CVE-2026-109518 może doprowadzić do instalacji pakietu kontrolowanego przez atakującego i zdalnego wykonania kodu z uprawnieniami roota. Debian Security Tracker opisuje atak wymagający jednoczesnego spełnienia kilku warunków: manipulacji ruchem HTTP, ponownego użycia hard linku, przekierowania, ponowienia pobierania pakietu i niezerowej wartości Acquire::Retries (wpis w Debian Security Tracker).
Jak przebiega opisany atak
Atakujący musi znajdować się na drodze między klientem APT a serwerem archiwum i móc ingerować w przesyłany ruch HTTP. Debian Security Tracker wskazuje jako przykłady złośliwe lustro pakietów lub serwer proxy. W opisanym scenariuszu APT ponownie wykorzystuje hard link, czyli dodatkowe odwołanie do tego samego pliku, podąża za przekierowaniem i ponawia pobieranie pakietu. Do ataku potrzebna jest też niezerowa wartość Acquire::Retries.
Gdy te warunki się zbiegną, APT może zainstalować pakiet kontrolowany przez atakującego, a ten może następnie uruchomić kod ze źródłem uprawnień roota. To poważny skutek, ale wymaga opisanej kombinacji ustawień i możliwości ingerowania w ruch sieciowy.
Tracker podaje, że Acquire::Retries ma wartość domyślną 3 od Debiana 12 (bookworm) i Ubuntu 22.04 LTS (Jammy). Wskazuje też, że starsze wydania są niepodatne przy konfiguracji domyślnej. Samo ustawienie retry nie przesądza więc o podatności: znaczenie mają również pozostałe warunki ataku.
Wersje APT wymienione dla Debiana
Debian Security Tracker oznacza APT 2.6.1 w bookworm i 3.0.3 w trixie jako podatne, a kolejne wymienione wersje tych gałęzi jako naprawione. Dla forky i sid tracker podaje wersję 3.3.6 jako naprawioną.
| Gałąź Debiana | Wersja APT | Stan według trackera |
| bookworm | 2.6.1 | podatna |
| bookworm (security) | 2.6.2 | naprawiona |
| trixie | 3.0.3 | podatna |
| trixie (security) | 3.0.4 | naprawiona |
| forky, sid | 3.3.6 | naprawiona |
Jeśli korzystasz z Debiana, porównaj wersję APT w swoim systemie z pozycją dla jego gałęzi. Status 3.3.6 dotyczy forky i sid; tracker nie przypisuje mu daty w opisie tego stanu.
Co tracker podaje o Ubuntu
Opis CVE w Debian Security Tracker obejmuje również Ubuntu. Dla Ubuntu 22.04 LTS (Jammy) wskazuje domyślną wartość Acquire::Retries równą 3. Wymienione wyżej wersje pakietu dotyczą gałęzi Debiana.
