่

รหัส CVE ในประกาศแบ่งตามส่วนที่มีปัญหาได้ดังนี้:

• แฟ้มบีบอัดและชุดติดตั้ง: CVE-2025-53905, CVE-2025-53906 และ CVE-2026-35177 ทำให้ tar/zip เขียนไฟล์ออกนอกไดเรกทอรี ส่วน CVE-2026-46483 แทรกคำสั่งผ่านชื่อแฟ้ม tar และ CVE-2026-73076 รันคำสั่งจาก .VimballRecord ตอนถอน vimball
• netrw และ NetBeans: CVE-2026-28417, CVE-2026-42307, CVE-2026-43961, CVE-2026-47162, CVE-2026-55895 และ CVE-2026-73078 แทรกคำสั่งผ่านไฟล์ URL และข้อมูล netrw ส่วน CVE-2026-26269 เป็น NetBeans buffer overflow และ CVE-2026-39881 แทรกคำสั่ง Ex ผ่าน NetBeans
• แท็ก ตัวเลือก และการค้นหา: CVE-2026-25749 เกี่ยวกับ helpfile; CVE-2026-28418 และ CVE-2026-28419 เกี่ยวกับไฟล์แท็กแบบ Emacs; CVE-2026-33412 เกี่ยวกับ newline ใน glob(); CVE-2026-34982 ข้ามข้อจำกัด modeline; CVE-2026-41411 และ CVE-2026-44656 เกี่ยวกับ backtick ในแท็กหรือ path; CVE-2026-73077 แทรกคำสั่งผ่าน keyword lookup
• ปลั๊กอินและการเติมโค้ด: CVE-2026-47167 อยู่ในปลั๊กอิน Cucumber; CVE-2026-52858, CVE-2026-52860 และ CVE-2026-57456 เกี่ยวกับการเติมโค้ด Python; CVE-2026-59856 เกี่ยวกับ PHP omni-completion; CVE-2026-59858 และ CVE-2026-73073 เกี่ยวกับ C omni-completion ทั้งหมดอาจรันโค้ดหรือคำสั่ง
• หน่วยความจำและการกู้คืน: CVE-2026-28420, CVE-2026-28421, CVE-2026-28422, CVE-2026-32249 และ CVE-2026-52859 ครอบคลุม terminal, swap file, statusline และ regexp ส่วน CVE-2026-57452 เกี่ยวกับการอ่านไฟล์เข้ารหัสแบบ sodium อาจเข้าถึงหน่วยความจำผิดขอบเขตหรือล่ม
• ข้อมูลตรวจสะกด: CVE-2026-45130, CVE-2026-55693, CVE-2026-55892, CVE-2026-57455, CVE-2026-59857 และ CVE-2026-73072 ทำให้เขียนหน่วยความจำเกินขอบเขตเมื่อประมวลผลข้อมูลตรวจสะกด

ประกาศไม่ได้ให้ระดับความรุนแรง คะแนน CVSS หรือข้อมูลการใช้โจมตีจริง

ใครโดนและรุ่นที่แก้

ประกาศระบุแพตช์สำหรับ stable ชื่อ trixie ส่วนรุ่นก่อนแก้อ้างอิง Security Tracker

ตรวจเลขแพ็กเกจ Debian ให้ครบทั้งส่วนหน้าและส่วนท้าย อย่าดูเฉพาะเลข upstream ประกาศไม่ได้ระบุรุ่นแก้สำหรับ Debian รุ่นอื่น ให้ตรวจ Security Tracker ตาม release ที่ใช้

ต้องทำอะไร

Debian แนะนำให้อัปเกรด Vim ตัวอย่างนี้รีเฟรชรายการ ตรวจรุ่น และอัปเดตผ่าน APT โดย apt upgrade เสนออัปเดตแพ็กเกจอื่นด้วย ควรอ่านรายการก่อนยืนยัน

sudo apt update
apt-cache policy vim
sudo apt upgrade
dpkg-query -W 'vim*'

หลังอัปเดต ให้ตรวจแพ็กเกจที่ติดตั้งจากซอร์ส vim ว่าได้รุ่นที่แก้แล้ว บันทึกงานแล้วเปิด Vim ใหม่ ถ้ายังเป็นรุ่นเก่า ให้ตรวจคลัง security และการตรึงรุ่น ประกาศไม่ได้ให้ workaround ใช้แทนแพตช์

ส่วนตัวผมแนะนำให้เร่งแพตช์เครื่องที่รับไฟล์ภายนอก เพราะกระทบทั้งการเปิดไฟล์และเติมโค้ด ที่มา: DSA-6600-1 vim - security update และ Debian Security Tracker เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ