Ubuntu: nginx CVE-2026-42533 เร่งแพตช์ LTS เก่า แก้ regression

พอดีผมเห็นประกาศ Ubuntu ลงวันที่ 5 พ.ย. 2026 เพิ่มแพตช์ nginx สำหรับ LTS เก่า และแก้ regression ของ HAProxy กับ FRR เลยรวบรวมส่วนที่เพิ่มไว้ครับ ใครลงแพตช์ชุดก่อนแล้วก็ควรตรวจต่อ โดยเฉพาะ FRR ที่ process อาจยังทำงานอยู่ แต่ไม่ประมวลผลข้อมูล RPKI ชุดถัดไป

รอบนี้เพิ่มอะไรจากประกาศเดิม

รายละเอียดเดิมอ่านได้ที่ ประกาศความปลอดภัย nginx ปี 2026 และ รวมอัปเดตความปลอดภัย Ubuntu Server เดือน พ.ย. 2026 รอบนี้เน้นส่วนเพิ่มเติมตามตาราง

nginx: CVE-2026-42533 เพิ่มให้ LTS เก่า

USN-8955-2 เพิ่มแพตช์ให้ LTS เก่า รวมถึง CVE-2026-42533 ปัญหานี้เกี่ยวกับ map ที่ใช้ regex และ capture variables ใน configuration บางแบบ nginx จัดเป็น buffer overflow ระดับ major ส่วน Ubuntu ระบุว่าผู้โจมตีจากระยะไกลอาจทำให้บริการล่มหรือรันโค้ดได้

ข้อมูล CVE จาก F5 ระบุว่า การรันโค้ดต้องเป็นระบบที่ปิด ASLR หรือผู้โจมตีข้าม ASLR ได้ การมี map ใน config อย่างเดียวไม่ได้แปลว่าเข้าข่าย ต้องตรวจวิธีใช้ regex และตัวแปรด้วย

revision ในตารางใช้กับ nginx, nginx-core, nginx-extras, nginx-full และ nginx-light ส่วน 14.04 มี nginx-naxsi ด้วย ให้เทียบกับแพ็กเกจที่ติดตั้งจริง อย่าดูแค่ nginx -v เพราะไม่แสดง Ubuntu revision ครบ แพ็กเกจอาจ backport แพตช์มาแล้วแม้เลขรุ่นหลักยังเดิม

ประกาศ USN นี้ไม่ระบุคะแนนหรือ vector CVSS และไม่กล่าวถึงการโจมตีจริง CVE-2026-42533 ยังไม่อยู่ใน KEV ฉบับ 4 พ.ย. 2026 ของ CISA การไม่อยู่ใน KEV ไม่ได้แปลว่าไม่มีการโจมตี ผมเลยแนะนำให้ดู config ที่เข้าข่ายและการเปิดรับ request จากภายนอกประกอบ แล้วตรวจว่ารับแพตช์ได้หรือยัง

HAProxy: แก้ chunked requests บน 22.04

USN-8972-2 แก้ regression จาก USN-8972-1 ที่ทำให้ประมวลผล chunked requests บางแบบได้ไม่ถูกต้อง ประกาศนี้ครอบคลุม Ubuntu 22.04 LTS รุ่นแก้คือ 2.4.30-0ubuntu0.22.04.4 ใครอัปเดตชุดก่อนแล้วพบว่า request ปกติของแอปทำงานผิดไป ให้เทียบ revision นี้ก่อนย้อนแพตช์

CVE-2026-110353 และ CVE-2026-110354 ในหน้าเดียวกันเป็นช่องโหว่จากประกาศเดิม ทั้งสองรายการอาจทำให้ใช้ CPU มากจนบริการสะดุด ประกาศนี้ไม่ได้ออก CVE ใหม่ให้ regression และไม่ได้บอกว่าต้องพบ log หรือ HTTP status แบบใดเสมอ

หลังอัปเดต ให้ทดสอบ request ปกติของแอปที่ส่ง body แบบ chunked ผ่าน proxy ไปถึง backend ไม่ต้องใช้ request ผิดรูปแบบหรือโค้ดทดสอบโจมตี

FRR: RPKI ต้องรับข้อมูลหลังชุดแรกได้

USN-7230-3 ระบุว่าแพตช์ CVE-2024-55553 ใน USN-7230-2 ทำให้ FRR หยุดประมวลผล RPKI updates หลังชุดแรก เมื่อข้อมูล RPKI เปลี่ยน FRR เลยไม่ตรวจเส้นทางใหม่ บน Ubuntu 20.04 ยังมีปัญหา BGP daemon เริ่มไม่ได้เมื่อเปิดโมดูล RPKI ส่วน CVE-2024-44070 เป็นช่องโหว่จากประกาศเดิม ประกาศนี้ไม่ได้ระบุว่าเป็นสาเหตุของ regression

ต้องทดสอบว่า FRR รับข้อมูลชุดถัดไปแล้วตรวจเส้นทางใหม่ได้ คำสั่งจากเอกสาร FRR ด้านล่างใช้ดูสถานะได้ แต่ดูผลครั้งเดียวไม่พอ ต้องเก็บผลเทียบตอนข้อมูลใน cache เปลี่ยนด้วย

sudo vtysh -c 'show bgp summary'
sudo vtysh -c 'show rpki cache-connection'
sudo vtysh -c 'show rpki prefix-table'

เก็บผลก่อนและหลัง cache เปลี่ยนข้อมูล รวมถึงสถานะเส้นทางตาม policy เดิม อย่าเปลี่ยน ROA หรือประกาศเส้นทางจริงเพื่อทดสอบบน production

อัปเดตโดยแยกแพ็กเกจและตรวจผล

สำรอง config และบันทึก revision ก่อนเริ่ม แล้วตรวจรุ่น candidate จาก APT ตาราง USN ใช้เทียบแพ็กเกจ Ubuntu ถ้าใช้ binary จาก repository อื่นหรือ compile เอง ต้องตรวจแพตช์จากแหล่งนั้น

cat /etc/os-release
dpkg-query -W -f='${Package}\t${Version}\n' nginx haproxy frr frr-rpki-rtrlib
apt-cache policy nginx nginx-core nginx-full nginx-extras nginx-light haproxy frr frr-rpki-rtrlib

แพ็กเกจที่ไม่ได้ติดตั้งอาจขึ้นข้อความว่าไม่พบ ถ้าใช้ Pro Client ให้ดู pro status ว่ามีสิทธิ์และเปิดบริการแล้ว FRR บน 20.04 ต้องใช้ ESM Apps ถ้า APT ยังไม่พบรุ่นแก้ ให้ตรวจ subscription และ repository รุ่นที่ต้องใช้ Legacy Support add-on ก็ต้องตรวจสิทธิ์นี้ด้วย

1. เตรียมย้อนกลับ สำรอง config และเก็บสถานะบริการก่อนเปลี่ยน
2. ตรวจสิทธิ์และ candidate เทียบ release, package revision และแหล่ง Ubuntu ให้ตรงตาราง
3. อัปเดตเฉพาะที่ใช้ อ่านรายการเปลี่ยนแปลงและทดสอบ config ก่อนเริ่มบริการใหม่
4. ตรวจพฤติกรรม ทดสอบเว็บ, chunked requests และ RPKI รอบถัดไปตามบทบาทเครื่อง

เลือกคำสั่งเฉพาะแพ็กเกจที่ติดตั้งอยู่ ตัวอย่าง nginx ด้านล่างใช้ nginx-core ถ้าใช้ nginx-full, nginx-extras, nginx-light หรือ nginx-naxsi ให้เปลี่ยนชื่อแพ็กเกจในคำสั่งให้ตรง อย่าสลับ flavor เพียงเพื่อให้เลขตรงตาราง

sudo apt update
# เลือกเฉพาะกลุ่มแพ็กเกจที่ติดตั้งอยู่
sudo apt install --only-upgrade nginx nginx-core
sudo apt install --only-upgrade haproxy
sudo apt install --only-upgrade frr frr-rpki-rtrlib

APT อาจเริ่มบริการใหม่ระหว่างติดตั้ง ให้กำหนดช่วงบำรุงรักษาไว้ก่อน โดยเฉพาะ FRR เพราะการเริ่มใหม่กระทบ BGP sessions

หลังอัปเดต nginx ให้ใช้ sudo nginx -t ตรวจ config แล้วใช้ sudo service nginx restart ในช่วงที่เตรียมไว้ ส่วน HAProxy ตรวจด้วย sudo haproxy -c -f /etc/haproxy/haproxy.cfg ให้ใช้ config และ arguments ตรงกับบริการจริง แล้วค่อยสั่ง sudo service haproxy restart การสั่ง reload อย่างเดียวไม่พอจะยืนยันว่า process ใช้ binary ใหม่แล้ว

เช็กอาการและจัดลำดับงาน

ถ้าใช้ systemd ให้ตรวจทั้ง service และ journal ตามตัวอย่าง ส่วน Ubuntu 14.04 ใช้ sudo service nginx status แล้วดู error log ตาม config จริง อย่าคัดลอกคำสั่ง systemd ไปใช้ทุก release

sudo systemctl status nginx haproxy frr --no-pager
sudo journalctl -u nginx -u haproxy -u frr --since '2026-11-05 00:00:00' --no-pager
dpkg-query -W -f='${Package}\t${Version}\n' nginx haproxy frr frr-rpki-rtrlib

เลือก service ที่ติดตั้งจริง แล้วดู log ในช่วงก่อนและหลังอัปเดต สำหรับ nginx ให้ดู worker crash เทียบกับ request logs ส่วน HAProxy ให้ทดสอบงาน chunked ของแอป สำหรับ FRR ให้ตรวจทั้ง bgpd และข้อมูล RPKI ชุดถัดไป

ประกาศทั้งสามไม่ได้ให้ IOC สำหรับตรวจหาเครื่องที่ถูกเจาะ อาการข้างต้นอย่างเดียวใช้ยืนยันการโจมตีไม่ได้ และการไม่มี error ก็ไม่ได้แปลว่าปลอดภัย

ผมแนะนำให้จัด nginx ที่เปิดรับภายนอกและมี config เข้าข่ายเป็นงานเร่ง เลือกช่วงบำรุงรักษาที่เร็วที่สุดที่ทำได้ ส่วน FRR ที่เปิด RPKI หรือ HAProxy ที่มีปัญหาหลังลงแพตช์เดิม ควรอัปเดตต่อแล้วทดสอบงานจริง แม้ยังไม่พบอาการก็ควรตรวจ revision ให้ครบ อย่าปิดงานเพียงเพราะคำสั่งติดตั้งจบโดยไม่มี error

ที่มา: Ubuntu USN-8955-2 (https://ubuntu.com/security/notices/USN-8955-2), Ubuntu USN-8972-2 (https://ubuntu.com/security/notices/USN-8972-2), Ubuntu USN-7230-3 (https://ubuntu.com/security/notices/USN-7230-3), nginx security advisories (https://nginx.org/en/security_advisories.html), Ubuntu Pro Client: ESM (https://ubuntu.com/pro-client/docs/en/latest/howtoguides/enable_esm_infra/), FRR: Displaying RPKI (https://docs.frrouting.org/en/stable-8.4/bgp.html#displaying-rpki)

ข้อมูลประกาศ Ubuntu ถึง 5 พ.ย. 2026 ส่วน KEV ที่ตรวจเป็นฉบับ 4 พ.ย. 2026 ถ้าต้นทางมีรายละเอียดเพิ่ม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ