CVE-2026-109518 kan APT ertoe brengen een pakket van een aanvaller te installeren en code met rootrechten uit te voeren. Daarvoor moeten meerdere voorwaarden samenvallen: een aanvaller moet HTTP-verkeer tussen de APT-client en de archiefserver kunnen beïnvloeden, terwijl APT hard links hergebruikt, een omleiding volgt, een download opnieuw probeert en Acquire::Retries op een waarde hoger dan nul staat. De Debian Security Tracker beschrijft de aanval en de vermelde pakketversies.

Hoe de aanval APT kan raken

Een on-path-aanvaller zit tussen de APT-client en de archiefserver en kan het HTTP-verkeer ertussen manipuleren. Een kwaadwillende mirror of proxy zijn voorbeelden van zo’n positie. Als ook de overige voorwaarden gelden, kan APT volgens de Debian Security Tracker een pakket installeren dat door de aanvaller wordt beheerd. Dat kan leiden tot uitvoering van code op afstand met rootrechten.

De aanval vereist dus meer dan alleen een netwerkpositie: ook het hergebruik van hard links, een omleiding en een nieuwe poging om een pakketbestand te downloaden spelen mee. Daarnaast moet Acquire::Retries niet op nul staan.

De vermelde APT-versies voor Debian

De Debian Security Tracker vermeldt deze versies per Debian-branch:

  • bookworm: APT 2.6.1 is kwetsbaar; APT 2.6.2 is gerepareerd.
  • trixie: APT 3.0.3 is kwetsbaar; APT 3.0.4 is gerepareerd.
  • forky en sid: APT 3.3.6 is gerepareerd.

Voor forky en sid vermeldt de tracker dus APT 3.3.6 als gerepareerd. De tracker koppelt aan die status geen datum.

De instelling voor nieuwe pogingen

Acquire::Retries bepaalt hoe vaak APT een mislukte download opnieuw probeert. De Debian Security Tracker vermeldt dat de standaardwaarde vanaf Debian 12 (bookworm) en Ubuntu 22.04 LTS (Jammy) 3 is. Voor oudere releases geldt volgens de tracker dat ze in hun standaardconfiguratie buiten deze kwetsbaarheid vallen.

De algemene beschrijving van de kwetsbaarheid noemt ook Ubuntu. De tracker vermeldt voor Ubuntu 22.04 LTS de standaardwaarde van Acquire::Retries als 3.