Новоразкрита грешка в APT, пакетният мениджър зад Debian и Ubuntu, може да позволи на атакуващ в мрежата да замени доверен софтуерен пакет със зловреден.

Уязвимостта се проследява като CVE-2026-109518 и може да доведе до изпълнение на код с права на root — най-високото ниво на контрол в една Linux система. Debian обяви проблема на 4 ноември 2026 г. и приписа заслугата за откриването му на изследователя Max Justicz.

APT проверява всеки пакет спрямо подписани данни, преди да инсталира каквото и да било. Тази уязвимост позволява на атакуващия да заобиколи тази проверка. Според Debian, APT може да обедини две различни изтегляния на пакети, след като HTTP пренасочване му подаде един и същ адрес.

Когато APT възобнови прекъснато изтегляне, той обработва файла неправилно, отваряйки кратък прозорец за замяна на пакета, след като той вече е бил проверен. Пакетът, който се инсталира впоследствие, е версията на атакуващия, а не проверената.

Атакуващият трябва да се намира между компютъра и архивния сървър. Това може да бъде някой в същата мрежа, компрометиран прокси сървър или злонамерено огледало (mirror). Уязвимостта зависи също от повторното използване на твърди връзки (hard links) и изисква клиентът да следва пренасочвания и да прави повторни опити за изтегляне.

Тези условия правят атаката по-трудна от обикновен отдалечен пробив, но обществените Wi-Fi мрежи, компрометираните рутери и зловредните огледала ги правят напълно реалистични.

Уязвимост в APT при Debian позволява на хакери да компрометират обновленията

Грешката работи само когато настройката за повторни опити на APT, Acquire::Retries, е със стойност над нула. Тази стойност е 3 по подразбиране в Debian 12 (bookworm) и Ubuntu 22.04 LTS, така че по-старите издания не са засегнати в стандартната си конфигурация. Debian Security Tracker отчита следните състояния:

  • Bookworm: версия 2.6.1 е уязвима, а 2.6.2 е коригирана.
  • Trixie: версия 3.0.3 е уязвима, а 3.0.4 е коригирана.
  • Testing и unstable (forky, sid): версия 3.3.5 е уязвима.

Системата за проследяване насочва към бюлетина за сигурност DSA-6607-1 за trixie и DLA-4880-1 за bookworm. Ubuntu и другите производни дистрибуции се нуждаят от собствени корекции за сигурност, така че потребителите трябва да следят известията на своите доставчици.

Бюлетинът на Debian за trixie посочва, че проблемът е отстранен в APT 3.0.4 и призовава потребителите да обновят системите си. Същото обновяване затваря и няколко грешки за достъп извън допустимите граници на паметта (out-of-bounds access).

За основния проект, APT 3.3.6 променя методите за изтегляне, така че целевите файлове да се отварят ексклузивно. Това не позволява на две изтегляния да модифицират един и същ файл. Версията също така отхвърля DEB пакети, в които липсва задължителното поле Version, и поправя грешка при сортирането в механизма за разрешаване на зависимости.

APT е преживявал подобна тревога и преди. През 2019 г. Justicz откри уязвимост за отдалечено изпълнение на код в apt, проследявана като CVE-2019-3462. Тя също позволяваше на атакуващ в средата (man-in-the-middle) да изпълни код като root чрез пренасочване.

Неговото временно решение тогава беше изключването на пренасочванията с -o Acquire::http::AllowRedirect=false. Новата уязвимост е различна грешка, но урокът е същият. Пренасочванията и обработката на изтеглянията са рискови компоненти на всеки инструмент за обновяване.

Изпълнете apt update и apt upgrade в доверени мрежи и се уверете, че инсталираната версия на APT съответства на коригираната за вашата дистрибуция. Избягвайте ненадеждни огледала и прокси сървъри, докато не инсталирате корекции за сигурност.

Предпочитайте HTTPS огледала, където е възможно, тъй като те затрудняват прихващането на трафика. Като временна мярка при некоригирани системи, задаването на стойност 0 за Acquire::Retries премахва едно от необходимите условия за атаката, въпреки че може да направи обновяванията по-малко надеждни при лоши връзки.

Инструментите за обновяване работят с пълно доверие, така че един зловреден пакет може да предаде контрола над цял сървър. Нашето по-ранно отразяване на основите на сигурността във веригата за доставки при Linux обяснява защо проверката на целостта на пакетите е от решаващо значение.

Читателите, които използват Debian, могат също да видят как се прилагат големи пакети от корекции за сигурност в нашия доклад за обновяването на ядрото на Debian, отстраняващо 1313 уязвимости. До момента няма публични данни за активно експлоатиране на проблема. Инсталирането на корекции за сигурност сега все пак остава най-безопасният ход.