В менеджере пакетов APT закрыли уязвимость CVE-2026-109518, которая позволяет установить подменённый пакет с правами root. Для атаки нужен контроль над HTTP-трафиком до репозитория либо вредоносное зеркало. Ошибка проявляется при перенаправлении и повторной загрузке пакета после сбоя.
Для атаки должны быть включены повторы загрузки, то есть параметр Acquire::Retries должен иметь ненулевое значение. Такая настройка используется по умолчанию начиная с Debian 12 и Ubuntu 22.04 LTS. В более ранних выпусках её могли включить вручную или в скриптах.
Исправления вышли 4 ноября. Для Debian 12 нужна версия APT 2.6.2, для Debian 13 — 3.0.4. В Ubuntu 22.04 исправления получила версия 2.4.15ubuntu0.1, в 24.04 — 2.8.4ubuntu0.1, в 26.04 — 3.2.1ubuntu0.1, в 26.10 — 3.3.3ubuntu0.1.
Canonical рекомендует при установке обновлений временно отключить повторы загрузки параметром -o Acquire::Retries=0. HTTPS защищает от подмены трафика на пути к серверу. Для защиты от вредоносного зеркала нужно установить исправленную версию APT. Ubuntu · Debian
#TECH #SECURITY
@digitaltimeslv
Снимок: System76 / Wikimedia Commons, GPLv3 и GPLv2+.
Original in Telegram: https://t.me/digitaltimeslv/11335