Een kwetsbaarheid in APT van Debian en Ubuntu maakt het mogelijk voor aanvallers om met rootrechten ongeverifieerde software te installeren via gemanipuleerde HTTP-verbindingen.
Debian en Ubuntu hebben een kritieke kwetsbaarheid in APT, het pakketbeheersysteem dat zij gebruiken, gepatcht. Deze kwetsbaarheid, geregistreerd als CVE-2026-109518, stelt een aanvaller in staat om ongeverifieerde software met rootrechten te installeren door het manipuleren van HTTP-verkeer tussen een APT-client en een archiefserver.
De kwetsbaarheid werd op 4 november door Debian bekendgemaakt in een security advisory, waarin de onderzoeker Max Justicz werd genoemd die het probleem ontdekte. Ubuntu kwalificeerde de kwetsbaarheid als hoog risico met een CVSS-score van 7.7. Justicz meldde dat hij met behulp van AI binnen twee uur een zero-day vond waarmee een aanvaller servers met standaard Ubuntu-installaties kon compromitteren. Exploitatie kan leiden tot het uitvoeren van willekeurige code met rootrechten op kwetsbare systemen.
De kern van het probleem ligt in de manier waarop APT omgaat met HTTP-redirects en het hervatten van downloads. Door deze functionaliteiten kan APT twee verschillende pakketdownloads samenvoegen nadat een HTTP-redirect ze dezelfde URI geeft. Onjuiste bestandsafhandeling bij het hervatten van een download maakt het mogelijk voor een man-in-the-middle (MitM) aanvaller om een pakket na verificatie te vervangen, wat resulteert in het uitvoeren van kwaadaardige code als root. Volgens een uitgebreide uitleg van APT-ontwikkelaars kan een aanvaller door gebruik te maken van redirects en tijdelijke HTTP-serverfouten die downloadherhalingen veroorzaken, hardlinks overschrijven met een kwaadaardige payload. Omdat Debian-pakketten met rootrechten worden geïnstalleerd, kan dit leiden tot volledige systeemcompromittering.
Ubuntu beschrijft de benodigde aanvalssituatie als een on-path aanval waarbij het verkeer tussen de pakketclient en de archiefserver kan worden gemanipuleerd, bijvoorbeeld via een kwaadaardige mirror of proxy. De kwetsbaarheid is afhankelijk van de APT-instelling Acquire::Retries, die standaard op een waarde groter dan nul staat sinds versie 2.3.2. Dit betekent dat systemen met deze standaardinstelling, waaronder Debian 12 (Bookworm) en Ubuntu 22.04 LTS (Jammy Jellyfish) en nieuwer, kwetsbaar kunnen zijn. Oudere versies zijn standaard niet kwetsbaar, tenzij retries handmatig zijn ingeschakeld.
De patches zijn beschikbaar in APT-versie 3.0.4 voor Debian 13 (Trixie) en versie 2.6.2 voor Debian 12. Ubuntu heeft eveneens updates uitgebracht voor ondersteunde versies, waaronder 22.04 LTS, 24.04 LTS, 26.04 LTS en 26.10. De oplossing richt zich op het onderliggende probleem in de bestandsafhandeling. In een commit van 12 oktober werd de downloadcode aangepast zodat bestemmingsbestanden exclusief worden geopend en bestaande bestanden worden verwijderd voordat gedeeltelijk gedownloade inhoud wordt gekopieerd. Dit voorkomt dat downloads via bestaande hardlinks schrijven naar ongewenste bestanden.
Ubuntu adviseert gebruikers om APT te updaten en tijdens het oplossen van het probleem retries tijdelijk uit te schakelen. Daarnaast wordt het gebruik van HTTPS voor pakketdownloads aanbevolen om manipulatie van het netwerkverkeer tegen te gaan. Voor organisaties is het van belang om kwetsbare installaties te identificeren, retry-instellingen te controleren en ervoor te zorgen dat de patches worden uitgerold naar productieomgevingen en Linux-images.
