Kwetsbaarheid in de pakketbeheerder APT, die een MITM-aanval mogelijk maakt om rootrechten te verkrijgen

Correctieve uitgaven van de APT-pakketbeheerder zijn gepubliceerd, waarin een kwetsbaarheid (CVE-2026-109518) is opgelost die het mogelijk maakt om de controle bij het downloaden van bestanden te omzeilen en de uitvoering van eigen code met rootrechten te verkrijgen. In totaal zijn er 13 uitgaven gevormd die alle takken van APT dekken die in de afgelopen 10 jaar zijn gevormd, beginnend met 1.2.x. Pakketupdates met de oplossing voor de kwetsbaarheid zijn ook al opgesteld voor verschillende versies van Debian, Ubuntu en Deepin. In de standaardconfiguratie heeft het probleem invloed op alle uitgaven, beginnend met Debian 12 en Ubuntu 22.04. Exploitatie van oudere versies is mogelijk door de parameter Acquire::Retries op een waarde groter dan 0 in te stellen.

Een aanvaller die tijdens de installatie van een pakket in de HTTP-verkeer tussen de gebruiker en de package repository kan infiltreren, kan een vervalste en niet-geverifieerde versie van het pakket laten installeren, waardoor hij rootrechten in het systeem kan verkrijgen. De aanval kan bijvoorbeeld worden uitgevoerd via gecompromitteerde mirrors, proxyservers, draadloze toegangspunten of provider gateways. In het kwetsbaarheidsrapport worden geen details vermeld, alleen dat het probleem werd veroorzaakt door een onjuist omgaan met harde links. Uit de patch blijkt dat de opening van een bestand met de vlag FileFd::Empty (O_TRUNC) is vervangen door FileFd::Exclusive (O_EXCL), waardoor de aanvaller tijdens het hervatten van een onderbroken download kon zorgen voor het overschrijven van gegevens waarvoor bij de eerste download al hashing was uitgevoerd.

Bron: opennet.ru