CVE-2014-0489
WysokieStreszczenie
APT w wersjach przed 1.0.9, przy włączonej opcji Acquire::GzipIndexes, nie weryfikuje sum kontrolnych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pakietu.
Ocena ryzyka
Brak weryfikacji sum kontrolnych stwarza poważne ryzyko dla bezpieczeństwa systemu, umożliwiając zdalne wykonanie kodu przez nieautoryzowane osoby.
Rekomendacja
Zaleca się aktualizację APT do wersji 1.0.9 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w APT
Zobacz wszystkie- CVE-2014-0487Wysokie
APT w wersjach przed 1.0.9 nie weryfikuje pobranych plików, jeśli zostały one zmodyfikowane, co jest wskazywane przez nagłówek If-Modified-Since. Może to prowadzić do nieokreślonych skutków i wektorów ataku.
- CVE-2026-109518Wysokie
W systemach Debian, Ubuntu i pochodnych dystrybucjach Linux atakujący w ścieżce mogący manipulować ruchem HTTP (w tym złośliwe lustro lub proxy) między klientem APT a serwerem archiwum podczas instalacji pakietu może nakłonić klienta do zainstalowania niezweryfikowanego pakietu kontrolowanego przez atakującego i uzyskać zdalne wykonanie kodu z uprawnieniami roota. Podatność wynika z ponownego użycia twardych dowiązań i wymaga, aby klient podążał za przekierowaniami i ponawiał pobieranie plików pakietów. Wymaga niezerowego ustawienia Acquire::Retries; wartość 3 jest domyślna od Debian 12 (bookworm) i Ubuntu 22.04 LTS (Jammy Jellyfish), więc starsze wersje są odporne w domyślnej konfiguracji.
Oryginalny opis (angielski, źródło NVD)
APT before 1.0.9, when the Acquire::GzipIndexes option is enabled, does not validate checksums, which allows remote attackers to execute arbitrary code via a crafted package.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS