Faille APT : corriger aussi les images de conteneur

AWS a indiqué le 5 novembre 2026 qu’une mise à jour d’une instance Debian ou Ubuntu en cours d’exécution ne corrige pas l’image de conteneur utilisée pour en créer d’autres. Les images concernées doivent être reconstruites avec une version corrigée d’APT, puis redéployées. Le bulletin de sécurité d’AWS distingue ainsi deux tâches : mettre à jour les systèmes actifs et corriger séparément les images réutilisables.

Pour corriger CVE-2026-109518, mettez à jour les systèmes actifs et reconstruisez séparément les images de conteneur.

Dans quelles conditions la faille APT peut-elle être exploitée ?

CVE-2026-109518 concerne la vérification des paquets téléchargés par APT. Le scénario décrit suppose qu’un attaquant puisse manipuler le trafic HTTP. Des redirections doivent faire converger des téléchargements vers la même adresse, puis une erreur HTTP temporaire déclencher une nouvelle tentative. La configuration Acquire::Retries doit également être définie, selon l’avis des développeurs d’APT.

Lors d’une reprise de téléchargement, une mauvaise gestion de liens physiques, qui permettent à plusieurs noms de fichier de désigner le même contenu, peut permettre de remplacer un paquet après sa vérification. Si le paquet modifié est ensuite installé, son code peut s’exécuter avec les privilèges root. Les avis de Debian et d’Ubuntu décrivent cette chaîne comme un scénario conditionnel, lié aux circonstances du téléchargement et à l’installation du paquet.

Les développeurs d’APT indiquent que Acquire::Retries est devenu un réglage par défaut à partir d’APT 2.3.2 ; des scripts pouvaient aussi l’activer sur des versions antérieures. Le suivi Debian indique une valeur par défaut de 3 à partir de Debian 12 (bookworm) et Ubuntu 22.04 LTS (Jammy). Une ancienne installation ne peut donc pas être évaluée à partir de sa seule ancienneté : il faut aussi tenir compte de sa configuration des reprises.

Versions corrigées d’APT pour Debian et Ubuntu

Les versions ci-dessous sont celles indiquées comme corrigées pour chaque version de distribution. Debian donne le correctif 3.0.4 pour la version stable trixie dans son avis DSA-6607-1 du 4 novembre 2026 ; son suivi de sécurité répertorie aussi les autres branches. L’avis de sécurité d’Ubuntu, publié le 4 novembre, indique les versions propres à ses différentes éditions.

Ubuntu indique qu’Ubuntu Pro est requis pour les versions 20.04 et antérieures ; son avis précise Legacy Support pour 16.04 et 14.04. Pour les images Debian ou Ubuntu utilisées dans des déploiements cloud, le correctif doit aussi figurer dans l’image reconstruite : mettre à jour l’instance qui l’utilise ne modifie pas son image de base.