W APT, menedżerze pakietów używanym przez Debiana i Ubuntu, wykryto lukę oznaczoną jako CVE-2026-109518. Atakujący, który może modyfikować pobierane dane, jest w stanie doprowadzić do podmiany sprawdzonego pakietu na własny. Kod znajdujący się w takim pakiecie może następnie zostać uruchomiony z uprawnieniami root podczas instalacji. Twórcy APT określili podatność jako krytyczną, a Ubuntu nadało jej wysoki priorytet i wynik CVSS 7,7.
Na czym polega zagrożenie
Według opublikowanych poradników zagrożenie dotyczy sytuacji, w której napastnik może zmienić ruch HTTP pomiędzy APT a serwerem pakietów. Może to obejmować złośliwy mirror lub serwer proxy. Luka jest związana z mechanizmem ponawiania nieudanych pobrań. Od Debiana 12 i Ubuntu 22.04 funkcja ta jest domyślnie włączona. APT może zostać skłoniony do ponowienia pobierania między innymi przez przekierowania oraz tymczasowe błędy serwera. Starsze wydania, takie jak Debian 11 i Ubuntu 20.04, nie są domyślnie narażone w ten sposób, ale skrypty użytkowników mogły wcześniej włączyć opcję Acquire::Retries.
Poprawki są udostępniane etapami
Debian opublikował poprawione wersje APT, w tym wersję 2.2.5 dla Debiana 11, którego wsparcie długoterminowe zakończyło się 31 sierpnia. Aktualizacje dla Ubuntu oraz usługi Ubuntu Pro były udostępniane etapami. Dla Ubuntu 14.04 z Ubuntu Pro poprawka była już dostępna. Ubuntu przekazało nowe kompilacje APT dla czterech wydań do archiwum bezpieczeństwa, jednak o 15:46 wszystkie osiem monitorowanych wydań, od 14.04 LTS do 26.10, nadal oznaczano jako podatne. O 14:58 podatną wersję 3.3.5 wykorzystywała także gałąź testowa Debiana.
Ubuntu zaznacza, że problem może dotyczyć również dystrybucji zbudowanych na Debianie i Ubuntu, choć nie wymienia ich z nazwy. Poradniki Debiana, Ubuntu i twórców APT nie opisują dotąd ataków wykorzystujących tę lukę ani obejścia dla systemów, których nie można od razu zaktualizować. Nie rozstrzygają też, czy podatne są źródła pakietów używające HTTPS. Administratorzy powinni sprawdzić dostępność poprawek dla używanego wydania i aktualizować APT zgodnie z komunikatami dostawcy.
