Il 4 novembre 2026 Debian e i manutentori di APT hanno pubblicato avvisi su CVE-2026-109518, una vulnerabilità che può consentire di sostituire i dati di un pacchetto dopo la verifica e, una volta installato, eseguire codice con privilegi di root. L’attacco descritto richiede Acquire::Retries diverso da zero e il controllo del percorso HTTP, per esempio tramite un mirror o un proxy malevolo, secondo l’avviso di sicurezza Debian e la comunicazione dei manutentori APT.
Lo stesso giorno Canonical ha annunciato che le correzioni per Ubuntu erano disponibili, senza indicare in quell’annuncio le versioni specifiche per ciascuna release: annuncio di Ubuntu.
Come redirect e retry possono aggirare la verifica
Redirect HTTP ed errori temporanei del server possono innescare un nuovo tentativo di download. La vulnerabilità riguarda la gestione dei download ripresi e degli hard link, cioè collegamenti fisici che puntano allo stesso contenuto: in determinate condizioni, APT può sovrascrivere collegamenti esistenti con dati scelti dall’attaccante. Il risultato descritto da Debian è la sostituzione del pacchetto dopo la verifica; se il pacchetto viene installato, può essere eseguito codice come root.
Quali condizioni richiede l’attacco
Per questo percorso di attacco, Acquire::Retries deve avere un valore diverso da zero e l’aggressore deve poter manipolare il traffico HTTP o controllare un mirror o un proxy malevolo. Il valore predefinito è 3 da APT 2.3.2; il tracker Debian lo indica come predefinito da Debian 12 e Ubuntu 22.04 LTS. Anche script o configurazioni locali possono aver attivato i retry su versioni precedenti.
Per valutare questa falla, considera insieme Acquire::Retries e chi può controllare il percorso HTTP.
Versioni APT che il tracker Debian indica come corrette
Il tracker di sicurezza Debian elenca queste versioni corrette:
| Ramo Debian | Versione APT indicata come corretta |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
L’avviso Debian del 4 novembre conferma la correzione per trixie con APT 3.0.4. Per individuare la voce pertinente, associa la release installata al ramo Debian corrispondente.
Altri problemi APT lasciati senza correzione
L’aggiornamento include anche correzioni per alcuni problemi di sicurezza della memoria e di negazione del servizio. I manutentori APT hanno però lasciato senza correzione alcuni problemi di accesso fuori limite in apt-ftparchive e nel parser delle dipendenze di compilazione. Nell’avviso citano la complessità, i test pratici limitati e il rischio di regressioni come motivi della scelta.
