O vulnerabilitate în APT-ul sistemelor Debian și Ubuntu permite înlocuirea pachetelor

O vulnerabilitate în APT, managerul de pachete pentru Debian și Ubuntu, permite unui atacator care poate modifica descărcările de pachete să înlocuiască un pachet verificat cu unul propriu.

Codul atacatorului se execută apoi cu drepturi de root, conform avertismentelor publicate pe 4 noiembrie de către dezvoltatorii Debian, Ubuntu și APT. Atacul necesită ca APT să reîncerce descărcările eșuate, ceea ce se întâmplă în mod implicit începând cu Debian 12 și Ubuntu 22.04.

Debian a lansat versiuni remediate ale APT pentru această vulnerabilitate, CVE-2026-109518. Dezvoltatorii APT, care consideră vulnerabilitatea ca fiind critică, afirmă că sunt în curs de lansare actualizări pentru Ubuntu și pentru serviciul său de abonament Ubuntu Pro. Utilizatorii Ubuntu 14.04 care dispun de Ubuntu Pro pot deja să obțină una.

Versiunile mai vechi, precum Debian 11 și Ubuntu 20.04, nu sunt expuse în mod implicit, potrivit Ubuntu. Totuși, dezvoltatorii APT afirmă că multe scripturi ale utilizatorilor ar fi putut activa oricum setarea de reîncercare, Acquire::Retries, pe aceste versiuni.

Pentru Debian 11, al cărui suport pe termen lung din partea Debian s-a încheiat pe 31 august, dezvoltatorii APT au publicat o versiune remediată, 2.2.5.

Ubuntu clasifică această vulnerabilitate ca având un grad de severitate high și un scor CvSS 4.0 de 7.7/10, și precizează că sunt afectate și distribuțiile bazate pe Debian și Ubuntu, fără a menționa însă vreuna dintre ele.

Conform Ubuntu, atacatorul poate fi oricine care poate modifica traficul HTTP dintre APT și serverul de pachete, inclusiv un mirror sau un proxy rău intenționat. Atacul se declanșează atunci când computerul instalează un pachet. Atacatorul folosește redirecționări HTTP și erori temporare obișnuite ale serverului pentru a determina APT să reîncerce descărcarea, spun dezvoltatorii APT.

Sursă: https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html