"Ubuntu แก้ APT เสี่ยงติดตั้งแพ็กเกจไม่ผ่านการตรวจสอบ USN-8996-1"
"ผู้ดูแล Ubuntu รุ่นที่อยู่ในประกาศควรเร่งอัปเดต apt เพราะผลกระทบอาจถึงขั้นรันโค้ดด้วยสิทธิ์ root"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่อยู่ระหว่างทางอาจหลอก APT ให้ติดตั้งแพ็กเกจที่ไม่ผ่านการตรวจสอบและรันโค้ดด้วยสิทธิ์ root
- ใครควรอ่าน
- Ubuntu 26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS, 16.04 LTS และ 14.04 LTS อยู่ในประกาศ
- ทางแก้แบบสั้น
- อัปเดตแพ็กเกจ apt ตามตารางรุ่นแก้ และตรวจว่ารุ่นที่ติดตั้งได้รับแพตช์แล้ว
พอดีเห็น Ubuntu ออกประกาศ USN-8996-1 เมื่อวันที่ 4 พฤศจิกายน 2026 เรื่องช่องโหว่ใน APT เครื่องมือที่ใช้ดาวน์โหลดและติดตั้งแพ็กเกจบนระบบ ประเด็นนี้เกี่ยวกับความน่าเชื่อถือของแพ็กเกจที่กำลังจะติดตั้ง เพราะผู้โจมตีที่อยู่ระหว่างทางของการรับส่งข้อมูลอาจทำให้แพ็กเกจที่ไม่ผ่านการตรวจสอบถูกติดตั้ง และนำไปสู่การรันโค้ดด้วยสิทธิ์ root ได้
เกิดอะไรขึ้น
Max Justicz พบว่า APT จัดการ hard link ไม่ถูกต้องในจังหวะที่พบการเปลี่ยนเส้นทางดาวน์โหลด หรือ redirect และมีการลองดาวน์โหลดแพ็กเกจซ้ำ ช่องโหว่นี้มีรหัส CVE-2026-109518 โดย hard link เป็นการให้ชื่อไฟล์หลายชื่ออ้างถึงข้อมูลไฟล์เดียวกัน ความผิดพลาดของการจัดการลิงก์ในกระบวนการดังกล่าวอาจเปิดทางให้ APT ติดตั้งแพ็กเกจที่ไม่ผ่านการตรวจสอบ
ผู้โจมตีต้องอยู่ในเส้นทางรับส่งข้อมูล หรือ on-path ตามที่ Ubuntu ระบุ หากโจมตีสำเร็จอาจรันโค้ดด้วยสิทธิ์ root ได้ หน้า USN ไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือ workaround เฉพาะช่องโหว่นี้ Ubuntu แนะนำให้อัปเดตระบบเพื่อรับแพ็กเกจที่แก้แล้ว
ใครโดนและรุ่นที่แก้
ประกาศครอบคลุมแพ็กเกจ apt บน Ubuntu ตามตารางนี้ ตัวเลขในคอลัมน์ขวาคือรุ่นแก้ที่ Ubuntu ระบุสำหรับแต่ละ release ไม่ควรนำเลขรุ่นของคนละ release มาเทียบกันตรง ๆ
| Ubuntu release | รุ่นแก้ของแพ็กเกจ apt |
|---|---|
| 26.10 | 3.3.3ubuntu0.1 |
| 26.04 LTS | 3.2.1ubuntu0.1 |
| 24.04 LTS | 2.8.4ubuntu0.1 |
| 22.04 LTS | 2.4.15ubuntu0.1 |
| 20.04 LTS | 2.0.12+esm1 — Ubuntu Pro |
| 18.04 LTS | 1.6.19+esm1 — Ubuntu Pro |
| 16.04 LTS | 1.2.36+esm1 — Ubuntu Pro พร้อม Legacy Support add-on |
| 14.04 LTS | 1.0.1ubuntu2.24+esm4 — Ubuntu Pro พร้อม Legacy Support add-on |
ต้องทำอะไร
เริ่มจากตรวจ release ของเครื่องและรุ่นแพ็กเกจที่ติดตั้ง แล้วตรวจว่ามีแพ็กเกจรุ่นแก้จากแหล่งอัปเดตที่ถูกต้อง การอัปเดตระบบตามปกติเป็นวิธีที่ Ubuntu แนะนำ หากต้องการอัปเดตเฉพาะแพ็กเกจ apt สามารถใช้คำสั่งต่อไปนี้ แล้วอ่านผลรุ่นที่ติดตั้งและรุ่นที่แหล่งแพ็กเกจเสนอให้ด้วย
sudo apt update
sudo apt install --only-upgrade apt
dpkg-query -W apt
apt-cache policy apt
หลังคำสั่งทำงานเสร็จ ให้เทียบรุ่นที่ติดตั้งกับแถวของ release เดียวกันในตาราง หากพบรุ่นที่ใหม่กว่า ให้ตรวจข้อมูลแพ็กเกจของ Ubuntu ว่ารวมแพตช์นี้แล้ว หากระบบแจ้งว่าไม่มีอะไรให้อัปเดต แต่รุ่นยังไม่ได้รับการแก้ ควรตรวจแหล่งแพ็กเกจและสิทธิ์รับอัปเดตต่อ โดยเฉพาะ release ที่แพตช์อยู่ภายใต้ Ubuntu Pro อย่าใช้เพียงข้อความว่าอัปเดตสำเร็จเป็นหลักฐานว่าปิดช่องโหว่แล้ว
ถ้าดูแลหลายเครื่อง ให้บันทึก release และรุ่น apt หลังอัปเดตไว้ จะได้เห็นว่าเครื่องไหนได้รับแพตช์แล้ว แต่ละ release ใช้เลขรุ่นแก้ต่างกัน ส่วน release เก่าต้องตรวจสิทธิ์รับแพตช์ให้พร้อมด้วย
ส่วนตัวผมแนะนำให้เร่งอัปเดต เพราะช่องโหว่อยู่ในเครื่องมือจัดการแพ็กเกจและผลกระทบอาจถึงสิทธิ์ root ที่มา: USN-8996-1: APT vulnerability หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย