Luka w menedżerze pakietów APT, która umożliwia przeprowadzenie ataku MITM w celu uzyskania praw root

Opublikowane zostały poprawki do narzędzi zarządzania pakietami APT, w których usunięto lukę (CVE-2026-109518), umożliwiającą obejście weryfikacji podczas pobierania plików oraz wykonanie własnego kodu z prawami roota. Łącznie utworzono 13 wydań, obejmujących wszystkie wydania APT, które powstały w ciągu ostatnich 10 lat, począwszy od 1.2.x. Aktualizacje pakietów z poprawkami luki również zostały już przygotowane dla różnych wersji Debian, Ubuntu i Deepin. W konfiguracji domyślnej problem dotyczy wszystkich wydań począwszy od Debiana 12 i Ubuntu 22.04. Wykorzystanie starszych wersji jest możliwe w przypadku ustawienia parametru Acquire::Retries na wartość większą niż 0.

Atakujący, który w trakcie instalacji pakietu potrafi wtrącić się w ruch HTTP między użytkownikiem a repozytorium pakietów, może zainstalować podmienioną, niepotwierdzoną wersję pakietu, co pozwala mu uzyskać uprawnienia roota w systemie. Atak może zostać przeprowadzony na przykład przez kompromitację lustrzanych serwerów, serwerów proxy, bezprzewodowych punktów dostępowych lub bram dostawców. W raporcie o luce nie podano szczegółów, wskazano jedynie, że problem wynika z nieprawidłowego działania z twardymi linkami. Z analizy łaty wynika, że otwarcie pliku z flagą FileFd::Empty (O_TRUNC) zostało zastąpione przez FileFd::Exclusive (O_EXCL), przez co przy wznowieniu przerwanego pobierania atakujący mógł doprowadzić do nadpisania danych, które przy pierwszym pobieraniu zostały już zhaszowane.

Źródło: opennet.ru