Ubuntu แก้ libsoup หน่วยความจำรั่วจากแพตช์เดิม USN-8890-3
ผู้ใช้และผู้ดูแล Ubuntu ที่ใช้ libsoup3 ในรุ่นที่ได้รับผลกระทบควรลงแพตช์ในรอบบำรุงรักษาถัดไป และเร่งทำหากพบการใช้หน่วยความจำผิดปกติ
1-minute summary
- Symptom / problem
- แพตช์ libsoup ก่อนหน้าทำให้หน่วยความจำรั่วในส่วนจัดเก็บคุกกี้ และอาจทำให้โปรแกรมทำงานผิดไปจากเดิม
- Who should read
- ผู้ใช้ทั่วไป ผู้ดูแลระบบ และนักพัฒนาที่ใช้ libsoup3 บน Ubuntu 24.04 LTS, 26.04 LTS หรือ 26.10
- Fix in short
- อัปเดตแพ็กเกจ libsoup3 ตามรุ่น Ubuntu ให้ถึงเวอร์ชันแก้ไขในตาราง แล้วเปิดโปรแกรมหรือบริการที่ใช้ไลบรารีใหม่
พอดีไล่ฟีด Ubuntu เจอประกาศ USN-8890-3 วันที่ 9 พฤศจิกายน 2026 แก้ปัญหา libsoup ที่เกิดจากแพตช์ USN-8890-1 แพตช์นั้นทำให้หน่วยความจำรั่วใน cookie jar รอบนี้ Ubuntu ออกอัปเดตมาแก้ ใครลงแพตช์ก่อนหน้าแล้วและยังใช้ libsoup3 ควรตรวจรุ่นแพ็กเกจอีกครั้ง
ใครต้องทำอะไร
- ผู้ใช้ทั่วไป: หากใช้แอปที่พึ่งพา libsoup3 บน Ubuntu รุ่นที่ระบุ ให้ติดตั้งอัปเดตระบบในรอบถัดไปและเร่งอัปเดตหากแอปใช้หน่วยความจำผิดปกติ
- ผู้ดูแลระบบ: ตรวจเครื่องที่ติดตั้ง libsoup3 แล้วลงแพตช์ในรอบบำรุงรักษาถัดไป โดยเร่งเครื่องที่พบปัญหาหน่วยความจำรั่ว
- นักพัฒนา: หากแอปใช้ libsoup3 จากแพ็กเกจ Ubuntu ให้อัปเดตไลบรารีในรอบบำรุงรักษาถัดไปและทดสอบ HTTP กับคุกกี้ก่อนนำขึ้นใช้งาน
เกิดอะไรขึ้น
libsoup เป็นไลบรารี HTTP สำหรับ GNOME ใช้ได้ทั้งฝั่งไคลเอนต์และเซิร์ฟเวอร์ ส่วน cookie jar ใช้เก็บและจัดการคุกกี้ให้โปรแกรม แพตช์ก่อนหน้าทำให้ส่วนนี้มี memory leak คือหน่วยความจำที่ไม่ได้คืนหลังใช้งาน ปัญหาที่เกิดจากการเปลี่ยนแปลงแล้วทำให้โปรแกรมทำงานแย่ลงแบบนี้เรียกว่า regression
ควรเฝ้าดู RAM ของโปรแกรมที่ทำงานต่อเนื่อง แต่ประกาศไม่ได้ระบุอัตราการรั่วหรือเงื่อนไขที่ทำให้เกิดอาการ
ประกาศแนบรายละเอียด CVE จากแพตช์เดิมไว้ด้วย รายการเหล่านี้เป็นช่องโหว่เดิม ไม่ใช่รหัสใหม่ของ memory leak:
- CVE-2026-4271 และ CVE-2026-85534: ปัญหา HTTP/2 ที่อาจทำให้บริการหยุดทำงาน
- CVE-2026-5119 และ CVE-2026-66339: ปัญหาเกี่ยวกับ proxy ที่อาจทำให้ข้อมูลสำคัญรั่ว
- CVE-2026-6324: อ่านคำขอ HTTP แบบ chunked ผิด อาจทำให้ข้ามการตรวจความปลอดภัย
- CVE-2026-77014 และ CVE-2026-77680: ปัญหา HTTP Range ที่อาจทำให้บริการหยุดทำงาน
- CVE-2026-85197: ปัญหา HTTP/2 ที่อาจทำให้ข้อมูลรั่วหรือรันโค้ดของผู้โจมตี
CVE-2026-4271 กระทบ Ubuntu 24.04 LTS และ 26.04 LTS ส่วน CVE-2026-5119, CVE-2026-6324, CVE-2026-85197 และ CVE-2026-85534 กระทบ 22.04 LTS, 24.04 LTS และ 26.04 LTS ตาม USN-8890-1 รุ่นที่กระทบ CVE เดิมกับรุ่นที่ได้รับแพตช์ regression รอบนี้เป็นคนละรายการ
ใครโดนและรุ่นที่แก้
USN-8890-3 ระบุ Ubuntu สามรุ่นในตาราง แพ็กเกจหลักคือ gir1.2-soup-3.0, libsoup-3.0-0, libsoup-3.0-common และ libsoup-3.0-dev แต่ละแถวใช้เวอร์ชันเดียวกันกับทั้งสี่แพ็กเกจ
| Ubuntu / ชุดแพ็กเกจ | เวอร์ชันแก้ regression |
|---|---|
| 24.04 LTS / libsoup3 | 3.4.4-5ubuntu0.11 |
| 26.04 LTS / libsoup3 | 3.6.6-1ubuntu0.3 |
| 26.10 / libsoup3 | 3.6.6-1ubuntu3.2 |
ตรวจตารางและรายละเอียดกับ USN-8890-3 ในคลังทางการของ Canonical แล้ว ประกาศนี้ไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือวิธีแก้ชั่วคราวสำหรับ regression
ต้องทำอะไร
Ubuntu ระบุว่าอัปเดตระบบตามปกติได้ เริ่มจากโหลดรายการแพ็กเกจ ตรวจรายการก่อนยืนยัน แล้วดูรุ่นของไลบรารีเทียบกับตาราง:
sudo apt update
sudo apt upgrade
dpkg-query -W -f='${Package}\t${Version}\n' libsoup-3.0-0
คำสั่งนี้อัปเดตแพ็กเกจอื่นของระบบด้วย หลังเสร็จควรเปิดแอปหรือเริ่มบริการที่ใช้ libsoup3 ใหม่ แล้วทดสอบการเชื่อมต่อและคุกกี้ นักพัฒนาควรตรวจแพ็กเกจในอิมเมจที่นำไปใช้งานจริงด้วย
ส่วนตัวผมให้นำแพตช์นี้เข้ารอบบำรุงรักษาถัดไป และเร่งทำหากโปรแกรมที่ใช้ libsoup3 เริ่มมีปัญหาหน่วยความจำ ที่มา: Ubuntu Security Notice USN-8890-3: libsoup regression เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first