Доверие системных администраторов Linux к менеджерам пакетов подвергается испытанию из-за недавно обнаруженной уязвимости в APT — системе управления пакетами, используемой Debian, Ubuntu и их производными. Эта уязвимость может позволить злоумышленникам устанавливать непроверенное программное обеспечение с правами root.
Уязвимость, обозначенная как CVE-2026-109518, может позволить злоумышленнику, имеющему возможность манипулировать HTTP-трафиком между клиентом APT и сервером архива, установить контролируемый злоумышленником пакет без проверки.
Debian сообщила об уязвимости 4 ноября, отметив заслуги исследователя безопасности Макса Юстица. Ubuntu впоследствии оценила ее как высокую, присвоив ей балл CVSS 7,7.
«Я использовал ИИ два часа и нашел уязвимость нулевого дня, которая позволила бы государственному актору взломать любой сервер под управлением стандартной Ubuntu», — заявил Юстиц в своем посте в X. Успешная эксплуатация может привести к произвольному выполнению кода с правами root на уязвимой машине.
Оба дистрибутива выпустили исправления.
Перенаправления и повторные попытки превращают жесткие ссылки в поверхность атаки
Проблема заключается в том, как APT обрабатывает HTTP-перенаправления и возобновление загрузок.
«APT может объединять две разные загрузки пакетов после того, как HTTP-перенаправление присвоит им один и тот же URI», — говорится в сообщении Debian. «Неправильная обработка файлов при возобновлении HTTP-загрузки позволяет злоумышленнику типа «человек посередине» (MitM) заменить пакет после проверки, что приводит к выполнению произвольного кода от имени root».
Разработчики APT предоставляют более подробное объяснение: злоумышленник может использовать перенаправления и временные ошибки HTTP-сервера, которые вызывают повторные попытки загрузки, заставляя APT перезаписывать существующие жесткие ссылки выбранным полезным грузом. Поскольку пакеты Debian устанавливаются с правами root, успешная подмена пакета может привести к выполнению произвольного кода от имени root.
Ubuntu описала необходимую позицию для атаки как атакующего «on-path», способного манипулировать трафиком между клиентом пакетов и сервером архива. Вредоносный зеркальный сервер или прокси могут обеспечить такую позицию, но атака требует специфических условий загрузки.
Настройки повторных попыток определяют, кто подвержен риску
Уязвимость зависит от того, что настройка Acquire::Retries в APT не равна нулю. Разработчики APT утверждают, что это значение является значением по умолчанию с версии 2.3.2, хотя в старых установках скрипты могли включить повторные попытки. Ubuntu уточняет, что значение повторных попыток по умолчанию, равное трем, применяется начиная с Debian 12 (Bookworm) и Ubuntu 22.04 LTS (Jammy Jellyfish). Более старые версии по умолчанию не подвержены риску, но могут оставаться уязвимыми, если повторные попытки были включены.
Debian 13 (Trixie) исправлена в APT 3.0.4, а Debian 12 (Bookworm) получила исправление в версии 2.6.2. Ubuntu также выпустила исправленные пакеты для поддерживаемых версий, включая 22.04 LTS, 24.04 LTS и 26.04 LTS. Ubuntu 26.10 также была затронута, и исправление было опубликовано одновременно с сообщением Ubuntu от 4 ноября. Исправление устраняет основную проблему обработки файлов. В коммите от 12 октября разработчик APT Юлиан Андрес Клоде изменил код загрузки, чтобы открывать целевые файлы эксклюзивно, удаляя существующие файлы перед копированием любого частично загруженного содержимого.
Это изменение предотвращает запись загрузок поверх существующих жестких ссылок, которые в противном случае могли бы перенаправить запись в непредназначенные файлы.
Ubuntu рекомендует обновить APT и временно отключить повторные попытки во время устранения проблемы. Также рекомендуется использовать HTTPS для загрузки пакетов, что защищает от манипуляций трафиком в данном сценарии атаки. Для команд корпоративной безопасности приоритетом является выявление уязвимых установок, проверка конфигураций повторных попыток и обеспечение того, чтобы исправленные пакеты достигали производственных систем и образов Linux, используемых для их развертывания.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
