CVE-2026-109518: luka APT wymaga ponowień i kontroli HTTP

4 listopada 2026 r. Debian i opiekunowie APT opublikowali informacje o luce CVE-2026-109518. Opisany atak wymaga niezerowego Acquire::Retries oraz możliwości ingerowania w ruch HTTP, na przykład przez złośliwy serwer lustrzany lub proxy. W określonych warunkach wadliwa obsługa pobierania może pozwolić podmienić dane pakietu po weryfikacji i uruchomić kod z uprawnieniami roota po jego instalacji (komunikat opiekunów APT, biuletyn bezpieczeństwa Debiana). Debian przypisał odkrycie luki Maxowi Justiczowi.

Tego samego dnia Canonical poinformował, że poprawki dla Ubuntu są dostępne (ogłoszenie Canonical).

Sama nazwa dystrybucji nie określa warunków ataku. Liczą się niezerowe ponowienia pobierania w APT i możliwość ingerencji w ruch HTTP.

Jak APT może podmienić pakiet po weryfikacji

Atak opisany przez opiekunów APT wykorzystuje przekierowania i przejściowe błędy serwera HTTP, które powodują ponowienie pobierania. W tym przebiegu wadliwa obsługa plików może nadpisać istniejące twarde dowiązania (hard linki) danymi wybranymi przez atakującego. Debian opisuje skutek jako podmianę pakietu już po weryfikacji; jeśli taki pakiet zostanie zainstalowany, może uruchomić dowolny kod z uprawnieniami roota.

Weryfikacja pakietu nie chroni więc przed tą konkretną ścieżką ataku: problem dotyczy późniejszej obsługi pobranych danych podczas ponawiania transferu. Warunkiem pozostaje jednak niezerowa wartość Acquire::Retries oraz kontrola nad ruchem HTTP albo złośliwy serwer lustrzany lub proxy.

Kiedy włączone są ponowienia APT

Opiekunowie APT podają, że domyślne ponawianie pobierania włączono od wersji APT 2.3.2. Tracker Debiana wskazuje wartość domyślną 3 od Debiana 12 i Ubuntu 22.04. W starszych wydaniach skrypty lub lokalna konfiguracja również mogą ustawić Acquire::Retries na wartość większą od zera (komunikat APT, tracker Debiana).

Wersje APT wymienione jako naprawione w Debianie

Tracker bezpieczeństwa Debiana wymienia następujące wersje jako naprawione. Biuletyn DSA 6607-1 potwierdza wersję 3.0.4 dla stabilnego wydania trixie.

(Tracker bezpieczeństwa Debiana, DSA 6607-1)

Aktualizacja APT nie objęła wszystkich wymienionych problemów

Komunikat opiekunów APT z 4 listopada opisywał także wybrane poprawki dotyczące błędów wyjścia poza zakres pamięci, parsera i solvera oraz wyczerpania pamięci przy ponawianiu opóźnionych pobrań w APT 2.6, 2.8 i 3.0. Opiekunowie poinformowali zarazem, że niektóre problemy tego typu w apt-ftparchive i parserze zależności budowania pozostały nienaprawione. Wskazali na złożoność zmian, ograniczone możliwości praktycznego testowania i ryzyko regresji.