CVE-2026-109518
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 61 - wyżej niż 61% wszystkich znanych CVE
Streszczenie
W systemach Debian, Ubuntu i pochodnych dystrybucjach Linux atakujący w ścieżce mogący manipulować ruchem HTTP (w tym złośliwe lustro lub proxy) między klientem APT a serwerem archiwum podczas instalacji pakietu może nakłonić klienta do zainstalowania niezweryfikowanego pakietu kontrolowanego przez atakującego i uzyskać zdalne wykonanie kodu z uprawnieniami roota. Podatność wynika z ponownego użycia twardych dowiązań i wymaga, aby klient podążał za przekierowaniami i ponawiał pobieranie plików pakietów. Wymaga niezerowego ustawienia Acquire::Retries; wartość 3 jest domyślna od Debian 12 (bookworm) i Ubuntu 22.04 LTS (Jammy Jellyfish), więc starsze wersje są odporne w domyślnej konfiguracji.
Ocena ryzyka
Atakujący w ścieżce sieciowej może doprowadzić do instalacji złośliwego pakietu z uprawnieniami roota, przejmując pełną kontrolę nad systemem.
Rekomendacja
Zaktualizuj APT do wersji zawierającej poprawkę. Rozważ ustawienie Acquire::Retries=0 lub użycie bezpiecznych źródeł pakietów (HTTPS) do czasu aktualizacji.
Inne podatności w APT
Zobacz wszystkie- CVE-2014-0489Wysokie
APT w wersjach przed 1.0.9, przy włączonej opcji Acquire::GzipIndexes, nie weryfikuje sum kontrolnych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pakietu.
- CVE-2014-0487Wysokie
APT w wersjach przed 1.0.9 nie weryfikuje pobranych plików, jeśli zostały one zmodyfikowane, co jest wskazywane przez nagłówek If-Modified-Since. Może to prowadzić do nieokreślonych skutków i wektorów ataku.
Oryginalny opis (angielski, źródło NVD)
On Debian, Ubuntu, and derivative Linux distributions, an on-path attacker who can manipulate the HTTP traffic (including a malicious mirror or proxy) between an APT client and an archive server triggered by a package install can trick the client into installing an attacker-controlled unverified package and achieve remote code execution with root privileges. The vulnerability is caused by the reuse of hard links and requires the client to follow redirects and retry the download of package files. It requires the client to have a non-zero Acquire::Retries configuration setting; the value 3 is the default starting with Debian 12 (bookworm) and Ubuntu 22.04 LTS (Jammy Jellyfish), so older releases are unaffected in a default configuration
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS