Уязвимость в APT позволяет выполнить код с правами root в Debian и Ubuntu
В APT, менеджере пакетов Debian и Ubuntu, обнаружена уязвимость, которая позволяет атакующему, способному менять загрузки пакетов, подменить проверенный пакет своим. Код злоумышленника затем выполняется с правами root. Разработчики APT назвали уязвимость критической.
Главное в цифрах
- Идентификатор уязвимости: CVE-2026-109518
- Оценка CVSS 4.0 по данным Ubuntu: 7.7
- Исправленная версия APT для Debian 11: 2.2.5
- Ubuntu на 15:46 UTC 4 ноября считала уязвимыми все восемь отслеживаемых выпусков, от 14.04 LTS до 26.10
Об уязвимости сообщили 4 ноября Debian, Ubuntu и разработчики APT. Ей присвоен идентификатор CVE-2026-109518. Атака требует, чтобы APT повторял неудачные загрузки, а по умолчанию это происходит начиная с Debian 12 и Ubuntu 22.04.
Исправленные версии APT для Debian уже выпущены. Для Ubuntu и Ubuntu Pro обновления выходят: Ubuntu опубликовала новые сборки для четырёх своих выпусков в 14:25 UTC 4 ноября. Пользователи Ubuntu 14.04 с подпиской Ubuntu Pro уже могут получить обновление.
Старые выпуски и масштаб
Старые выпуски, например Debian 11 и Ubuntu 20.04, по умолчанию не уязвимы. Однако пользовательские скрипты могли включить повторные попытки (параметр Acquire::Retries) и на них вручную, поэтому разработчики APT советуют проверить настройки.
В 15:46 UTC Ubuntu всё ещё считала уязвимыми все восемь выпусков, которые отслеживает, от 14.04 LTS до 26.10. Ветка testing в Debian на 14:58 UTC была на уязвимой версии 3.3.5. Для Debian 11, поддержка которой по линии LTS закончилась 31 августа, разработчики APT опубликовали исправленную версию 2.2.5. Ubuntu оценивает уязвимость как высокоприоритетную с оценкой CVSS 4.0 в 7.7 балла и отмечает, что под угрозой находятся и дистрибутивы, построенные на Debian и Ubuntu.
Как работает атака
Атаковать может любой, кто способен изменить HTTP-трафик между APT и сервером пакетов, например вредоносное зеркало или прокси. Атака срабатывает при установке пакета. Злоумышленник использует HTTP-перенаправления и обычные временные ошибки сервера, чтобы заставить APT повторить загрузку.
Уязвимость обнаружил Макс Юстиц. В трёх опубликованных бюллетенях не описаны случаи эксплуатации и не предложены обходные пути для систем, которые пока не могут обновиться. Бюллетени описывают атаку по HTTP и не говорят, распространяется ли уязвимость на источники пакетов, доступные по HTTPS.
