Security Notice

Debian แก้ DNS ล่มและข้าม DNSSEC ใน pdns-recursor DSA-6630-1

โดย Ton-Or ·14 พ.ย. 2026·อ่าน 4 นาที

ผู้ดูแลระบบที่ใช้ pdns-recursor บน Debian trixie ควรเร่งเตรียมอัปเดต โดยอ่านคู่มือเปลี่ยนรุ่นก่อนติดตั้ง

สรุปใน 1 นาที

อาการ/ปัญหา: ช่องโหว่หลายรายการทำให้บริการ DNS หยุดทำงานหรือข้ามการตรวจสอบ DNSSEC ได้
ใครควรอ่าน: ผู้ดูแลระบบที่ให้บริการ DNS ด้วย pdns-recursor บน Debian trixie
ทางแก้แบบสั้น: อัปเดตเป็น 5.4.9-1~deb13u1 โดยตรวจคู่มืออัปเกรดจากสาย 5.2 ไป 5.4 และทดสอบบริการหลังติดตั้ง

พอดีไล่ฟีด Debian เจอประกาศ DSA-6630-1 สำหรับ pdns-recursor หรือ PowerDNS Recursor เป็นเซิร์ฟเวอร์ที่ค้นหาคำตอบ DNS ให้เครื่องลูกข่าย ข้อมูลประกาศของ Debian ลงวันที่ 14 พฤศจิกายน 2026 รอบนี้แก้ปัญหาบริการหยุดทำงานและข้ามการตรวจ DNSSEC จุดที่ต้องเตรียมคือแพ็กเกจเปลี่ยนจากสาย 5.2 ไป 5.4 ด้วย

DSA-6630-1ประกาศ Debian

7 CVEช่องโหว่ที่แก้

trixieรุ่นที่ได้อัปเดต

5.2 → 5.4เปลี่ยนสายรุ่น

ใครต้องทำอะไร

ผู้ดูแลระบบ: ถ้าใช้ pdns-recursor บน Debian trixie ให้รีบอ่านคู่มือเปลี่ยนรุ่นแล้วอัปเดต พร้อมทดสอบว่า DNS ยังตอบได้ตามปกติ

เกิดอะไรขึ้น

ตาม ประกาศ PowerDNS 2026-12 ช่องโหว่ทั้ง 7 รายการมีผลต่างกันดังนี้

CVE-2026-73206 แพ็กเก็ต DNS ที่สร้างเป็นพิเศษทำให้การคลายชื่อที่บีบอัดใช้ทรัพยากรมากจนบริการหยุดทำงาน
CVE-2026-73205 การเชื่อมต่อ TCP ในสถานะ TIME_WAIT สะสมจนเปิดการเชื่อมต่อขาออกเพิ่มไม่ได้
CVE-2026-85555 ข้ามการตรวจ DNSSEC ได้ในบางกรณีที่ค้นหาชื่อ NS ผ่านโซนภายใน และอาจเก็บคำตอบปลอมลงแคช
CVE-2026-85556 ตรวจชื่อเจ้าของระเบียน OPT ไม่ครบ ทำให้ข้ามมาตรการป้องกันของ ECS ได้
CVE-2026-85557 ลูกข่ายที่ไม่ทำ TLS handshake ขวางการเข้าใช้เว็บเซิร์ฟเวอร์ภายในได้ หากเปิด TLS ไว้
CVE-2026-85558 ไม่ล้างที่อยู่ลูกข่าย TCP หลังปิดการเชื่อมต่อ ทำให้หน่วยความจำรั่ว
CVE-2026-85559 อ่านข้อมูลเกินขอบเขตและอาจทำให้โปรเซสล้ม เมื่อเปิด incoming.use_incoming_edns_subnet

CVE ทั้ง 7 รายการยังไม่อยู่ใน KEV ฉบับ 13 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

Debian Security Tracker ระบุแพ็กเกจสำหรับ Debian stable ชื่อ trixie ไว้ดังนี้

Debian / แพ็กเกจ	รุ่นที่ยังมีช่องโหว่ตาม tracker	รุ่นที่แก้
trixie / `pdns-recursor`	`5.2.13-0+deb13u1`	`5.4.9-1~deb13u1`

PowerDNS ระบุว่าสาย 5.2 หมดการสนับสนุนแล้ว ส่วนแพ็กเกจ Debian รอบนี้ขยับไปสาย 5.4 ควรเผื่อเวลาตรวจการตั้งค่าที่เปลี่ยนระหว่างรุ่น

ต้องทำอะไร

สำรองไฟล์ตั้งค่า แล้วอ่าน คู่มืออัปเกรด PowerDNS Recursor ช่วง 5.2 ไป 5.3 และ 5.3 ไป 5.4 ก่อนติดตั้ง หากเปิด webservice ไว้แต่ไม่ได้ตั้ง API key เว็บสถานะจะเริ่มเข้าถึงได้หลังอัปเกรดตามที่คู่มือเตือน ควรตรวจว่าใครเข้าถึงส่วนนี้ได้บ้าง

เครื่องที่เปิดแหล่งอัปเดตความปลอดภัยของ trixie แล้ว ให้ตรวจรุ่นที่ APT จะติดตั้งก่อนอัปเกรด

sudo apt update
apt-cache policy pdns-recursor
sudo apt install --only-upgrade pdns-recursor
dpkg-query -W pdns-recursor
sudo systemctl restart pdns-recursor
sudo systemctl status pdns-recursor --no-pager

ตรวจว่ารุ่นหลังติดตั้งเป็น 5.4.9-1~deb13u1 หรือใหม่กว่าในช่องทางอัปเดตของ Debian จากนั้นทดสอบค้นหาชื่อ DNS จากเครื่องลูกข่ายและดู log การรีสตาร์ตทำให้บริการขาดช่วงได้ ควรจัดลำดับอัปเดตให้เหมาะกับระบบที่ดูแล

เปลี่ยนสายรุ่น

อัปเดตนี้ย้ายจาก 5.2 ไป 5.4 ให้อ่านคู่มืออัปเกรด ตรวจไฟล์ตั้งค่า และทดสอบบริการหลังอัปเดต

ส่วนตัวผมแนะนำให้รีบเตรียมเปลี่ยนรุ่นแล้วอัปเดต เพราะกระทบทั้งบริการ DNS และความถูกต้องของคำตอบ ที่มา: Debian Security Advisory DSA-6630-1 (ประกาศทางการ) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ

อยากให้เราทำให้ไหม?

ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า

คุยเรื่องงานกับเรา

แท็ก #debian #linux #security #patch-management #cve #dns

เคยเจองานแบบนี้ไหม? ติดตรงไหน?

มาแลกวิธีกันต่อในบอร์ด LinuxThai

→ คุยต่อในบอร์ด

ความคิดเห็น 0

ยังไม่มีความคิดเห็น — เป็นคนแรกเลย