Уязвимость в APT, менеджере пакетов для Debian и Ubuntu, позволяет злоумышленнику, который может изменять загрузку пакетов, подменить проверенный пакет своим.
Код злоумышленника затем выполняется с правами root, согласно уведомлениям, опубликованным 4 ноября Debian, Ubuntu и разработчиками APT. Атака требует, чтобы APT повторно загружал неудачные загрузки, что по умолчанию происходит начиная с Debian 12 и Ubuntu 22.04.
Debian выпустила исправленные версии APT для устранения уязвимости CVE-2026-109518. Разработчики APT, называющие уязвимость критической, заявляют, что выпускаются обновления для Ubuntu и ее сервиса подписки Ubuntu Pro. Пользователи Ubuntu 14.04 с Ubuntu Pro уже могут получить одно из них.
Старые версии, такие как Debian 11 и Ubuntu 20.04, по умолчанию не подвержены риску, согласно Ubuntu. Однако многие пользовательские скрипты могли включить настройку повторной загрузки Acquire::Retries в этих версиях, говорят разработчики APT.
Тестовая ветка Debian все еще использовала уязвимую версию 3.3.5 в 14:58 UTC 4 ноября. Для Debian 11, поддержка Debian в течение длительного времени закончилась 31 августа, разработчики APT опубликовали исправленную версию 2.2.5.
Ubuntu оценивает уязвимость как высокоприоритетную, с баллом CVSS 4.0 равным 7.7, и заявляет, что затронуты также дистрибутивы, построенные на Debian и Ubuntu, не называя конкретных.
Ubuntu опубликовала новые сборки APT для четырех своих версий в своем архиве безопасности в 14:25 UTC 4 ноября:
В 15:46 UTC Ubuntu все еще отмечала все восемь отслеживаемых ею версий, от 14.04 LTS до 26.10, как уязвимые.
Злоумышленником может быть любой, кто может изменять HTTP-трафик между APT и сервером пакетов, включая вредоносное зеркало или прокси, согласно Ubuntu. Атака происходит при установке пакета на компьютере. Злоумышленник использует HTTP-перенаправления и обычные временные ошибки сервера, чтобы заставить APT повторить загрузку, говорят разработчики APT.
Макс Юстич сообщил об уязвимости. Ни один из трех отчетов не описывает атаки с использованием уязвимости и не предлагает обходного пути для систем, которые еще не могут обновиться. Они описывают атаку через HTTP и не указывают, подвергаются ли риску источники пакетов, доступные через HTTPS.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
