CVE-2026-109518 può consentire a un attaccante di far installare ad APT un pacchetto sotto il suo controllo e di eseguire codice con privilegi di root. Secondo il Debian Security Tracker, l’attacco richiede la manipolazione del traffico HTTP e una serie di condizioni legate ai download e ai tentativi di ripetizione.
Che cosa può fare la vulnerabilità
L’attaccante deve potersi inserire nel percorso del traffico HTTP tra il client APT e il server dell’archivio, per esempio attraverso un mirror o un proxy malevolo. Se si verificano anche gli altri prerequisiti descritti dal tracker, APT può installare un pacchetto controllato dall’attaccante, aprendo la strada all’esecuzione remota di codice con privilegi di root.
Le condizioni richieste per l’attacco
La vulnerabilità dipende dalla combinazione di quattro elementi: APT riutilizza hard link, segue un redirect, riprova a scaricare un pacchetto e ha un valore di Acquire::Retries maggiore di zero. Gli hard link sono riferimenti a uno stesso file; in questo caso il loro riutilizzo fa parte del meccanismo descritto dal tracker.
Il valore predefinito di Acquire::Retries è 3 a partire da Debian 12 (bookworm) e Ubuntu 22.04 LTS (Jammy). Per le versioni precedenti, il tracker indica che la vulnerabilità non si attiva con la configurazione predefinita. La descrizione generale del tracker comprende anche Ubuntu; le versioni di pacchetto nella tabella seguente riguardano i rami Debian elencati.
Versioni APT indicate per Debian
Il tracker elenca APT 2.6.1 come vulnerabile in bookworm e 2.6.2 come corretta; per trixie, indica 3.0.3 come vulnerabile e 3.0.4 come corretta. Per forky e sid, elenca 3.3.6 come corretta.
| Ramo Debian | Versione APT | Stato indicato dal tracker |
| bookworm | 2.6.1 | Vulnerabile |
| bookworm (security) | 2.6.2 | Corretta |
| trixie | 3.0.3 | Vulnerabile |
| trixie (security) | 3.0.4 | Corretta |
| forky e sid | 3.3.6 | Corretta |
