Debian แก้ ACL ใน trapperkeeper-authorization-clojure DSA-6609-1
ผู้ดูแล Puppet server บน Debian trixie ที่ใช้แพ็กเกจนี้ควรเร่งติดตั้งแพตช์เพื่อป้องกันการเข้าถึง catalogue ข้ามโฮสต์
สรุปใน 1 นาที
- อาการ/ปัญหา
- การตรวจ hostname ACL ผิดพลาดอาจเปิดทางให้ Puppet client ดาวน์โหลด catalogue ของโฮสต์อื่น
- ใครควรอ่าน
- ผู้ใช้บริการที่พึ่งพา trapperkeeper-authorization-clojure โดยประกาศนี้ระบุแพตช์สำหรับ Debian trixie
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจ libtrapperkeeper-authorization-clojure เป็น 2.0.1-2+deb13u1 หรือรุ่นที่ใหม่กว่าจากคลังของ release เดียวกัน
พอดีไล่ฟีด Debian เจอประกาศ DSA-6609-1 ลงวันที่ 4 พฤศจิกายน 2026 แก้ช่องโหว่ใน trapperkeeper-authorization-clojure ซึ่งเป็นส่วนบริการตรวจสิทธิ์ของ Trapperkeeper ที่ Puppet server ใช้งาน บั๊กอยู่ที่การตรวจสิทธิ์ตามชื่อโฮสต์ client อาจดาวน์โหลด catalogue ของเครื่องอื่นได้ ผู้ดูแลที่ใช้ส่วนนี้ควรตรวจแพ็กเกจและเตรียมอัปเดต
เกิดอะไรขึ้น
Debian ระบุว่าบริการ authorisation ของ Trapperkeeper ตรวจ hostname ACL ไม่ถูกต้อง ACL คือกฎกำหนดสิทธิ์เข้าถึง ในกรณีนี้การตรวจตามชื่อโฮสต์มีปัญหา Puppet client เลยอาจดาวน์โหลด catalogue ของโฮสต์อื่นได้
ควรตรวจว่า catalogue ของแต่ละโฮสต์มีข้อมูลอะไร และบริการใดโหลดไลบรารีนี้ ความเสี่ยงที่ Debian ระบุคือการเข้าถึง catalogue ข้ามโฮสต์ ให้ใช้ผลกระทบนี้จัดลำดับแพตช์ ไม่ควรสรุปต่อว่าเป็นช่องโหว่รันโค้ดบนเซิร์ฟเวอร์
หน้า Debian Security Tracker ของ DSA-6609-1 ไม่มีหมายเลข CVE ในรายการอ้างอิง ให้ใช้เลข DSA นี้ติดตามแพตช์ได้
ใครโดนและรุ่นที่แก้
กลุ่มที่ต้องตรวจคือผู้ดูแล Puppet server หรือบริการที่ใช้ส่วน authorisation ของ Trapperkeeper บน Debian โดย Debian Security Tracker ของ DSA นี้ระบุรุ่นแก้สำหรับ stable ชื่อ trixie ชื่อในประกาศเป็นชื่อ source package ส่วนแพ็กเกจที่ใช้ติดตั้งผ่าน APT คือ libtrapperkeeper-authorization-clojure
| Release | Source package | รุ่นที่แก้ |
|---|---|---|
| Debian stable (trixie) | trapperkeeper-authorization-clojure | 2.0.1-2+deb13u1 |
ตารางนี้บอกสถานะเฉพาะ trixie หากดูแล release อื่นอยู่ ให้ตรวจ Debian Security Tracker ของแพ็กเกจ เพิ่มเติม อย่านำเลขรุ่นของ trixie ไปใช้ตัดสินสถานะของทุก release หรือเปลี่ยนคลังแพ็กเกจข้าม release เพื่อเอาแพตช์นี้
ต้องทำอะไร
เริ่มจากตรวจว่าติดตั้งแพ็กเกจนี้อยู่หรือไม่ และเปิดใช้คลัง security ของ release ที่ใช้งานแล้ว จากนั้นรีเฟรชรายการแพ็กเกจ ดูรุ่น Installed และ Candidate ก่อนอัปเดต คำสั่งต่อไปนี้ใช้ตัวเลือก --only-upgrade เพื่ออัปเกรดแพ็กเกจที่ติดตั้งอยู่แล้ว
dpkg-query -W libtrapperkeeper-authorization-clojure
sudo apt update
apt-cache policy libtrapperkeeper-authorization-clojure
sudo apt install --only-upgrade libtrapperkeeper-authorization-clojure
dpkg-query -W libtrapperkeeper-authorization-clojure
สำหรับ trixie ให้ตรวจผลหลังติดตั้งว่าได้ 2.0.1-2+deb13u1 หรือรุ่นที่ใหม่กว่าจากคลังที่ถูกต้อง หาก Candidate ยังเป็นรุ่นก่อนแพตช์ ให้ตรวจแหล่งแพ็กเกจและสถานะการอัปเดตรายการก่อนดำเนินการต่อ หลังอัปเดตควรวางแผนรีสตาร์ตบริการที่โหลดไลบรารีนี้ตามขั้นตอนของระบบ แล้วทดสอบว่า client ที่ถูกต้องยังทำงานได้ และการตรวจสิทธิ์ยังแยกแต่ละโฮสต์ตามที่กำหนดไว้ ให้ใช้แพตช์ของ release ที่ติดตั้งอยู่เป็นหลัก
ส่วนตัวผมมองว่าถ้าใช้ Puppet server ที่พึ่งพาแพ็กเกจนี้ ควรเร่งแพตช์ เพราะ client อาจอ่าน catalogue ของโฮสต์อื่นได้ ที่มา: Debian Security Advisory DSA-6609-1 หากประกาศมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย