Radicale เปิดช่องเดารหัสผ่านบน Ubuntu — USN-9084-1

พอดีเห็น Ubuntu ออกประกาศ USN-9084-1 วันที่ 12 พฤศจิกายน 2026 แก้ช่องโหว่ใน Radicale ซึ่งเป็นเซิร์ฟเวอร์ปฏิทินและสมุดที่อยู่ ถ้าใช้ htpasswd ยืนยันตัวตน ระบบจะไม่หน่วงเวลาหลังล็อกอินผิด ผู้โจมตีทางเครือข่ายอาจใช้จุดนี้หารหัสผ่านได้ มีแพตช์สำหรับ Ubuntu 16.04 LTS

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากให้บริการ Radicale บน Ubuntu 16.04 LTS ด้วย htpasswd ให้เร่งอัปเดตแพ็กเกจและรีสตาร์ตบริการ โดยจัดลำดับระบบที่เข้าถึงจากภายนอกก่อน

เกิดอะไรขึ้น

ช่องโหว่ CVE-2017-8342 เปิดทางให้โจมตีแบบ timing หรือ brute force เมื่อใช้ htpasswd แบบแรกดูความต่างของเวลาที่ระบบตอบกลับ ส่วนแบบหลังลองรหัสผ่านหลายค่าซ้ำ ๆ Ubuntu ระบุว่าทั้งสองแบบอาจช่วยให้ผู้โจมตีหารหัสผ่านผู้ใช้ได้

การหน่วงเวลาหลังล็อกอินผิดช่วยชะลอการลองรหัสผ่านซ้ำ เมื่อขาดขั้นตอนนี้ ผู้ดูแลควรรีบติดตั้งแพตช์ โดยเฉพาะบริการที่เปิดรับการเชื่อมต่อจากภายนอก ประกาศไม่ได้บอกว่ารหัสผ่านจะรั่วทุกครั้งที่ล็อกอินผิด

ก่อนประเมินผลกระทบ ให้ดูว่าบริการใช้ htpasswd จริงหรือไม่ การพบแพ็กเกจในเครื่องอย่างเดียวยังบอกไม่ได้ว่าเปิดใช้วิธีนี้อยู่ หน้า USN ฉบับนี้ไม่ได้ระบุคะแนน CVSS หรือระดับความรุนแรง

ใครโดนและรุ่นที่แก้

ตารางของ Ubuntu ระบุแพ็กเกจบน Ubuntu 16.04 LTS หรือ xenial ดังนี้ โดยหมายเลขในคอลัมน์ขวาคือรุ่นที่มีการแก้ไขตามประกาศ

ประกาศนี้ครอบคลุม Ubuntu 16.04 LTS ให้ตรวจแพ็กเกจที่ติดตั้งจริงและเทียบเลขรุ่นเต็มกับตาราง รวมถึงส่วนท้าย ~esm1 ไม่จำเป็นต้องติดตั้งแพ็กเกจ Python ทั้งสองแบบเพิ่ม

ต้องทำอะไร

นัดช่วงอัปเดตที่รีสตาร์ต Radicale ได้ หากเปิดบริการผ่าน systemd ตามชื่อมาตรฐาน ใช้คำสั่งต่อไปนี้เพื่ออัปเดต เริ่มบริการใหม่ และตรวจสถานะ คำสั่งท้ายชุดแสดงรุ่นแพ็กเกจที่ติดตั้งและรุ่นที่คลังเสนอ

sudo apt update
sudo apt upgrade
sudo systemctl restart radicale
sudo systemctl status radicale --no-pager
apt-cache policy radicale python-radicale python3-radicale

อ่านรายการที่ apt เสนอให้อัปเกรดก่อนยืนยัน เพราะคำสั่งนี้อัปเดตแพ็กเกจอื่นในเครื่องด้วย หากยังไม่ได้รุ่นแก้ ให้ตรวจแหล่งแพ็กเกจและสิทธิ์รับอัปเดต แล้วเทียบรุ่นอีกครั้งก่อนบันทึกว่างานเสร็จ

Ubuntu ระบุว่าต้องรีสตาร์ต Radicale หลังอัปเดตเพื่อให้แพตช์มีผลครบ จากนั้นตรวจว่าบริการทำงาน และผู้ใช้ยังเปิดปฏิทินกับสมุดที่อยู่ได้ตามปกติ หน้า USN ไม่ได้ให้วิธีแก้ขัดไว้ ขั้นตอนหลักเลยเป็นการอัปเดตพร้อมรีสตาร์ต

ส่วนตัวผมให้เร่งแพตช์เมื่อใช้ htpasswd โดยเฉพาะบริการที่เปิดรับการเชื่อมต่อจากภายนอก ที่มา: USN-9084-1: Radicale vulnerability หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ