Op 4 november 2026 publiceerden Debian en de APT-onderhouders beveiligingsmeldingen over CVE-2026-109518. De beschreven aanval vereist een niet-nulwaarde voor Acquire::Retries én een aanvaller die HTTP-verkeer kan manipuleren of een kwaadwillende mirror of proxy beheert. Debian vermeldt opgeloste APT-versies; Canonical meldde die dag dat er Ubuntu-fixes beschikbaar waren.
De kwetsbaarheid kan ertoe leiden dat pakketgegevens na de verificatie worden vervangen. Wordt het aangepaste pakket daarna geïnstalleerd, dan kan de aanvaller code uitvoeren met rootrechten. Debian beschrijft de impact in beveiligingsadvies DSA 6607-1; de APT-onderhouders leggen het aanvalspad uit. Canonical kondigde aan dat Ubuntu-fixes beschikbaar waren.
Hoe redirects en retries de pakketcontrole kunnen omzeilen
Een HTTP-redirect stuurt een download door naar een andere bestemming. Tijdelijke HTTP-fouten kunnen APT ertoe brengen de download opnieuw te proberen. Volgens de APT-onderhouders kan de combinatie met de verwerking van hard links ertoe leiden dat een aanvaller pakketgegevens overschrijft. Debian beschrijft het gevolg als vervanging van een pakket nadat het is geverifieerd. Zo kan de pakketcontrole worden omzeild.
De aanval vereist dus meer dan alleen een installatie met APT: een aanvaller moet ook het HTTP-downloadpad kunnen beïnvloeden, bijvoorbeeld via een kwaadaardige mirror of proxy. De APT-onderhouders noemen een niet-nulwaarde voor Acquire::Retries als vereiste voor deze aanvalsketen.
De beschreven aanval vereist zowel ingeschakelde downloadretries als invloed op het HTTP-pad.
Welke instelling en APT-versies spelen een rol?
Sinds APT 2.3.2 is Acquire::Retries standaard ingeschakeld. De standaardwaarde is 3. Volgens de Debian-tracker geldt die standaard vanaf Debian 12 en Ubuntu 22.04. Ook op oudere releases kan een script de instelling hebben aangezet.
Debian’s tracker vermeldt de volgende APT-versies als opgelost. De Debian-beveiligingsmelding bevestigt afzonderlijk versie 3.0.4 voor stable trixie.
| Debian-tak | APT-versie die als opgelost staat vermeld |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
De Debian-tracker vermeldt deze takken en versies. De vermelding voor forky geeft geen datum voor de statuswijziging.
Welke andere problemen bleven buiten de update?
De APT-onderhouders beschreven ook verbeteringen voor verschillende geheugenveiligheids- en denial-of-serviceproblemen. De update loste echter niet alle genoemde problemen met out-of-bounds-geheugentoegang op. Problemen in apt-ftparchive en de parser voor build-dependencies bleven onopgelost; de onderhouders noemden implementatiecomplexiteit, beperkte praktijktests en het risico op regressies als redenen.
