Debian-LAN เปิดสิทธิ์ Kerberos กว้างเกินไป — USN-9068-1
ผู้ดูแลระบบที่ใช้ Debian-LAN บน Ubuntu 16.04 LTS ควรเร่งตรวจสอบและติดตั้งแพ็กเกจแก้ไข เพราะกระทบสิทธิ์จัดการบัญชี Kerberos
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้ใช้ที่ยืนยันตัวตนแล้วอาจเปลี่ยนข้อมูลรับรองของบัญชีอื่นผ่านสิทธิ์ Kerberos admin server ที่กว้างเกินไป
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ Debian-LAN และแพ็กเกจ debian-lan-config บน Ubuntu 16.04 LTS
- ทางแก้แบบสั้น
- อัปเดต debian-lan-config เป็นรุ่น 0.21ubuntu0.16.04.1~esm1 ตามประกาศ Ubuntu
พอดีเห็น Ubuntu ออกประกาศ USN-9068-1 วันที่ 12 พฤศจิกายน 2026 แก้ปัญหา Debian-LAN ให้สิทธิ์จัดการ Kerberos กว้างเกินไป ผู้ใช้ที่ล็อกอินแล้วอาจเปลี่ยนรหัสผ่านของคนอื่นได้ ใครใช้ Debian-LAN บน Ubuntu 16.04 LTS ควรตรวจแพ็กเกจและเร่งอัปเดต
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้ Debian-LAN บน Ubuntu 16.04 LTS ให้เร่งอัปเดตแพ็กเกจและตรวจว่าผู้ใช้เปลี่ยนรหัสผ่านได้เฉพาะบัญชีที่ตนมีสิทธิ์จัดการ
เกิดอะไรขึ้น
Wolfgang Schweer พบว่า Debian-LAN ตั้ง ACL ของ Kerberos admin server กว้างเกินไป ACL คือกติกาว่าแต่ละบัญชีทำอะไรได้บ้าง ปัญหานี้ทำให้ผู้ใช้ที่ยืนยันตัวตนแล้วอาจเข้าไปเปลี่ยนข้อมูลรับรองของบัญชีอื่นได้
Ubuntu ระบุว่าข้อมูลที่เปลี่ยนได้รวมถึงรหัสผ่าน Kerberos และอาจนำไปสู่การยกระดับสิทธิ์ ผู้โจมตีต้องมีบัญชีที่ยืนยันตัวตนได้ก่อน ผู้ดูแลเลยควรตรวจสิทธิ์หลังล็อกอินด้วย ไม่ใช่ดูเพียงว่าระบบบังคับให้ล็อกอินหรือไม่
ช่องโหว่นี้อ้างอิง CVE-2019-3467 ส่วนหน้า USN ไม่ได้ระบุคะแนน CVSS หรือระดับความรุนแรง และไม่ได้ให้วิธีบรรเทาชั่วคราวแยกไว้ แนวทางแก้ที่ประกาศแนะนำคืออัปเดตระบบให้ได้รับแพ็กเกจรุ่นที่แก้ไข
ใครโดนและรุ่นที่แก้
ประกาศนี้ระบุแพ็กเกจ debian-lan-config ซึ่งเป็นชุดการตั้งค่าสำหรับระบบ Debian-LAN โดยระบุรุ่น Ubuntu และแพ็กเกจแก้ไขไว้ดังนี้
| รุ่นระบบ | แพ็กเกจ | รุ่นที่แก้ไข |
|---|---|---|
| Ubuntu 16.04 LTS (xenial) | debian-lan-config |
0.21ubuntu0.16.04.1~esm1 |
ให้เริ่มตรวจเครื่องที่ใช้ Debian-LAN จัดการบัญชี Kerberos แล้วเทียบรุ่น debian-lan-config กับตาราง หน้า USN ไม่ได้บอกช่วงรุ่นที่มีช่องโหว่ทั้งหมด ตารางนี้เป็นรุ่นแพ็กเกจที่ Ubuntu ระบุว่าแก้แล้ว
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้งก่อน แล้วอัปเดตรายการแพ็กเกจและดูว่ามีรุ่นแก้ให้เลือกหรือยัง คำสั่งนี้ใช้กับเครื่องที่ติดตั้ง debian-lan-config อยู่แล้ว และตรวจรุ่นซ้ำหลังติดตั้ง
dpkg-query -W -f='${Package} ${Version}\n' debian-lan-config
sudo apt update
apt-cache policy debian-lan-config
sudo apt install --only-upgrade debian-lan-config
dpkg-query -W -f='${Package} ${Version}\n' debian-lan-config
หลังอัปเดต ให้เทียบรุ่นที่ติดตั้งกับ 0.21ubuntu0.16.04.1~esm1 หากยังเป็นรุ่นเก่า ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับแพตช์ก่อน การที่คำสั่งทำงานจบไม่ได้แปลว่าได้รับแพตช์แล้ว
จากนั้นใช้บัญชีทดสอบตรวจสิทธิ์ ผู้ใช้ควรทำได้เฉพาะงานที่ได้รับอนุญาต ส่วนผู้ดูแลต้องยังจัดการบัญชีได้ตามหน้าที่ ควรทบทวนบันทึกการเปลี่ยนรหัสผ่านที่ผิดปกติด้วย ข้อนี้เป็นคำแนะนำตรวจงานเพิ่มเติม ไม่ได้แปลว่าพบการโจมตีในทุกเครื่องที่ติดตั้งแพ็กเกจนี้
ส่วนตัวผมให้เร่งอัปเดตหากใช้ Debian-LAN จัดการบัญชี Kerberos อยู่ เพราะช่องโหว่นี้กระทบขอบเขตสิทธิ์ระหว่างผู้ใช้โดยตรง ที่มา: USN-9068-1: Debian-LAN vulnerability หากมีรายละเอียดเพิ่มเติมจากประกาศต้นทาง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย